pdf

Literatur
[9-1]
Willems, Wolfgang: Codierungstheorie und Kryptographie. Mathematik
Kompakt, Birkhäuser, 2008
[9-2]
Socher, Rolf: Algebra für Informatiker. Hanser, 2012
[9-3]
https://de.wikipedia.org/wiki/Fermatscher_Primzahltest
[9-4]
https://en.wikipedia.org/wiki/Euler's_criterion
[9-5]
https://de.wikipedia.org/wiki/Miller-Rabin-Test
[9-6]
https://de.wikipedia.org/wiki/Eulersche_Pseudoprimzahl
[9-7]
https://de.wikipedia.org/wiki/Fermatscher_Primzahltest
https://de.wikipedia.org/wiki/Fermatsche_Pseudoprimzahl
[9-8]
https://de.wikibooks.org/wiki/Pseudoprimzahlen
[9-9]
https://de.wikibooks.org/wiki/Pseudoprimzahlen
https://de.wikipedia.org/wiki/Pseudoprimzahl
[9-10]
https://de.wikipedia.org/wiki/Starke_Pseudoprimzahl
ISM – WS 2016/17 – Teil 9/Primzahltest
2
Übersicht
•
•
•
•
Deterministisches Verfahren
Verfahren nach Fermat
Verfahren nach Euler
Verfahren nach Miller-Rabin
ISM – WS 2016/17 – Teil 9/Primzahltest
3
Begriffe
• Primzahl = Natürliche Zahl > 1, die nur durch sich selbst und
durch 1 ganzzahlig teilbar ist
• Eine Zahl ist prim, wenn sie eine Primzahl ist.
• Pseudoprimzahl = Natürliche Zahl > 1, die trotz mehrfacher
Prüfungen fälschlicherweise als Primzahl angesehen wird
• Primzahltest = Anwendung eines Verfahrens zur Prüfung, ob eine
Zahl prim ist
• Zeugen = witness = Ganze Zahl, die bei einer Prüfung, ob eine
andere Zahl prim ist, nachweist, dass sie es nicht ist
ISM – WS 2016/17 – Teil 9/Primzahltest
4
Aufgabe der Primzahltests
• Gegeben ist eine Zahl n ∊ ℕ, die größer als 2 ist
• Es wird nun ein Verfahren angewendet, das in akzeptabler Zeit
– entweder exakt entscheidet
– oder heuristisch vermutet,
dass n eine Primzahl ist oder nicht.
• Die probabilistischen Verfahren arbeiten nach der Monte CarloMethode, indem sie zufällige Stichproben nehmen und anhand
deren Ergebnisse eine Vermutung liefern.
Siehe: https://de.wikipedia.org/wiki/Monte-Carlo-Algorithmus
• Die deterministischen Verfahren liefern exakt ein Ergebnis, das
wahr ist.
ISM – WS 2016/17 – Teil 9/Primzahltest
5
Wahl des Kandidaten
• Es wird per Zufall eine natürliche Zahl größer 2 ausgewählt und
anschließend auf prim getestet.
• Damit dieses Verfahren praktikabel ist, muss es nicht nur sehr
viele Primzahlen in dem praktikablen Bereich (100 bis 200
Stellen) geben, sondern sie müssen auch einigermaßen gleich
verteilt nebeneinander liegen, so dass eine hohe Wahrscheinlichkeit für einen zufälligen Treffer besteht.
• Wenn π(n) die Anzahl der Primzahlen von 2 bis n ist, so besagt
der Primzahlsatz von Hadamard und de la Vallee Poussin
lim
π(n)
n→∞ n/ln n = 1
, dass es sich lohnt per Zufall zu raten und dann zu testen.
ISM – WS 2016/17 – Teil 9/Primzahltest
6
Beispiele für deterministische Tests I - Probedivision
• Systematische Modulo-Prüfung (probeweise Division)
• Es wird der Kandidat n durch 2 bis √n ganzzahlig dividiert und
der Rest bestimmt:
– Ist der Rest ein einziges Mal 0, so ist n keine Primzahl.
– Ist der Rest immer ungleich 0, so ist n eine Primzahl.
func bool testPrime(nat n) {
if n=0 or n=1 { return false; }
if n=2
{ return true; }
if even(n)
{ return false; }
return not witness(n>2);
}
ISM – WS 2016/17 – Teil 9/Primzahltest
7
Probedivision - Pseudocode
func bool widness(nat n>1)
limit:= floor(sqrt(n));
for divisor in 3..limit
if n mod divisor = 0
return true;
}
}
return false;
}
{
// truncate
step 2 {
{
• Diese Routine ist nur mit dem Aufruf aus testPrime() korrekt,
d.h. nur ungerade Werte für n>1 werden übergeben.
• floor() rundet zur nächsten kleineren ganzen Zahl ab.
• Die Berechnung nach diesem Verfahren dauert für die Praxis viel
zu lange, so dass sich diese Tests nur für kleine Zahlen eignen.
ISM – WS 2016/17 – Teil 9/Primzahltest
8
Beispiele für deterministische Tests II - Wilson
• Berechnung nach dem Satz von Wilson, mit n>2:
(n-1)! ≡
(n-1)! ≡
-1 (mod n)
n-1 (mod n)
n ist genau dann eine Primzahl, wenn n beide Gleichungen erfüllt.
• Berechnung nach dem Satz von Leibniz, mit n>2:
(n-2)! ≡
(n-2)! ≡
-1 (mod n)
n-1 (mod n)
n ist genau dann eine Primzahl, wenn n beide Gleichungen erfüllt.
• Die Berechnung nach diesen Sätzen dauert für die Praxis viel zu
lange, so dass sich diese Tests nur für kleine Zahlen eignen.
ISM – WS 2016/17 – Teil 9/Primzahltest
9
Probabilistische Tests
• Test nach Fermat
• Test nach Euler
• Test nach Miller-Rabin
Diese Tests liefern nur Vermutungen, keine exakten Ergebnisse.
ISM – WS 2016/17 – Teil 9/Primzahltest
10
Globales Verfahren
• Es wird vorher eine Anzahl k von Tests festgelegt; wenn der
Kandidat n diese Anzahl von Tests besteht, dann ist n eine
Primzahl mit hoher Wahrscheinlichkeit.
• Die Funktion witness() wird jeweils entsprechend dem Verfahren
gewählt. Hierzu gibt es mehrere Möglichkeiten.
func bool testPrime(nat n,nat k>0) {
if n=0 or n=1 { return false; }
if n=2
{ return true; }
if even(n)
{ return false; }
for k times {
if witness(n>2) {
return false;
}
}
return true;
}
ISM – WS 2016/17 – Teil 9/Primzahltest
11
Potenzieren mit Rest - Rekursiv
In den nachher vorgestellten Verfahren wird die Potenzierung in der
Modulo-Arithmetik benötigt.
Hier nun die rekursive Variante des schnellen Verfahrens:
func nat powerMod(nat n>1,nat exp,nat m>1) {
if exp = 0 { return 1; }
if exp = 1 { return n mod m; }
if exp mod 2 = 0 {
tmp:= powerMod(n,exp div 2,m);
return (tmp*tmp) mod m;
} else {
return (powerMod(n,exp-1,m)*(n mod m)) mod m;
}
}
exp mod 2
exp div 2
exp - 1
ISM – WS 2016/17 – Teil 9/Primzahltest
liefert ein Wahr, wenn exp ungerade ist.
ist ein Shift um 1 Bit nach rechts.
löscht das unterstes Bit, sollte es vorher 1 sein.
12
Potenzieren mit Rest - Iterativ
func nat powerMod(nat n>1,nat exp,nat m>1) {
result:= 1;
n:= n mod m;
while exp <> 0 {
if exp mod 2 = 1 {
result:= (result*n) mod m;
}
exp:= exp>>1;
// shift 1 right
n:= (n*n) mod m
}
return result;
}
ISM – WS 2016/17 – Teil 9/Primzahltest
13
Fermat-Test I
• Dieser Test beruht auf dem kleinen Satz von Fermat:
an-1
≡ 1 (mod n), mit a>0, ggT(a,n)=1 und n als Primzahl
Wenn n eine Primzahl ist, dann kommt bei der Potenzierung immer
eine 1 heraus; wenn es aber keine Primzahl ist, dann kommt bei
der Potenzierung manchmal eine 1 heraus.
Jedenfalls wenn ggT(a,n)=1 gilt, d.h. wenn a<n ist.
• Der kleine Satz von Fermat ist ein notwendiges, aber kein
hinreichendes Kriterium für die prim-Eigenschaft einer Zahl.
• Um die Prüfung von ggT(a,n)=1 zu sparen, wird die andere Form
des Satzes benutzt:
an
≡ a (mod n), mit a>0 und n als Primzahl
• Oder das a<n wird vorher mit einer Probedivision n mod a<>0
geprüft.
Die eine zusätzliche Multiplikation ist wohl effizienter.
ISM – WS 2016/17 – Teil 9/Primzahltest
14
Fermat-Test II
• Mit n als dem Primzahlkandidaten wird ein a aus dem Intervall
[3:n-2] zufällig ausgewählt und an-1 berechnet:
– Ist an-1 mod n ungleich 1, so ist n sicher keine Primzahl.
a wird dann Zeuge genannt.
– Ist an-1 mod n gleich 1, so kann n eine Primzahl sein, muss es aber
nicht.
– n=2 wird ignoriert (siehe globales Verfahren).
• Warum ist die obere Grenze für a n-2?
– a=n verletzt ggT(a,n)=1
– a=n-1 führt grundsätzlich zum Bestehen des Tests, wenn n ungerade
ist, denn
(n-1)n-1 mod n = (n-1)2*(n-1)n-3 mod n = (n-1)(n-1) mod 2 mod n
da n-1 gerade ist, gilt (n-1)n-1 mod n = 1
ISM – WS 2016/17 – Teil 9/Primzahltest
15
Fermat-Test III - Beispiele
func bool witness(nat n>2) {
if n>3 {
a:= select randomly in [2..n-2];
return powerMod(a,n,n)<>a;
}
return false; // 3 is prime
}
• Beispiel
n=6 und a=2: 25 ≡ 32 (mod 6) ≡ 2 (mod 6)
also ist 2 ein Zeuge gegen 6
ISM – WS 2016/17 – Teil 9/Primzahltest
16
Fermat-Test IV - Beispiele
n=15 und alle a in [2..n-1]
ap ≡ a (mod p)
ap-1 ≡ 1 (mod p)
Basis
Zeuge Basis
2**15 mod 15 = 8
ja
3**15 mod 15= 12
ja
Zeuge
2**14 mod 15=
4
ja
ja
ggT()=1
3**14 mod 15=
9
4**15 mod 15=
4
4**14 mod 15=
1
Nein
5**15 mod 15=
5
5**14 mod 15= 10
ja
Nein
6**15 mod 15=
6
6**14 mod 15=
6
ja
Nein
7**15 mod 15= 13
ja
7**14 mod 15=
4
ja
8**15 mod 15=
2
ja
8**14 mod 15=
4
ja
9**15 mod 15=
9
9**14 mod 15=
6
ja
Nein
10**15 mod 15=10
10**14 mod 15=10
ja
Nein
11**15 mod 15=11
11**14 mod 15= 1
Nein
12**15 mod 15= 3
ja
12**14 mod 15= 9
ja
13**15 mod 15= 7
ja
13**14 mod 15= 4
ja
14**15 mod 15=14
14**14 mod 15= 1
Eine Prüfung mit
a= 4, 11 und 14
würde 15 als
Primzahl vermuten
Nie Zeuge
ISM – WS 2016/17 – Teil 9/Primzahltest
17
Bemerkungen
• Bei der 1. Form (ap ≡ a (mod p)) reicht a<p,
bei der 2. Form (ap-1 ≡ 1 (mod p)) muss ggT(a,n)=1 sein.
• Wenn nur die Nicht-Primzahlen betrachtet werden, so ist die
Trefferwahrscheinlichkeit der Basen für einen Zeugen etwa gleich.
• Bei ungeraden nicht-Primzahlen unter 20.000 gibt es bei der 1. Form
99,1% und der 2. Form 99,4% Zeugen, jeweils in [2..n-1], bis
100.000 sind es 99,6% bzw. 99,8%.
• Die zweite Form ist wegen der ggT()-Prüfung empfindlicher, denn
jeder Wert des ggT() ungleich 0 zeigt einen Zeugen an.
func bool witness(nat n>2) {
if n>3 {
a:= select randomly in [2..n-2];
if ggT(a,n)<>0 { return true; }
return powerMod(a,n-1,n)<>1;
}
return false; // 3 is prime
}
ISM – WS 2016/17 – Teil 9/Primzahltest
18
Leider...
• gibt es zusammengesetzte Zahlen, die den Fermat-Test fast immer
bestehen: die Carmichael-Zahlen.
• Eine Carmichael-Zahl c hat folgende Eigenschaften:
– Sie hat mindestens 3 unterschiedliche Primfaktoren
– Für jeden Primteiler p von c gilt: p-1|c-1
• Ist n eine Carmichael-Zahl, so ist für alle a, die teilerfremd zu n
sind, die Kongruenz an-1 ≡ 1 (mod n) erfüllt.
D.h. der Fermat-Test irrt sich hier meistens.
• Beachten Sie, dass dies keine Widerlegung des Satzes von Fermat
ist, sondern eine dessen Umkehrung.
Wenn n eine Primzahl ist, dann ist die Potenz immer 1; aber es gibt
auch nicht-Primzahlen für n, deren Potenz fast immer 1 ist, nämlich
dann, wenn die gewählte Probe a teilerfremd zu n ist.
• Derartige Zahlen werden Fermat-Pseudoprimzahlen genannt, diese
brauchen keine Carmichael-Zahlen zu sein; es gibt noch mehr.
ISM – WS 2016/17 – Teil 9/Primzahltest
19
Carmichael-Zahlen
• Die Carmichael-Zahlen kommen selten vor. Im Zahlenbereich bis
1017 existieren nur 585.355 Carmichael-Zahlen.
Dies hat für die Praxis wenig Bedeutung, da in der Kryptographie
Primzahlen mit 200 bis 300 Stellen gesucht werden.
• Das bedeutet aber auch, dass die Wahrscheinlichkeit per Zufall
eine Carmichael-Zahl zu treffen bei ca. 10-11 liegt, aber
immerhin.
• Und für die Nicht-Carmichael-Zahlen, die auch FermatPseudoprimzahlen sind, liegt die Wahrscheinlichkeit bei ca. 10-50.
561 3*11*17
1105 5*13*17
1729 7*13*19
41041 7*11*13*41
ISM – WS 2016/17 – Teil 9/Primzahltest
Ein paar Beispiele
für Carmichael-Zahlen.
20
Bemerkungen
• Es wurden folgende Carmichael-Zahlen untersucht:
561, 1105, 1729,2465, 2821, 6601, 8911, 10585, 15841, 29341,
41041, 46657, 52633, 62745, 63973, 75361
• Bei der 1. Form (ap ≡ a (mod p)) versagten alle Basen, bei der 2.
Form (ap-1 ≡ 1 (mod p)) gab es nur Zeugen mit ggT()<>1, das sind
25%.
• Daher sollte der ggT() immer vorher berechnet werden, um im
Falle eines Wertes ungleich 1 einen Zeugen zu erkennen.
• Bei weiteren Nicht-Carmichael-Zahlen versagt der Fermat-Test nur
bei bestimmten Basen, z.B. Basis 8 bei den Zahlen 9, 21, 45, 63,
65, 105. Wenn aber alle Basen zugelassen werden, gibt es bei
diesem Beispiel 82,5% bzw. 87% Zeugen.
• Bei einer größeren Datenbasis erniedrigen sich die Werte auf
80,8% bzw. 85,4%.
ISM – WS 2016/17 – Teil 9/Primzahltest
21
Euler-Test I
• Der Euler-Test beruht auf folgender Formel:
a(n-1)/2 ≡ ±1 (mod n)
• Falls n eine Primzahl>2 ist, dann gilt immer die obige Kongruenz.
Aber auch hier muss ggT(a,n)=1 sein.
• Wenn der Kandidat n eine ungerade Primzahl ist, dann gibt es für
die Quadrat-Wurzel zwei Lösungen – jeweils mod n: +1 und -1.
• Wenn a(n-1)/2 mod n weder +1 noch -1 ist, dann ist a ein Zeuge für
die nicht-prim-Eigenschaft.
• Bei der Quadrat-Wurzel wird der Index halbiert. (n-1)/2 ist immer
eine ganze Zahl, da n ungerade ist.
ISM – WS 2016/17 – Teil 9/Primzahltest
22
Leistung I
• Der Euler-Test findet alle Pseudoprimzahlen des Fermat-Tests.
Der Euler-Test findet mehr nicht-Primzahlen als der Fermat-Test.
• Aber es gibt Zahlen, bei denen der Euler-Test bei bestimmten aWerten, die Basen genannt werden, versagt, z.B. 341.
• Derartige Zahlen werden Euler-Pseudoprimzahlen genannt.
Es gibt Tabellen dieser Euler-Pseudoprimzahlen zur Basis a:
https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Tabelle_Eulersch
e_Pseudoprimzahlen
Z.B. für a=2 sind es 341, 561, 1105, 1729, 1905, 2047, 2465
• Abgeschätzt gilt, dass der Euler-Test ca. die Hälfte der
Pseudoprimzahlen vom Fermat-Test hat.
• Eine Eulersche Pseudoprimzahl erfüllt die Kongruenz
a(n-1)/2 ≡ ±1 (mod n)
für einige a mit ggT(a,n)=1 und n ist keine Primzahl.
ISM – WS 2016/17 – Teil 9/Primzahltest
23
Leistung II
• Dann gibt es leider noch Zahlen, bei denen der Euler-Test bei fast
allen a versagt: absolute Euler-Pseudoprimzahlen, z.B. 1729 zur
Basis 3.
• Auch hier gibt es Tabellen:
– https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Tabelle_Absolute_eul
ersche_Pseudoprimzahlen
– https://oeis.org/A033181
• Eine Absolute Eulersche Pseudoprimzahl erfüllt die Kongruenz
a(n-1)/2 ≡ ±1 (mod n)
für alle a mit ggT(a,n)=1, wobei n keine Primzahl ist.
• Alle Basen a mit ggT(a,n)≠1 und a in [3,n-1] sind immer Zeugen.
ISM – WS 2016/17 – Teil 9/Primzahltest
24
Euler-Test - Beispiel
n=15 und alle a in [2..n-1]
Basis
a(n-1)/2 ≡ ±1 (mod n)
Zeuge
ggT()=1
2
8 ja
3
12 ja
4
4 ja
5
5 ja
Nein
6
6 ja
Nein
7
13 ja
8
2 ja
Nein
9
9 ja
Nein
10
10 ja
Nein
11
11 ja
12
3 ja
13
7 ja
14
14
Zum Bestehen muss das
Ergebnis 1, -1 oder n-1
sein.
Ist der ggT() nicht 1, so
liegt ein Zeuge vor.
Nein
Nie Zeuge
ISM – WS 2016/17 – Teil 9/Primzahltest
25
Bemerkungen
• Bei ungeraden nicht-Primzahlen unter 20.000 gibt es beim EulerTest 99,6% Zeugen, jeweils in [2..n-2], ist also etwas besser als
Fermat. Bis 100.000 ist der Anteil der Zeugen 99,9%.
• In einem direkten Vergleich bei ungeraden nicht-Primzahlen
unter 20.000 schneidet der Euler-Test um 0,2% besser als der
Fermat-Test ab (0,2% Zeugen mehr als bei Fermat).
• Allerdings lagen beide bei 0,4% falsch, d.h. die Wahrscheinlichkeit bei beiden Tests zusammen, richtige Basen zu wählen, liegt
bei 0,996.
ISM – WS 2016/17 – Teil 9/Primzahltest
26
Euler-Test II
func bool witness(nat n>3) {
a:= select randomly in [3..n-1];
if ggT(a,n)=1 {
tmp:= powerMod(a,(n-1)/2,n);
return not(tmp= 1 or -1 or n-1);
} else {
return true;
}
}
Hinweis: Für das Arbeiten mit positiven Modulen gilt: -1 ≡ n-1 (mod n).
ISM – WS 2016/17 – Teil 9/Primzahltest
27
Miller-Rabin-Test I – die Idee
• Die Idee dazu liegt darin, dass eine Zahl d gesucht wird, deren
mehrfache Quadrierungen n-1 ergibt.
• Beginnend mit dieser Zahl wird eine Folge berechnet, deren letztes
Element eine Potenz von n-1 hat.
• Nach dem kleinen Fermat'schen Satz an-1 ≡ 1 (mod n) muss das letzte
Element dieser Folge 1 sein, wenn n eine Primzahl ist.
Die Prüfung dieses letzten Elements ist also der Fermat-Test.
• Die Berechnung des vorletzten Elements ist a(n-1)/2 mod n, was dem
Euler-Test entspricht: hier sollte -1 oder 1 herauskommen.
ad
ad*2
ad*4
Beginn mit der Zahl d
deren Verdoppelungen
am Ende n-1 ergeben
ISM – WS 2016/17 – Teil 9/Primzahltest
ad*8
ad*16
ad*32
...
a(n-1)/2
EulerTest
an-1
FermatTest
28
Miller-Rabin-Test II – die Idee
• Damit entstehen drei mögliche Folgen für den Fall einer Primzahl n:
– (
1,1,1,..,1)
– (?,?,..,-1,1,1,..,1) mit ? für beliebige Zahl
– (
-1,1,1,..,1)
• Die Berechnung des nächsten Elements kann abgebrochen werden,
wenn
– das erste Element 1 oder
– das erste Element oder ein späteres -1 ist,
denn danach bestehen alle restlichen Elemente aus 1.
• Warum?
– 1 oder -1 quadriert ergibt immer 1; daher beginnt die 1er-Reihe mit 1
oder -1.
– Der Vorgänger einer 1 in der Folge ist immer kongruent zu 1 oder -1.
– Der Vorgänger einer -1 in der Folge ist nie 1 oder -1.
ISM – WS 2016/17 – Teil 9/Primzahltest
29
Miller-Rabin-Test III – die Idee
• Es wird also die folgende Folge berechnet:
ad,ad*2,ad*4,ad*8,ad*16,ad*32,...,a(n-1)/2,an-1
• Das gelingt, wenn n-1=d*2s gewählt wird, denn dann kann s-mal
die Quadratwurzel gezogen werden, was jedes Mal zur
Halbierung des Exponenten und zu einem ganzzahligen
Exponenten führt.
• Dies führt zu folgenden notwendigen Kriterium für die primEigenschaft:
Entweder ist ad gleich 1 oder es kommt einmal -1 vor.
• Ist dieses Kriterium verletzt, liegt mit a ein Zeuge vor.
• Nach dem Feststellen der Erfüllung dieses Kriteriums wird die
Berechnung der Folge abgebrochen.
ISM – WS 2016/17 – Teil 9/Primzahltest
30
Miller-Rabin-Test IV
• Der Miller-Rabin-Test beruht auf folgendem Satz:
Wenn n eine ungerade Primzahl ist und wenn n-1=d*2s (d ist
ungerade) und ggT(a,n)= 1 gilt, dann ist
1) entweder ad = ad*2**k ≡ 1 (mod n), mit k=0
2) oder es gibt einen Exponenten k in [0:s-1] mit ad*2**k ≡ -1 (mod p).
• n ist die zu prüfende Zahl, a ist die Probe bzw. Basis, die zum Zeugen
werden kann.
• Wenn aber ein Element berechnet wird, das 1 ist und als Vorgänger
weder -1 oder 1 hat, dann liegt ein Zeuge vor, denn eine -1 muss
vorhanden sein und aus einer 1 wird nie eine -1 berechnet.
• Die Folgen (?,..,?,1,..,1) und (?,..,?) zeigen daher einen Zeugen an.
ISM – WS 2016/17 – Teil 9/Primzahltest
31
Miller-Rabin-Test V
• Mit n ist als ungeraden Kandidaten wird s bestimmt:
s = max{r ∊ ℕ | 2r teilt n-1}
damit ist 2s ist größte Potenz, die n-1 teilt,
also 2r mod (n-1) = 0 und r>0
• Nun werden d berechnet:
d = (n-1)/2s
compute n-1= d*2**s, d is odd:
d:= n-1;
// d is now even
s:= 0;
while even(d) {
d:= d/2; // right shift
s:= s+1;
}
ISM – WS 2016/17 – Teil 9/Primzahltest
32
Leistung und Beispiel I
• Der Fermat-Test scheitert an der kleinsten Carmichael-Zahl 561,
da bei a=2: 2560 ≡ 1 (mod 561) ist.
• Für Miller-Rabin ist a=2 ein Zeuge gegen 561 als Primzahl:
s=4 und d= (561-1)/24= 560/16= 35
Berechnung der Folge
–
–
–
–
235
22*35
24*35
28*35
≡ 263 (mod 561)
≡ 166 (mod 561)
≡ 67 (mod 561)
≡
1 (mod 561)
• Die Berechnung der Folge wird immer dann abgebrochen, wenn
das Ergebnis 1 oder -1 ist, denn in beiden Fällen ändern sich nicht
die Werte.
Im ersten Fall liegt ein Zeuge vor, im zweiten nicht.
ISM – WS 2016/17 – Teil 9/Primzahltest
33
Leistung und Beispiel II
• Der Euler-Test scheitert an der Zahl 1729 zur Basis 3.
• Für a=671 wird s und d berechnet:
1729-1 = 26*27, also s=6 und d=27
– 6711*27 ≡ 1084 (mod 1729)
– 6712*27 ≡ 1065 (mod 1729)
– 6714*27 ≡ 1
(mod 1729)
• Also ist nach Miller-Rabin 1729 keine Primzahl, jedenfalls wenn
für die Probe a der Wert 671 gewählt wird.
ISM – WS 2016/17 – Teil 9/Primzahltest
34
Leistung und Beispiel III
• Ist 3.057.601 eine Primzahl?
d=47.775, da n-1 = 26*47.775 ist
es wird gewählt: a=99.908 und damit entsteht folgende Folge:
– a47.775
≡ 1193206 (mod 3.057.601)
– a2*47.775 ≡ 2286397 (mod 3.057.601)
– a4*47.775 ≡ 235899 (mod 3.057.601)
(mod 3.057.601)
– a8*47.775 ≡ 1
• Also ist 3.057.601 keine Primzahl.
ISM – WS 2016/17 – Teil 9/Primzahltest
35
Leistung und Beispiel IV
• Zusammengesetzte Zahlen, die den Miller-Rabin-Test
überstehen, werden starke Pseudoprimzahlen zur Basis a
genannt, wenn a die Probe ist.
Z.B. für a=2 sind es: 2047, 3277, 4033, 4681, 8321 oder zur
Basis 5: 781, 1541, 5461, 5611, 7813
• Alle starken Pseudoprimzahlen zur Basis a sind auch EulerPseudoprimzahlen (liegt am Test).
• Es gibt Tabellen dieser starken Pseudoprimzahlen:
– https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Tabelle_Starke_Ps
eudoprimzahlen
– https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Starke_Pseudopri
mzahlen
ISM – WS 2016/17 – Teil 9/Primzahltest
36
Leistung und Beispiel V
• Die Wahrscheinlichkeit, dass der Test eine Pseudo-Primzahl als
wahrscheinliche Primzahl bestimmt, hängt von k – der Anzahl der
Proben - ab:
• Fehlerwahrscheinlichkeit = 0,25k
– Mit k=5 ist dieser Wahrscheinlichkeit ca. 0,1%
– Mit k=7 ca. 0,01%
– Mit k=10 ca. 0,0001%, also ca. 10-6
• Es sollte ein k von 20 in der Praxis ausreichen...
ISM – WS 2016/17 – Teil 9/Primzahltest
37
Miller-Rabin-Test - Pseudocode
func bool witness(nat n>4) {
a:= select randomly in [2..n-2];
if ggT(a,n)<>1 { return true; }
compute n-1= d*2**s, d is odd
if powerMod(a,d,n)= 1 or -1 or n-1 {
return false;
} else {
for i in 1..s-1 {
val:= powerMod(a,d*2**i,n);
if val = -1 or n-1 { return false; }
if val = 1 { return true; }
od
return true;
}
}
Hinweis: Für das Arbeiten mit (positiven) Resten gilt: -1 ≡ n-1 (mod n).
ISM – WS 2016/17 – Teil 9/Primzahltest
38
Miller-Rabin-Test – Pseudocode (Verbessert)
func bool witness(nat n>4) {
a:= select randomly in [2..n-2];
if ggT(a,n)<>1 { return true; }
compute n-1= d*2**s, d is odd
val:= powerMod(a,d,n);
if val = 1 {
return false;
} else {
for s-1 times {
if val = n-1 or -1 { return false; }
val:= val*val mod n;
if val =
1 { return true; }
}
return true;
}
}
ISM – WS 2016/17 – Teil 9/Primzahltest
39
Deterministische Version des MRT I
Für die folgenden Zahlenbereiche reicht es aus, die angegeben a-Werte
für eine sichere Feststellung der prim-Eigenschaft zu benutzen.
n <
a-Werte
2.047
2
1.373.653
2,3
9.080.191
31,73
25.326.001
2,3,5
3.215.031.751
2,3,5,7
4.759.123.141
2,7,61
1.122.004.669.633
2,13,23,1662803
2.152.302.898.747
2,3,5,7,11
3.474.749.660.383
2,3,5,7,11,13
341.550.071.728.321
2,3,5,7,11,13,17
3.825.123.056.546.413.051
2,3,5,7,11,13,17,19,23
264
2,3,5,7,11,13,17,19,23,29,31,37
ISM – WS 2016/17 – Teil 9/Primzahltest
40
Deterministische Version des MRT II
• Diese Werte stammen aus:
https://en.wikipedia.org/wiki/Miller%E2%80%93Rabin_primality_test
•
Oder das Original:
http://primes.utm.edu/prove/prove2_3.html
ISM – WS 2016/17 – Teil 9/Primzahltest
41
Praktische Vorgehensweise
• Anhand einer Tabelle von kleinen Primzahlen wird als erstes mit
der Probedivision auf prim-Eigenschaft geprüft.
• Dann wird mit dem Miller-Rabin-Verfahren mindestens 20x
geprüft. Das BSI empfiehlt 50 Runden.
• Eine Zahl, die beide Phasen als Kandidat übersteht, wird als
Primzahl geglaubt.
ISM – WS 2016/17 – Teil 9/Primzahltest
42
Links zum eigenen Ausprobieren
http://www.javascripter.net/math/primes/millerrabinprimalitytest.htm
http://www.javascripter.net/math/calculators/primefactorscalculator.htm
http://www.javascripter.net/math/calculators/100digitbigintcalculator.htm
http://leemon.com/crypto/BigInt.html
ISM – WS 2016/17 – Teil 9/Primzahltest
43
Nach dieser Anstrengung etwas Entspannung....
Auch ein nicht so einfach zu durchquerender Sumpf...
ISM – WS 2016/17 – Teil 9/Primzahltest
44