Il Test di Primalità Miller-Rabin

Transcript

1 Il Test di Primalità Miller-Rabin Marco Frego Marco Pizzato 8 giugno 2006

2 Indice 0.1 Introduzione La densità dei numeri primi Test di pseudoprimalità Il test Miller-Rabin Errori del Miller-Rabin L algoritmo Bibliografia

3 0.1 Introduzione La ricerca di grandi numeri primi è di fondamentale importanza in alcune applicazioni algebriche come per esempio la crittografia e l ausilio della tecnologia in questi settori è fondamentale. Per questo sono numerosissimi gli algoritmi computazionali che permettono di verificare in tempi relativamente brevi e con calcoli semplici se un numero è effettivamente primo. 0.2 La densità dei numeri primi La densità dei numeri primi all interno degli interi permette di poter trovare in tempi relativamente brevi dei primi abbastanza grandi. La funzione π(n) conta i numeri primi minori o uguali a n. Ad esempio π(15) = 6, perchè i numeri primi minori o uguali a 15 sono 2, 3, 5, 7, 11, 13. Il valore di questa funzione può essere stimato a partire dal seguente risultato. Teorema 1.1 lim n π(n) n log(n) = 1 Ad esempio per n = 10 9 π(n) = mentre L errore è inferiore al 6%. n log(n) = Il teorema inoltre ci dice che la probablità che un intero estratto a caso 1 sia primo è log(n). Per trovare un numero primo della stessa lunghezza di n basta generare log(n) interi casuali vicini a n. Di conseguenza se vogliamo trovare un numero primo di 100 cifre, dovremo tentare circa log( ) 230 volte. Tale numero può essere dimezzato se proviamo solo con numeri dispari. Sia n = p e 1 1 pe per r, dove p 1, p 2,..., p r sono i fattori primi di n e e 1, e 2,..., e r sono interi positivi. Si ha che n è primo se e solo se gli e i sono nulli tranne uno. L approccio più elementare per verificare la primalità di un numero è quello delle ripetute divisioni (trial division). Tentare di divedere n per ogni intero 2, 3,..., n. Questo metodo ha però una lunghezza esponenziale di ordine n, Θ(n). Questo algoritmo funziona bene solo nel caso in cui il numero sia piccolo. Ha il vantaggio di determinare non solo se un numero sia primo, ma, nel caso non lo sia, di trovare i suoi fattori. 2

4 Il nostro interesse è però trovare un buon algoritmo che permetta di determinare se un numero ha una certa probabilità di essere primo. La sua fattorizzazione è irrilevante. Oltrettutto da un punto di vista computazionale è molto più facile determinare la primalità piuttosto che trovare la fattorizzazione. 0.3 Test di pseudoprimalità Presentiamo ora un algoritmo che permette di verificare la primalità di un numero, questa procedura funziona abbastanza bene. In seguito presenteremo una versione più raffinata di questo metodo. Sia Z + n = 1, 2,..., n 1. Se n è primo allora Z + n = Z n, dove con Z n si intende il campo. Definiamo n uno pseudoprimo in base a se a n 1 1 (mod n) Un teorema di Fermat afferma che se n è primo la congruenza è sempre valida. Quindi se riusciamo a trovare un a Z + n che non soddisfa l equazione, allora siamo sicuri che n non è primo. L algoritmo si basa sull idea di testare n per a = 2. Se non soddisfa l equazione allora n non è primo, se la soddisfa diciamo che lo è. Incredibilmente questa procedura sbaglia raramente. Ci sono solo 22 valori di n prima di per i quali questo metodo porta ad un errore. La probabilità che l algoritmo sbagli tende a zero quando il numero di bit che compongono n va all infinito. Ad esempio un numero di 512 bit ha una probablità minore di di produrre un errore, mentre per un numero di 1024 bit, scende a Questo metodo purtroppo incappa sicuramente in un errore quando incontra un intero che soddisfa l equazione per ogni a Z + n. Questi interi esistono davvero e vengono detti numeri di Carmichael. Per fortuna questi numeri sono piuttosto rari. Ce ne sono solo 255 minori di Quest algoritmo funziona quindi discretamente bene per numeri grandi e può essere benissimo usato per verficare la primalità di un numero. 0.4 Il test Miller-Rabin Questo metodo cerca di risolvere il problema del precedente introducendo due modifiche: 3

5 Prova diversi valori di a invece che uno solo Controlla se durante l elevamento a potenza vengono trovate delle radici non banali dell unità modulo n L algoritmo prende in input il numero n di cui vogliamo verficare la primalità e un altro intero s che è il numero di a basi, scelte casualmente. Viene però introdotta la funzione witness in modo che witness(a, n) restituisce il valore di verità 1 se e solo se n è composto, il valore a può essere usato per verificare la non primalità di n. Vediamo come funziona witness: Sia n 1 = 2 t u, con t 1 e u dispari. In questo modo calcolare a n 1 (mod n) è equivalente a calcolare (a u ) 2t (mod n). Calcoliamo a u e poi eleviamo il risultato al quadrato per t volte. La funzione calcola x 0 = a u e successivamente x i = x 2 i 1, per i = 1, 2,..., t. Quindi x n 1 t 1 (mod n). Se durante l elevamento al quadrato il programma trova una radice non banale dell unità modulo n si ferma e risponde 1 (Per motivi algebrici l unità ha radici non banali se e solo se il numero non è primo). Se non vengono trovate radici banali ma x t 1 la funzione restituisce 1 (viene contraddetto il teorema di Fermat citato in precedenza). Altrimenti restituisce 0. La funzione Miller-Rabin è una ricerca probabilistica per vedere se n non è primo. Prende a caso s diversi valori di a e, se per uno di essi la funzione witness risponde 1, allora la funzione M-R risponde che il numero non è primo, altrimenti assume che n sia primo. Vediamo come questa funzione risolve il problema dei numeri di Carmichael: Sia n = 561 (è di Carmichael). Allora n 1 = 560 = Supponiamo che la base scelta sia 7, allora witness calcola x 0 = 241, x 1 = 298, x 2 = 166, x 3 = 67, x = 4 = 1. La funzione ha trovato una radice non banale dell unità e quindi restituisce 1. Infatti 561 non è primo (561 = ). Se n è formato da ξ bit e s è il numero di tentativi massimi, la funzione Miller-Rabin richiede O(sξ) operazioni aritmetiche, cioè non più di s elevamenti a potenza modulo n. 0.5 Errori del Miller-Rabin Per l algoritmo Miller-Rabin c è una bassa possibilità di errore. A differenza dell algoritmo di pseudoprimalità la possibilità di errore non dipende dal numero n scelto. Dipende dal numero s di tentativi e dalla fortuna nella scelta delle basi delle potenze. Possiamo quindi aspettarci che per interi casuali la 4

6 percentuale di errore sia molto bassa. Infatti: Teorema 1.2 Se n è un numero dispari non primo, allora il numero di elementi per cui la funzione witness da esito positivo sono almeno n 1 2. Teorema 1.3 Per ogni intero dispari n > 2 e per ogni intero postivo s, la probablità che Miller-Rabin(n,s) sbagli è al massimo 2 s. Quindi la scelta di s = 50 dovrebbe bastare per ogni applicazione possibile, anche se valori minori possono essere sufficienti. 0.6 L algoritmo #include <stdio.h> #include <stdlib.h> #include <time.h> int witness(unsigned long b,unsigned long long n) int flag=1; unsigned long borig,q,l,bb,zz,r; unsigned long esp; unsigned long mod; unsigned long x; unsigned long max=1; esp=n-1; mod=n; borig=b; while ((max*2)<=esp) max=max*2; do x=b; bb=b; if (esp>=max) 5

7 if (flag>1) for (l=1;l<bb;l=l+1) b=(b+bb)%mod; zz=b; for (r=1;r<borig;r=r+1) b=(b+zz)%mod; esp=esp-max; flag =flag+1; else for (q=1;q<bb;q=q+1) b=(b+bb)%mod; if (b==1 & x!=1 & x!=n-1) return 1; max=max/2; while(max>=1); if (b!=1) return 1; return -1; int main() unsigned long n; unsigned long a; int s,j,k; srand((unsigned long)time(null)); printf("\n Di che numero vuoi sapere la primalita?"); scanf("%d", &n); printf("\n Quanti tentativi devo fare? "); scanf("%d", &s); for (j=1;j<s+1;j=j+1) a= 1+rand()%(n-1); if (witness(a,n)==1) 6

8 printf("\n Il numero e composto"); scanf("%d",k); return 0; printf("il numero e primo"); scanf("%d",&k); return 0; 0.7 Bibliografia Cormen, Leiserson, Rivest, Stein - Introduction to Algorithms, 2nd edition MIT Press,