[论文解读] Divisibility, Smoothness and Cryptographic Applications

David Naccache, Igor E. Shparlinski|ArXiv.org|Oct 12, 2008

Analytic Number Theory Research参考文献 73被引用 3

一句话总结

本文探讨了光滑数（即不含大素因子的整数）在密码系统中的作用，展示了整除性与光滑性等数论性质如何支撑RSA、哈希函数（例如VSH）以及因数分解算法的安全性与效率。文章建立了光滑数分布的严格界限，并将其应用于证明密码原原子的抗碰撞性和安全性保证。

ABSTRACT

This paper deals with products of moderate-size primes, familiarly known as smooth numbers. Smooth numbers play a crucial role in information theory, signal processing and cryptography. We present various properties of smooth numbers relating to their enumeration, distribution and occurrence in various integer sequences. We then turn our attention to cryptographic applications in which smooth numbers play a pivotal role.

研究动机与目标

• 分析光滑数在整数序列中的分布及其在密码学中的重要性。
• 为依赖整除性与光滑性的密码构造提供严格的数论基础。
• 通过将光滑性与安全证明及算法效率相联系，弥合解析数论与实际密码学之间的鸿沟。
• 展示对除数函数与光滑数计数的精细估计如何支撑现代密码协议。
• 表明解析数论中的微小改进往往能带来密码学的重大进展，例如更紧的安全界限与高效算法。

提出的方法

• 使用Vinogradov的大O符号与渐近分析，对给定范围内光滑数的数量进行界定。
• 应用Ford（2008）关于欧拉函数取值分布及算术级数中除数数量的结果。
• 通过Croot、Granville、Pemantle与Tetali（2006）对Dixon因数分解算法停止时间的估计，分析算法效率。
• 分析模 $N = pq$ 下前 $k$ 个素数生成的乘法子群，以评估Very Smooth Hash（VSH）函数的安全性。
• 利用 $y$-光滑数（如 $ ilde{ ho}(x,y)$）的界限，证明对于几乎所有RSA模数，随机 $ ho$-比特消息映射到给定哈希值的概率可忽略不计。
• 结合中国剩余定理与光滑 $n$ 上的快速傅里叶变换（FFT）递归的经典结果，说明光滑性如何实现次二次算法，尽管这些内容未包含在主要密码学焦点中。

实验结果

研究问题

• RQ1 所有素因子均小于给定界限 $b$ 的整数有多常见？这如何影响密码学安全性？
• RQ2 欧拉函数 $ au(n)$ 的取值分布是怎样的？这与RSA的安全性有何关联？
• RQ3 如何利用素数 $p$ 的 $p-1$ 与 $p+1$ 的光滑性来定义并分析“强素数”？
• RQ4 随机消息在Very Smooth Hash（VSH）函数下映射到给定哈希值的概率是多少？如何利用光滑数理论对其进行界定？
• RQ5 精细的解析数论结果（如除数计数或光滑数计数）在多大程度上提升了密码算法的安全性与效率？

主要发现

• 使用解析数论结果对不超过 $x$ 的 $y$-光滑整数数量 $ ilde{ ho}(x,y)$ 进行了界定，且当 $x/y o au$ 且 $ au > 1$ 时，$ ilde{ ho}(x,y) o 0$，这意味着大多数整数并非 $y$-光滑。
• 对于几乎所有RSA模数 $N = pq$，当 $ ho$ 足够大时，随机 $ ho$-比特消息在VSH下映射到给定哈希值的概率可忽略不计，这是由于模 $N$ 乘法群中光滑数的分布所致。
• 满足 $p-1$ 为 $y$-光滑的素数 $p \neq 2$ 的密度为 $O(x/y)$，表明当 $y$ 相对于 $x$ 较小时，此类素数极为稀少。
• 通过Coppersmith方法推导出满足 $d \neq 0 \bmod k$ 且 $d \neq a \bmod k$ 的除数数量的界限，该方法构成了对部分因子已知的RSA攻击的基础。
• 利用Croot等人的结果，对Dixon因数分解算法的停止时间进行了紧密界定，表明当 $n$ 为光滑数时，该算法可在次指数时间内运行。
• 当 $x$ 和 $y$ 足够大时，$ au(p-1)$ 为 $y$-光滑的概率可忽略不计，这意味着大多数素数均为 $y$-强素数，从而支持RSA中强素数生成的安全性。