Significato di: "'Se il factoring di interi di grandi dimensioni è difficile, quindi rompere RSA è difficile,' non è dimostrato”

Stavo leggendo CLRS e si dice:

Se il factoring di numeri interi di grandi dimensioni è facile, allora rompere il cryptosystem RSA è facile.

Il che ha senso per me perché con la conoscenza di e , è facile creare la chiave segreta che la conoscenza della chiave pubblica. Tuttavia, spiega l'affermazione opposta, che non capisco bene:$p$$q$

L'affermazione opposta, che se il factoring di interi di grandi dimensioni è difficile, quindi rompere RSA è difficile, non è provata.

Cosa significa formalmente la dichiarazione sopra? Se assumiamo che il factoring sia difficile (in qualche modo formale), perché ciò non implica che rompere il sistema crittografico RSA sia difficile?

Ora considera che se assumessimo che il factoring fosse difficile ... e che avessimo scoperto che ciò significava che il sistema crittografico RSA è difficile da infrangere. Cosa significherebbe formalmente?

Il modo più semplice di pensarci è pensare al contrapositivo.

La dichiarazione:

se il factoring di numeri interi grandi è difficile, allora rompere RSA è difficile

è equivalente al seguente:

se infrangere RSA è facile, allora prendere in considerazione interi di grandi dimensioni è facile

Questa affermazione non è stata dimostrata.

Quello che stanno dicendo è, supponiamo che abbiamo un algoritmo che risolve il factoring in tempi polinomiali. Quindi possiamo usarlo per costruire un algoritmo che risolve RSA in tempo polinomiale.

Ma potrebbe esserci un altro modo per decifrare RSA che non implichi numeri interi di factoring. È possibile che scopriremo che possiamo rompere RSA in un modo che non ci consente di fattorizzare numeri interi nel tempo polinomiale.

In breve, sappiamo che RSA è almeno facile quanto il factoring. Esistono due possibili esiti: RSA e factoring hanno difficoltà equivalenti o RSA è un problema strettamente più semplice rispetto al factoring. Non sappiamo quale sia il caso.

L'esistenza di un modo difficile non implica che non esiste un modo semplice.

Potrebbero esserci diversi modi per interrompere RSA e dobbiamo solo trovarne uno.

Uno di questi modi è il factoring di un intero di grandi dimensioni, quindi se è facile possiamo farlo in questo modo e RSA è interrotto. Questo è anche l'unico modo che conosciamo ancora. Se è impraticabile per farlo, possiamo ancora trovare un altro, computazionalmente meno impegnativo modo di svolgere il nostro compito senza la necessità di calcolare in modo esplicito p e q dal n .

Per dimostrare che RSA è rotto, dobbiamo dimostrare che un modo per farlo è semplice.

Per dimostrare che RSA è sicuro, dobbiamo dimostrare che tutti i modi per farlo sono difficili.

Infine, la tua affermazione non è provata perché non è dimostrato che non esiste un altro metodo più semplice che estrae informazioni da un testo cifrato.

Un altro modo per esaminarlo è che la rottura di RSA richiede solo un caso speciale di factoring, che può essere o meno facile indipendentemente dalla questione generale del factoring.

$3$

Significa che il problema RSA sembra (in questo momento) più specifico del factoring.

$pq$$e,$$v,$$m$$v \equiv m^e \mod pq$

$pq,$$p$$q$

$d$$m \equiv v^d$

$m$

Infatti nel 1998 Boneh e Venkatesan hanno pubblicato una prova che una certa classe di algoritmi semplici (più, tempi, esponenti, niente roba di tipo XOR / NAND) non possono essere usati per trasformare una soluzione del problema RSA in un algoritmo di factoring. L'argomento aveva una semplice ingegnosità: manipolando matematicamente quelle operazioni aritmetiche, possiamo scoprire che "l'algoritmo di riduzione" (per precisione: questo è l'algoritmo che utilizza un "oracolo" RSA per un semiprime per fatturare quel semiprime) essere un algoritmo di factoring a sé stante, in modo che possiamo modificarlo in una variante che non fa chiamate al suo oracolo. Quindi abbiamo una tricotomia: o (a) non esiste un tale algoritmo di riduzione, oppure (b) l'algoritmo di riduzione non ha una buona interpretazione aritmetica o (c) il factoring è un tempo polinomiale proprio come l'algoritmo di riduzione.

$\log_e C$$\mathbb{Z}_{m}$$e$$m$$C$

Questi due compiti matematici sono correlati, ma (se ricordo bene) si ritiene che una soluzione all'una non implicherebbe una soluzione all'altra. Non so se sono gli unici due modi per rompere matematicamente RSA.