INTRODUÇÃO À CRIPTOGRAFIA E AO CÓDIGO RSA

Transcrição

1 Deprtmento de Mtemátic INTRODUÇÃO À CRIPTOGRAIA E AO CÓDIGO RSA Aluno: Guilherme rederico Lim Orientdores: Mirim Adón e Derek Hcon Introdução A criptogrfi é ciênci que estud s forms e técnics de cifrr informções ou sej torná-ls ininteligíveis os que não tem cesso às convenções previmente cominds e criptonálise é ciênci que estud s forms de se decifrr tis informções. Ams sempre estiverm fortemente relcionds à mtemátic e o desenvolvimento de métodos mis sofisticdos vem compnhndo os vnços dest durnte os séculos. Até ent ão criptogrfi sempre esteve suordind fins militres porém nos dis de hoje está fortemente inserid no contexto ds trnsções ncris e comerciis entre computdores em rede. Tl mudnç de contexto tornou necessári crição de um novo conceito de criptogrfi o d chve-púlic em contrste com criptogrfi clássic de chve-privd. Tl conceito foi idelizdo em 976 por Whit Diffie e Mrtin Hellmn dois mtemáticos d Universidde de Stnford porém os responsáveis pel crição de um sistem que funcionsse de cordo com os princípios d chve-púlic form Ron Rivest Adi Shmir e Leonrd Adlemn que n époc trlhvm no Msschussets Institute of Technology. O sistem RSA vem sendo implementdo mplmente em diversos setores porém em 985 um sistem concorrente este foi desenvolvido simultnemente por Nel Kolitz d Universidde de Wshington e Victor Miller que então trlhv n IBM. Enqunto o sistem RSA us fortemente Teori dos Números Kolitz e Miller serm seus sistems ns proprieddes singulres de certos ojetos d Geometri Algéric denomindos curvs elíptics. No primeiro no do projeto de inicição científic o sistem RSA foi mplmente estuddo. Já no segundo no foclizmos nos sistems sedos em curvs elíptics visndo um comprção funcionl entre os dois. Pr compreender os criptogrfi sore curvs elíptics fz-se necessário compreensão de vários tópicos de álger geometri lgéric os quis serão devidmente desenvolvidos seguir. Grupos O Grupo é um ds estruturs mis simples e essenciis d Álger. Ele sicmente consiste de um conjunto não-vzio e um operção invertível. Apesr de su simplicidde este é um dos cmpos d álger que possui mior quntidde de resultdos. Evriste Glois mtemático frncês do século 9 é considerdo o pi d álger modern e foi primeir pesso desenvolver um teori de grupos. Glois foi o primeiro descorir conexão entre teori de grupos e possiilidde de se expressr solução de um equção polinomil em termos de soms e produtos de rízes e juntmente com Ael mostrou que s soluções um equção polinomil de quinto gru não possuem tl expressão. A Teori de Grupos possui grnde plicção em áres d ísic tis como mecânic quântic e su estrutur trz consigo o essencil pr implementção de um sistem criptográfico: cpcidde de fzer e desfzer um operção em um ojeto. Definição: Sej A um conjunto um operção é um função

2 Deprtmento de Mtemátic f : A n A onde n é um ordinl. No cso de n ser um ordinl finito dizemos que operção é n-ári. Bsicmente um operção lev elementos de um conjunto nele mesmo. Definição: Um Grupo é um conjunto G com um operção inári que stisfz s seguintes condições: G G G ( ) I) Associtividde ( c) ( ) c c G II) Elemento Neutro e G ; e e G III) Inverso G G ; e Grupos onde operção é comuttiv são chmdos de elinos. Alguns resultdos elementres triviis são que os inversos são únicos e o elemento neutro é único. A miori dos grupos utilizdos n criptogrfi é de grupos elinos. Exemplos de Grupos: A operção definid no grupo é prte integrl deste pois por exemplo Z Q R e C são exemplos triviis de grupos ditivos infinitos ms não são grupos com relção à multiplicção pois em Z nenhum elemento diferente de é invertível e nos demis o elemento 0 não possui inverso. Já Q* R* e C* são grupos multiplictivos infinitos onde X* represent os elementos invertíveis do conjunto X. Pr evitr migüiddes usmos notção (G ) sendo G o conjunto e represent operção em questão. De fto um mneir simples de crir grupos multiplictivos é considerr os elementos invertíveis de um corpo (que será definido posteriormente). O conjunto de mtrizes n n inversíveis com entrds reis (ou mis gerlmente em um nel* com identidde) form um grupo com relção multiplicção usul de mtrizes e denomin-se GL n (R) o grupo liner gerl. Um suconjunto deste grupo que tmém é um grupo é o ds mtrizes ortogonis inversíveis On(R). Os grupos finitos mis importntes n teori de grupos são grupos de permutções ou grupos simétricos. Ddo um conjunto C podemos considerr o conjunto ds ijeções f : C C e operção como sendo composição de funções. É fácil verificr que composição de dus ijeções é um ijeção que operção é ssocitiv e ovimente tod ijeção é inversível

3 Deprtmento de Mtemátic onde o elemento neutro é função identidde. No cso de C ser finito podemos conceer cd função como sendo um permutção dos elementos de C. Um dos conceitos centris d álger é o de isomorfi. Informlmente dizemos que dois grupos são isomorfos se eles presentm mesm estrutur intern. Este conceito reprece ns demis estruturs lgérics tis como néis e corpos pois muits vezes queremos mostrr que dus estruturs são essencilmente mesm diferindo pens em quesitos ritrários. Definição: Dois grupos (G ) e (G 2 ) são isomorfos se existir um ijeção f : G G tl que: f ( ) f ( ) f ( ) G. Um resultdo importnte conhecido como o Teorem de Cley é que todo grupo é isomorfo um sugrupo de lgum S n. Outr fmíli de grupos finitos são dos inteiros módulo n. Sej n um inteiro positivo definimos relção de equivlênci * (mod n) d seguinte form: Z (mod n) kn k Z. Dizemos então que é côngruo módulo n. É fácil ver que (mod n) é um relção de equivlênci isto é (mod n) (simétric) (mod n) (mod n) (reflexiv) (mod n) c (mod n) c (mod n) (trnsitiv) Um relção de equivlênci define nturlmente um clsse de equivlênci. Ddo Z su clsse de equivlênci módulo n consiste no conjunto 2 {x Z x (mod n)} { kn; k Z}. Temos que se então. Dizemos que é o representnte d clsse porém podemos escolher qulquer elemento d clsse como representnte. Denominmos por Z/nZ o conjunto ds clsses de equivlênci módulo n. Ovimente Z/nZ { n }. Sore Z/nZ podemos definir tnto um som qunto um produto cujo resultdo independe d escolh dos representntes ds clsses. : Z / nz Z / nz Z / nz n ( x y) x y : Z / nz Z / nz Z / nz n ( x y) xy. Os inteiros módulo n formm um grupo ditivo ms não necessrimente um grupo multiplictivo. Temos que (Z/pZ*.) é um grupo se e somente se p é primo. Podemos

4 Deprtmento de Mtemátic tmém escolher um inteiro n qulquer e considerr (Z/nZ*.). Neste cso os elementos invertíveis de Z/nZ formm um grupo. Este é o grupo utilizdo no sistem RSA onde n é o produto de dois primos grndes. Um outr mneir de construir um grupo é prtir de um elemento g formr um conjunto de potencis deste elemento {... g -2 g - e g g 2...}. Dizemos que este grupo é gerdo por g e que g é o gerdor do grupo. A ordem de um grupo é o número de elementos no grupo e ordem de um elemento é ordem do grupo gerdo por ele. Sej G um grupo e g G temos que ordem de g divide ordem de G. Corpos Definição: Um Corpo é um conjunto com dus operções ináris ) ( ) ( denominds respectivmente dição e multiplicção que stisfz os seguintes xioms: I) Associtividde c c c c c c ) ( ) ( ) ( ) ( II) Comuttividde III) Elementos Neutros ; 0 0 ; 0 IV) Inversos ; 0 0 ; V) Distriutividde c c c ) ( ) ( ) ( Definição: Dois corpos e 2 são isomorfos se existir um ijeção

5 Deprtmento de Mtemátic f ( ) f ( ) f : tl que: f ( ) 2 f ( ) f ( ) f ( ) e Novmente resultdos triviis firmm unicidde dos inversos e elementos neutros. Se todos os xioms menos o d comuttividde d multiplicção são stisfeitos o conjunto é denomindo álger de divisão e se lém disto existênci de inversos multiplictivos não é grntid o conjunto denomin-se nel com unidde. A mior prte do cálculo em um vriável é feit sore os corpos dos reis R ou dos complexos C. Assim como no cso dos grupos existem corpos finitos denomindos corpos de Glois e estes possuem proprieddes inusitds. Primeirmente o número de elementos num corpo de Glois é necessrimente um potenci de um primo. Além disto pr cd potenci de um primo existe um único corpo de Glois não contndo isomorfismos. Sendo p um primo temos então que um corpo p com p elementos é isomorfo Z/pZ e que um corpo com q com q p n necessrimente possui Z/pZ como sucorpo e consiste de um espço vetoril sore Z/pZ. Todo corpo finito possui um gerdor. Se o somrmos si mesmo em um corpo nunc otemos 0 dizemos que tl corpo possui crcterístic zero cso contrário existe um numero necessrimente primo tl que... (p vezes) é igul zero. Dizemos então que o possui crcterístic p. Ddo um corpo podemos definir um nel de polinômios sore designdo por [X] o qul consiste de tods s soms finits de potencis de X com coeficientes em. Os polinômios são somdos e multiplicdos de mneir trdicionl. Em um nel de polinômios definidos sore um corpo podemos utilizr o lgoritmo de divisão com resto de polinômios usul devido Euclides. Ddo um polinômio f 0 X 2 X 2... n X n [X] com n 0 definimos o gru de f como sendo o inteiro não-negtivo n. Tl função não está definid pr o polinômio 0 ms usulmente define-se como sendo e ritrmos que pr utilizrmos s fórmuls: (- ) (- ) n (- ) (- ) gru f g < mx{gru f gru g} gru fg gru f gru g pr quisquer polinômios definidos sore. Em um nel qulquer inversos multiplictivos não estão necessrimente definidos portnto chmmos de uniddes os elementos invertíveis. Por exemplo se quiséssemos um inverso pr o polinômio f X precisrímos considerr expressão infinit f - X X 2... X n... porém estmos trlhndo pens com soms finits. No cso de [X] s uniddes são s constntes. Não deve-se confundir unidde com o elemento neutro d multiplicção. Dizemos que um polinômio g divide f se f gh h [X]. Se lgum elemento f [X] não pode ser dividido por um polinômio de gru menor que não sej um constnte dizemos que f é irredutível. Assim como nos inteiros um nel de polinômios sore um corpo possui ftorção únic isto é pode ser expresso de mneir únic.

6 Deprtmento de Mtemátic como o produto de irredutíveis ( não ser pel ordem dos ftores e multiplicção por uniddes). Extensão de Corpos. Já estmos fmilirizdos desde o segundo gru com construção dos números complexos prtir dos números reis. Bsicmente possuímos um equção polinomil homogêne sem solução ser x 2 0 e ritrmos um solução denomind i no cso e nexmos tl solução o nosso conjunto originl trlhndo gor então com i R. Otemos um corpo mior do qul R é um sucorpo. Tl procedimento pode ser generlizdo pr um corpo qulquer em gerl. Ddo um corpo dizemos que K é um extensão de se é um sucorpo de K. No cso K é um espço vetoril sore. Definição: Um espço vetoril V sore um corpo é um grupo elino com respeito à operção V V V (vw) v w e pr cd α v V definimos um produto esclr αv em V sujeito s seguintes regrs: I) Distriutividde d som vetoril II) Distriutividde d som esclr α(v w) αv αw α v w V (α β)v αv βv α. et v V III) Associtividde do produto esclr IV) Identidde do produto esclr α(βv) (αβ)v α β v V v v v V No cso dos complexos podemos definir C como o conjunto de pres ordendos () tis que ( ) ( c d) c d ( ) ( c d) ( c d) ( )( c d) ( c d d c) sem necessrimente fzer uso d unidde imginári i. Os reis serim no cso os pres d form (x0). É fácil verificr que (0) 2 (-0). O gru de K sore é dimensão de K como espço vetoril sore e denotmos o gru de K sore por [K:]. K é um extensão finit se dimensão de K como espço

7 Deprtmento de Mtemátic vetoril sore for finit. No cso se L for um extensão finit de K e K um extensão finit de temos que L é um extensão finit de e [L:] [L:K][K:]. Definição: Um elemento α é lgérico sore se existem elementos 0... n não todos zero tis que 0 α 0 α 2 α 2... n α n 0. Ddo um elemento lgérico sore α podemos nexr α isto é formr o corpo que consiste de tods s expressões rcionis usndo α e elementos de. No cso de α stisfzer um equção de gru d precismos pens considerr s potencis inferiores d ou sej: (α) { 0 α 0 α 2 α 2... d- α d- ; 0... d } Dizemos que α é lgérico de gru d sore se não é riz de nenhum polinômio de gru menor do que d. Os elementos α 0 α... α d- formm um se pr o espço vetoril (α) sore f e portnto o gru d extensão sore o corpo originl é o gru do polinômio irredutível de α. Qulquer outr riz do mesmo polinômio irredutível gerri um extensão isomorf originl. Um extensão cnônic do rcions consiste no corpo de Glois. No cso equção polinomil er 0 com rízes ± 2. É trivil verificr que Q( 2 ) é isomorfo Q(- 2 ) st considerr ijeção 2-2. O mesmo vle pr i e i nos complexos. Em mos os csos temos que o polinômio originl de cd pss ser expresso como produto de ftores lineres nos devidos corpos de extensão pois temos que x 2 2 (x - 2 )(x 2 ) e x 2 (x i)(x i). Pr todo polinômio f(x) [X] existe um menor corpo de extensão K de no qul f(x) é expresso como produto de ftores lineres e é denomindo spliting field de f. Como foi visto Q( 2 ) é o spliting field de x 2 2 e pr otermos o spliting field de f(x) x 3 2 precismos nexr tnto 3 2 qunto 3. Definição: Um extensão K de é dit lgéric se todo elemento de K é lgérico sore. Tod extensão finit é lgéric sore. Definição: O fecho lgérico de um corpo é extensão lgéric de n qul todo polinômio se ftor como produto de ftores lineres. Por exemplo o fecho lgérico dos reis são os complexos. Chve Púlic e Chve Privd A criptogrfi clássic (chve privd) é constituíd por dois elementos essenciis: mensgem e cifr (método de codificção-decodificção). Um prolem inerente de tl sistem é que em ddo momento o remetente e o destintário precism se comunicr pr decidirem qul será cifr utilizd pois el é usd tnto pr codificr mensgem por prte do remetente qundo pr decodificá-l por prte do destintário. Ovimente durnte tl processo cifr corre o risco de ser descoert principlmente no contexto d comunicção vi Internet. Pr contornr este prolem em 976 Whit Diffie e Mrtin Hellmn propuserm um modelo revolucionário de criptogrfi o d chve púlic. Em tl modelo não hveri mis um únic cifr e sim dus um pr codificr e outr pr decodificr sendo que conhecer um não implicri em conhecer outr. A cifr pr codificr poderi então ser de domínio púlico enqunto pr decodificr pens o remetente conheceri. Diffie e Hellmn pens idelizrm criptogrfi de chve púlic os responsáveis pel

8 Deprtmento de Mtemátic implementção de um sistem que funcionsse de cordo com tis princípios form Ron Rivest Adi Shmir e Leonrd Adlemn (R S e A respectivmente). A criptogrfi de chve púlic é tmém chmd de criptogrfi ssimétric pois el se sei n ssimetri de tempo entre um lgoritmo e o seu inverso. O sistem RSA é espntosmente simples e su segurnç é sed pens no fto de que é prticmente impossível mesmo pr o mis rápido dos computdores tuis ftorr números muito grndes (cim de 00 lgrismos) em tempo háil. A criptogrfi sore curvs elíptics propost por Kolitz e Miller se sei n crição de um nov espécie de grupo finito cuj estrutur é mis viável pr implementção computcionl de outros sistems que nteriormente funcionvm em grupo do tipo q* (elementos invertíveis de um corpo). Logritmo Discreto A criptogrfi de chve púlic em grnde prte se sei no prolem do logritmo discreto onde plvr discreto vis um distinção entre o contexto de um grupo finito e d clássic denomind contínu. Em um corpo infinito como por exemplo os reis clculr x não significtivmente mis fácil do que operção invers isto é log x. Isto se deve principlmente o fto de que nos reis ms s funções são estritmente crescentes e portnto podemos delimitr o resultdo sedos em outros previmente estelecidos ou triviis. Por exemplo < log 0 75 < 2 pois 0 < 75 < 0 2. Já em grupos finitos não podemos fzer isto pois ms s funções não são crescentes. A exponencição em um grupo finito não é necessrimente complicd de se efetur ms operção invers é devido o cráter prticmente letório d imgem d função exponencil. Vejmos o exemplo do grupo de 22 elementos (Z/23Z*.). A tel seguir relcion s potencis n se 3 com seus resíduos módulo 23. x x (mod 23) Os métodos pr encontrr solução do prolem do logritmo discreto são sicmente sedos em forç rut isto é tenttiv e erro. Um lgoritmo elordo por Silver Pohlig e Hellmn é estremmente eficiente qundo os ftores primos de q - reltivo o corpo q. Se quisermos resolver x podemos resolver módulo cd p n d ftorção de q - e em seguid usndo o Teorem Chinês do Resto chr respost. Pr chr respost módulo p n primeirmente crimos um tel ds rízes p- ésims d unidde r pj j(q -)/p onde j p. Usmos mesm tel pr clculr qulquer logritmo discreto n se pois el independe de y. Prosseguimos então em tentr chr x 0 x... x n tis que x x 0 x p x 2 p 2... x n p n (mod p n ) e 0 < x i < p. Pr determinr o vlor de x 0 clculmos (q )/p. O teorem de Lgrnge nos grnte que (q ) (mod p n ) pois ordem do sugrupo gerdo por divide p n que divide q e todo elemento elevdo su ordem é igul. Vemos então que x (q-)/p x(q - )/p (q )/p n 2 x0 ( q )/ p x ( q ) xn p ( q )... (mod p n ). Porém semos que (q-) (mod p n ) portnto expressão se reduz

9 Deprtmento de Mtemátic (q-)/p x ( q )/ p 0 (mod p n ) ou sej (q-)/p é riz p-ésim d unidde correspondente r px. Bst procurr (q-)/p n 0 x0 tel de rízes pr encontrr x 0. Pr determinr x estelecemos que / e x0 portnto log log - log log x 0 x p x 2 p 2... x n p n (mod p n ). Vemos que o logritmo de é congruente p(x x 2 p... x n p n 2 ) módulo p n ou sej é ( q )/ p x0 x x0 ( x x0 ) um potênci de p logo e como / / temos que 2 ( q )/ p 2 ( x x0 )( q )/ p ( x x2 p...)( q )/ p x ( q )/ p rp x. Novmente podemos encontrr x n tel de rízes. Podemos definir o termo gerl do procedimento pois sicmente pr cd i 2... n definimos / 0... i x x p x i p cujo logritmo discreto é congruente i ( q ) / p i x i p i x i p i...x n- p n módulo p n. Como i é um potenci de p i temos que e i ( q ) / p ( xi xi p...)( q ) / p xi ( q ) / p i r p x i. Um vez encontrdo o vlor de x módulo p n prosseguimos d mesm form com os demis primos d ftorção de q-. A rpidez do procedimento como um todo é inversmente proporcionl o tmnho dos primos que compõem q e se torn inviável pr primos miores que O Sistem RSA O sistem RSA não se sei especificmente no prolem do logritmo discreto ms no d ftorção discret e no d rdicição discret. Novmente temos processos ssimétricos onde pr um computdor qulquer é reltivmente fácil multiplicr dois primos grndes ou elevr um numero um conhecid potenci porém s operções inverss não ocorrem em tempo háil se os números forem suficientemente grndes. O sistem RSA utiliz lguns resultdos elementres d teori dos números como o Teorem Chinês do Resto e o Teorem Euler-ermt. Utilizmos notção () pr denotr o mdc entre e. No cso de () dizemos que e são coprimos. Teorem Chinês do Resto: Sejm n n 2...n m inteiros positivos primos entre si então pr todo z z 2...z m existe z Z tl que z z (mod n ) z z 2 (mod n 2 )... z z m (mod n m ) Em prticulr temos que se m e n são coprimos existem x e y Z tis que xm yn. unção de Euler: Denotmos por φ(n) o número de inteiros positivos menores e coprimos n. Temos que i φ ( n) n p n. p φ ( ) Teorem de Euler ermt: Se ( n) então n (mod n).

10 Deprtmento de Mtemátic O sistem RSA codific um mensgem elevndo el um expoente e e chndo seu resíduo módulo n isto é: C(M) M e Μ c (mod n). Pr decodificr el elev mensgem codificd outro expoente d e novmente ch seu resíduo módulo n: D(Μ c ) M d M (mod n). É evidente que pr isto ocorrer e precis ser lgo semelhnte o inverso multiplictivo de d neste sistem de congruênci. Pelo Teorem de Euler-ermt temos que: Se mdc(n) então φ(n) (mod n). Portnto: φ(n) Κφ(n) (mod n) Κφ(n) (mod n). Logo ed Kφ(n). Pelo Teorem Chinês do Resto semos que pr todo e coprimo φ(n) poderemos chr um d que stisfç est equção. Porém pr clculr φ(n) precismos ser su decomposição em ftores primos. Se quem recee mensgem escolhe n como sendo o produto de dois primos grndes (00 lgrismos) su ftorção se torn imprticável. Portnto os números e e n não precism ser secretos pois pens quem conhece ftorção de n é cpz de descorir d e decifrr mensgem. Aquele que desej receer um mensgem divulg e e n pr que quem for envir mensgem poss criptogrfá-l porém ftorr n em tempo háil é impossível e portnto somente o destintário conhece d e pode decodificr mensgem. Um estimtiv sed em métodos de nálise de lgoritmos nos diz que o tempo necessário pr um computdor moderno ftorr um número de 00 lgrismos é de proximdmente 74 nos enqunto um de 200 lgrismos é d ordem de 3.8 x 0 8 nos. Outr mneir óvi de tentr querr o sistem seri chr riz e-ésim de M c porém tl operção só pode ser efetud por forç rut em um sistem de congruêncis o que novmente é imprticável qundo se trtndo de números muito grndes. Em termos práticos implementção do sistem depende principlmente de se ter posse de dois primos grndes. Um nov questão gor é como chr tis primos. Pr isto são utilizdos vários testes de primlidde proilísticos tis como o de Leiniz sedo no Pequeno Teorem de ermt o de Euler e o de Rin-Miller sendo este último o mis forte dos três. O Criptosistem Mssey-Omur Após escolhido um corpo finito q e conhecido pulicmente cd usuário escolhe um inteiro e entre 0 e q - tl que mdc(e q - ) e então clcul o inverso d e - (mod q ) ou sej o inteiro tl que de (mod q ). Se o remetente A desej envir um mensgem M o destintário B ele clcul M e A e envi o destintário. B o receer mensgem é incpz de decifrá-l imeditmente então ele codific- com su chve e B novmente e envi A nov mensgem M eaeb. Ao receer mensgem novmente A decodific su prte elevndo e - A otendo M eb ou sej mensgem continu criptogrfd pel chve de B. Então A envi novmente mensgem e B é cpz de decifrál usndo e - B. Este sistem tmém é reltivmente simples e pode ser generlizdo pr outros contextos porém um certo cuiddo é necessário. deve-se sempre us rum om sistem de ssinturs digitl pr que outr pesso digmos C não intercepte mensgem e envie A mensgem M eaec tentndo se pssr por B. O usuário A receendo mensgem e procede em decodificr su prte e re-envi M C qul o usuário C pode novmente interceptr e decodificr. Por tnto mensgem deve conter lgum espécie de sistem de ssintur pr que A tenh certez de que é B quem receeu primeir mensgem.

11 Deprtmento de Mtemátic Outro ftor relevnte é que um usuário que decifrou váris mensgens de A possui vários pres (M M ea ) e portnto mior proilidde de resolver o prolem do logritmo discreto ou sej clculr log P P ea. O Criptosistem ElGml Primeirmente um corpo finito reltivmente grnde q é escolhido e juntmente com um elemento g q sendo g de preferênci um gerdor ms não necessrimente. Cd destintário A escolhe A um inteiro entre 0 e q - pr ser su chve secret. A chve de cifrgem pulic é g A q. Aquele que desej envir um mensgem pr A escolhe primeirmente um outro inteiro k e envi A o seguinte pr de elementos de q : (g k Pg Ak ). Pr computr g k não necessrimente precismos ser simplesmente elevmos g potenci k. O destintário A que conhece A consegue recuperr P elevndo gk potenci e em seguid dividindo Pg k pelo resultdo ou sej elevndo gk que em q é q-. Novmente pr querr este código é necessário resolver o logritmo discreto de g chve púlic. Pode hver em teori um mneir de prtir de g k e g se oter g k ms não existe form de se fzer isto sem necessrimente resolver o prolem do logritmo discreto. Assintur Digitl Em muitos sistems de chve-púlic é de extrem importânci ter um método pr conferir utenticidde do remetente d mensgem. Um dos métodos é o instituído pelo Ntionl Insitute of Stndrds nd Technology dos Estdos Unidos. A diferenç dos sistems de ssintur digitl é que s mensgens (ssinturs no cso) normlmente são extremmente pequens pois utilizm funções hsh pr reduzirem ind mis o tmnho do texto ser criptogrfdo. unções hsh são funções f: x h onde ordem de grndez de x (0 6 its por exemplo) é em menor que de h (200 its por exemplo) de tl form que dificilmente hj um migüidde do tipo f(x ) f(x). Pr implementr o sistem primeiro cd usuário escolhe dois primo grndes p q tis que p (mod q). O grupo p * tem p elementos e p kq (k Z). Um série de resultdos conhecidos como Teorems de Sylow grntem que existe um único sugrupo de p * com q elementos e o fto de ordem deste sugrupo ser prim implic no grupo ser gerdo por um único elemento no cso g. O remetente então escolhe su chve privd x entre 0 e q e divulg su chve púlic g x. Após plicr um função hsh o texto otendo um inteiro h entre 0 e q o remetente escolhe um inteiro k entre 0 e q e clcul g k e extri o seu resíduo módulo p g p k e em seguid clcul o seu resíduo módulo q r g pq k. inlmente o remetente ch um inteiro s tl que sk h xr (mod q). A su ssintur consiste então do pr de inteiros (r s) módulo q. Pr verificr ssintur o destintário clcul s - h (mod q) e s - r (mod q) e então g (g x ) (mod p) e reduz o resultdo módulo q. Vejmos que x x s h xs r k ( g ) g g g pois sk h xr (mod q) > k s - h xs - r (mod q). Portnto g pós reduzir g (g x ) módulo p e módulo q o resultdo deve conferir com r. Curvs Elíptics Apesr do nome s curvs elíptics não estão ssocids elipses pens surgirm n solução do prolem d integrl elíptic. Em termos práticos trlhmos com três csos prticulres porém visndo um trto mis mplo iremos definir s curvs elíptics de form mis gerl prtir ds equções de Weierstrss no plno projetivo.

12 Deprtmento de Mtemátic Definição: O plno projetivo P 2 consiste ns tripls ordends (X Y Z) não tods nuls e seguinte relção de equivlênci: (X Y Z) ~ (λx λy λz). Ou sej dois pontos são equivlentes se um for múltiplo esclr do outro. Definição: Sej K um corpo e K(rr) o seu fecho lgérico. Um equção de Weierstrss é um expressão do tipo onde... 6 K. Y 2 Z XYZ 3 YZ 2 X 3 2 X 2 Z 4 XZ 2 6 Z 3 Podemos reprr que se o ponto (XYZ) pertence curv então o ponto (λx λy λζ) tmém pertence pois o polinômio é homogêneo ( som dos grus de cd termo é mesm). Apr fcilitr notção podemos reescrever equção em coordends nãohomogênes fzendo x X/Z e y Y/Z otendo: y 2 xy 3 y x 3 2 x 2 4 x 6. Temos então que curv pss morr no plno fim. Porém pressupomos que Z 0 o fzermos mudnç de vriável e portnto nexmos o ponto O denomindo ponto no infinito que corresponde clsse de equivlênci de (0 0) Visulizmos este ponto como sendo o horizonte do plno n direção y e portnto pens s rets prlels o eixo y tingem o ponto. De cordo com crcterístic do corpo que estmos trlhndo podemos simplificr ind mis expressão gerl d curv. Cso crcterístic do corpo sej diferente de 2 podemos simplifics equção completndo qudrdos e sustituindo y por ½(y x 3 ) otendo então onde y 2 4x 3 2 x x 6 Se crcterístic for diferente de 2 e 3 trocndo x por (x 3 2 )/36 e y por y/08 eliminmos o termo x 2 e otemos onde y 2 x 3 27c 4 54c 6 Simplificndo: c c y 2 x 3 x se cr(k) 2 3

13 Deprtmento de Mtemátic y 2 x 3 x 2 x c se cr(k) 3 e y 2 cy x 3 x ou y 2 xy x 3 x 2 se cr(k) 2. Dd equção implícit (xy) 0 que define y como função de x queremos grntir existênci de pelo menos ums ds derivds prciis / x / y diferentes de zero pois mis dinte iremos trlhr com tngentes nos pontos d curv.. Pr isto st que o termo à direit ds equções y 2 x 3 x y 2 x 3 x 2 x c não tenh rízes repetids (o que é desnecessário qundo crcterístic é dois). Os gráficos ixo são de curvs elíptics definids sore R. y 2 x 3 y 2 x 3 5 y 2 x 3 3x 3 y 2 x 3 5x

14 Deprtmento de Mtemátic y 2 x 3 y 2 x 3 3x 2 Osermvos que nos dois ultimos csos s curvs opssuem pontos não diferenciáveis: (00) e (0) respectivmente. Isto ocorre devido presenç de rízes com multiplicidde 0 com multiplicidde 3 no primeiro cso e com multiplicidde 2 no segundo. Adição de Pontos e um Curv Elíptic Podemos definir um regr de dição em um curv elíptic diferenciável. Veremos que com est regr curv present um estrutur de grupo isto é tod vez que sommos dois pontos de cordo com regr estelecid o resultdo é um ponto que pertence à curv. A título de um melhor compreensão geométric iremos definir som em um curv elíptic sore R mis o ponto O no infinito. Sej E um curv elíptic sore R e P e Q dois pontos distintos em E. iremos definir P e P Q de cordo com s seguintes regrs que podemos visulizr csos prioculres ns

15 Deprtmento de Mtemátic figurs ixo: Ddo um ponto P (x p y p ) definimos P como sendo (-x p y p ). é fácil ver que este ponto de fto pertence à curv. Cso P O definimos P O ou sej o ponto no infinito funcion com o elemento neutro d operção. Sejm P e Q dois pontos com coordends x distints em E então ret l PQ intercept curv em um terceiro ponto R ou é tngente em P. No primeiro cso estelecemos que P Q - R e no segundo que P Q -P. O que estmos fzendo é pegndo o terceiro ponto e espelhndo ele no eixo x. No cso em que Q - P temos que ret é prlel o eixo y e portnto tinge O no infinito o nosso elemento neutro. O último cso considerr é onde P Q e portnto utilizmos ret tngente. Algericmente podemos estelecer fórmuls que clculm som pr cd um dos csos. Pr Q -P já definimos que some é O. Pr Q P temos o cso em que P Q e o que P Q. Sej y αx β ret PQ no primeiro cso temos que x p x q portnto α (y q y p )/(x q x p ) e β y p αx p. O terceiro ponto possui coordends (x αx β) e pertence curv. Sustituindo n equção d curv otemos (αx β) 2 x 3 x ou sej x 3 α2x 2 ( 2αβ)x β 2 0 Sendo que x p e x q tmém são rízes e que o coeficiente do termo de gru dois é igul som ds rízes concluímos que x r α 2 x p x q otendo então s expressões geris x y y 2 x x y2 y ; y3 y ( x 3). x2 x x x2 x Pr o cso em que P Q temos que α é derivd dy/dx no ponto P. Utilizndo diferencição implícit otemos α (3x p 2 )/2y otendo s fórmuls x x 3x 2x ; y3 y ( x x3 ) 2y 2y. Pr implementr sistems de chve-púlic precismos definir s curvs sore corpos finitos q. A priori um curv elíptic definid sore um corpo q possui no máximo 2q

16 Deprtmento de Mtemátic pontos ou sej um ponto no infinito e pr cd x temos dus possiilidde pr y pois (xy) E <> (x-y) E. Um resultdo mis forte sore crdinlidde do conjunto de pontos de um curv elíptic é o Teorem de Hsse. Teorem de Hsse: Sej N o número de pontos de q em um curv elíptic definid sore q. Então N (q ) < 2 q. Como definimos operção ns curvs elíptics como sendo um som o prolem do logritmo discreto se trnsform em um prolem de divisão discret pois o nálogo de elevr um elemento um dd potenci é multiplicr este elemento por um inteiro. O logritmo discreto em curvs elíptics é stnte mis difícil de ser clculdo do que em corpos finitos e portnto grupos do tipo q *. Os corpos mis utilizdo devido s sus comptiiliddes com softwres e hrdwres são os do tipo 2 r e existem métodos especiis pr clculr o logritmo discreto em 2 r * não ser que o gru de extensão r sej suficientemente grnde. Aprentemente qundo trlhmos com curvs elíptics sore 2r podemos oter o mesmo gru de segurnç com um r significtivmente menor e portnto implementr os mesmos sistems utilizndo um estrutur mis simples. Com pens poucs modificções podemos estelecer os criptosistems nálogos nos grupos formdos pelos pontos de um curv elíptic sore um corpo finito. Por exemplo no nálogo do sistem Mssey-Omur um vez feit correspondênci entre o texto e os pontos n curv sej P um ponto num curv E sore q sendo q grnde e N o número de pontos sore curv. Tnto P qunto N podem ser conhecidos pelo púlico. Cd usuário J escolhe um inteiro e J entre e N tl que mdc(e J N) e ch d J o seu inverso módulo N tl que e J d J (mod N). Novmente se o usuário A quer se corresponder com B ele primeiro envi e A P B. O usuário B o receer mensgem não é cpz de decifrá-l ind portnto ele envi e B e A P o usuário A que em seguid plic su chve de decifrgem d A. Como o grupo é elino otemos e B e A d A P. Ms e A d A (mod N) isto signific que e A d A kn onde k Z. Como N é ordem do grupo temos que NP O e portnto d B e A d A P d B ( kn)p d B P knp d B P ko d B P. Ao envir este resultdo B ele pode tmém multiplicr por d B otendo mensgem originl. Em nenhum momento mensgem foi trnsmitid se estr criptogrfd por pelo menos um ds chves e ssim como no sistem genérico um processo de ssintur digitl deve compnhr s mensgens. No sistem nálogo o ElGml primeirmente escolhemos um corpo finito q um curv elíptic E e um ponto se B sendo todos de domínio púlico. Cd usuário J escolhe um inteiro J e divulg su chve púlic J B. O usuário A que desej se comunicr com B escolhe um inteiro qulquer k envi B o pr de pontos (kb P k B B). Pr decifrr mensgem o destintário B multiplic o primeiro ponto d mensgem por su chve secret B otendo B kb. Em seguid ele sutri este resultdo do segundo ponto otendo p k B B kb P. A principl desvntgem d criptogrfi sore curvs elíptics é trnsformção do texto ser criptogrfdo em pontos de um dd curv o que chmmos de pré-codificção. Deve hver lgum relção lógic entre os pontos escolhidos e o texto originl pr que sej possível recuperr mensgem pós est ter sido decifrd. Infelizmente não existe nenhum

17 Deprtmento de Mtemátic lgoritmo deterministico isto é que dê um respost com solut cerez de que est está de fto corret que funcione em tempo polinomil. No entnto existem lgoritmos proilisticos que funcionm com um mrgem de erro tolervelmente pequen. Um criptosistem que contorn o prolem d pré-codificção é o Menezes-Vnstone pois este utiliz um ponto num curv elíptic pr esconder um ponto do plno porém desvntgem deste sistem é que s mensgens se tornm dus vezes miores. Neste sistem o usário B escolhe um inteiro positivo o qul será su chve secret. Pr oter su chve púlic ele escolhe em um curv elíptic E um ponto P cpz de gerr um sugrupo suficientemente grnde de preferenci do mesmo tmnho que o corpo p (onde p é um primo) no qul curv está definid. B então divulg P como su chve púlic. Cso o usuário A deseje envir mensgem m B ele primeiro prte m em dus coordends (m m 2 ). Em seguid A escolhe um inteiro k e clcul k(p) (y y 2 ) e kp C 0. O remetente A envi B o pr de pontos ((c c 2 ) C 0 ) onde c y m (mod p) e c 2 y 2 m 2 (mod p). o usuário B é cpz de recuperr (y y 2 ) pois (y y 2 ) kp kp C 0 e somente B se (su chve secret). Um vez recuperdos y e y 2 clcul-se seus respectivos inversos módulo p y - e y 2 - e recupr-se mensgem orginl pois: (c y - c 2 y 2 - ) (y m y - y 2 m 2 y 2 - ) (m m 2 ). Devido o fto do grupo formdo pelos pontos de um curv elíptic sore um corpo ter um estrutur diferente dos grupos normlmente utilizdos miori dos tques o logritmo discreto não funcion tão em qundo executdos em curvs elíptics. Isto crret em um diminuição significtiv do tmnho d chve usd sem lterr segurnç do sistem o que crret em um lgoritmo mis rápido e mis leve. O fto d implementção ser mis compct que nos demis sistems proporcion operções msi rápid ocupndo menos mémori e portnto funcionndo em chips menores ou softwres menores o que tmém sonsome menos energi. Por tis rzões criptogrfi sore curs elíptics está se tornndo principl cndidt sustituir o sistem RSA. Não só s chves utilizds são menores como proporção se centu qundo os níveis de segurnç umentm o que é muito importnte longo przo pois os métodos de criptonálise tmém está se sofisticndo. Aixo está um tel que compr o tmnho ds chves utilizds em função do mesmo gru de segurnç. Tmnhos de chves (its) RSA CCE RSA/CCE : : : : 30 Concluímos então que Criptogrfi sore curvs elíptics present mesm funcionlidde custos menores de tmnho de chve hrdwre e softwre. Atulmente própri RSA Security um compni de proteção de informção está prosseguindo n vlidção d segurnç dos sistems de criptogrfi sore curvs elíptics o que indic que est deve sustituir o tul sistem RSA.

18 Deprtmento de Mtemátic Referencis Biliográfics - KOBLITZ Neil. A Course in Numer Theory nd Cryptogrphy 2.ed. New York: Springer-Verlg. 2 KOBLITZ Neil. Algeric Aspects of Cryptogrphy ed. Berlin: Springer-Verlg p. 3 KOBLITZ Neil Introduction to Elliptic Curves nd Modulr orms ed. New York: Springer p. 4 HERSTEIN I. N. Topics in Alger 2.ed.- Lexington Mss.: Xerox College Pulishing p. 5 GARCIA Arnldo. LEQUAIN Yves. Elementos de Álger. ed. Rio de Jneiro: SBM p. 6 HARDY G. H. WRIGHT E. M. An Introduction to the Theory of Numers. 5ed. Oxford: Oxford Science Pulictions p. 7 COUTINHO S. C. Números Inteiros e Criptogrfi RSA. ed.rio de Jneiro: IMPA/SBM p..