RSA加密算法理解

RSA算法流程

1. 选择大素数 $p,q$，通常大于 $10^{100}$ 次方
2. 计算 $n=p\ast q$。计算 $n$ 的欧拉函数 $\phi (n)$
3. 选择 $d$，使得 $d$ 与 $\phi (n)$ 互质
4. 计算 $d$ 对于 $\phi (n)$ 的模反元素 $e$（即模意义下的乘法逆元）
5. 公开密钥 $(e,n)$，私人密钥 $(d,n)$

加密过程

如果要加密明文 $m$，使用公开密钥进行加密：$$m^e\equiv c(\mathrm{mod}n)$$得到密文 $c$。

解密过程：

如果要解密密文 $c$，使用私人密钥进行解密：$$c^d\equiv m(\mathrm{mod}n)$$得到明文 $m$。

由于公开密钥 $(e,n)$ 是公开的，所以任何人都可以对明文进行加密。但是私人密钥 $(d,n)$ 是私有的，所以只有持有私人密钥的人才可以对密文进行解密。

---

讲解

欧拉函数

对正整数 $n$，欧拉函数 $\phi (n)$ 是指小于等于 $n$ 的正整数中与 $n$ 互质的数的数目。比如 $\phi (5)=4,\phi (6)=2$。

欧拉函数有如下性质（讲解和证明在后面）：

1. $\phi (1)=1$
2. 若 $p$ 为质数，则 $\phi (p)=p-1$
3. 若 $p$ 为质数，则 $\phi (p^k)=p^k\ast (1-\frac{1}{p})=p^k-p^{k-1}$
4. 若 $a,b$ 互质，则 $\phi (a\ast b)=\phi (a)\ast \phi (b)$
5. 若 $n=p_1^{k_1}\ast p_2^{k_2}\ast \cdots \ast p_m^{k_m}$，其中 $p_i$ 为质数，$k_i$ 为正整数，则 $$\begin{array}{rl}\phi (n)& =\phi (p_1^{k_1})\ast \phi (p_2^{k_2})\ast \cdots \ast \phi (p_m^{k_m})\\ & =p_1^{k_1}\ast p_2^{k_2}\ast \cdots \ast p_m^{k_m}\ast (1-\frac{1}{p_1})\ast (1-\frac{1}{p_2})\ast \cdots \ast (1-\frac{1}{p_m})\\ & =n\ast (1-\frac{1}{p_2})\ast \cdots \ast (1-\frac{1}{p_m})\end{array}$$

证明：

性质 $1$ 为规定，不解释。

性质 $2$ 很好理解，因为 $p$ 是质数，它肯定与 $1\sim p-1$ 中的每个数都互质，因此 $\phi (p)=p-1$。

性质 $3$ 可以这样理解：在 $1\sim p^k$ 中，所有 $p$ 的倍数都不与 $p^k$ 互质，这样的数有 $\frac{p^k}{p}=p^{k-1}$ 个，而其他的所有不是 $p$ 的倍数的数都一定与 $p$ 互质，也就一定与 $p^k$ 互质。因此 $\phi (p^k)=p^k-p^{k-1}$。
或者可以这样理解：每 $p$ 个数中都有 $p-1$ 个与 $p$ 互质，因此 $n$ 个数中就有 $n\ast \frac{p-1}{p}$ 个与 $p$ 互质，也就与 $p^k$ 互质，令 $n=p^k$ 可得 $\phi (p^k)=p^k\ast \frac{p-1}{p}=p^k-p^{k-1}$。

性质 $4$ 表明欧拉函数是一个积性函数。证明稍微有复杂，可以看这篇

性质 $5$ 就是性质 $4$ 的一个拓展，也是欧拉函数的通项公式，很重要。

除此之外欧拉函数还有很多其他奇奇怪怪的性质，不过与本篇无关，不多赘述，想了解的可以去 OI wiki。

模反元素（模运算下的乘法逆元）

欧拉定理：

若 $a,n$ 互质，则：$$a^{\phi (n)}\equiv 1(\mathrm{mod}n)$$

证明用到了初等数论中的剩余系。你想懂？我屋里有一些好康的 把初等数论第三章看完就会了。

此外，当 $n$ 是一个质数 $p$ 时，公式化简为：$$a^{\phi (p)}=a^{p-1}\equiv 1(\mathrm{mod}p)$$这个就是欧拉函数的特殊情况，也就是大名鼎鼎的费马小定理。学算法的一定不陌生。

乘法逆元：

稍微对上面的欧拉公式改写一下，就可以得到：$$a\ast a^{\phi (n)-1}\equiv 1(\mathrm{mod}n)$$因为对任意正整数 $n$，有 $\phi (n)\ge 1$，因此 $a^{\phi (n)-1}$ 是一个正整数，不妨设 $b=a^{\phi (n)-1}$，则有：$$ab\equiv 1(\mathrm{mod}n)$$在 $a,n\in N^{+}$ 且互质的情况下，根据欧拉公式，这个 $b$ 是一定存在的。此时 $b$ 就叫做 $a$ 对模数 $n$ 的 “模反元素”。或者换个说法，$b$ 是 $a$ 在模 $n$ 情况下的乘法逆元。

乘法逆元说白了就是倒数，因为你可以把 $b$ 看成是 $a^{-1}$，一个数和它的倒数相乘，结果不就正好等于 $1$ 吗。（$a\ast b\equiv a\ast a^{-1}=1(\mathrm{mod}n)$）

欧拉定理推论：

若 $a,n$ 互质，则对于任意正整数 $b$，有 $$a^b\equiv a^{b\mathrm{mod}\phi (n)}(\mathrm{mod}n)$$

证明：

设 $b=q\ast \phi (n)+r$，其中 $0\le r<\phi (n)$，即 $r=b\mathrm{mod}\phi (n)$。于是：$$a^b\equiv a^{q\ast \phi (n)+r}\equiv (a^{\phi (n)}{)}^q\ast a^r\equiv 1^q\ast a^r\equiv a^r\equiv a^{b\mathrm{mod}\phi (n)}(\mathrm{mod}n)$$

RSA算法原理

有不明白的公式就往上翻，公式的形式在上面全都给出来了。

1. 选择大素数 $p,q$，通常大于 $10^{100}$ 次方（越大越不容易被破解）
2. 计算 $n=p\ast q$。计算 $n$ 的欧拉函数 $\phi (n)$
   分解大数的质因数是十分困难的任务，目前除了暴力破解，还没有发现其他方法。因此如果 $p,q$ 足够大，我们就可以认为 $n$ 是足够安全的，从而 $\phi (n)$ 是足够安全的（也就是别人无法猜测或推算得到它们）。
3. 选择 $d$，使得 $d$ 与 $\phi (n)$ 互质
4. 计算 $d$ 对于 $n$ 的模反元素 $e$
   即 $de\equiv 1(\mathrm{mod}\phi (n))$，根据上面讲的乘法逆元，只要 $d$ 与 $\phi (n)$ 互质，就一定会存在 $d$ 对模数 $\phi (n)$ 的逆元，即 $e$。
5. 公开密钥 $(e,n)$，私人密钥 $(d,n)$
   假设明文为 $m$（$mingwen$），密文为 $c$（$ciphertext$），加密的时候 $c\equiv m^e(\mathrm{mod}n)$，解密的时候 $m\equiv c^d(\mathrm{mod}n)$，就有： $$m\equiv c^d\equiv (m^e{)}^d\equiv m^{ed}\equiv m^{ed\mathrm{mod}\phi (n)}\equiv m^1\equiv m(\mathrm{mod}n)$$如此一来，就实现了从密文中解密得到明文的操作了。

目前已知的公开的变量只有 $e,n$，私人持有密钥 $d$，而 $p,q,\phi (n)$ 都是未知且足够安全（$\phi (n)$ 未知是因为要知道它就必须对 $n$ 进行质因数分解，但是 $n$ 过大无法分解）。

如果一个人没有密钥 $d$ 想要破解密文 $c$，就需要根据 $e$ 算得它在模数 $\phi (n)$ 下的逆元 $d$，这就必须知道 $\phi (n)$，但是它足够安全无法获取。如此一来RSA算法就保证了密文和密钥的安全性。

参考：

百度百科 RSA算法

百度百科 模反元素

OI wiki 欧拉定理 & 费马小定理

OI wiki 乘法逆元

bilibili 初等数论-闵嗣鹤-严士健-第四版-无尽沙砾讲解

Puppy_L RSA算法原理详解（简单易懂）

知乎 欧拉函数(Euler’s totient function) 公式、积性 证明

算法竞赛进阶指南 李煜东著

老师的课件（笑）