IT-Sicherheitsmanagement Teil 9: Primzahltest

IT-Sicherheitsmanagement
Teil 9: Primzahltest
ISM – SS 2017 – Teil 9/Primzahltest
08.05.17 1
Literatur
[9-1]
Willems, Wolfgang: Codierungstheorie und Kryptographie. Mathematik
Kompakt, Birkhäuser, 2008
[9-2]
Socher, Rolf: Algebra für Informatiker. Hanser, 2012
[9-3]
https://de.wikipedia.org/wiki/Fermatscher_Primzahltest
[9-4]
https://en.wikipedia.org/wiki/Euler's_criterion
[9-5]
https://de.wikipedia.org/wiki/Miller-Rabin-Test
[9-6]
https://de.wikipedia.org/wiki/Eulersche_Pseudoprimzahl
[9-7]
https://de.wikipedia.org/wiki/Fermatscher_Primzahltest
https://de.wikipedia.org/wiki/Fermatsche_Pseudoprimzahl
[9-8]
https://de.wikibooks.org/wiki/Pseudoprimzahlen
[9-9]
https://de.wikibooks.org/wiki/Pseudoprimzahlen
https://de.wikipedia.org/wiki/Pseudoprimzahl
[9-10]
https://de.wikipedia.org/wiki/Starke_Pseudoprimzahl
ISM – SS 2017 – Teil 9/Primzahltest
2
Übersicht
•
•
•
•
Deterministisches Verfahren
Verfahren nach Fermat
Verfahren nach Euler
Verfahren nach Miller-Rabin
ISM – SS 2017 – Teil 9/Primzahltest
3
Begriffe
• Primzahl = Natürliche Zahl > 1, die nur durch sich selbst und
durch 1 ganzzahlig teilbar ist
• Eine Zahl ist prim, wenn sie eine Primzahl ist.
• Pseudoprimzahl = Natürliche Zahl > 1, die trotz mehrfacher
Prüfungen fälschlicherweise als Primzahl angesehen wird
• Primzahltest = Anwendung eines Verfahrens zur Prüfung, ob eine
Zahl prim ist
• Zeugen = witness = Ganze Zahl, die bei einer Prüfung, ob eine
andere Zahl prim ist, nachweist, dass sie es nicht ist
ISM – SS 2017 – Teil 9/Primzahltest
4
Aufgabe der Primzahltests
• Gegeben ist eine Zahl n ∊ ℕ, die größer als 2 ist
• Es wird nun ein Verfahren angewendet, das in akzeptabler Zeit
– entweder exakt entscheidet
– oder heuristisch vermutet,
dass n eine Primzahl ist oder nicht.
• Die probabilistischen Verfahren arbeiten nach einer Monte CarloMethode, indem sie zufällige Stichproben nehmen und anhand
deren Ergebnisse eine Vermutung liefern.
Siehe: https://de.wikipedia.org/wiki/Monte-Carlo-Algorithmus
• Die deterministischen Verfahren liefern exakt ein Ergebnis, das
wahr ist.
ISM – SS 2017 – Teil 9/Primzahltest
5
Wahl des Kandidaten
• Es wird per Zufall eine natürliche Zahl größer 2 ausgewählt und
anschließend auf prim getestet.
• Damit dieses Verfahren praktikabel ist, muss es nicht nur sehr
viele Primzahlen in dem praktikablen Bereich (100 bis 200
Stellen) geben, sondern sie müssen auch einigermaßen gleich
verteilt nebeneinander liegen, so dass eine hohe Wahrscheinlichkeit für einen zufälligen Treffer besteht.
• Zum Glück gibt es genügend relativ dicht beieinander liegende
Primzahlen, so dass dieses Verfahren praktikabel ist.
• Siehe:
– http://www.michael-holzapfel.de/themen/primzahlen/pz-anzahl.htm
– https://de.wikipedia.org/wiki/Primzahlsatz
ISM – SS 2017 – Teil 9/Primzahltest
6
Beispiele für deterministische Tests I - Probedivision
• Systematische Modulo-Prüfung (probeweise Division)
• Es wird der Kandidat n durch 2 bis √n ganzzahlig dividiert und
der Rest bestimmt:
– Ist der Rest ein einziges Mal 0, so ist n keine Primzahl.
– Ist der Rest immer ungleich 0, so ist n eine Primzahl.
func bool testPrime(nat n) {
if n=0 or n=1 { return false; }
if n=2
{ return true; }
if even(n)
{ return false; }
return not witness(n>2);
}
ISM – SS 2017 – Teil 9/Primzahltest
Hier die
Rahmenroutine,
die witness()
aufruft.
7
Beispiele für deterministische Tests II - Probedivision
func bool widness(nat n>1)
limit:= floor(sqrt(n));
for divisor in 3..limit
if n mod divisor = 0
return true;
}
}
return false;
}
{
// truncate
step 2 {
{
• Diese Routine ist nur mit dem Aufruf aus testPrime() korrekt,
d.h. nur ungerade Werte für n>1 werden übergeben.
• floor() rundet zur nächsten kleineren ganzen Zahl ab.
• Die Berechnung nach diesem Verfahren dauert für die Praxis viel
zu lange, so dass sich diese Tests nur für kleine Zahlen eignen.
ISM – SS 2017 – Teil 9/Primzahltest
8
Beispiele für deterministische Tests III - Wilson
• Berechnung nach dem Satz von Wilson, mit n>2:
(n-1)! ≡
(n-1)! ≡
-1 (mod n)
n-1 (mod n)
n ist genau dann eine Primzahl, wenn n beide Gleichungen erfüllt.
• Berechnung nach dem Satz von Leibniz, mit n>2:
(n-2)! ≡
(n-2)! ≡
-1 (mod n)
n-1 (mod n)
n ist genau dann eine Primzahl, wenn n beide Gleichungen erfüllt.
• Die Berechnung nach diesen Sätzen dauert für die Praxis viel zu
lange, so dass sich diese Tests nur für kleine Zahlen eignen.
ISM – SS 2017 – Teil 9/Primzahltest
9
Probabilistische Tests
• Test nach Fermat
• Test nach Euler
• Test nach Miller-Rabin
Diese Tests liefern nur Vermutungen, keine exakten Ergebnisse.
ISM – SS 2017 – Teil 9/Primzahltest
10
Globales Verfahren
• Es wird vorher eine Anzahl k von Tests festgelegt; wenn der
Kandidat n diese Anzahl von Tests besteht, dann ist n eine
Primzahl mit hoher Wahrscheinlichkeit.
• Die Funktion witness() wird jeweils entsprechend dem Verfahren
gewählt. Hierzu gibt es mehrere Möglichkeiten.
func bool testPrime(nat n,nat k>0) {
if n=0 or n=1 { return false; }
if n=2
{ return true; }
if even(n)
{ return false; }
for k times {
if witness(n>2) {
return false;
}
}
return true;
}
ISM – SS 2017 – Teil 9/Primzahltest
11
Fermat-Test I
• Dieser Test beruht auf dem kleinen Satz von Fermat:
an-1
≡ 1 (mod n), mit a>0, ggT(a,n)=1 und n als Primzahl
Wenn n eine Primzahl ist, dann kommt bei der Potenzierung immer
eine 1 heraus; wenn es aber keine Primzahl ist, dann kommt bei
der Potenzierung manchmal eine 1 heraus.
Jedenfalls wenn ggT(a,n)=1 gilt, d.h. wenn a<n ist.
• Der kleine Satz von Fermat ist ein notwendiges, aber kein
hinreichendes Kriterium für die prim-Eigenschaft einer Zahl.
• Um die Prüfung von ggT(a,n)=1 zu sparen, wird die andere Form
des Satzes benutzt:
an
≡ a (mod n), mit a>0 und n als Primzahl
• Oder das a<n wird vorher mit einer Probedivision n mod a<>0
geprüft. Die eine zusätzliche Multiplikation ist wohl effizienter.
ISM – SS 2017 – Teil 9/Primzahltest
12
Fermat-Test II
• Mit n als dem Primzahlkandidaten wird ein a aus dem Intervall
[3:n-2] zufällig ausgewählt und an-1 berechnet:
– Ist an-1 mod n ungleich 1, so ist n sicher keine Primzahl.
a wird dann Zeuge genannt.
– Ist an-1 mod n gleich 1, so kann n eine Primzahl sein.
– n=2 wird ignoriert (siehe Routine testPrime()).
• Warum ist die obere Grenze für a n-2?
– a=n verletzt ggT(a,n)=1
– a=n-1 führt grundsätzlich zum Bestehen des Tests, wenn n ungerade
ist, denn
(n-1)n-1 mod n = (n-1)2*(n-1)n-3 mod n = (n-1)(n-1) mod 2 mod n
da n-1 gerade ist, gilt (n-1)n-1 mod n = 1
ISM – SS 2017 – Teil 9/Primzahltest
13
Fermat-Test III - Beispiele
func bool witness(nat n>2) {
if n>3 {
a:= select randomly in [2..n-2];
return powerMod(a,n,n)<>a;
}
return false; // 3 is prime
}
• Beispiel
n=6 und a=2: 25 ≡ 32 (mod 6) ≡ 2 (mod 6)
also ist 2 ein Zeuge gegen 6
ISM – SS 2017 – Teil 9/Primzahltest
14
Fermat-Test IV - Beispiele
n=15 und alle a in [2..n-1]
ap ≡ a (mod p)
ap-1 ≡ 1 (mod p)
Basis
Zeuge Basis
Zeuge
ggT()=1
2**15 mod 15 = 8
ja
2**14 mod 15=
4
ja
3**15 mod 15= 12
ja
3**14 mod 15=
9
ja
Nein
1
4**15 mod 15=
4
4**14 mod 15=
5**15 mod 15=
5
5**14 mod 15= 10
ja
Nein
6**15 mod 15=
6
6**14 mod 15=
6
ja
Nein
7**15 mod 15= 13
ja
7**14 mod 15=
4
ja
8**15 mod 15=
2
ja
8**14 mod 15=
4
ja
9**15 mod 15=
9
9**14 mod 15=
6
ja
Nein
10**15 mod 15=10
10**14 mod 15=10
ja
Nein
11**15 mod 15=11
11**14 mod 15= 1
Nein
12**15 mod 15= 3
ja
12**14 mod 15= 9
ja
13**15 mod 15= 7
ja
13**14 mod 15= 4
ja
14**15 mod 15=14
ISM – SS 2017 – Teil 9/Primzahltest
14**14 mod 15= 1
Eine Prüfung mit
a= 4, 11 und 14
würde 15 als
Primzahl vermuten
Nie Zeuge
15
Bemerkungen
• Bei der 1. Form (ap ≡ a (mod p)) reicht a<p,
bei der 2. Form (ap-1 ≡ 1 (mod p)) muss ggT(a,n)=1 sein.
• Wenn nur die Nicht-Primzahlen betrachtet werden, so ist die
Trefferwahrscheinlichkeit der Basen für einen Zeugen etwa gleich.
• Bei ungeraden nicht-Primzahlen unter 20.000 gibt es bei der 1. Form
99,1% und der 2. Form 99,4% Zeugen, jeweils in [2..n-2], bis
100.000 sind es 99,6% bzw. 99,8%.
• Die zweite Form ist wegen der ggT()-Prüfung empfindlicher, denn
jeder Wert des ggT() ungleich 0 zeigt einen Zeugen an.
func bool witness(nat n>2) {
if n>3 {
a:= select randomly in [2..n-2];
if ggT(a,n)<>0 { return true; }
return powerMod(a,n-1,n)<>1;
}
return false; // 3 is prime
}
ISM – SS 2017 – Teil 9/Primzahltest
16
Leider...
• gibt es zusammengesetzte Zahlen, die den Fermat-Test fast immer
bestehen: z.B. die Carmichael-Zahlen.
• Eine Carmichael-Zahl c hat folgende Eigenschaften:
– Sie hat mindestens 3 unterschiedliche Primfaktoren
– Für jeden Primteiler p von c gilt: p-1|c-1
• Ist n eine Carmichael-Zahl, so ist für alle a, die teilerfremd zu n
sind, die Kongruenz an-1 ≡ 1 (mod n) erfüllt.
D.h. der Fermat-Test irrt sich hier meistens.
• Beachten Sie, dass dies keine Widerlegung des Satzes von Fermat
ist, sondern eine dessen Umkehrung.
• Wenn n eine Primzahl ist, dann ist die Potenz immer 1; aber es gibt
auch nicht-Primzahlen für n, deren Potenz fast immer 1 ist,
nämlich dann, wenn die gewählte Probe a teilerfremd zu n ist.
• Derartige Zahlen werden Fermat-Pseudoprimzahlen genannt, diese
brauchen keine Carmichael-Zahlen zu sein; es gibt noch mehr.
ISM – SS 2017 – Teil 9/Primzahltest
17
Carmichael-Zahlen
• Die Carmichael-Zahlen kommen selten vor. Im Zahlenbereich bis
1017 existieren nur 585.355 Carmichael-Zahlen.
Dies hat für die Praxis wenig Bedeutung, da in der Kryptographie
Primzahlen mit 200 bis 300 Stellen gesucht werden.
• Das bedeutet aber auch, dass die Wahrscheinlichkeit per Zufall
eine Carmichael-Zahl zu treffen bei ca. 10-11 liegt.
• Und für die Nicht-Carmichael-Zahlen, die auch FermatPseudoprimzahlen sind, liegt die Wahrscheinlichkeit bei ca. 10-50.
561 3*11*17
1105 5*13*17
1729 7*13*19
41041 7*11*13*41
ISM – SS 2017 – Teil 9/Primzahltest
Ein paar Beispiele
für Carmichael-Zahlen.
18
Euler-Test I
• Der Euler-Test beruht auf folgender Formel:
a(n-1)/2 ≡ ±1 (mod n)
• Falls n eine Primzahl>2 ist, dann gilt immer die obige Kongruenz.
Aber auch hier muss ggT(a,n)=1 sein.
• Wenn der Kandidat n eine ungerade Primzahl ist, dann gibt es für
die Quadrat-Wurzel zwei Lösungen – jeweils mod n: +1 und -1.
• Wenn a(n-1)/2 mod n weder +1 noch -1 ist, dann ist a ein Zeuge für
die nicht-prim-Eigenschaft.
• Bei der Quadrat-Wurzel wird der Index halbiert. (n-1)/2 ist immer
eine ganze Zahl, da n ungerade ist.
ISM – SS 2017 – Teil 9/Primzahltest
19
Leistung I
• Der Euler-Test findet alle Pseudoprimzahlen des Fermat-Tests.
Der Euler-Test findet mehr nicht-Primzahlen als der Fermat-Test.
• Aber es gibt Zahlen, bei denen der Euler-Test bei bestimmten aWerten, die Basen genannt werden, versagt, z.B. 341.
• Derartige Zahlen werden Euler-Pseudoprimzahlen genannt.
Es gibt Tabellen dieser Euler-Pseudoprimzahlen zur Basis a:
https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Tabelle_Eulersch
e_Pseudoprimzahlen
Z.B. für a=2 sind es 341, 561, 1105, 1729, 1905, 2047, 2465
• Abgeschätzt gilt, dass der Euler-Test ca. die Hälfte der
Pseudoprimzahlen vom Fermat-Test hat.
• Eine Eulersche Pseudoprimzahl erfüllt die Kongruenz
a(n-1)/2 ≡ ±1 (mod n)
für einige a mit ggT(a,n)=1 und n ist keine Primzahl.
ISM – SS 2017 – Teil 9/Primzahltest
20
Leistung II
• Dann gibt es leider noch Zahlen, bei denen der Euler-Test bei fast
allen a versagt: absolute Euler-Pseudoprimzahlen, z.B. 1729 zur
Basis 3.
• Auch hier gibt es Tabellen:
– https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Tabelle_Absolute_eul
ersche_Pseudoprimzahlen
– https://oeis.org/A033181
• Eine absolute Eulersche Pseudoprimzahl erfüllt die Kongruenz
a(n-1)/2 ≡ ±1 (mod n)
für alle a mit ggT(a,n)=1, wobei n keine Primzahl ist.
• Alle Basen a mit ggT(a,n)≠1 und a im Intervall [3,n-1] sind immer
Zeugen.
ISM – SS 2017 – Teil 9/Primzahltest
21
Euler-Test - Beispiel
n=15 und alle a in [2..n-1]
Basis
a(n-1)/2 ≡ ±1 (mod n)
Zeuge
ggT()=1
2
8 ja
3
12 ja
4
4 ja
5
5 ja
Nein
6
6 ja
Nein
7
13 ja
8
2 ja
9
9 ja
Nein
10
10 ja
Nein
11
11 ja
12
3 ja
13
7 ja
14
ISM – SS 2017 – Teil 9/Primzahltest
14
Nein
Zum Bestehen muss das
Ergebnis 1, -1 oder n-1
sein.
Ist der ggT() nicht 1, so
liegt ein Zeuge vor.
Nein
Nie Zeuge
22
Bemerkungen
• Bei ungeraden nicht-Primzahlen unter 20.000 gibt es beim EulerTest 99,6% Zeugen, jeweils in [2..n-2], ist also etwas besser als
Fermat. Bis 100.000 ist der Anteil der Zeugen 99,9%.
• In einem direkten Vergleich bei ungeraden nicht-Primzahlen
unter 20.000 schneidet der Euler-Test um 0,2% besser als der
Fermat-Test ab (0,2% Zeugen mehr als bei Fermat).
• Allerdings lagen beide bei 0,4% falsch, d.h. die Wahrscheinlichkeit bei beiden Tests zusammen, richtige Basen zu wählen, liegt
bei ca. 0,996.
ISM – SS 2017 – Teil 9/Primzahltest
23
Euler-Test II
func bool witness(nat n>3) {
a:= select randomly in [3..n-1];
if ggT(a,n)=1 {
tmp:= powerMod(a,(n-1)/2,n);
return not(tmp= 1 or -1 or n-1);
} else {
return true;
}
}
Für das Arbeiten mit positiven Modulen n gilt: -1 ≡ n-1 (mod n).
ISM – SS 2017 – Teil 9/Primzahltest
24
Miller-Rabin-Test I – die Idee
• Die Idee dazu liegt darin, dass eine Zahl d gesucht wird, deren
mehrfache Quadrierungen n-1 ergibt.
• Beginnend mit dieser Zahl wird eine Folge berechnet, deren letztes
Element eine Potenz von n-1 hat.
• Nach dem kleinen Fermat'schen Satz an-1 ≡ 1 (mod n) muss das letzte
Element dieser Folge 1 sein, wenn n eine Primzahl ist. Die Prüfung
dieses letzten Elements ist also der Fermat-Test.
• Die Berechnung des vorletzten Elements ist a(n-1)/2 mod n, was dem
Euler-Test entspricht: hier sollte -1 oder 1 herauskommen.
ad
ad*2
ad*4
Beginn mit der Zahl d
deren Verdoppelungen
am Ende n-1 ergeben
ISM – SS 2017 – Teil 9/Primzahltest
ad*8
ad*16
ad*32
...
a(n-1)/2
EulerTest
an-1
FermatTest
25
Miller-Rabin-Test II – die Idee
• Damit entstehen drei mögliche Folgen für den Fall einer Primzahl:
– (
1,1,1,..,1)
– (?,?,..,-1,1,1,..,1) mit ? für beliebige Zahl
– (
-1,1,1,..,1)
• Die Berechnung des nächsten Elements der Folge kann abgebrochen
werden, wenn
– das erste Element 1 oder
– das erste Element oder ein späteres -1 ist,
denn danach haben alle restlichen Elemente den Wert 1.
• Warum?
– 1 oder -1 quadriert ergibt immer 1; daher beginnt die 1er-Reihe mit 1
oder -1.
– Der Vorgänger einer 1 in der Folge ist immer kongruent zu 1 oder -1.
– Der Vorgänger einer -1 in der Folge ist nie 1 oder -1.
ISM – SS 2017 – Teil 9/Primzahltest
26
Miller-Rabin-Test III – die Idee
• Es wird also die folgende Folge berechnet:
ad,ad*2,ad*4,ad*8,ad*16,ad*32,...,a(n-1)/2,an-1
• Das gelingt, wenn n-1=d*2s gewählt wird, denn dann kann s-mal
die Quadratwurzel gezogen werden, was jedes Mal zur
Halbierung des Exponenten und zu einem ganzzahligen
Exponenten führt.
• Dies führt zu folgenden notwendigen Kriterium für die primEigenschaft:
Entweder ist ad gleich 1 oder es kommt einmal -1 vor.
• Ist dieses Kriterium verletzt, liegt mit a ein Zeuge vor.
• Nach dem Feststellen der Erfüllung dieses Kriteriums wird die
Berechnung der Folge abgebrochen.
ISM – SS 2017 – Teil 9/Primzahltest
27
Miller-Rabin-Test IV
• Der Miller-Rabin-Test beruht auf folgendem Satz:
Wenn n eine ungerade Primzahl ist und wenn n-1=d*2s (d ist
ungerade) und ggT(a,n)= 1 gilt, dann ist
1) entweder ad = ad*2**k ≡ 1 (mod n), mit k=0
2) oder es gibt einen Exponenten k in [0:s-1] mit ad*2**k ≡ -1 (mod p).
• n ist die zu prüfende Zahl, a ist die Probe bzw. Basis, die zum Zeugen
werden kann.
• Wenn aber ein Element berechnet wird, das 1 ist und als Vorgänger
weder -1 oder 1 hat, dann liegt ein Zeuge vor, denn eine -1 muss
vorhanden sein und aus einer 1 wird nie eine -1 berechnet.
• Die Folgen (?,..,?,1,..,1) und (?,..,?) zeigen daher einen Zeugen an.
ISM – SS 2017 – Teil 9/Primzahltest
28
Miller-Rabin-Test V
• Mit n ist als ungeraden Kandidaten wird s bestimmt:
s = max{r ∊ ℕ | 2r teilt n-1}
damit ist 2s ist größte Potenz, die n-1 teilt,
also 2r mod (n-1) = 0 und r>0
• Nun werden d berechnet:
d = (n-1)/2s
compute n-1= d*2**s, d is odd:
d:= n-1;
// d is now even
s:= 0;
while even(d) {
d:= d/2; // right shift
s:= s+1;
}
ISM – SS 2017 – Teil 9/Primzahltest
29
Miller-Rabin-Test VI
• Wenn n-1 eine durch k*2m darstellbare Zahl ist, dann hat die
Miller-Rabin-Folge m+1 Elemente.
Oder anders: wenn n-1 in der Binärdarstellung hinten m Nullen
hat, dann kann aus n-1 m-Mal die 2. Wurzel ganzzahlig durch
ein Shift nach rechts gezogen werden.
• Bei m=1 wird der Euler- und der Fermat-Test durchgeführt, also
bei allen Zahlen, die binär aussehen: x..x11 mit x=0 oder 1
x..x101 führt zu m=2 etc.
Beispiel:
n= 1*****...*****1000001 mit * ist 0 oder 1, m=5
ISM – SS 2017 – Teil 9/Primzahltest
30
Leistung und Beispiel I
• Der Fermat-Test scheitert an der kleinsten Carmichael-Zahl 561,
da bei a=2: 2560 ≡ 1 (mod 561) ist.
• Für Miller-Rabin ist a=2 ein Zeuge gegen 561 als Primzahl:
s=4 und d= (561-1)/24= 560/16= 35
Berechnung der Folge
–
–
–
–
235
22*35
24*35
28*35
≡ 263 (mod 561)
≡ 166 (mod 561)
≡ 67 (mod 561)
≡
1 (mod 561)
ISM – SS 2017 – Teil 9/Primzahltest
31
Leistung und Beispiel II
• Der Euler-Test scheitert an der Zahl 1729 zur Basis 3.
• Für a=671 wird s und d berechnet:
1729-1 = 26*27, also s=6 und d=27
– 6711*27 ≡ 1084 (mod 1729)
– 6712*27 ≡ 1065 (mod 1729)
– 6714*27 ≡ 1
(mod 1729)
• Also ist nach Miller-Rabin 1729 keine Primzahl, jedenfalls wenn
für die Probe a der Wert 671 gewählt wird.
ISM – SS 2017 – Teil 9/Primzahltest
32
Leistung und Beispiel III
• Ist 3.057.601 eine Primzahl?
d=47.775, da n-1 = 26*47.775 ist
es wird gewählt: a=99.908 und damit entsteht folgende Folge:
– a47.775
≡ 1193206 (mod 3.057.601)
– a2*47.775 ≡ 2286397 (mod 3.057.601)
– a4*47.775 ≡ 235899 (mod 3.057.601)
– a8*47.775 ≡ 1
(mod 3.057.601)
• Also ist 3.057.601 keine Primzahl.
ISM – SS 2017 – Teil 9/Primzahltest
33
Leistung und Beispiel IV
• Zusammengesetzte Zahlen, die den Miller-Rabin-Test
überstehen, werden starke Pseudoprimzahlen zur Basis a
genannt, wenn a die Probe ist.
Z.B. für a=2 sind es: 2047, 3277, 4033, 4681, 8321 oder zur
Basis 5: 781, 1541, 5461, 5611, 7813
• Alle starken Pseudoprimzahlen zur Basis a sind auch EulerPseudoprimzahlen (dies liegt am Test).
• Es gibt Tabellen dieser starken Pseudoprimzahlen:
– https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Tabelle_Starke_Ps
eudoprimzahlen
– https://de.wikibooks.org/wiki/Pseudoprimzahlen:_Starke_Pseudopri
mzahlen
ISM – SS 2017 – Teil 9/Primzahltest
34
Leistung und Beispiel V
• Die Wahrscheinlichkeit, dass der Test eine Pseudo-Primzahl als
wahrscheinliche Primzahl bestimmt, hängt von k – der Anzahl
der Proben - ab:
• Fehlerwahrscheinlichkeit = 0,25k
– Mit k=5 ist dieser Wahrscheinlichkeit ca. 0,1%
– Mit k=7 ca. 0,01%
– Mit k=10 ca. 0,0001%, also ca. 10-6
• Es sollte ein k von 20 in der Praxis ausreichen...
ISM – SS 2017 – Teil 9/Primzahltest
35
Miller-Rabin-Test - Pseudocode
func bool witness(nat n>4) {
a:= select randomly in [2..n-2];
if ggT(a,n)<>1 { return true; }
compute n-1= d*2**s, d is odd
if powerMod(a,d,n)= 1 or -1 or n-1 {
return false;
} else {
for i in 1..s-1 {
val:= powerMod(a,d*2**i,n);
if val = -1 or n-1 { return false; }
if val = 1 { return true; }
od
return true;
}
}
Hinweis: Für das Arbeiten mit (positiven) Resten gilt: -1 ≡ n-1 (mod n).
ISM – SS 2017 – Teil 9/Primzahltest
36
Bemerkung
func bool witness(nat n>4) {
a:= select randomly in [2..n-2];
...
}
Warum wird nicht mit a=n-1 geprüft?
[1]
[2]
[3]
[4]
[5]
an-1 mod n = ? (Fermat)
(n-1)n-1 mod n = (n-1)*(n-1)*(n-1)n-3 mod n
(n-1)*(n-1) mod n = n2-2*n+1 mod n = 1
(n-1)n-1 mod n = (n-1)(n-1) mod 2 mod n
Da n-1 immer gerade ist: (n-1)(n-1) mod 2 mod n = 1
n besteht bei der Basis a=n-1 immer den Fermat-Test.
Ganz analog verhält es sich beim Euler-Test.
ISM – SS 2017 – Teil 9/Primzahltest
37
Deterministische Version des MRT I
Für die folgenden Zahlenbereiche reicht es aus, die angegeben a-Werte
für eine sichere Feststellung der prim-Eigenschaft zu benutzen.
n <
a-Werte
2.047
2
1.373.653
2,3
9.080.191
31,73
25.326.001
2,3,5
3.215.031.751
2,3,5,7
4.759.123.141
2,7,61
1.122.004.669.633
2,13,23,1662803
2.152.302.898.747
2,3,5,7,11
3.474.749.660.383
2,3,5,7,11,13
341.550.071.728.321
2,3,5,7,11,13,17
3.825.123.056.546.413.051
2,3,5,7,11,13,17,19,23
264
2,3,5,7,11,13,17,19,23,29,31,37
ISM – SS 2017 – Teil 9/Primzahltest
38
Deterministische Version des MRT II
• Diese Werte stammen aus:
https://en.wikipedia.org/wiki/Miller%E2%80%93Rabin_primality_test
•
Oder das Original:
http://primes.utm.edu/prove/prove2_3.html
ISM – SS 2017 – Teil 9/Primzahltest
39
Praktische Vorgehensweise
• Anhand einer Tabelle von kleinen Primzahlen wird als erstes mit
der Probedivision auf prim-Eigenschaft geprüft.
• Dann wird mit dem Miller-Rabin-Verfahren mindestens 20x
geprüft. Das BSI empfiehlt 50 Runden.
• Eine Zahl, die beide Phasen als Kandidat übersteht, wird als
Primzahl geglaubt.
• Wenn die Primzahlen für das RSA-Verfahren bestimmt wurden,
wird als Teil der Schlüsseldefinition mit einem festen String eine
Probever- und Entschlüsselung durchgeführt. Die
Entschlüsselung sollte bei einer zusammengesetzten Zahl
scheitern (wegen der Benutzung des Euler-Satzes).
ISM – SS 2017 – Teil 9/Primzahltest
40
Links zum eigenen Ausprobieren
http://www.javascripter.net/math/primes/millerrabinprimalitytest.htm
http://www.javascripter.net/math/calculators/primefactorscalculator.htm
http://www.javascripter.net/math/calculators/100digitbigintcalculator.htm
http://leemon.com/crypto/BigInt.html
ISM – SS 2017 – Teil 9/Primzahltest
41
Nach dieser Anstrengung etwas Entspannung....
Auch ein nicht so einfach zu durchquerender Sumpf...
ISM – SS 2017 – Teil 9/Primzahltest
42