详解非对称加密算法RSA

最新推荐文章于 2022-08-25 20:58:35 发布

原创最新推荐文章于 2022-08-25 20:58:35 发布 · 1k 阅读

2 ·

本内容遵循CC 4.0 BY-SA版权协议

收录于

加解密

非对称加密算法，是指加密秘钥与解密秘钥不同的一类加密算法。目前应用最为广泛的是RSA加密算法。RSA算法运用到的知识比较简单，下文详细介绍RSA加密算法原理。

费马小定理

给定一个素数 $n$ ,对于任意的整数 $q$ ,若 $(p,n)=1$ 则有 $q^{(n-1)}=1 (mod \; n)$

证明费马小定理网上很多，本文就不介绍了，有兴趣的同学可以网上搜索一下。
$(p,n)=1$ 表示 $p,n$ 互素。

引理 1

给定两不同的素数 $m,n$ ,任意的整数 $q$ ,若 $(m,q)=1，(n,q)=1$ ,则有 $p^{(n-1)(m-1)} =1 (\;mod \; mn)$

证明：根据费马小定理， $p^{(n-1)}=1\; mod\; n$
所以有 $p^{(n-1)(m-1)}=\big(p^{n-1}\big)^{m-1}=1^{(m-1)}=1 (\;mod \; n)$
得到 $(p^{(n-1)(m-1)} -1)|n$
同理有 $(p^{(n-1)(m-1)} -1)|m$ ,
又因为 $m,n$ 是两个不同的素数，因此有 $(p^{(n-1)(m-1)} -1)|mn$
因此：有 $p^{(n-1)(m-1)} =1( mod \;mn)$

RSA加解密及数字签名算法

1、生成公钥和私钥：
首先：任取两个互不相等的大素数， $m,n$ ，令 $M=nm,N=(n-1)(m-1)$ ，假设 $m>n$ ,最好取 $m>2n$ ;否者容易被攻破；
其次：取一整数 $e,(e,N)=1，e<N$ ,求得另一整数 $d$ 满足 $ed=1\;(mod\; N)$ ,一定存在某个 $d$ 满足 $d<N$ ；
然后：两组数组数字 $M,e$ 为公钥。可以对外公布， $M,d$ 为私钥不可泄露。
最后：不再需要 $m,n,N$ ，不可以泄露，最好是直接需要消除。

2、加解密算法

加密：任意的文字 $w$ ,可以用整数表示，比如Unicode编码。利用公钥计算 $s=w^e \;(mod\; M)$ , $s$ 便是密文。并可将密文通过公开渠道发送给私密秘钥持有者.
解密： 私密秘钥持有者计算 $s^d =w^{ed}=w^{kN+1}=w*(w^k)^N = w \;(mod\; M)$ 得到明文 $w$ ，完成加密通讯。

3、数值签名算法：

签名文件：私密秘钥持有者,在签名文件特定位置（可以是任何位置）插入公钥，然后利用私钥加密文件，计算 $sig=e^d \;(mod \;M)$ 并公布加密文件。
身份验证：，公钥持有者对签名文件解密，计算 $e=sig^e \;(mod \;M)$ ,如果解密签名文件得到公钥 $e$ 则认同文件有加密秘钥持有者发出，否者视为伪造文件。

一般而言，你不能直接签名公钥，因为每次签名后是一致的，这样的签名只能使用一次；但是我们可以将公钥插入文档后，然后用不同的分组加密方式加密，这样可以使得每次得到的签名完全不一样，因而可以多次使用。

4、幂乘算法

为了确保RSA算法的安全，我们必须选择很大的素数 $m,n$ ，还要选择足够大的 $e,d$ ，加密解密过程都包含幂乘和求余，直接计算 $w^e$ 和 $s^d$ 几乎是不可能的。一般采用以下算法：
//加密时，x 是明文，e,M是公钥，输出密文
//解密是，x是输入密文，e,M是私钥，输出明文
function(x,e,M){
     out=1,      //输出变量
     temp=x,     //逐步计算幂乘
     flag=e|1    //取e得最低位，e为奇数，则flag=1；否则flag=0;
    while(e!=0){
        if(flag == 1){
            out=(out * temp) % M
        }
         temp= temp^2 % M
         e=e>>1     //e右移一位
         flag=e|1       //取低位值
    }
    if(flag == 1){
        out=(out * temp) % M
    }
    return out
}
可以看出，以上算法对一个文字的加密或解密计算，最多需要做 $2log_2(e)$ 次乘法运算和求余运算。相比直接计算需要e次乘法简化不少，但相比对称机密算法，仍然相当复杂

RSA 加密算法的安全性能

1、大整数因子分解的困难

公布的公钥中包含 $M=n*m$ ,计算 $n*m$ 很简单，但是反过来如果能通过 $M$ 分解出 $n,m$ ,则攻击者可以轻易获得私钥，从而可以解密截获的密文。但是就目前所知，在传统计算机上，大整数的因子分解是NP难题，需要的时间是指数级，可以通过采用更大的素数，已达到防御攻击的目的。
不过在量子计算机面前，这是分解不再是困难的，计算复杂度是多项式的，因此RSA在量子计算机面前不堪一击。

2、功耗分析

根据上面的加解密计算过程，可以通过功耗分析得到解密秘钥d.原因是算法逐步计算私钥d二进制表示的每一位；当该位为1 时，需要更新out,增加了计算量，与该位为零时计算量不一样；因此通过分析硬件功耗，可以得到解密秘钥d.因此上面的算法是有缺陷的。当然我们可以通过改进算法，混淆功耗以避免被攻击，不过在计算性能上要做出牺牲。

3、暴力推算秘钥

任何人可以获得公钥，然后加密任意的大于1的整数 $x$ ，获得密文 $y=x^e \;(mod \;M)$ ,然后循环求解 $z=y^i \;(mod \;M),for \;i=1..M$ ,如果计算得到 $z=x$ ，此时 $i=d$ 获得加密秘钥。
幸运的是，如果我们不知道d,需要计算d次乘法和求余运算，计算量比知道秘钥要困难的多，成指数级增加。
同时当传统计算机变得更强大的时候，我们只需要找到更大的两个素数 $n,m$ 即可，素数有无穷多，取之不尽，用之不绝。
因此在选择秘钥的时候，d是必要足够大。

4、密文攻击：

假设攻击者截获密文s,想要解密 $w=s^d (mod \;M)$ ,因为公钥是公开的,他可以采用如下办法：
1）、随机选取数 r ，同时计算 $t=r^{-1} (mod \;M)$ 计算 $y=r^e (mod \;M)$ ；
2）、计算 $z=y*s$ ,发给私钥持有者，让其进行签名；
3）、私钥持有者对z进行签名 $u=z^d(mod \;M)$ ,然后发送给攻击者；
4）、攻击者收到 $u$ ,可进行 $tu = r^{-1}z^d=r^{-1}y^ds^d=r^{-1}rs^d =s^d(mod \;M)$ ,从而获得明文；
这个过程需要私钥持有实体进行签名，所以对文件签名时应当保持谨慎；不可以对随机文字签名。

5、小密码

为了计算快捷，一般而言公钥越小计算越快，但是当e太小就会有问题；比如若对于明文 $w$ 当 $w^e<M$ ,则有 $s =w^e$ 即是密文；解密不需要通过计算 $s^d (mod \;M)$ 直接计算 $s^{-e}$ 即可获得明文。因此在加密的时候，需要注意 $e>log_2M$ ，同时对文件编码的时候，不要采用小数字编码；极端情况下，假如明文是1的时候，密文也是1。

6、其他攻击方法

共模攻击，比如某个公司，用同样的M，生成了两套秘钥 $(e_1,d_1,M),(e_2,d_2,M)$ 则攻击者在不需要知道 $d_1,d_2$ 的情况下，可以解密截获的密文，因此，不能用相同的M生成多套秘钥。
Wiener攻击，对 $e/M$ 进行连分数展开，由于 $e,M$ 都是整数，其连分数数有限的，并且精确覆盖 $d/N$ ,因此可以估计到 $(d,N)$ 从而攻破RSA，Wiener是目前相对有效的攻击；防止办法是 $e/M$ 小数位足够长。
攻击方法无穷无尽，无法一一列举，就此打住。