Teoria dei numeri e Crittografia: lezione del 28 novembre 2011
Nella lezione precedente abbiamo descritto il Test probabilistico di primalità di Rabin-Miller:
1) in input il naturale n>1 dispari
2) si calcola la massima potenza 2s di base 2 ed esponente s>0 tale che 2s sia divisore del numero
pari n-1, e dunque si rappresenta (n-1) nella forma: n-1=2st, con t>0 numero naturale dispari
3) si sceglie random un intero a con 1 a n-1 (detto base)
4) si costruiscono le riduzioni modulo n delle s potenze di base a ed esponente t, 21t, 22t, ….. , 2s-1t:
i
a 2 t modn i=0,1,…..,s-1
5) se è verificata almeno una delle seguenti condizioni:
a t modn =1
i
oppure a 2 t modn =n-1 per qualche i=0,1,….,s-1
i
(equivalenti alle congruenze: at1 (mod n), a 2 t -1 (mod n) i=0,1,…..,s-1)
si esce con output ”n è primo”, altrimenti si esce con output “n è composto”.
Per concludere in modo definitivo che il test di Rabin-Miller sia un test di primalità probabilistico,
dobbiamo calcolare un maggiorante per la probabilità che un input n composto (dispari) superi il
test per una scelta random della base a.
Nella dimostrazione originale di Rabin (1980) si dimostra che la probabilità che un numero
composto superi il test è 1/4: quindi eseguendo il test k volte, con k scelte indipendenti della base
casuale a, la probabilità che un numero composto superi tutte le volte il test è 1/4k.
Poiché la dimostrazione del Teorema di Rabin è molto complicata, ci limiteremo ad una forma
semplificata in cui però la maggiorazione ottenuta per la probabilità è 1/2 (come nel test di Fermat),
ma sempre senza le eccezioni costituite nel test di Fermat dai numeri di Carmichael:
Teorema di Rabin (forma semplificata).
Sia n>1 un numero naturale composto dispari. Il numero di basi a (con 1 a n-1) in cui n è
fortemente pseudoprimo è (n)/2 (quindi la probabilità che un numero composto superi il test di
Rabin-Miller è ((n)/2)/(n-1) ((n-1)/2)/(n-1)=1/2).
Dimostrazione:
Se n non è un numero di Carmichael, sappiamo che il numero delle basi a in cui n è pseudoprimo è
(n)/2, e poiché abbiamo già notato sopra che se n è fortemente pseudoprimo nella base a, allora
n è pseudoprimo nella stessa base, si ha la tesi.
Quindi supponiamo che n sia un numero di Carmichael.
Sia n-1=2st, con s>0, t numero naturale dispari.
Osserviamo che esiste qualche k fra i numeri t, 2t, 22t,…,2s-1t e qualche intero a con 1 a n-1 tale
che si abbia:
ak -1 (mod n) (*)
(per esempio basta prendere k=t, x=n-1, perché (n-1)t(-1)t-1 (mod n) essendo t dispari).
Dunque possiamo considerare il massimo k fra i numeri t, 2t, 22t,…,2s-1t per il quale esiste qualche
intero a con 1 a n-1 che soddisfi (*).
Notiamo che per un tale a si ha che a,n sono coprimi: infatti si ha a2k(-1)2=1 (mod n), e [a] è
invertibile in Zn con inverso [a2k-1].
Essendo n numero di Carmichael, per il Teorema di Korselt n è prodotto di primi distinti:
n = p1p2…..pr
(con r>1; pi primi distinti dispari)
Consideriamo i numeri naturali (ovviamente coprimi) v=p1, z=p2…..pr ; per il Teorema Cinese del
Resto esiste una soluzione intera x del sistema di 2 congruenze:
x a (mod v)
x 1 (mod z )
Se si considera una soluzione canonica del sistema si ha 0 x vz-1=n-1, anzi 1 x n-1 (perché 0
non è ovviamente soluzione del sistema). Inoltre da (*) (essendo vn) a maggior ragione si ottiene
ak -1 (mod v), xk ak -1 (mod v), xk1k=1 (mod z).
Notiamo che non si ha xk1 (mod n): infatti se fosse xk+1 (mod n), sarebbe 1 -1 (mod v),
contraddizione perché v è dispari; se invece fosse xk -1 (mod n), sarebbe -11 (mod z),
contraddizione perché z è dispari.
Infine x,n sono coprimi: se per assurdo non lo fossero, x sarebbe multiplo di qualche fattore primo pi
con i=1,2,…,r ; ma x non è multiplo di v=p1 (dalla prima congruenza del sistema seguirebbe p1a
mentre a,n sono coprimi) ed x non è neanche multiplo di pi con i>1 (dalla seconda congruenza del
sistema seguirebbe pi1 contraddizione perché pi è primo).
Consideriamo allora l’insieme:
S={yN / 1 y n-1, n fortemente pseudoprimo nella base y}
e notiamo che ogni elemento y in S è coprimo con n : infatti se n é fortemente pseudoprimo nella
base y, allora n è pseudoprimo nella base y, e sappiamo che da ciò segue che y, n sono coprimi
(come dimostrato nello studio del test di Fermat).
Come nella dimostrazione analoga fatta per il test di Fermat, per ottenere la tesi basta costruire un
insieme T contenente numeri compresi fra 1 ed n-1 coprimi con n, con S, T disgiunti e di eguale
cardinalità.
A tale scopo consideriamo il numero x (creato sopra) che ha le proprietà:
1 x n-1, non é xk1 (mod n), x,n coprimi.
Sia poi T = { (ax)modn / aS }: con gli stessi metodi utilizzati nell’analogo teorema sul test di
Fermat si dimostra che T contiene numeri compresi fra 1 ed n-1 coprimi con n, e che S, T sono
insiemi di eguale cardinalità.
Resta da dimostrare che S, T sono disgiunti: per assurdo sia yST.
Da yS, dimostriamo che segue:
yk1 (mod n) (**)
dove k è l’intero determinato sopra (cioè il massimo fra i numeri t, 2t, 22t,…,2s-1t per il quale esiste
qualche intero a con 1 a n-1 che soddisfi ak -1 (mod n)).
Per dimostrare (**) ricordiamo che y supera per ipotesi il test di Rabin-Miller, quindi vale almeno
una delle condizioni del test di Rabin-Miller:
i
- se si ha yt1 (mod n) , essendo k=2it (con 0≤i≤s-1) si ha yk= ( y t )2 1 (mod n))
-
se invece si ha y 2 t -1 (mod n) per qualche j=0,1,…,s-1, posto k=2it (con 0≤i≤s-1) si ha
certamente j i (per la massimalità della scelta di k), da cui se j<i:
j
i- j
yk= ( y 2 t )2 (1) 2 =1 (mod n),
j
i- j
mentre se j=i allora yk= y 2 t -1 (mod n).
Essendo però yT si ha anche y=(ax)modn , con aS, dunque 1ykakxk (mod n), e poiché da aS
segue ak1 (mod n) (come dimostrato sopra per y) si ha ak1 (mod n), e si ottiene xk1 (mod n),
contraddizione.
j
Test di primalità per numeri di forma particolare
Studieremo ora dei test deterministici di primalità che sono di complessità polinomiale, ma che
sono validi solo se l’input è un numero naturale di forma particolare.
In particolare ci occuperemo di numeri naturali della forma 2k1: quelli della forma 2k+1 sono i
cosiddetti numeri di Fermat, quelli della forma 2k-1 sono i cosiddetti numeri di Mersenne.
Dimostreremo dapprima un risultato di Pocklington, che, sotto particolari ipotesi, dimostra una
notevole proprietà relativa alla struttura dei fattori primi di un numero naturale.
Teorema di Pocklington.
Sia n>1 un numero naturale, q un fattore primo di n-1, qm la massima potenza di q che divide n-1.
Se esiste un naturale a con 1 a n-1 tale che:
1) an-11 (mod n)
2) mcd(a(n-1)/q-1,n)=1
allora per ogni fattore primo p di n, si ha p1 (mod qm), quindi p è della forma 1+tqm, con t intero.
Dimostrazione:
Essendo pn dalla 1) segue an-11 (mod p), quindi [a] n-1=[1] in Zp, ossia [a] è invertibile in Zp (con
inverso [an-2]) e nel gruppo moltiplicativo Zp* il periodo r =ord([a]) è divisore di n-1; inoltre il
periodo r =ord([a]) è anche divisore della cardinalità p-1 di Zp* .
Affermiamo che:
r non è divisore di (n-1)/q
(*)
Infatti se per assurdo fosse (n-1)/q=rk (con k intero), seguirebbe (in Zp):
[a] (n-1)/q=([a] r)k=[1]
da cui p(a(n-1)/q-1) in contraddizione con l’ipotesi 2).
Ma allora è anche vero che:
q non è divisore di (n-1)/r (notare che (n-1)/r è intero perché r(n-1) )
Infatti se per assurdo fosse (n-1)/r=qh (con h intero), sarebbe (n-1)/q=rh, in contraddizione con (*).
Essendo qm la massima potenza di q che divide n-1, si ha n-1=qmz, con z intero non divisibile per q.
Da r(n-1) segue n-1=rw=qmz (con w intero), e poiché q non è divisore di (n-1)/r=w, ma qm(n-1),
per la fattorizzazione unica si ha che qmr, ma r(p-1), quindi qm(p-1), e si ha la tesi.
Da questo teorema, aggiungendo un’ulteriore ipotesi, si ottiene un test deterministico di primalità:
Teorema di Proth-Pocklington.
Sia n>1 un naturale dispari, e sia 2m la massima potenza di 2 che divide il numero pari n-1, in modo
che sia n-1=2mh con h naturale dispari. Se 2m>h si ha:
n è primo esiste un naturale a, con 1 a n-1, tale che a(n-1)/2 -1 (mod n)
Dimostrazione:
(): Supponiamo n primo. Per il teorema di Gauss (nel caso di un numero primo) il gruppo
moltiplicativo Zn* è ciclico, e se [a] è un suo generatore, il periodo di [a] è la cardinalità n-1 di
Zn*.
Poiché [a] n-1=[1], si ha (a(n-1)/2)2=an-11 (mod n), e per una proprietà già osservata nel test di
Rabin-Miller, ciò implica a(n-1)/21 (mod n), ma a(n-1)/21 (mod n) è da escludere (perché, essendo
n il periodo di [a], si ha [a] (n-1)/2[1]), dunque a(n-1)/2 -1 (mod n).
(): Supponiamo l’esistenza del naturale a, con 1 a n-1, tale che a(n-1)/2-1 (mod n), e per
assurdo sia n non primo. Allora esisterebbe un divisore d (non banale) di n con d n , e a maggior
ragione esisterebbe un divisore primo p di n con p n (basta scegliere un fattore primo p di d).
Verifichiamo le ipotesi 1) e 2) del Teorema di Pocklington (con q=2).
La 1) è verificata in quanto basta elevare al quadrato l’ipotesi a(n-1)/2-1 (mod n).
Per quanto riguarda la 2), posto t= mcd(a(n-1)/2-1,n), si ha, essendo a(n-1)/2 -1 (mod n), a(n-1)/2+1=kn
(con k intero), 2=kn-(a(n-1)/2-1), ossia t2 (perché tn, t(a(n-1)/2-1)); ma tn con n dispari, dunque
necessariamente t=1, e la 2) è verificata.
Dal Teorema di Pocklington segue allora che p1 (mod 2m), p-1=2mw (con w naturale), ed in
particolare 2m p-1<p.
Ma per ipotesi n-1=2mh con h naturale dispari e con 2m>h, da cui n=1+2mh<1+2m2m=1+22m, ossia
n 22m.
Essendo n dispari la disuguaglianza è stretta cioè n<22m, da cui p n <2m, contraddizione.
