性欧美激情精品,国产日产精品一区二区三区四区的观看方式 ,依依成人综合视频

Sun, 28 Sep 2025 09:43:00 GMT

先摘录文献[1]中的LLL��法描述��程�Q�及LLL�U�化基的定义

LLL�U�化基的定义如下�Q�文献[1]定义13.12�Q?br />

再证明上囄��色方框三行伪代码的正��性（其它部分文献[1]已讲得比较具体）

参考文�?/strong>

[1] ��法数论裴定一 ��跃�?/div>
[2] 高等代数丘维�?nbsp;

春秋十二�?/a> 2025-09-28 17:43 发表评论

Mon, 28 Jul 2025 04:01:00 GMT

参考文�?/strong>

[1]代数与数�?nbsp; 李超周悦

[2]抽象代数II 徐明�?nbsp; 赉|��?/div>

春秋十二�?/a> 2025-07-28 12:01 发表评论

Fri, 20 Jun 2025 10:41:00 GMT

参考文�?/strong>

[1] 代数学基��与有限域林东�?/div>
[2] 抽象代数赉|��?徐明�?/div>

春秋十二�?/a> 2025-06-20 18:41 发表评论

有限域上的特征与指数和之扩展

Thu, 05 Jun 2025 01:30:00 GMT

�W�号含义

关于特征的结�?/strong>




关于指数和的�l�论


参考文�?/strong>

[1] 代数学基��与有限域林东�?/div>
[2] 代数与数�?nbsp; 李超周悦

[3] 关于��的一些结论及应用本�h

春秋十二�?/a> 2025-06-05 09:30 发表评论

二元二次型的�怼�变换、正定性与正交分解

Fri, 25 Apr 2025 11:05:00 GMT

本文主要阐述用两�U�方法判断给定两个二元二�ơ型是否�怼��Q�相似情况下的具体变换�?br /> �怼�变换如果��定了，也利于判断正定性，因�ؓ�怼�二次型的正定性相同。最后讲��C��正交分解�Q?br /> �l�出怎么求相似的整数对角矩阵

基本定义

下述定义来自文献[1] 12.1节，有所扩展


变换求解

先来看运用解方程的方�?nbsp;


再来看用矩阵的观�Ҏ��法，求解变换。这�U�方法更适合求解到对角型的变�?br />

正交分解




参考文�?/strong>
[1] 华罗庚文集数论卷2

[2] 高等代数丘维�?/div>

春秋十二�?/a> 2025-04-25 19:05 发表评论

关于��的一些结论及应用

Tue, 22 Apr 2025 13:18:00 GMT

�?strong>命题1�?所有群同态的原像个数相同�Q�即为核的大��?/span>


下面看下�q�个�l�论在文献[1]�?.2节的应用

�?strong>命题2】所有元素阶��于�{�于2 的群��Z��换群�Q�且光��?的整数幂


该结论在https://zhuanlan.zhihu.com/p/644888274中的推论2.2证明中用�?br />

�?strong>命题3】群中�Q一元的相对于正规子��的指数�ơ幂属于正规子群�Q?阶正规子��必

属于��的中心

【定�?�?/strong>模奇合数的既�U�乘法群�Q�其中雅可比�W�号�?的元素构成它的子��，光��?/span>

既约乘法��群阶的一�?br />

【定�?�?/strong>设G是群�Q�H、K是有限子��，则HK的大��等于H的阶与K的阶乘积除以H与K交群的阶


参考文�?/strong>

[1] 椭圆曲线及其在密码学中的应用—导引 Andreas Enge

[2] 抽象代数I 赉|��?徐明�?br /> [3] 华罗庚文集数论卷2

[4] �l�合数学冯荣�?宋春�?/div>

春秋十二�?/a> 2025-04-22 21:18 发表评论

Mon, 23 Dec 2024 03:33:00 GMT

�W�号含义与适用前提



二次域的基本�l�论




x²-dy²=±1




x² + d = y³




x² + y² = n





参考文�?/strong>
[1] 代数与数�?nbsp; 李超周悦

春秋十二�?/a> 2024-12-23 11:33 发表评论

Sun, 10 Nov 2024 13:45:00 GMT
�W�号含义
E 表示满��椭圆曲线Weierstrass方程上的点群

K 代数闭域�Q�用来限制Weierstrass方程的系��C��E中的�?/div>
E(K) 定义在K上的点群E

E/K 定义在K上的椭圆曲线E

End(E) E上的自同态环

域扩张分�?/strong>


End(E)模与Z代数


极点首项�p�L��



除子映射及同�?/strong>



同种映射同态性的解释




Hasse定理之引理证明的补充



挠曲�U�及其个�?/strong>


有限域上的椭圆曲�U?/span>
  一�U�确定型��阶计算�?/strong>


奇素域上的算法应�?/strong>


GF域上的群阶计��?/strong>

Schoof��法正确性根�?/strong>

一�U�计��椭圆曲�U�群的阶的确定型多项式时间算法，��定型是因�ؓ��法内部没有随机选择/概率抛币操作�Q�多��式旉��是因为域k的乘法与求逆��L��数是O((logq)^6)
�Q?em>q�?em>k的大��，乘法与求逆相对加减运��显著耗时�Q�。具体原理及��程详见参考文献[1]�?.2节。这里给出笔者的一些思�?
1. Hasse定理�Q�Frobenius自同态方�E�式�Q�在扭点��上的限制亦成立�Q�这军_��?em>t�?em>l的一个同余方�E�成立，且在模l的最��非负剩余系下解是唯一�?/div>
2. 孙子定理保证了某取��D��围内的一�?em>t�?em>L�Q?em>L为各素因子l的乘�U�）的唯一解，即由t�?em>L各个素因�?em>l的同余方�E�构成的同余方程�l�的解是唯一�?/div>
3. L必须大于t取��g��限的2倍。这是�ؓ了算法求得的解满��上�q?�Q�否则在更小的L内得到的解不唯一�Q�因L�?em>t上限或下限间的某数可以与t�?em>L同余�Q?/div>
4. 素因�?em>l的选择排除2与椭圆曲�U�特�?em>p。这是因为算法构造所依赖的一个引理之前提条�g�Q��ؓ奇素��C��?em>l�ơ除子多��式属于k[X]�Q�即引理论断有意义；
不等�?em>p保证��一个多��式f是否零多��式的充要条件成立，卛_��以用l�ơ除子多��式��L��?em>f来判断。另l为素��C��证了与其它除子多��式�Q�及其幂�ơ）互素
另外发现了算法的一处瑕疵，即第4步预计算除子多项式与Frobenius自同态的复合��了两个��|��q�导致第5步可能崩溃，当依赖的后箋两个复合多项式没被计��时�?br /> �q�个�U�正可通过修改�W?步扩�?个��|��或第5步通过除子多项式的递推公式按需计算

扭点的阶计算正确性根�?/span>


在密码学中的应用
选取原则

1. 排除��奇异椭圆曲�Uѝ��这是�ؓ避免MOV�{�约化攻击，�U�化��d��旉��复杂度是亚指�?/div>
2. 有限域的选择要��E(F_q)的群阶��够大。这是�ؓ了缓�?span style="color: #ff00ff;">Shanks�?span style="color: #ff00ff;">Pollard ρ��d��

3. E(F_q)存在阶�ؓ大素数的子群。这是�ؓ了抵�?span style="color: #ff00ff;">Pohlig-Hellman��d��

对于�W?点，��排除了char(K)=2�?�?em>j(E)=0对应的如下标准�Ş式曲�U?/div>
Y²+α₃Y=X³+α₄X+α₆�Q?#945;₃≠0�Q?�?nbsp; Y²=X³+α₄X+α₆

一�U�典型方�?/strong>
椭圆曲线及有限域的选择使得|E(F_q)|=cm�Q�且char(F_q) ∤ q+1-cm。其�?em>m是一个大素数�Q�通常不低�?56位二�q�制长度�Q�提供中长期安全性）�Q?em>c��于m�?br /> m阶子��的生成元可通过以下�Ҏ��定�Q�随机选择E上的一个有理点P�Q�如�?em>Q=cP为零元（��x��I��点）�Q�则重复选择�Q�直到其不等于零元�?br />          一旦找��C��生成元，那么子群��可以构造出来了。下面分析正��?nbsp;



参考文�?/strong>

[1] 椭圆曲线及其在密码学中的应用—导引 Andreas Enge

[2] ��法数论裴定一、祝跃飞

[3] The Arithmetic of Elliptic Curves Joseph H. Silverman

[4] 标识密码�?nbsp; �E�朝�?/div>
[5] 代数学基��与有限域林东�?br />
[6] 抽象代数I 赉|��?徐明�?/div>
[7] 代数与数�?nbsp; 李超周悦

春秋十二�?/a> 2024-11-10 21:45 发表评论

Sat, 07 Sep 2024 15:07:00 GMT

原本��法

摘抄参考文�?中附录的��法��程如下


例子��验



�Ҏ��后的��法

�Ҏ��之前�Q�先理清原本��法判别不可�U�多��式所用的原理。其原理是若f(x)可约�Q�当且仅当存在次数i<=d=[deg(f(x))/2]的不可约因子g(x)�Q�而此时gcd(x^{q^i}-x, f(x))≠1�?br /> �Ҏ��参考文�?�Q�详见如下定理）�Q�x^{q^i}-x是所有i�ơ不可约多项式的乘积�Q�因此它必定包含g(x)而与f(x)存在公因子。不可约判别��法的思想应该是遍历次�?到d的所有不可约多项�?br /> �Q�没必要��大于d的不可约多项式，因�ؓ若f(x)可约则其分解因子中必定存在不大于d的不可约多项式）�Q�检��输入多��式与它们是否存在公因子。所以这个原理是正确的，只是实现不对�Q?br /> 略作�Ҏ��如下�Q�类c语言描述�Q?br />

重新��验

参考文�?/strong>

[1] ��法数论裴定一、祝跃飞

[2] 代数学基��与有限域林东�?/div>

春秋十二�?/a> 2024-09-07 23:07 发表评论

��有限域上�q�x��根的求解

Fri, 30 Aug 2024 14:22:00 GMT

通用��法

先摘抄参考文献[1]中的��法��程如下

正确性分�?br /> 下面证明以上��法用到的事实结论，提炼为如下几个引�?br />

��法构造思想
用到二次剩余知识�Q�即一个待求��^方元ɑ可以且只能表�C�Zؓ两个�q�x��因子的乘�U�，其中一因子��Z�Q意随机选取的非�q�x��因子β的偶数幂�Q?br /> 另一因子为叶子群H的一元素r�Q�H作�ؓ陪集划分根群�Q�有限域乘法��）得到β生成的集合即商群G/H的一个代表元�p�R��这样一来，��开方�{化�ؓβ与r的乘方运��，
�q�代的过�E�就是�ؓ求那个具体的代表�?#946;^e中的指数e�Q�注意e必�ؓ偶数�Q�，从G_s-2到G₀=H�Q��P代结束后r被唯一��定�Q�r的开方等于r�?t+1)/2�ơ方�Q�因为t是H的阶且�ؓ奇数�Q�r^t+1=r�Q��?br /> 观察��法��程�Q�可以发现如果分解q-1后得到s=1�Q�那么就没必要选取非��^方元β了（�q�时�?#946;=1�Q�，直接跛_��W?步得到结果。仅当s≠1才随机选取β。这��h��q�后可加快算法运�?br />
例子��验



�Ҏ��法
当q是素��C��q≡3(mod 4)�Ӟ��存在更快的算法及��验如下

参考文�?/strong>

[1] ��法数论裴定一、祝跃飞

春秋十二�?/a> 2024-08-30 22:22 发表评论

求解��L��Ҏ��问题的Terr��法

Thu, 15 Aug 2024 14:35:00 GMT

基本原理

再来看Terr��法用到的如下定�?br /> 定理 �Q�基�?em>参考文�?�Ҏ��后的描述�Q?span style="color: #ff6600;">�Ҏ��一正整数t�Q�存在唯一��定的一�l�整数k和j�Q?<=k_j+1-k�Q�其中T₀=0�Q�T_n=T_n-1+n-1�Q�n>=1


如果t=0�Q�那么j在区间[0,1)�Q�故只能�?�Q�此时k=0与条件k j=1, k=0 �?j=2, k=2�?/span>
所�?em>参考文�?中原来定理的描述“�Ҏ��一非负整数t”是错误的。下面列举一些实例验证j与k的唯一�?/div>
   t=1 => j=1, k=0

               t=2 => j=2, k=1

               t=3 => j=2, k=0

               t=4 => j=3, k=2

               t=5 => j=3, k=1

               t=6 => j=3, k=0



��法伪代�?/strong>


例子��验

参考文�?/strong>

[1] 代数学基��与有限域林东�?/div>

春秋十二�?/a> 2024-08-15 22:35 发表评论

Sat, 29 Jun 2024 09:00:00 GMT
�U�钥分组加密



上图的证明中�Q�r^(j)两两不同的概率计��是关键�Q�下面给��l�过�E?br />

另外两个分布�l�计的不同意味着计算可分辨（反之则计��不可分辨）�Q�亦即r^(j)臛_��两个相同的概率�?/div>   Construction 5.3.9一�ơ只能加密与密钥�{�长的明文，如果要加密更长的明文�Q�怎么办？一个简单直�?br /> 的方法是��明文分成多个大��ؓn的块�Q�对每个块调用上�q�加密步骤，那么��得到�Ş如下的密文块序列

  密文块序列从Proposition 5.3.10的证明中可知是计��不可分辨的�Q�满��?span style="font-family: 宋体;">�?/span>多组消息安全�?span style="font-family: 宋体; font-size: 10.5pt;">�?/span>。但对于解密
需要存储每一块的随机敎ͼ�因此比较占空��_��所以衍生出下面更高效的�Ҏ��Construction 5.3.12

�U�密通用加密


语义安全性分�?/strong>



抗主动攻��d��全�?/strong>

以上两种构造因满��?/span>多组消息安全�?span style="font-family: 宋体; font-size: 10.5pt;">�?/span>�Q�故满��CPA�?span style="color: #ff0000;">CCA1�Q�具体的证明可参考Oded Goldreich《密码学基础》的Proposition 5.4.12�?span style="color: #f37d31;">Proposition 5.4.18�?br /> 但不满��CCA2�Q?/span>因�ؓ��d��者拿到挑战密文后�Q�可以修改它再发��密质疑，得到回答的明文从而异或求�?em>f_k(r_i)�Q�最后与挑战密文异或求解挑战明文
对于通用加密构造的CCA2��d��l�节如下

春秋十二�?/a> 2024-06-29 17:00 发表评论

Thu, 16 May 2024 05:41:00 GMT
定义


Berlekamp分解��法


AES有限�?br />

不可�U�性证�?br />

非本原性验�?br />

  扑և�本原�?br />

不可�U�多��式个数

�U�性移位寄存器m序列
�Ҏ��参考文�?知线生移位寄存器产生m序列的充要条件是特征多项式f(x)为本原多��式。而确立有限域上的本原多项式，主要有两�U�方法：
一�U�方法是�Ҏ��F_q上所有次��Cؓn的本原多��式的乘�U�正好等于割圆多��式Q_e�Q�其中e=qⁿ-1�Q�从而所有次��Cؓn的本原多��式可以通过分解Q_e得到�?br /> 另一�U�方法是通过构造本原元再求本原元的极小多项式，先素因子分解qⁿ-1=p₁p₂...p_k�Q�如果对每一p_i都有ord(α_i)=p_i�Q�那�?span style="color: #4b4b4b; font-family: Verdana, Geneva, Arial, Helvetica, sans-serif; font-size: 13px; background-color: #ffffff;">α=α₁α₂...α_k的阶��是qⁿ-1�Q?br /> 因此�?strong>F_q上的本原元，则f(x)=(x-α)(x-α²)...(x-α^r)�Q�r=qⁿ-1�Q�因�?span style="color: #4b4b4b; font-family: Verdana, Geneva, Arial, Helvetica, sans-serif; font-size: 13px; background-color: #ffffff;">α是本原元�Q�所以n是��α^{q^n}=α成立的最��正整数�Q��?br />
求解本原多项�?/strong>
假设�U�性移位寄存器的��Cؓ4�Q�这里��用上�q�C��U�方法求F₁₆上的本原多项式，�q�程如下
分解割圆多项式法


构造极��多��式�?/strong>



本原多项式个�?br />

m序列�C�Z��

参考文�?br />   [1] 代数学基��与有限域林东�?/div>

春秋十二�?/a> 2024-05-16 13:41 发表评论

Thu, 04 Apr 2024 10:19:00 GMT
【适用前提�?/strong>大整数N=pq的素因子p1/4

【攻��L��法�?/strong>
1�Q�用�Ƨ几里得��法计算e/N的各个渐�q�分数k_i/d_i�Q�i>=1�Q�直至d_i>=(1/3)N^1/4�Q�记录此时的i为m。��oi=1
2�Q�计��T=(e*d_i-1)/k_i�Q�若T不�ؓ整数则�{�?�Q�，否则转到3�Q?nbsp;
3�Q�解方程f(x)=x²-(N-T+1)x+N=0的根�Q�如果有正整数根且两个根皆小于N�Q�则输出p、q�Q��ƈ�q�回成功。否则�{�?�Q?nbsp;
4�Q�递增i�Q�若i 该方法即Wiener��法用到了关于连分数的一�?strong>定理�Q?/strong>�?/span>α��Z�Q一实数�Q�有理数p/q适合|α-(p/q)|<1/(2q²)�Q�则p/q必�ؓα的某一渐近分数。证明详见参考文献[2]�?br /> 由定理可知攻��L��法是可行的，必能扑ֈ�使f(x)=0有合理解的某渐近分数。下面证明：��d��q�代�ơ数的上界�ؓ

【证明�?br />

【例子�?/strong>N = 9449868410449�Q�e = 6792605526025�Q�d<(1/3)N^1/4≈584�Q�试分解N

参考文�?/strong>
[1] 公钥密码学的数学基础王小云、王明强、孟宪萌
[2] ��法数论裴定一、祝跃飞

春秋十二�?/a> 2024-04-04 18:19 发表评论

Wed, 20 Mar 2024 14:49:00 GMT
��结�?/strong>
定理1�Q�若G��Z��个��@环群�Q�则G内每个满��ord(α)=s的元�?span style="color: #4b4b4b; font-family: Verdana, Geneva, Arial, Helvetica, sans-serif; font-size: 13px; background-color: #ffffff;">α都是拥有s个元素的循环子群的生成元
证明�Q?br />

定理2�Q�若G��Z��个阶为n的有限��@环群�Q�g为对应的生成元，则对整除n的每个整数k�Q�G都存在一个唯一的阶为k的��@环子��H�?br /> �q�个子群是由g^n/k生成的。H是由G内满��x��?span style="color: #4b4b4b; font-family: Verdana, Geneva, Arial, Helvetica, sans-serif; font-size: 13px; background-color: #ffffff;">α^k=1的元素组成的�Q�且G不存在其它子��?br /> 证明�Q?br />

推论�Q�从上述两定理可知有限��@环群、子��及生成元的关系如下

例子�Q�依据上�q�推论得如下


生成元判定算�?br /> 输入�Q��@环群G、某子群的阶k
1�Q�若k=1�Q�则直接输出e。否则�{�?�Q?br /> 2�Q�随��Z��G-{e}中选择一元素x
3�Q�若x^k≠e�Q�则转回2�Q�。否则若k为素敎ͼ�则蟩�?�Q�；若k为合敎ͼ�则�{�?�Q?
4�Q�遍历整除k的真因子d�Q�若x^d=e�Q�则转回2�Q?
5�Q�输出x

春秋十二�?/a> 2024-03-20 22:49 发表评论

Tue, 12 Mar 2024 09:30:00 GMT
混合�U�性同余发生器�Q�MLCG�Q?
X_n ≡ αX_n-1 + c mod m 00, α, c0为种子，n=1�?�?...

定理如果下列3个条仉��满��Q�则 MLCG辑ֈ�满周�?卛_��期d=m)
(1) (c, m)=1�Q�即 c、m互素
(2) �?m的�Q一素因子p�Q�有α≡1 mod p
(3) 如果4|m�Q�则 α≡1 mod 4
该定理的证明�?span>参考文献[2]中证明�ƈ用到如下两个引理�Q?br /> 引理5 设p为素敎ͼ�α∈Z⁺且p^α>2�Q�如�?x=1(mod p^α)�Q�x≠1(mod p^α⁺¹)�Q�则x^p=1(mod p^α⁺¹)�Q?x^p≠1(mod p^α⁺²)
该引理给��Z��求一个整数的阶的判别�Ҏ��Q�是理解MLCG周期�{�于m的充要条件之关键�?br /> 本文阐述��Z��么p是��x^p=1(mod p^α+1)成立的最��正整数�Q�以及一般情形m=p^w(w≥1)是��x^m=1(mod p^α+w)成立的最��正整数�Q��ؓ什么前提条件是p^α>2�?br />
◆ 先论证不存在一个整�?≤bb=1(mod p^α+1)成立

◆ 再证不存在一个整�?≤bb=1 (mod p^α+w)成立


◆ ��Z��么前提条件是p^α>2
如果p^α=2�Q�x=1(mod 2)且x≠1(mod 2²)。��ox=1+2q�Q? ∤ q。有x²=(1+2q)²=1+4q+4q²�Q�注意到q是奇敎ͼ�则x²=1(mod2²)�Q�x²=1(mod2³)。故得不到引理的�l�论

引理6�Q�改写的�{��h形式�Q?如果 α=1(mod 4)�Q�则(α^m - 1)/(α - 1)=0(mod m) �Q�m=2^w�Q�w>1
其实�q�里�?span style="font-size: 11.6667px;">α=1(mod 2)�?span style="font-size: 11.6667px;">α≠1(mod 4)�Q�结��Z��是成立的。比如取α=3�Q�m=16�Q�则 (3¹⁶ -1)=81⁴ -1=(-15)⁴ -1=-15×-7×-7 -1=-15×-15 -1=9×-7 -1=0(mod 32)�Q?br /> �?3¹⁶ -1)/(3-1)=0(mod 16)。但只有�?span style="font-size: 11.6667px;">α=1(mod 4)�Ӟ��m才是使结论成立的最��正整数。论证如�?

参考文�?/strong>
[1] ��C��密码学第4�?杨�L
[2] 混合�U�性同余发生器的周期分�?张广强、张��彩

春秋十二�?/a> 2024-03-12 17:30 发表评论

Sun, 25 Feb 2024 15:29:00 GMT
【定义�?/strong>设整数N=P×Q�Q�P与Q皆�ؓ素数�Q�如果P≡Q≡3 (mod4)�Q�则N��Z��个Blum�Q�布卢姆�Q�数

【定理�?/strong>设N为Blum敎ͼ�N ∤ d�Q�若同余方程x²≡d (mod N)有解�Q�则d的��^�Ҏ��中有一半的Jacobi�W�号�?�Q�另一半Jacobi�W�号�?1�Q�且仅有一个��^�Ҏ��为模N的二�ơ剩�?br /> 证明�Q?/strong>


【推论�?/strong>设N为Blum敎ͼ�N=P×Q�Q��o

证明�Q?/strong>


�?strong>例子�?/span>由定义知N=21=3×7为Blum敎ͼ�则相关乘法群、二�ơ剩余子��、Jacobi集合如下

【应用一�?/strong>Blum-Goldwasser公钥加密

解密正确性是因�ؓ步骤1用到�?span style="color: #993366;">�Ƨ拉定理及求�q�x��根的如下��法�Q�步�?用到�?strong style="color: #ff6600;">中国剩余定理

从上可得x=s^(P+1)/4 mod P或x=P-s^(P+1)/4 mod P�Q�因(-1)^(P-1)/2�{�于-1 mod P�Q�故前者�ؓ模P的二�ơ剩余。从加密��程可知{s₁,s₂,...,s_n+1}正是模N二次剩余�cȝ��子集�?br /> 所以从密文中r=s_n+1求它�?p+1)/4�ơ幂�?q+1)/4�ơ幂�Q��P代n�ơ就得到了s₁模p的解、s₁模q的解�Q�又因p、q、n在�P代中不变�Q�故用欧拉定理预计算d_p mod (p-1)、d_q mod (q-1)�?br /> 另一�U�（不太高效而直接的�Q�解密如�?br />
另加密与明文异或的那部分实际是伪随机比特发生器，因�ؓ�q�x��模N构成二次剩余�c�M��的单向陷门置换，其最低有效位是核心断�a��Q�故从s_i+1求出lsb(s_i)是不可行的。简单证明如�?br />
�׃��均匀选择一个种子s₀�Q�所以�ؓ概率加密�Q�进而由可证明安全定理（每个概率公钥加密都是多项式安全的�Q�及每个多项式安全的公钥加密都是语义安全的）知满��?span style="color: #ff00ff;">IND-CPA安全�?br /> 易知IND-CCA2安全性是不满��的�Q�因为敌手可用如下攻��L��法获取明文：已知目标密文C=(r, m⊕σ₁σ₂⋯σ_n)�Q�构造新密文C’=(r, m’⊕m⊕σ₁σ₂⋯σ_n)�Q�将C’发给解密预言机得到m’’�Q�则m=m’’⊕m’�?
�׃��加密产生的r�?#963;₁σ₂⋯σ_n都是伪随机的�Q�所以密�?r, x⊕σ₁σ₂⋯σ_n)的分布是伪随机的�Q�在目标密文前的解密询问会得到若�q�密文与明文对，无论怎么构造一�Ҏ��文，任选其一加密得到的密文都不可区分。因�?span style="color: #ff00ff;">IND-CCA1安全性是满��?br />
【应用二�?/strong>无爪函数/�|�换构�?/span>


如上构造用到Blum数的上述推论�Q�及��Z��大整数因子分解的困难假设。这里主要解释下��Z��么由两个Jacobi�W�号不同的��^�Ҏ��可计��大整数的素因子


【应用三�?/strong>伪随机数发生�?/span>
X_n+1=X_n² mod N n=0�?�?...�Q�X₀为种�?
昄��U�子不�ؓ1。若��Z��个非二次剩余�Q�则从X₁开始就��Z��ơ剩余子��的元素�Q�但最后必回到X₁而非X_{0�Q?/sub>若�ؓ二次剩余�Q�则��Z��安全需要考究随机数数列的周期是否整周期（二次剩余子群的大��减1�Q��?br />
下面具体分析周期。先举例几个很小的Blum�?br />


从上面例子可以发玎ͼ��׃��ơ剩余子��构成的随机数数列不一定是整周期的�Q�对于N=33无论�U�子怎么选，都是整周�?�Q�对于N=57若种子�?8�?则周期�ؓ2�Q�选其它则�?�?br />
现在一般化考虑�Q�什么情况下才��生整周期�Q�论证如�?br />

春秋十二�?/a> 2024-02-25 23:29 发表评论}

一个积分攻��d��理的证明

Sat, 16 Dec 2023 13:49:00 GMT

【定理�?/span>讑֤��式�Q�其中q是某个素数的方幂�Q�F_q为有限域�Q?/span>�?nbsp;

�?img src="http://m.shnenglu.com/images/cppblog_com/qinqing1984/cryptanalysis_jifengongji_5.png" width="36" height="22" alt="" />是置换多��式�Q�则

【证明�?/span>

春秋十二�?/a> 2023-12-16 21:49 发表评论

Thu, 09 Nov 2023 08:39:00 GMT
谈两个问题：高性能与安全�?/span>

先谈高性能�Q�这里指代码实现层面�Q�非数学优化层面�Q�，使用寄存器优化，即主密钥/轮密钥、敏感数据比如中�?临时变量必须存于寄存器，明文/密文攑֜�内存�Q�若有够用的寄存器则攑֯�存器�Q�，��d��钥用�Ҏ��寄存器（为支持长期存储，比如调试寄存器、MSR寄存器）�Q�轮密钥和敏感数据用通用寄存器。那么怎么做？�E�_��快捷的方法是用汇�~�或内联汇编�Q�手工编排寄存器��x��建密钥与敏感数据到寄存器集合的映��，若用普通的汇编指��o�Q�则寄存器的映射比较自由�Q�若用专用的加密指��o�Q�则映射相对受限。如果用高��语言比如c/c++开发，问题在于register关键字非强制生效�Q�即使强制的�Q�编译器优化�Q�比如公共子表达式消除）产生的中间变量及寄存器分配策略不完全可控�Q�需要修改编译器比如LLVM强制某些变量必须分配(特定�?寄存器，为通用性要从编�E�语�a�语法属性到目标机器代码生成都改动支持，�q�个�Ҏ��实现成本有点大。下面是摘自LLVM X86RegisterInfo.td的部分寄存器
1 // 32-bit registers
  2 let SubRegIndices = [sub_16bit, sub_16bit_hi], CoveredBySubRegs = 1 in {
  3 def EAX : X86Reg<"eax", 0, [AX, HAX]>, DwarfRegNum<[-2, 0, 0]>;
  4 def EDX : X86Reg<"edx", 2, [DX, HDX]>, DwarfRegNum<[-2, 2, 2]>;
  5 def ECX : X86Reg<"ecx", 1, [CX, HCX]>, DwarfRegNum<[-2, 1, 1]>;
  6 def EBX : X86Reg<"ebx", 3, [BX, HBX]>, DwarfRegNum<[-2, 3, 3]>;
  7 def ESI : X86Reg<"esi", 6, [SI, HSI]>, DwarfRegNum<[-2, 6, 6]>;
  8 def EDI : X86Reg<"edi", 7, [DI, HDI]>, DwarfRegNum<[-2, 7, 7]>;
  9 def EBP : X86Reg<"ebp", 5, [BP, HBP]>, DwarfRegNum<[-2, 4, 5]>;
10 def ESP : X86Reg<"esp", 4, [SP, HSP]>, DwarfRegNum<[-2, 5, 4]>;
11 def EIP : X86Reg<"eip", 0, [IP, HIP]>, DwarfRegNum<[-2, 8, 8]>;
12 }
13
14 // X86-64 only, requires REX
15 let SubRegIndices = [sub_16bit, sub_16bit_hi], CoveredBySubRegs = 1 in {
16 def R8D  : X86Reg<"r8d",   8, [R8W,R8WH]>;
17 def R9D  : X86Reg<"r9d",   9, [R9W,R9WH]>;
18 def R10D : X86Reg<"r10d", 10, [R10W,R10WH]>;
19 def R11D : X86Reg<"r11d", 11, [R11W,R11WH]>;
20 def R12D : X86Reg<"r12d", 12, [R12W,R12WH]>;
21 def R13D : X86Reg<"r13d", 13, [R13W,R13WH]>;
22 def R14D : X86Reg<"r14d", 14, [R14W,R14WH]>;
23 def R15D : X86Reg<"r15d", 15, [R15W,R15WH]>;
24 }
25
26 // 64-bit registers, X86-64 only
27 let SubRegIndices = [sub_32bit] in {
28 def RAX : X86Reg<"rax", 0, [EAX]>, DwarfRegNum<[0, -2, -2]>;
29 def RDX : X86Reg<"rdx", 2, [EDX]>, DwarfRegNum<[1, -2, -2]>;
30 def RCX : X86Reg<"rcx", 1, [ECX]>, DwarfRegNum<[2, -2, -2]>;
31 def RBX : X86Reg<"rbx", 3, [EBX]>, DwarfRegNum<[3, -2, -2]>;
32 def RSI : X86Reg<"rsi", 6, [ESI]>, DwarfRegNum<[4, -2, -2]>;
33 def RDI : X86Reg<"rdi", 7, [EDI]>, DwarfRegNum<[5, -2, -2]>;
34 def RBP : X86Reg<"rbp", 5, [EBP]>, DwarfRegNum<[6, -2, -2]>;
35 def RSP : X86Reg<"rsp", 4, [ESP]>, DwarfRegNum<[7, -2, -2]>;
36
37 // These also require REX.
38 def R8  : X86Reg<"r8",   8, [R8D]>,  DwarfRegNum<[ 8, -2, -2]>;
39 def R9  : X86Reg<"r9",   9, [R9D]>,  DwarfRegNum<[ 9, -2, -2]>;
40 def R10 : X86Reg<"r10", 10, [R10D]>, DwarfRegNum<[10, -2, -2]>;
41 def R11 : X86Reg<"r11", 11, [R11D]>, DwarfRegNum<[11, -2, -2]>;
42 def R12 : X86Reg<"r12", 12, [R12D]>, DwarfRegNum<[12, -2, -2]>;
43 def R13 : X86Reg<"r13", 13, [R13D]>, DwarfRegNum<[13, -2, -2]>;
44 def R14 : X86Reg<"r14", 14, [R14D]>, DwarfRegNum<[14, -2, -2]>;
45 def R15 : X86Reg<"r15", 15, [R15D]>, DwarfRegNum<[15, -2, -2]>;
46 def RIP : X86Reg<"rip",  0, [EIP]>,  DwarfRegNum<[16, -2, -2]>;
47 }
48
49 // XMM Registers, used by the various SSE instruction set extensions.
50 def XMM0: X86Reg<"xmm0", 0>, DwarfRegNum<[17, 21, 21]>;
51 def XMM1: X86Reg<"xmm1", 1>, DwarfRegNum<[18, 22, 22]>;
52 def XMM2: X86Reg<"xmm2", 2>, DwarfRegNum<[19, 23, 23]>;
53 def XMM3: X86Reg<"xmm3", 3>, DwarfRegNum<[20, 24, 24]>;
54 def XMM4: X86Reg<"xmm4", 4>, DwarfRegNum<[21, 25, 25]>;
55 def XMM5: X86Reg<"xmm5", 5>, DwarfRegNum<[22, 26, 26]>;
56 def XMM6: X86Reg<"xmm6", 6>, DwarfRegNum<[23, 27, 27]>;
57 def XMM7: X86Reg<"xmm7", 7>, DwarfRegNum<[24, 28, 28]>;
58
59 // X86-64 only
60 def XMM8:  X86Reg<"xmm8",   8>, DwarfRegNum<[25, -2, -2]>;
61 def XMM9:  X86Reg<"xmm9",   9>, DwarfRegNum<[26, -2, -2]>;
62 def XMM10: X86Reg<"xmm10", 10>, DwarfRegNum<[27, -2, -2]>;
63 def XMM11: X86Reg<"xmm11", 11>, DwarfRegNum<[28, -2, -2]>;
64 def XMM12: X86Reg<"xmm12", 12>, DwarfRegNum<[29, -2, -2]>;
65 def XMM13: X86Reg<"xmm13", 13>, DwarfRegNum<[30, -2, -2]>;
66 def XMM14: X86Reg<"xmm14", 14>, DwarfRegNum<[31, -2, -2]>;
67 def XMM15: X86Reg<"xmm15", 15>, DwarfRegNum<[32, -2, -2]>;
68
69 def XMM16:  X86Reg<"xmm16", 16>, DwarfRegNum<[67, -2, -2]>;
70 def XMM17:  X86Reg<"xmm17", 17>, DwarfRegNum<[68, -2, -2]>;
71 def XMM18:  X86Reg<"xmm18", 18>, DwarfRegNum<[69, -2, -2]>;
72 def XMM19:  X86Reg<"xmm19", 19>, DwarfRegNum<[70, -2, -2]>;
73 def XMM20:  X86Reg<"xmm20", 20>, DwarfRegNum<[71, -2, -2]>;
74 def XMM21:  X86Reg<"xmm21", 21>, DwarfRegNum<[72, -2, -2]>;
75 def XMM22:  X86Reg<"xmm22", 22>, DwarfRegNum<[73, -2, -2]>;
76 def XMM23:  X86Reg<"xmm23", 23>, DwarfRegNum<[74, -2, -2]>;
77 def XMM24:  X86Reg<"xmm24", 24>, DwarfRegNum<[75, -2, -2]>;
78 def XMM25:  X86Reg<"xmm25", 25>, DwarfRegNum<[76, -2, -2]>;
79 def XMM26:  X86Reg<"xmm26", 26>, DwarfRegNum<[77, -2, -2]>;
80 def XMM27:  X86Reg<"xmm27", 27>, DwarfRegNum<[78, -2, -2]>;
81 def XMM28:  X86Reg<"xmm28", 28>, DwarfRegNum<[79, -2, -2]>;
82 def XMM29:  X86Reg<"xmm29", 29>, DwarfRegNum<[80, -2, -2]>;
83 def XMM30:  X86Reg<"xmm30", 30>, DwarfRegNum<[81, -2, -2]>;
84 def XMM31:  X86Reg<"xmm31", 31>, DwarfRegNum<[82, -2, -2]>;
85
86 // YMM0-15 registers, used by AVX instructions and
87 // YMM16-31 registers, used by AVX-512 instructions.
88 let SubRegIndices = [sub_xmm] in {
89   foreach  Index = 0-31 in {
90     def YMM#Index : X86Reg<"ymm"#Index, Index, [!cast("XMM"#Index)]>,
91                     DwarfRegAlias("XMM"#Index)>;
92   }
93 }
94
95 // ZMM Registers, used by AVX-512 instructions.
96 let SubRegIndices = [sub_ymm] in {
97   foreach  Index = 0-31 in {
98     def ZMM#Index : X86Reg<"zmm"#Index, Index, [!cast("YMM"#Index)]>,
99                     DwarfRegAlias("XMM"#Index)>;
100   }
101 }
102
103 // Debug registers
104 def DR0  : X86Reg<"dr0",   0>;
105 def DR1  : X86Reg<"dr1",   1>;
106 def DR2  : X86Reg<"dr2",   2>;
107 def DR3  : X86Reg<"dr3",   3>;
108 def DR4  : X86Reg<"dr4",   4>;
109 def DR5  : X86Reg<"dr5",   5>;
110 def DR6  : X86Reg<"dr6",   6>;
111 def DR7  : X86Reg<"dr7",   7>;
112 def DR8  : X86Reg<"dr8",   8>;
113 def DR9  : X86Reg<"dr9",   9>;
114 def DR10 : X86Reg<"dr10", 10>;
115 def DR11 : X86Reg<"dr11", 11>;
116 def DR12 : X86Reg<"dr12", 12>;
117 def DR13 : X86Reg<"dr13", 13>;
118 def DR14 : X86Reg<"dr14", 14>;
119 def DR15 : X86Reg<"dr15", 15>;
120
121 def GR32 : RegisterClass<"X86", [i32], 32,
122                          (add EAX, ECX, EDX, ESI, EDI, EBX, EBP, ESP,
123                               R8D, R9D, R10D, R11D, R14D, R15D, R12D, R13D)>;
124
125 // GR64 - 64-bit GPRs. This oddly includes RIP, which isn't accurate, since
126 // RIP isn't really a register and it can't be used anywhere except in an
127 // address, but it doesn't cause trouble.
128 // FIXME: it *does* cause trouble - CheckBaseRegAndIndexReg() has extra
129 // tests because of the inclusion of RIP in this register class.
130 def GR64 : RegisterClass<"X86", [i64], 64,
131                          (add RAX, RCX, RDX, RSI, RDI, R8, R9, R10, R11,
132                               RBX, R14, R15, R12, R13, RBP, RSP, RIP)>;

再谈安全�?/strong>�Q��ؓ保障安全��复杂了�Q�由于密钥及敏感数据存于寄存器，首先要防止寄存器交换/拯��到内存（为避免读取内存的冷启动攻凅R��基于cache的侧信道��d��Q�的一切可能因素，比如�q�程调度、由信号或异步中断引��L��处理器模式切换、系�l�休眠，如果在用��h��实现加解密�Q�就避免不了被调度或切换�Q�因为单�怸�不可能只�q�行加解密进�E�，所以得实现在内核态。这样一来就要在加解密中��止抢占与中断，考虑到系�l�响应，��止的粒度不能过大最��ؓ一个分�l�，分组加解密前��止抢占与中断（比如调用linux内核接口preempt_disable�?span style="color: #ff00ff;">local_irq_save�Q�，解除��止�Q�比如调用linux内核接口preempt_enable�?span style="color: #ff00ff;">local_irq_restore�Q�前必须清零寄存器。在�pȝ��休眠�Ӟ��止寄存器复制到内存�Q�休眠恢复时在所有用��h��进�E�恢复前执行密钥初始化，同理�pȝ��启动时的密钥初始化也得在用户态进�E�运行前执行。其�ơ要防止其它用户态进�E?内核�U�程/中断服务�E�序��d��寄存器尤其特权寄存器�Q��ؓ避免用户态或内核态rootkit�Q�，所以要修改内核�Q�过滤相关系�l�调用比如linux�?span style="color: #ff6600;">ptrace�Q�过滤相兛_��核函数比如linux�?span style="color: #ff6600;">native_set_debugreg/native_get_debugreg。对于不可屏蔽的中断靠禁止是无效的，只能修改中断处理�E�序避免寄存器中的密钥数据被扩散到内存，比如在中断处理函数入口处清零相关寄存器。综上基于已知代码修改的防�M不能防�M恶意加蝲/修改代码之类的攻击，比如动态安装的内核模块/驱动�Q�但可有效防御冷启动��d��、只读DMA��d��、基于cache的侧信道��d��、用��h��权限的软�g��d��、内核态的仅运行已有代码的软�g��d��

春秋十二�?/a> 2023-11-09 16:39 发表评论

Thu, 28 Sep 2023 00:04:00 GMT
1. 对于RSA�Q�给定大整数n分解的一对素因子p和q�Q�p或q是否素数军_��不了安全性，但决定算法的正确性，也就是说p或q不能为合敎ͼ�而安全性取决于n的位数及p、q的距��，n��大则难于素因子分解�Q�因为素数测试是一个P问题�Q�而因子分解是一个NP问题�Q�其耗时是关于n的指敎ͼ��Q�|p - q|要大是�ؓ抉|��一�U?span style="color: #ff00ff;">�Ҏ��因子分解��d��Q�论证如下：�?p+q)²/4 - n = (p+q)²/4 - pq = (p-q)²/4�Q�若|p - q|��，�?p-q)²/4也小�Q�因�?p+q)²/4�E�大于n�Q?p+q)/2�E�大于n^1/2��x��号n。可得n的如下分解法�Q�a) 先顺序检查大于n^1/2的每一整数x�Q�直��x��C��个x使得x² - n是某一整数y的��^方；b) 再由x² - n = y² �?n = (x+y)(x-y)。另外，p - 1和q - 1都应有大素因子（所有因子皆是大素数�Q�，以抵抗可能的重复加密��d��Q�重复加密较��步后可恢复出明文）

2. 对于DH密钥交换�Q�通常选择阶�ؓ素数的有限��@�?�?��，�q�时素数军_��了安全性。因素数不能再因子分解，故避免了针对阶�ؓ合数的质因子分解且利用中国剩余定理求��L��Ҏ��?已知最�?��d��。具体讲��是��Z��?span style="color: #ff6600;">index-calculus�Ҏ��求解��L��Ҏ��Q�底层��@环群G的素数模p要��够大�Q�长�?024位可实现80位安全等�U�，长度3072位可实现128位安全等�U�；另�ؓ了防Pohlig-Hellman��d��Q�G的阶p-1必须不能因式分解为全部都是小整数的素数因子，且�ؓ了p-1的每个因子构成的子群�?span style="color: #ff6600;">baby-step giant-step�?span style="color: #ff6600;">Pollards's rho��d��Q�要求对80位安全等�U�而言�Q�p-1的最��素因子必须臛_��?60位，而对128位安全等�U�，其至��ؓ256�?br />
3. 对于Hash函数�Q�安全性要求有三点�Q�第一是单向性，�׃��压羃函数理论上存在碰撞，因此单向性是指计��不可行�Q��ؓ什么要单向性？因�ؓ若不单向�Q�则可从�l�果比如�{�֐�逆出原文消息�Q�第二是抗弱冲突性即�W?�cȝ��日攻�?/span>�Q�计��不可行�Q�第三是抗强冲突性即�W?�cȝ��日攻�?/span>�Q�计��不可行。这三点要求�Q�取决于压羃函数是否能抗差分、线性等密码分析

4. 周知Shamir门限�Ҏ����Z��多项式的拉格朗日插值公式，普遍的设计采用GF(q)域上的多��式�Q�秘密s为f(0)�Q�q是一个大于n的大素数�Q�n是s被分成的部分敎ͼ�。正常来�Ԍ��参与者个数必��至��是设计时的k�Q�才能恢复出正确的s。如果个数少于k比如k-1�Q�则只能猜测s0=f(0)以构建第k个方�E�，那么恢复得到的多��式g(x)�{�同设计时的多项式f(x)的概率是1/q。因为g(x)的项�p�L��可以看作关于s0的同余式即h(s0)=(a+b*s0)mod q的�Ş式，因q为素敎ͼ�故依模剩余系遍历定理�Q�当s0取GF(q)一值时�Q�则h(s0)唯一对应另一倹{��所以h(s0)�{�于f(0)的概率�ؓ1/q。由此可见，当q�?0位以上，敌手��d��概率不大�?/2⁸⁰�Q�这已经很低了。这�U�门限方案如同RSA加密�Q�再�ơ佐证了素数��大安全性越�?br />
5. PGP是密码学�l�典应用�Q�体现在首先支持保密与认证业务的正交�Q�即独立或组合，且组合时按认证、压�~�、加密的��序�Q�这个顺序是�l�考究有优势的�Q�其�ơ会话密钥是一�ơ性的�Q�由安全伪随机数生成器生成，且按公钥加密�Q�最后��用自研的密钥环与信�Q�|�解军_��钥管理问题。理论本质上�Q�PGP提供的是一�U�保密认证业务的通用框架�Q�因为具体的对称加密��法、随机数生成、公钥算法，都可依需要灵�z�选配扩展。PGP有两个问题跟�l�合与概率相养I��一个是��密钥环N个公钥中�Q�密钥ID(64�?臛_��有两个重复的概率�Q�设所求概率�ؓp�Q�先��Q意两个不重复的概率q�Q��om=2⁶⁴�Q�则q=m!/((m-N)!*m^N)�Q�则p=1-q�Q�不隄��出，N��小则q��大则p��小�Q�因实际应用N<两类生日��d��撞概率大于0.5时所需的输入量。在仅认证模式中�Q�抗��q��撞计��量降低为原来的1/2¹⁶�Q�抗强碰撞计��量臛_��降低为原来的1/2⁸。另外，考虑到这16位明文可能的�Ҏ��性，有没更快的代数攻击，需�q�一步研�I?img src ="http://m.shnenglu.com/qinqing1984/aggbug/230110.html" width = "1" height = "1" />

春秋十二�?/a> 2023-09-28 08:04 发表评论

AES不可�U�多��式

Tue, 12 Sep 2023 18:00:00 GMT

有理数域的本原多��式与有限域的本原多��式定义不同�Q�前者不要求不可�U�（由高斯引理知两个本原多项式的乘积�q�是本原�Q�，后者则必须不可�U�（��保生成的有限域其每个元素有逆元�Q�。aes��Z��有限域F{0,1}设计�Q�故使用的模8�ơ多��式不可�U?span style="color: #0000ff;">P(x)=x^8+x^4+x^3+x+1�Q�但不是本原多项式，因�ؓ它的阶是51而非255。有限域�ơ数�?的本原多��式�?6个、不可约多项式有30个（��p��比乌斯反演推出）�Q�具体多��式影响s盒与列�؜合操作的实现。不可约加之0的逆元规定�?�Q�保证正��加解密。若0的逆元规定为非0比如x�Q�则��D��x有两个逆元�Q�便�q�反了逆元唯一性，除非s盒不用有限域设计。逆元�{�于其自�w�的�?元素只有1�Q�原因可�c�L��模素��C��ơ剩余的求解

春秋十二�?/a> 2023-09-13 02:00 发表评论

�ȝ��数论中不定方�E�定理证明的�l�节验证

Wed, 06 Sep 2023 22:43:00 GMT

1. 整数r>s>0�Q?r, s)=1�Q?∤r+s�Q�x=r^2-s^2, y=2rs, z=r^2+s^2�Q�求�?x, y)=1�Q?y, z)=1

证明：�?∤r+s�Q�r与s必一奇一�Ӟ��?∤r-s�Q�故2∤r^2-s^2�Q�以�?�?r+s)(r+s)。又1=(r, s)=(r+s, r)=(r+s, s)=(r+s, rs)。同理得1=(r, s)=(r-s, rs)�Q�故1=((r+s)(r-s), rs)=(r^2-s^2, rs)�Q�又1=(2, r^2-s^2)�Q�故(r^2-s^2, 2rs)=1�Q�即(x, y)=1。�?y, z)=(2rs, r^2+s^2)=(2rs, r^2+s^2+2rs)=(2rs, (r+s)(r+s))=(rs, (r+s)(r+s))=(rs, r+s)=(r, r+s)=(r, s)=1

注�Q�用最大公�U�数定义、整除性质、反证法�Q�也可以得出(x, y)=1�Q?y, z)=1。本法则直接从最大公�U�数定理推导

2. u^2+3v^2=2p不可能成立，u、v为整敎ͼ�p为奇素数

证明�Q�u^2+3v^2=2p => u^2+v^2=2(p-v^2) => �?|u^2+v^2=(u+v)^2-2uv => 2|(u+v)^2 => 2|u+v。得��个中间结论，再由它可�?|2(u+v)|2v(u+v)=2v^2+2uv�Q�以�?|(u+v)^2=u^2+v^2+2uv�Q�故�?|u^2+3v^2+4uv�Q��?|u^2+3v^2=2p�Q�即2|p�Q�所以矛盾，证毕

�?. 若四个正整数y1*x2=y2*x1�Q?x1,y1)=(x2,y2)=1�Q�则x1=x2�Q�y1=y2

证明：由y1*x2=y2*x1可得x1|y1*x2�Q�又�?x1,y1)=1�Q�故x1|x2�Q�另得x2|y2*x1�Q�又�?x2,y2)=1�Q�故x2|x1�Q�终得x1=x2�Q�y1=y2

4. 假设2∤z�Q�z^3=x^2+3y^2有解且满��?x, y)=1�Q�其通解形式为x=a^3-9ab^2�Q�y=3a^2b-3b^2�Q�a、b满��z=a^2+3b^2�Q�求�?-3/p)=1�Q�p是z的�Q一素因子；(a, 3b)=1

证明�Q�先��中间�l�论3∤z�Q�p>3�?p, xy)=1。若3|z�Q�则3|x^2+3y^2=>3|x^2=>3|x=>9|x^2�Q�另�?|x^2+3y^2=>9|3y^2=>3|y^2=>3|y�Q�这�?x, y)=1矛盾�Q�故3∤z。又2∤z�Q�得p>3�Q�由此若p|x�Q�则p|3y^2得p|y�Q�或若p|y�Q�则p|x^2得p|x�Q�都�?x, y)=1矛盾�Q�故(p, xy)=1�?/div>
再论证勒让�d�W�号(-3/p)=1。由以上中间�l�论得等价�Ş式x^2+3y^2=(Z^3p^2)p�Q�及p∤x^2、p∤y^2�Q�推�?=(x^2/p)=(-3y^2/p)=(-3/p)�?/div>
最后论�?a, 3b)=1。假�?|z�Q�则2|a^2+b^2=(a+b)^2-2ab�?a-b)^2+2ab =>2|a+b, 2|a-b。因题设�?∤z�Q�故2∤a+b, 2∤a-b�Q�由此推�?∤a^2-b^2, 4∤a^2-b^2�Q�进�?∤a^2-b^2�Q�即(8, a^2-b^2)=1。由1=(x, y)=(a^3-9ab^2, 3a^2b-3b^2)=(a(a^2-9b^2), 3b(a^2-b^2))。又(a^2-9b^2, a^2-b^2)=(8b^2, a^2-b^2)=(b^2, b^2-a^2)=(b^2, a^2)=(a, b)^2�Q�于是��oa^2-9b^2=(a, b)^2*A, a^2-b^2=(a, b)^2*B�Q�则�?=(x, y)=(a, b)^2*(aA, 3bB)�Q�故(a, 3b)=1

5. 已知2∤u+w�Q?∤u�Q?u, w)=1�Q�求�?2u, u^2+3w^2)=1

证明�Q?∤u+w=>2∤u^2+w^2=>2∤u^2+3w^2�Q�即(2, u^2+3w^2)=1�?/div>
�?∤u�Q?u, w)=1�?u, 3w)=(u, 3w^2)=(u, u^2+3w^2)=1�?/div>
�l�g��两式�l�果�?2u, u^2+3w^2)=1

6. 已知(3v, w)=1�Q?�?v+w�Q�求�?18v, 3v^2+w^2)=1

证明�Q?3v, w)=1=>(3v, w^2)=(3v, 3v^2+w^2)=1�?/div>
(3v, w)=1=>(3, w)=1=>(3, w^2)=(3, 3v^2+w^2)=1�?�?v+w=>2∤v+w=>2∤v^2+w^2=>2�?v^2+w^2�Q�即(2, 3v^2+w^2)=1�?/div>
�l�g��三式�l�果�?18v, 3v^2+w^2)=1

###############################

�?�?�?问题的证明过�E�可得，如果一个数�׃��个或多个因子�怹��Q�那么求证是否互素可以逐一求每个因子与另一个数是否都互�?/div>

春秋十二�?/a> 2023-09-07 06:43 发表评论

Wed, 06 Sep 2023 22:39:00 GMT

周知aes有限域同构于�p�L��为F2域一元多��式环的商环�Q�其理想�׃��可约多项式m(x)=x^8+x^4+x^3+x+1生成�Q�即F2^8≌F2[x]/(m(x))。这�ơ进一步用域扩张的观点分析�Q�可以得知F2[x]/(m(x))正是包涵m(x)零点的扩域，设�ؓK。那么如何理解？
令I=(m(x))�Q�则K=F2[x]/I�Q�理解关键是扑և�m(x)在K上的零点�Q�以及K怎样包涵F2�Q?/div>
1. 零点为~x。这里用~g(x)表示多项式在K中的陪集�Q�即~g(x)=g(x)+I�Q�所以~x=x+I。把~x代入m(x)�Q�根据商环定义的加乘�q�算�Q�代换结果�ؓm(x)+I=~m(x)=~0�Q�~0是K的零元）。那么还有吗�Q�比如~(x+a)�Q�a�?�Q�，~x^2�Q�代入这些得到的陪集代表不等于m(x)�Q�所以不是零炏V��因此零�Ҏ��唯一的一�ơ多��式x之陪�?/div>
2. 构造映��?#963;�Q�把0对到K中的零多��式即~0�Q?对到K中的常数多项式即~1�Q�且σ(0+1)=~1=~0+~1=σ(0)+σ(1)�Q?#963;(0*1)=~0=~0*~1=σ(0)*σ(1)�Q�又依多��式比较法则得~0不等于~1�Q�故σ是单同态，K包涵F2
��结�Q�商��、商环、商域类似模同余之剩余系�Q�理解这些结构的关键是深入理解等��L��、陪集，�q�而可理解正规子群、理惻I��最后就是商X之类的东�?/div>

春秋十二�?/a> 2023-09-07 06:39 发表评论

Wed, 06 Sep 2023 14:34:00 GMT

定理�Q�集合Z[n]由所有i=0,1,…, n-1整数�l�成�Q�其中满��gcd(i,n)=1的元素与乘法模n操作形成了交换群G�Q�且单位元�ؓe=1�?/div>
证明�Q�设a、b属于G�Q�有gcd(a,n)=1�Q�gcd(b,n)=1�Q�则gcd(a*b,n)=gcd(b,n)=1�Q�即(a*b) mod n��闭�Q�显然单位元�?�Q�根据扩展欧几里��L��法得a*x+n*y=1�Q�x为a的逆元�Q�则1=gcd(a,n)=gcd(a*x,n)=gcd(x,n)�Q�故x也在G�?/div>

春秋十二�?/a> 2023-09-06 22:34 发表评论

�l�典有限循环��的选取生成

Wed, 06 Sep 2023 14:28:00 GMT

记输��Zؓ[G`, G, p, q, g]�Q�其中p为大素数�Q�G`为模p的有限��@环整数群�Q�阶为p-1�Q�q为大素数�Q��ؓG的阶�Q�G为G`的子��（模亦是p�Q�，生成元�ؓg�Q�G`的一个元素）�Q�另外满��_��下条�Ӟ��

1. 1
2. 1
3. 上面选定的g�Q�遍�?到q的幂模p�Q�就得到G的各元素

数学基础�Q�一个有限群�Q�对每个元素它的阶整除群的阶�Q�它的群阶幂�ơ方�{�于单位元；一个有限��@环群�Q�它的生成元个数为群阶的�Ƨ拉敎ͼ�若群阶是素数�Q�则所有非1的元素都是生成元

�l�论�Q�这�U�计��子��的�Ҏ��׃��保证阶�ؓ素数且只要超�q?60位长�Q�就可避免针寚w��为合数的质因子分解�ƈ利用中国剩余定理求离散对数的已知最好攻击，��h��中长期安全强�?/div>

春秋十二�?/a> 2023-09-06 22:28 发表评论

Wed, 06 Sep 2023 14:22:00 GMT

定理�Q��oK[x]是由�ơ数��于8、系��Cؓ0�?的多��式�l�成的环�Q�m(x)=x^8+x^4+x^3+x+1��Z��可约多项式，则K[x]/(m(x))�Q�模m(x)剩余�cȝ��Q�同构于元素个数�?56的有限域F

证明�Q?/div>
1. 构造映��H: P->Z�Q�P表示K[x]中的多项式，Z表示��于256的非负整敎ͼ�定义函数h(p)=z(mod 256)。显然H为双��；依初�{�数论同余性质有h(p1+p2)=(z1+z2)mod 256=z1(mod 256)+z2(mod 256)=h(p1)+h(p2)�Q�h(p1*p2)=z1*z2(mod 256)=z1(mod 256)*z2(mod 256)=h(p1)*h(p2)�Q�故H保持加法乘法��闭性。这点保证支持�Q意明�?密文的运��?/div>

2. �׃��元多��式环的性质得多��式乘法可以交换�Q�即f(x)•g(x)=g(x)•f(x)�Q�满��_��的交换条件。其乘法单位元是常数��?�Q�满��_��的单位元条�g

3. 因非零多��式f(x)与m(x)互素�Q�由一元多��式环的互素定理知存在g(x)、k(x)使得f(x)•g(x)+m(x)•k(x)=1(�p�L��?)�Q�即f(x)•g(x)模m(x)�?�Q�这�?表示单位元）�Q�故f(x)存在逆元�Q�由��定义知逆元必唯一�Q�满��_��的逆元条�g。另aes规定零多��式的逆元为其自��n。这点保证s盒及列�؜合操作可�?/div>

春秋十二�?/a> 2023-09-06 22:22 发表评论

Fri, 01 Oct 2021 09:32:00 GMT
背景
�׃��实际使用�?/span>RSA公钥通常很短�Q�而私钥和模位长度一��P��D��解密(或签�?时大数指数模�q�算比较慢，故可使用中国剩余定理�U�简模数和解密指敎ͼ�以加快运��?br />
描述
x为密文，n为模�Q�p和q为大素数且满��n=pq�Q�d为私钥，�?br /> x_p≡ x mod p�Q�x_q≡ x mod q (1)
d_p≡ d mod (p-1)�Q�d_q ≡ d mod (q-1) (2)
y_p = x_p^d_pmod p�Q�y_q = x_q^d_qmod q (3)
则有 x^d ≡ ((qc_p)y_p + (pc_q)y_q) mod n�Q�其�?c_p≡ q^-1 mod p �Q?c_q ≡ p^-1 mod q

证明
�?1)式可�?
x_p^d≡ x^d mod p�Q�x_q^d≡ x^d mod q (4)
�Ҏ��中国剩余定理可得
x^d ≡ ((qc_p)x_p^d+ (pc_q)x_q^d) mod n�Q�下面只要证明y_p和x_p^d一样同余于x^d模p�Q�y_q和x_q^d一样同余于x^d模q
�Ҏ��(2)式及费小马定�?/span>可得
x_p^d_p≡ x_p^d mod p�Q�x_q^d_q≡ x_q^d mod q, 再结�?4)�?br /> x_p^d_p≡ x^d mod p�Q�x_q^d_q≡ x^d mod q�Q�故
y_p = x^d mod p�Q�y_q = x^d mod q 证毕

春秋十二�?/a> 2021-10-01 17:32 发表评论

Sun, 19 Sep 2021 08:01:00 GMT

��法描述

如果对于��L��0<=a
x =(((a - b)*u) mod p)*q + b�Q�其中u满��u*q≡1 mod p�?/div>

��法证明

1.先推导x的解

因x≡a mod p �?x≡b mod q

故��ox = k1*p + a �?x = k2*q + b (1)

�?k1*p + a = k2*q + b

=> a - b = k2*q - k1*p   (2)

又因u*q≡1 mod p�Q�故令u*q = 1 + k3*p   (3)

�?2)�?3)�?/div>
=> a - b = k2 * (1+k3*p)/u - k1*p

两边同时乘u

=>�Q�a - b) * u = k2*(1+k3*p) - k1*p*u

两边同时模p

=> ((a - b) * u) mod p = (k2 mod p) mod p (4)



又因x < p*q�Q�故b + k2*q < p*q

=> b <(p - k2) * q

�? k2

=> (k2 mod p) mod p = k2

�?4)式即

((a - b) * u) mod p = k2   (5)

��?5)代入(1)式可�?/div>
x = (((a - b)*u) mod p)*q + b

2. 再证明x是唯一�?/div>
假设x1是另一解，�?x1≡a mod p �?x1≡b mod q�Q�得

x1 - x ≡ 0 mod p �?p | x1 - x

x1 - x ≡ 0 mod q �?q | x1 - x

又因p和q皆�ؓ素数�Q�故p*q | x1 - x�Q�得

x1 - x ≡ 0 mod (p*q)

�?x1 mod (p*q) = x mod (p*q) 证毕

春秋十二�?/a> 2021-09-19 16:01 发表评论

Thu, 24 Nov 2016 11:39:00 GMT
��法描述
【公开密钥�?
   p�?12�?024位的素数
   q�?60位长�Q��ƈ与p-1互素的因�?br /> g = h^((p-1)/q) mod p�Q�其中h1
   y = g^x mod p
【私有密钥�?br />    x < q�Q�长160�?br /> 【签名�?br />    k为小于q的随机数�Q�k^-1为k模q的逆元�Q�m为消息，H为单向散列函�?br />    r = (g^k mod p) mod q
   s = (k^-1(H(m)+xr)) mod q
【验证�?br />    w = s^-1 mod q
   u1 = (H(m)w) mod q
   u2 = (rw) mod q
   v = ((g^u1 * y^u2) mod p) mod q
若v = r�Q�则�{�֐�被验�?br />
验签推导
1. 先证明两个中间结�?br />       �?h,p)=1�Q�p为素��C��h贚w��定理有h^(p-1)=1 mod p�Q�则对�Q意整数n�Q�有
g^(nq) mod p = (h^((p-1)/q))^(nq) mod p
= h^(n(p-1)) mod p
= (h^(p-1) mod p)^n mod p
= (1^n) mod p = 1     (1)
      对�Q意整数t、n�Q�可表示为t=nq+z�Q�其中z>0�Q�则�?br /> g^t mod p = g^(nq+z) mod p
= (g^(nq) mod p * (g^z mod p)) mod p
= g^z mod p
= g^(t mod q) mod p (2)

  2. 再假讄��名{r,s}和消息m均没被修改，令H(m)=h�Q�开始推导v
      v = ((g^u1 * y^u2) mod p) mod q
         = (g^(hw mod q) * ((g^x mod p)^(rw mod q) mod p)) mod q
         = ((g^(hw mod q) mod p * ((g^x mod p)^(rw mod q) mod p)) mod p) mod q
         = ((g^(hw mod q) mod p * (g^(x * (rw mod q)) mod p)) mod p) mod q
         = ((g^(hw) mod p * ((g^(rw mod q) mod p)^x mod p)) mod p) mod q
         = ((g^(hw) mod p * ((g^(rw) mod p)^x mod p)) mod p) mod q
         = ((g^(hw) mod p * (g^(rwx) mod p)) mod p) mod q
= (g^(hw+rwx) mod p) mod q
         = (g^((h+rx)w) mod p) mod q    (3)

      又因w = s^-1 mod q
         �?sw) mod q = 1
           =>(((k^-1(h+xr)) mod q)w) mod q = 1
           =>((k^-1(h+xr))w) mod q = 1
           =>(h+xr)w = k mod q (4)

      ��?4)式代�?3)式中�?br /> v = (g^(k mod q) mod p) mod q
= (g^k mod p) mod q
         = r

3. 最后由(4)式知�Q�若h、r和s��M��个有变化�Q�s变化��D��w变化�Q�，则v ≠ r

春秋十二�?/a> 2016-11-24 19:39 发表评论

RSA加解密的证明

Fri, 18 Nov 2016 09:05:00 GMT
��法描述
   随机选择两个大的素数 p、q �Q�且p ≠ q�Q�计��n = pq、r = (p-1)(q-1)�Q�依�Ƨ拉定理�Q�r即�ؓ与n互质的素��C��敎ͼ�选择一个小于r的整数e�Q�即加密指数�Q�，求得e关于模r的逆元d�Q�即解密指数�Q�，则{n�Q�e}为公钥、{n�Q�d}为私钥；�Ҏ��模的逆元性质有ed ≡ 1 (mod r)�Q�设m为明文，则加密运��ؓm^e ≡ c (mod n)�Q?c即�ؓ密文�Q�则解密�q�程 c^d ≡ m (mod n)�?br />    证明会用到费马小定理�Q�即若y为素��C��x不�ؓy的倍数�Q?�?x^(y-1) ≡ 1 (mod y)�Q�费马小定理的证明需先证明欧拉定理，此处略）。符�?#8801;表示同余�Q�^表示�q?/font>�Q�|表示整除�Q?表示�怹��?br />
��法证明
�W�一�U�证明途径
   �?ed ≡ 1 (mod (p-1)(q-1))�Q��o ed = k(p-1)(q-1) + 1�Q�其�?k 是整�?br />    �?c^d = (m^e)^d = m^(ed) = m^(k(p-1)(q-1)+1)
   1.若m不是p的倍数�Q�也不是q的倍数
      �?m^(p-1) ≡ 1 (mod p) (贚w��定�?
         => m^(k(p-1)(q-1)) ≡ 1 (mod p)
      m^(q-1) ≡ 1 (mod q) (贚w��定�?
         => m^(k(p-1)(q-1)) ≡ 1 (mod q)
�?p、q 均能整除 m^(k(p-1)(q-1)) - 1
         => pq | m^(k(p-1)(q-1)) - 1
      �?m^(k(p-1)(q-1)) ≡ 1 (mod pq)
         => m^(k(p-1)(q-1)+1) ≡ m (mod n)

   2.若m是p的倍数�Q�但不是q的倍数
      �?m^(q-1) ≡ 1 (mod q) (贚w��定�?
         => m^(k(p-1)(q-1)) ≡ 1 (mod q)
         => m^(k(p-1)(q-1)+1) ≡ m (mod q)
      �?p | m
         => m^(k(p-1)(q-1)+1) ≡ 0 (mod p)
         => m^(k(p-1)(q-1)+1) ≡ m (mod p)
      �?m^(k(p-1)(q-1)+1) ≡ m (mod pq)
      �?m^(k(p-1)(q-1)+1) ≡ m (mod n)

   3.若m是q的倍数�Q�但不是p的倍数�Q�证明同�?br />
   4.若m同�ؓp和q的倍数�?br />       �?pq | m
         => m^(k(p-1)(q-1)+1) ≡ 0 (mod pq)
         => m^(k(p-1)(q-1)+1) ≡ m (mod pq)
      �?m^(k(p-1)(q-1)+1) ≡ m (mod n)

�W�二�U�证明途径
先证明m^ed ≡ m (mod p)恒成�?br /> 1.若p为m的因子，则p | m^ed - m昄��成立�Q�即m^ed ≡ m (mod p)
2.若p不�ؓm的因子，令ed = k(p-1)(q-1) + 1�Q�则 m^(ed-1) - 1 = m^(k(p-1)(q-1)) - 1
m^(p-1) ≡ 1 (mod p) (贚w��定�?/span>)
=> m^(k(p-1)) ≡ 1 (mod p)
=> m^(k(p-1)(q-1)) ≡ 1 (mod p)
=> m^(ed-1) ≡ 1 (mod p)
=> m^ed ≡ m (mod p)
同理可证m^ed ≡ m (mod q)
故m^ed ≡ m (mod pq)�Q�即m^ed ≡ m (mod n)
又因 c^d = m^e^d = m^(ed)
�?c^d ≡ m (mod n)�Q�证�?br />
�ȝ��
�W�二�U�比�W�一�U�简单直观，以上证明途径对RSA�U�钥�{�֐�与验�{�֐�样适合�?img src ="http://m.shnenglu.com/qinqing1984/aggbug/214419.html" width = "1" height = "1" />

春秋十二�?/a> 2016-11-18 17:05 发表评论

性欧美激情精品,国产日产精品一区二区三区四区的观看方式 ,依依成人综合视频

有限域上的特征与指数和之扩展

二元二次型的�怼�变换、正定性与正交分解

关于���的一些结论及应用

�����有限域上�q�x��根的求解

求解���L���Ҏ��问题的Terr���法

一个积分攻��d��理的证明

AES不可�U�多��式

�ȝ��数论中不定方�E�定理证明的�l�节验证

�l�典有限循环���的选取生成

RSA加解密的证明

关于��的一些结论及应用

��有限域上�q�x��根的求解

求解��L��Ҏ��问题的Terr��法

�l�典有限循环��的选取生成