Capitolo 5: Fattorizzazione di interi

Transcript

1 Captolo 5: Fattorzzazoe d ter Trovare fattor d u umero tero grade è ua mpresa assa ardua, e può essere mpossble co le rsorse ogg dspobl. No s cooscoo metod polomal per la fattorzzazoe, come vece accade per test d prmaltà. Ifatt mglor algortm d fattorzzazoe ot soo subespoezal ovvero, geerale, temp d elaborazoe soo dell orde d 3 l. Per essere pù precs temp d elaborazoe de mglor algortm d fattorzzazoe s comportao tutt come α ( lg) ( lglg ) ( α, ) α L = dove 0< α e geeralmete vale, è ua costate e o 3 è l umero da fattorzzare o u suo fattore. S ot che le mglore apportate agl algortm esstet vao orma a cdere solo sulla costate. Duque, se per fattorzzare u umero d 00 cfre occorre u tempo Q, per fattorzzare uo d 00 l tempo sale a crca Q, e per 300 arrvamo a Q. Se Q è u secodo, per u tero d 00 cfre occorre secodo, per 00 cfre pù d u ao e mezzo, per 300 cfre mlo d a. La RSA Securty Ic. gestsce ua sfda a lvello modale, ove vegoo premat coloro che fattorzzao gl ter propost da loro e pubblcat su WEB ua partcolare lsta. Recetemete, l 3 dcembre del 003, è stato fattorzzato l umero (chamato RSA576 quato costtuto da 576 bt par a 74 cfre decmal) prodotto d due prm etramb costtut da 87 cfre decmal: p= e q= Il l alla paga de factorg challege promoss dalla RSA Securty Ic. è: Test d prmaltà Prma d dare pasto u umero prmo ad u algortmo d fattorzzazoe è opportuo verfcare che l umero sa effettvamete composto. A tale scopo esstoo var test dett d prmaltà che, però, o garatscoo co certezza che l umero testato sa prmo. 43

2 I altre parole, se l test vee superato l umero è certamete composto, vceversa è probablmete prmo. Esstoo var test d prmaltà. Tra tutt, o vedremo quello che, al mometo, dscrma tra prm e compost co la maggor probabltà d successo. Tale test, dovuto a Mller e Rab, s basa sostazalmete sul seguete Pccolo Teorema d Fermat: se p è prmo allora Cosderamo l equazoe: (88) p a p a p mod =,, a mod Dremo che è pseudoprmo base a se è composto e soddsfa l equazoe (88) per u certo valore d a. + Il teorema d Fermat mplca che se è prmo deve soddsfare (88) a Z. Qud se, dato, ruscamo a trovare almeo u valore a per cu (88) o vale, potremo cocludere che è certamete composto. Per questa ragoe l valore a vee detto testmoe. Ua semplce test d prmaltà prevede l uso d a = come testmoe. Se (88) o è soddsfatta vee dcharato certamete composto, vceversa è caddato ad essere prmo. Sorpredetemete o è solo u caddato ma è ache u buo caddato. Ifatt cas cu u umero pseudoprmo base rsulta po composto soo veramete rar. Tato per dare u dea c soo solo valor d feror a 0ÿ000 per cu la procedura sbagla. I prm quattro valor soo 34, 56, 645 e 05. Ioltre è dmostrato che la probabltà d errore su u umero estratto a caso tra prm N ter tede a zero al crescere d N. Pù precsamete u umero costtuto da 5 bt scelto casualmete e dcharato prmo 0 ha ua probabltà su 0 d essere soltato pseudoprmo base metre per u 4 umero costtuto da 04 bt tale probabltà scede a ua su 0. Per quato, però, questo test possa essere raffato rpetedolo per altr valor del testmoe, o sarà ma possble rdurre a zero la probabltà d errore perchè esstoo ter che soddsfao (88) pur essedo compost. Quest ter, dett umer d Carmchael, soo estremamete rar: s pes che e esstoo solo 55 feror a prm tre de qual soo 56, 05 e 79. L ostacolo de umer d Carmchael può però essere aggrato facedo uso del seguete Teorema: se composto. x mod ammette soluzo o baal allora è certamete 44

3 Pochè umer d Carmchael, per motv che omettamo, o sfuggoo a questa regola, ruscremo a escludere gl error da ess geerat semplcemete seredo e ccl d calcolo della poteza a mod la verfca dell essteza delle soluzo o baal dell equazoe x mod. A questo puto però abbamo rcodotto temp d elaborazoe a quell d u qualsas algortmo d tral dvso perchè la certezza che sa prmo l avremo solo dopo aver escluso tutt possbl testmo. Ecco qud che el test d Mller Rab azchè tutte le bas e vegoo provate solo alcue scelte casualmete. Questa scelta fa rcadere l test tra gl algortm probablstc ma, rspetto al test base, la probabltà d errore o dpede pù da besì solo dal umero s d bas provate. Ifatt è possble dmostrare che per u qualsas tero > dspar e u qualsas tero postvo s la probabltà d errore o dpede da ed è al pù s. Duque ua scelta d s = 50 è suffcete per pratcamete qualsas applcazoe mmagable. Prma d presetare la procedura cocludamo la ostra aals (o esaustva) osservado che l test rchede al pù s volte l calcolo d ua poteza modulare che, a 3 O lg operazo bare. sua volta, rchede ( lg ) O operazo artmetche e ( ) Qud, complessvamete, l test d Mller Rab rchede O( slg ) 3 artmetche e O( slg ) operazo bare. Procedura MILLER-RABIN ( s, ) > dspar e 0<s<- for j to s ( ) a RND, f WIT ( a, ) the retur FALSE è certamete composto ext retur TRUE è quas scuramete prmo operazo Procedura RND ( ab, ) geera u umero casuale co dstrbuzoe uforme dscreta a x b retur x 45

4 Procedura WIT( a, ) ( ut, ) = BASE-SHIFT( ) x = ( au) 0 POWERMOD,, for to t x mod x f x = x x the retur TRUE ext f xt the retur TRUE retur FALSE Procedura BASE-SHIFT( ) calcola la coppa (, ) retur ( ut, ) ut tale che = t u dove t e u è par Procedura POWERMOD ( ab,, ) c 0 d b,, b = BINARY b ( ) ( ) 0 for dowto 0 c c d d mod f b = the c c+ d admod retur d Procedura BINARY( b ) calcola l espasoe bara del umero tero b b,, b retur ( ) 0. Algortm d fattorzzazoe Come abbamo gà detto la fattorzzazoe d umer ter molto grad c rporta alla teora (computazoale) de umer. 46

5 Dovedo fattorzzare u umero tero molto grade, l ostro prmo obettvo è quello d determare se l umero questoe è certamete composto o probablmete prmo. Cò abbamo vsto può essre rvelato da u test d prmaltà. Suppoamo qud d sapere che l ostro umero è certamete composto. Come c muovamo ora? La dffcoltà della fattorzzazoe cosste ( parte) el fatto che, a prescdere dal provare uo ad uo tutt fattor prm, o c soo altr mod ovv d procedere. Vedremo che o esste u uco algortmo valdo per qualsas tero da fattorzzare. Pertato la tecca pù effcace cossterà ello sceglere d volta volta l algortmo pù opportuo, fuzoe della tagla del umero da fattorzzare e delle altre formazo dspobl merto a tale umero..3 Algortmo Tral Dvso Il mglor puto d parteza è la fattorzzazoe per tetatv: usado ua lsta d umer prm geerata col crvello d Eratostee s tratta semplcemete d verfcare se quest dvdoo l tero da fattorzzare. Pochè l algortmo prova a dvdere l umero da fattorzzare per tutt gl ter prm feror a, rcordado che π ( ) è la fuzoe che cota umer prm l feror ad, l calcolo rchederà, el caso peggore, O( π ( ) ) = O l lg lglg operazo artmetche ovvero O( l ) O + = operazo bare. Seppur pù veloc geerale, essu algortmo d fattorzzazoe oto è effcete come l tral dvso ell dvduare fattor prm relatvamete pccol. D altro cato 7 però, questo algortmo dveta utlzzable per dvduare fattor pù grad d 0. Ua delle caratterstche dell algortmo tral dvso è che dato u fattore prmo è possble calcolare esattamete l tempo ecessaro ad dvduarlo. I altr term l tral dvso è u algortmo completamete determstco. Gl altr algortm d fattorzzazoe pù potet del tral dvso s basao, come vedremo, su ua certa casualtà. I questo caso, dato u fattore prmo, potremo fare prevso su temp med d elaborazoe ma o avremo certezza che temp effettv s mategao vc a temp med. Ioltre questa categora d algortm probablstc ha come peculartà l fatto che o v è alcua garaza che arrvo al rsultato atteso d trovare u fattore prmo. 47

6 Tutto cò che soo grado d fare è d scomporre l tero questoe due fattor pù pccol su qual è possble effettuare u test d prmaltà per po, el caso l test o vega superato, rpetere uovamete la rcerca che s coclude quado fattor dvduat rsultao probablmete prm. Gl algortm probablstc d fattorzzazoe s suddvdoo due categore. La prma è costtuta dagl algortm abl a scovare fattor prm d u umero a partre da dvsor pù pccol. I loro temp d elaborazoe dpedoo pù dalla tagla d questo dvsore che dalla tagla del umero da fattorzzare. I questa categora retrao ad esempo l algortmo Pollard rho che fu utlzzato per fattorzzare l umero d Fermat F 8 ( F = ), l algortmo Pollard p-, l algortmo Wllams p+ e l metodo delle curve ellttche usato per fattorzzare F 0 e F. Pochè quest algortm soo estremamete effcac per trovare dvsor che abbao tra 7 e 40 cfre decmal dado l meglo d loro per dvsor fo a 0 decmal sarebbe opportuo usarl sempre come secoda lea d attacco. Quado però s tratta d fattorzzare ter costtut da 00 o pù cfre decmal e gl algortm della prma categora o hao codotto ad alcu rsultato, allora è l mometo d passare agl algortm della secoda categora, detta Famgla d Kratch. D questa famgla d algortm estremamete compless da aalzzare dremo solo che s ab, tal che a b mod. basao sulla rcerca casuale d coppe ( ) I temp d elaborazoe soo essezalmete dpedet dalla tagla del pù pccolo fattore prmo ma dpedoo vece dalla tagla del umero da fattorzzare. Per questa ragoe è opportuo passare agl algortm d questa famgla solo dopo aver usato al meglo gl algortm d tral dvso e della prma categora. D altro cato, però, la dpedeza de temp d elaborazoe dalla tagla del umero e o de suo fattor fa s che quest algortm sao deal per la rcerca d fattor molto grad..4 Algortmo d Fermat Tral dvso o è l uco algortmo completamete determstco. Fermat propose u algortmo la cu peculartà cosste ella rcerca d fattor a partre da quell prossm alla radce quadrata del umero da fattorzzare. Uo de vatagg d questo algortmo è l asseza d dvso (trae ua alla fe). L dea d base è la seguete: se è dspar e composto allora = ab. Ioltre a+ b a b osservamo che se x = e y = allora = ab= ( x+ y)( x y) = x y. 48

7 Duque se ruscamo a scrvere rcavato ua fattorzzazoe = ( x+ y)( x y). = x y come dffereza d quadrat allora avremo L algortmo procede comcado co x= e y = 0. Po, og cclo cremeterà d uo o x o y a secoda che, rspettvamete, sa all dvduazoe della coppa cercata. x y < o x y > fo.5 Algortmo eurstco Pollard s rho Nel 975 J. M. Pollard pubblcò prm due algortm d fattorzzazoe d categora ogg ot come Pollard p- e Pollard rho l secodo de qual acora ogg è utlzzato per la rcerca d fattor prm d tagla compresa tra 7 e 0 cfre decmal. Sa l tero composto da fattorzzare. L algortmo, az tutto, geera u umero s a caso Z e su questo costrusce la successoe { s } defta da s0 = s e ( ) ( ) s = f s = s + mod. Da otare che l algortmo fuzoa ache co la rcorreza defta da s = ( s c) mod per tutt valor c ±Z (ache se valor c = 0 e c = dovrebbero essere evtat per rago che o approfodamo qu). Alcu test, ad esempo, rportao la successoe co c =. Per capre l fuzoameto dell algortmo vedamolo u caso partcolare. Sa duque = 5953 e suppoamo d aver geerato casualmete l umero s = 47. Suppoamo per u attmo d sapere che = pq, co p = 49 e q = 349 fattor prm d duque coprm tra loro, e vedamo come s comporta la successoe s mod p: s() mod 49 s() mod 49 s() mod 49 s() mod Come possamo otare s mod p e s mod 6 4 p soo ugual e pochè og terme della successoe è completamete determato dal precedete avremo che (89) s+ 8 mod p = s mod p 6. 49

8 Duque dopo u certo umero d term (dett coda ) la successoe modulo p etra u cclo. Ora rtoramo a quato c è oto ovvero alla successoe modulo e osservamo che la relazoe (89) mplca che p s 8 s + 6. Per ostra fortua q, essedo coprmo co p, o dvde s+ 8 s e da cò possamo mcd s s, = mcd ,5953 = 49. cocludere che ( ) ( ) 4 6 Ovvamete, torado al caso geerale, o o cooscamo è la lughezza della coda è quella del cclo. Tutto cò che fa l algortmo qud, è adare per tetatv e cotuare a calcolare prma la dffereza tra due term della successoe s h e s (co h < h + ) e po l mcd tra questa dffereza e ella speraza che o sa baale. Osservamo che l crtero d scelta de term da sottrarre o è uco. L mportate è che la successoe { h } degl dc sa mootoa crescete e tale che h+ h + per garatre da u lato che, poco alla volta, s esca dalla coda e dall altro che tutt possbl perod del cclo (o multpl del perodo del cclo) vegao verfcat. Nella ostra mplemetazoe adotteremo h h = e oltre calcoleremo l mcd ad og passo ache se, per veloczzare l algortmo, sarebbe possble raggruppare pù dffereze tra loro e calcolare u solo colpo u uco mcd. Ife useremo la rcorsoe ( ) ( ) f x = x mod otteuta poedo c =. E fodametale osservare che l algortmo o stampa ma rsultat errat: og umero stampato è effettvamete u fattore d. Però quato eurstco, o è assolutamete detto che l algortmo produca u rsultato. V soo due motv per cu questo algortmo potrebbe o comportars come c s aspetta. Iaz tutto l aals eurstca del tempo d esecuzoe o è rgorosa ed è possble che l cclo possa essere pù grade del prevsto. I questo caso l algortmo s comporta correttamete ma molto pù letamete del prevsto. I secodo luogo dvsor d prodott da questo algortmo potrebbero essere solo quell baal. I tal caso, se ecessaro, s può rlacare la procedura co u dverso valore d c ella rcorreza. 50

9 Procedura POLRHO ( ) x RND 0, ( ) y x whle TRUE l algortmo o terma ma! + x x mod ( ) ( ) d mcd y x, f d d the prt d f = the y x Ora occupamoc de temp d elaborazoe. Suppoamo che sa = pq co p e q coprm. Allora la successoe { s } duce ua corrspodete successoe { '} s modulo p dove s' = smod p. Osservamo che la successoe modulo p è ua versoe rdotta della successoe orgale modulo (e altrettato dcas per la successoe modulo q ). Ifatt: s ' = s mod p + + ( ) = f s mod p (( mod ) ) ( s mod ) p = s + mod p = + (( mod ) ) (( s ') mod ) p f ( s ') = s p + mod p = + = p Qud, ache se o stamo effettvamete calcolado la successoe dotta, questa è be defta e e segue le stesse regole della successoe zale. 5

10 C soo valde rago (certamete ote a ch ha dmestchezza col calcolo delle probabltà e coosce l paradosso de complea) per aspettars che se esste u dvsore p allora le lughezze del cclo e della coda modulo p sarao par a Θ ( p). I altr term c potremo ragoevolmete attedere ua rpetzoe dopo Θ ( p) pass ovvero che l algortmo stamp u fattore p d approssmatvamete dopo terazo del cclo whle. Se p è pccolo rspetto a la successoe modulo p potrà duque rpeters molto pù rapdamete d quella modulo. D cosegueza possamo attederc che l algortmo dvdu suffcet dvsor per 4 garatre la completa fattorzzazoe d dopo crca aggoramet pochè og fattore prmo d, eccetto evetualmete l pù grade, è ferore a. l lglg 4 Complessvamete, duque, l algortmo rchederà O + operazo bare. Cocludamo l argometo precsado che modo l algortmo può fallre presetado solo dvsor baal d. Osservamo che p s s + e q s s + mplcao pq s s + e, d cosegueza ( ) mcd s s, = pq =. + Cò capta costatemete se le lughezze d coda e cclo delle successo modulo p e modulo q soo detche. p 5