Fatoração dos Números Inteiros e Curvas Eĺıticas

Transcrição

1

2 Fatoração dos Números Inteiros e Curvas Eĺıticas Prof. Dr. Parham Salehyan IBILCE - UNESP São José do Rio Preto Outubro de 2013

3 Fatoração dos Números Inteiros e Curvas Elíticas Parham Salehyan Unesp-Ibilce [email protected] Resumo Um dos resultados mais elementares da teoria dos números é a fatoração de números inteiros. Fatorar um número inteiro grande pode ser uma tarefa bastante trabalhosa. Nesse minicurso após uma breve introdução às curvas elíticas, apresentaremos um algoritmo para fatorar número inteiros. I. Introdução Inicialmente faremos um breve estudo sobre cúbicas planas projetivas. O foco principal é o conjunto dos pontos racionais sobre uma cúbica plana projetiva, em outras palavras, as soluções racionais de uma equação polinomial de grau 3 em três variáveis. Em seguida definiremos uma operação entre os pontos de uma cúbica e observamos que o conjunto dos pontos de uma cúbica munido desta operação se torna um grupo abeliano. Como aplicação apresentaremos um algoritmo para fatorar números inteiros. II. Classificação das Cúbicas Planas i+j+k=3 Sejam C o corpo dos números complexos e P 2 o plano projetivo complexo. Uma cúbica é uma curva projetiva plana definida por um polinômio homogêneo de grau três F(x, y, z) = a ijk x i y j z l C[x, y, z], ou seja, o conjunto dos pontos P = (x : y : z) P 2 cujas coordenadas satisfazem a equação F(x, y, z) = 0. O conjunto dos pontos do tipo P = (x : y : 1) é chamado da parte afim da curva. Observem que estes pontos são dados pela equação f (x, y) := F(x, y, 1) = 0 e pela homogeneidade de F, deg f = 3. Os demais pontos, ou seja, pontos do tipo P = (x : y : 0) são chamados de pontos no infinito. Um ponto P é chamado de um ponto singular se F F F x (P) = y (P) = z (P) = 0, caso contrário é chamado de um ponto não singular ou suave. Diremos que a cúbica é suave ou não singular, se não possui pontos singulares. Uma cúbica plana não singular é chamada de uma curva elítica. Example 1 Seja C a cúbica definida por F = y 2 z x 3 xz 2 z 3. Sua parte afim é dada por f = y 2 x 3 x 1, o ponto P = (0 : 1 : 0) é seu ponto no infinito e não possui ponto singular. Example 2 Seja C a cúbica definida por F = y 2 z x 3. Sua parte afim é dada por f = y 2 x 3, possui apenas um ponto no infinito O = (0 : 1 : 0) e apenas um ponto singular (0 : 0 : 1). Uma cúbica definida por um polinômio irredutível F é chamada de irredutível, caso contrário é chamada de redutível. A irredutibilidade de F é equivalente a irredutibilidade do polinômio f que define a parte afim de C. 1

4 Seja C uma cúbica redutível. Pelo fato que deg f = 3, teremos as seguintes possibilidades para a parte afim de C: Figura 1 No caso de cúbicas irredutíveis devemos considerar os casos singular e suave. Seja C uma curva elítica. É possível mostrar que após uma série de mudanças de coordenadas, C é projetivamente equivalente à curva definida por y 2 z = x(x z)(x λz) para algum λ C \ {1, 0}. Observem que C possui apenas um ponto no infinito O = (0 : 1 : 0) e sua parte afim é dada pela equação y 2 = x(x 1)(x λ). Neste caso é mais comum trabalhar com a equação da curva da forma y 2 = g(x), onde g é um polinômio mônico de grau 3 em uma variável. Esta forma de equação de uma curva elítica é chamada de sua forma de Weierstrass. No caso singular é possível mostrar que após uma série de mudanças de coordenadas, C é projetivamente equivalente a y 2 z = x 3 ou y 2 z = x 2 (x + z). III. O grupo dos pontos racionais Seja C uma curva elítica. Pelo argumento apresentado no final da seção anterior, concluímos que C pode ser vista como a união de sua parte afim com seu ponto no infinito. Um ponto de C é chamado de ponto racional se suas coordenadas forem números racionais. Seja C(Q) o conjuntos dos pontos racionais de C. Observamos que C(Q) = uma vez que O C(Q). 2

5 O objetivo principal desta seção é definir uma operação entre os pontos de C e verificar suas propriedades. Um dos resultados mais importantes da teoria elementar de curvas elíticas é sobre seus pontos racionais. Por este motivo a partir deste momento trabalharemos apenas em C(Q). De fato consideramos uma curva elítica cuja parte afim é dada pela equação y 2 = x 3 + ax 2 + bx + c, onde a, b, c Q. Inicialmente mostraremos o seguinte fato. Afirmação. Seja L a reta dada pela equação y = mx + n, onde m, n Q. Se esta reta intercepta com a parte afim de uma curva elítica C em dois pontos racionais, então o terceiro ponto de interseção também é ponto racional. Demonstração. Sejam y 2 = x 3 + ax 2 + bx + c, onde a, b, c Q a equação da parte afim de C e (x 1, y 1 ) e (x 2, y 2 ) os dois pontos racionais da interseção de L com C. Os pontos da interseção são dados pela equação (mx + n) 2 = x 3 + ax 2 + bx + c, ou, x 3 + (a m 2 )x 2 + (b 2mn)x + (c n 2 ) = 0. Observe que x 1 + x 2 + x 3 = (a m 2 ). Então x 3 Q e portanto y 3 = mx 3 + n Q, ou seja, (x 3, y 3 ) é um ponto racional. Operação em C(Q) Sejam C uma curva elítica cuja parte afim é dada por y 2 = g(x), onde g Q[x] é mônico. Então C(Q) = {(x, y) Q 2 y 2 = x 3 + ax 2 + bx + c} {O}. A seguir definiremos como somar dois pontos P, Q C(Q): Se um destes pontos for O, então a soma será o outro, ou seja, P + O = O + P = P. Se P = O e Q = O, considere a reta que passa por P e Q e obtenha o terceiro ponto de interseção desta reta com a cúbica. Denote este ponto por P Q e observe que pela afirmação acima, este ponto é racional. Através de uma reta vertical, ligue o ponto O ao ponto P Q. Esta reta interceptará a cúbica num ponto que denotaremos por P + Q. Novamente pela afirmação acima P + Q C(Q). De fato se P Q = (x, y), então P + Q = (x, y). Pela definição acima fica claro que esta operação é comutativa, seu elemento neutro é O e se P = (x, y) então P = (x, y). Mais precisamente: Proposição. (C(Q), +) é um grupo abeliano. A parte delicada da demonstração é a associatividade. A demonstração geométrica da associatividade pode ser encontrada em [DH]. Observe que os pontos da cúbica que estão sobre o eixo dos x, i.e, os pontos (x, y) C tais que y = 0, caso sejam racionais, são exatamente aqueles que satisfazem a equação P = P ou 2P = O. Vale observar que T = {P C(Q) 2P = O} possui um, dois ou quatro elementos de acordo com o número das raízes racionais de g(x). Sabendo que (C(Q), +) é um grupo, claramente (T, +) é 3

6 um subgrupo(finito) de (C(Q), +). A seguir determinaremos explicitamente as coordenadas de P 1 + P 2 o que pode ser utilizado para demonstrar algebricamente a associatividade da operação. Sejam P 1 = (x 1, y 1 ), P 2 = (x 2, y 2 ) pontos racionais de C e P 1 P 2 = (x 3, y 3 ). Então P 1 + P 2 = (x 3, y 3 ). Se P 1 = P 2, tomamos a reta tangente à cúbica C no ponto P 1 = (x 1, y 1 ) para obter o ponto P 1 P 1 = O, logo P 1 + P 1 = 2P 1 = O. Antes de analisar o caso em que P 1 = P 2, faremos a seguinte observação. Se y 1 = 0, a equação da reta tangente à cúbica C em P 1 = (x 1, y 1 ) é y = mx + n, onde m = 3x ax 1 + b 2y 1 e n = y 1 mx 1. Esta reta intercepta a cúbica duas vezes no ponto P 1 = (x 1, y 1 ) e se P 3 = (x 3, y 3 ) é o terceiro ponto de interseção desta reta com a cúbica C (isto é P 3 = P 1 P 1 ) então 2x 1 + x 3 = m 2 a, ou seja, x 3 = m 2 a 2x 1, e assim, y 3 = mx 3 + n. Para P 1 = P 2, teremos dois casos a serem considerados: x 1 = x 2 e x 1 = x 2. Se x 1 = x 2 a reta que liga P 1 a P 2 é vertical, logo P 1 P 2 = O e P 1 + P 2 = O. Se x 1 = x 2 a reta que liga P 1 a P 2 é do tipo y = λx + ν, onde e λ = y 1 y 2 x 1 x 2 ν = y 1 λx 1 = y 2 λx 2. Se P 3 = (x 3, y 3 ) = P 1 P 2, isto é, P 3 é a terceira interseção desta reta com a cúbica C, encontramos x 3 = λ 2 a x 2 x 1 e y 3 = λx 3 + ν logo o ponto P 1 + P 2 está determinado, uma vez que P 1 + P 2 = (x 3, y 3 ). O fato mais importante na teoria elementar das curvas elíticas é o seguinte teorema: Teorema de Mordell. Seja C uma curva elítica. Então (C(Q), +) é finitamente gerado, ou seja, existe um número finito de pontos P 1,..., P n C(Q) tal que para todo P C(Q), k 1,..., k n Z, P = k 1 P k n P n. Vale destacar que nos casos em que C é singular, (C(Q), +) não é finitamente gerado, veja [S]. IV. Algoritmo de fatoração usando curvas elíticas Discutiremos agora o problema de fatoração de inteiros. Pelo teorema fundamental de aritmética todo inteiro possui uma única fatoração em termos de números primos. Às vezes utilizaremos um caso particular do pequeno teorema de Fermat, que afirma que se n é primo ímpar, então 2 n 1 1(mod n), para verificar que n não é número primo. O primeiro e mais natural modo de fatorarmos um número n é fazendo testes do tipo: tomar os primos anteriores ao número e verificar se estes dividem o número n e quantas vezes. Pelo fato que o menor fator de n é menor que n, basta tentarmos números menores ou iguais a [ n]. Mas para grandes valores isso não 4

7 é muito prático. Vamos estudar um modo de fatorar grandes números. Problema Dados a, k, n N, calcule a k (mod n). Para explicar melhor a ideia, seja k = Escrever k como uma soma de potências de 2, ou seja, escrevendo na base = , então a 1000 = a 23 a 25 a 29. Calcularemos o número A i := a 2i (mod n). A 0 = a(mod n) A 1 = A 0 A 0 = a 2 (mod n) A 2 = A 1 A 1 = a 4 (mod n) A 3 = A 2 A 2 = a 23 (mod n). =. A 9 = A 8 A 8 = a 29 (mod n) Então a 1000 (mod n) = A 3 A 5 A 6 A 7 A 8 A 9. Observem que com apenas 9 operações para obter os A i s e 6 operações para obter a1000 (mod n) faremos o cálculo. Este é um método pode ser muito melhor e mais rápido do que calcular a 1000 e depois determinar o resto da divisão por n. Em geral escrevemos k na base 2: k = k 0 + k k k k r 2 r. A seguir calculamos A 0 = a, A 1 = A 2 0, A 2 = A 2 1,..., A r = A 2 r 1. Finalmente obtemos ak como a k = (produto dos A i s para cada k i = 1). Ou seja, com no máximo r operações(eventualmente k i = 0 para algum i) podemos calcular a k (mod n). Assumindo k r = 1, pois é a expansão binária efetiva de k, k = k 0 + k k r 2 r 2 r r log 2 k. Então provamos que é possível calcular a k (mod n) em no máximo 2 log 2 k operações, onde cada operação consiste de uma multiplicação e uma redução módulo n. Observe que para valores grandes de k, log 2 k é bem menor que k. Maior Divisor Comum Sejam a, b N. O objetivo é fazer uma estimativa do número das operações necessárias para determinar o maior divisor comum de a e b usando o algoritmo de Euclides. Ou seja, fazer divisões sucessivas: a = bq 1 + r 2, 0 r 2 < b, b = r 2 q 2 + r 3, 0 r 3 < r 2, 5

8 r 2 = r 3 q 3 + r 4, 0 r 4 < r 3,. r n 1 = r n q n + r n+1, 0 r n+1 < r n, r n = r n+1 q n+1. Como a sequência dos restos é uma sequência decrescente de números inteiros não negativos, r n+2 = 0 para algum n. Pelo algoritmo (a, b) = r n+1. Afirmamos que: i, r i r i 1. De fato, se r i 1 2 r i 1, então concluímos porque r i+1 < r i. Por outro lado, suponha que r i > 1 2 r i 1. Sabemos que r i 1 = r i q i + r i+1 com 0 r i+1 < r i. Agora sob a nossa suposição de que r i > 1 2 r i 1, encontramos r i+1 = r i 1 r i q i < r i 1 (1 1 2 q i). Claramente q i = 0 porque caso contrário r i 1 = r i+1, contradizendo o fato de que os r i s são estritamente decrescentes. Por isso, q i > 1 (de fato, q i = 1) e então r i+1 < 1 2 r i 1. Trocando a e b se necessário, podemos assumir que a b; sabemos que r 2 < b. Por isso, r 4 < 1 2 b, r 6 = 1 2 r 4 < 1 4 b, r 8 < 1 2 r 6 < 1 8 b,..., r 2i < 1 b. 2i 1 Mas r 2i é um inteiro não negativo, assim 2 i 1 b, e obtemos r 2i < 1, o que significa que r 2i = 0. Em outras palavras, i 1 + log 2 b = log 2 (2b) implica que r 2i = 0. Então usando o algoritmo de Euclides em no máximo 2 log 2 (2b) = 2 log 2 max{2a, 2b} passos determinaremos o maior divisor comum de a e b. Agora voltaremos ao problema de fatoração de inteiros em produto de primos. A seguir explicaremos o algoritmo de Pollard. Algoritmo de Pollard Este algoritmo constitui um protótipo daquilo que iremos estudar posteriormente, a saber a fatoração por curvas elíticas. A ideia é a seguinte: suponha que n tenha um fator primo p tal que p 1 é um produto de pequenos primos. Pelo pequeno teorema de Fermat, se p não divide a então a p 1 1(mod p). Assim p (a p 1 1, n). Não conhecemos p e não sabemos calcular a p 1 1. Então escolheremos um inteiro da forma k = 2 e 2 3 e 3 r e r, onde 2, 3,..., r são os primeiros primos e e i são inteiros positivos pequenos. Calculamos d := (a k 1, n). Pelos problemas discutidos acima, calculamos d em menos que 2 log 2 (2kn) operações, que é uma quantidade razoável de operações mesmo para valores grandes de k e n. Se n tem um fator primo p e p 1 k, então p a k 1. Nesse caso d p > 1. Se d = n, então teremos um fator próprio de n e repetiremos o procedimento para cada fator de n obtido 6

9 desta forma. Se d = n, então escolhemos outro valor de a e faremos o procedimento acima novamente. Como um exemplo, considere n = A primeira coisa a verificar é se n não é primo. Usando o método explicado acima, verificamos que 2 n 1 (mod n) = 1, então n é composto. Tomamos a = 2 e k = = 180. Visto que 180 = , precisamos calcular 2 2i (mod n) para 0 i 7. Estes valores são 2, 4, 16, 256, 65536, , e respectivamente. Então = (mod ) (mod ). Um simples cálculo usando o algoritmo de Euclides mostra que ( , n) = ( , ) = 1. Assim o teste falha e n não tem fatores p tais que p Então escolhemos um k maior, por exemplo k = [2, 3,..., 9] = = 2520 = Usando o mesmo método, = (mod ), pelo algoritmo de Euclides ( , n) = ( , ) = 2521, ou seja, encontramos um fator próprio de n, de fato n = , e cada fator é um número primo. Em geral seguiremos os seguintes passos para encontrar um fator de um número inteiro n 2: Passo 1 Escolha um número k que seja produto de pequenos primos a pequenas potências: k = [1, 2, 3,..., m] para algum inteiro positivo m. Passo 2 Escolha um inteiro arbitrario satisfazendo 1 < a < n. Passo 3 Calcule (a, n). Se for estritamente maior que 1, então ele é um fator próprio de n. Caso contrário, vamos ao Passo 4. Passo 4 Calcule D = (a k 1, n). Se 1 < D < n, então D é um fator próprio de n. Se D = 1, voltamos ao Passo 1 e tomaremos outro valor para k. Se D = n, voltamos ao Passo 2 e escolhemos outro a. Note que o algoritmo Pollard deve finalmente parar porque eventualmente k no passo 1 será igual a 1 2 (p 1) para algum primo p que divide n, então, eventualmente haverá algum p 1 dividindo k. No entanto, o algoritmo não é prático para grandes valores de n. O algoritmo 7

10 só funciona em uma quantidade razoável de tempo, se acontece de n ter um divisor primo p satisfazendo p 1 = produto de pequenos primos a pequenas potências. A seguir explicaremos o algoritmo de Lenstra para fatoração de números grandes usando curvas elíticas. O algoritmo de Pollard é baseado no fato de que elementos não nulos de Z/pZ formam um grupo (Z/pZ) de ordem p 1. Assim se p 1 k, então a k = 1 para todo a (Z/pZ). A ideia do algoritmo de Lenstra é substituir o grupo (Z/pZ) pelo grupo dos pontos na curva elítica C(Z p ), e substituir o inteiro a pelo ponto P C(Z p ). Como no algoritmo de Pollard, escolhemos um inteiro k composto de um produto de pequenos primos. Então, se ocorrer que o número de elementos de C(Z p ) divida k, teremos kp = O em C(Z P ). E tal como antes, o fato de que kp = O geralmente permite-nos encontrar um fator próprio de n. Qual é a vantagem do algoritmo de Lenstra? Se escolhermos apenas uma curva C com coeficientes inteiros e considerarmos sua redução módulo números primos, então não há vantagens. Pois esse algoritmo funcionará se para algum primo p que divida n, # C(Z p ) é produto de primos pequenos. Similarmente, teremos vantagem usando o algoritmo de Pollard se existir um primo p n tal que p 1 seja um produto de pequenos primos. Mas suponha agora que não consigamos usar o algoritmo de Pollard. Com o algoritmo de Lenstra, existe a flexibilidade que nos permite continuar trabalhando, ou seja, somos livres para escolher uma nova curva elítica e repetir o processo. Variando a curva C e desde que # C(Z p ) varie consideravelmente para cada primo p, nossas chances de eventualmente concluirmos o algoritmo são bastante boas. Agora vamos transformar essas observações num algoritmo explícito. Notamos anteriormente que, se C é uma cúbica não sigular com coeficientes em Z p, então #C(Z p ) = p + 1 ε p, ε p 2 p. Além disso, pode-se mostrar que, como C varia para tais curvas, os números ε p são bem distribuídos ao longo do intervalo [ 2 p, 2 p]. Por isso, é bastante provável (mas ainda não rigorosamente provado) que vamos executar de forma bastante rápida através de uma curva C com #C(Z p ) igual a um produto de números primos pequenos. Algoritmo de curvas elíticas de Lenstra. Seja n 2 um inteiro composto para o qual buscamos um fator. Passo 1 Verifique que (n, 6) = 1 e também que n não seja da forma m r para algum r 2. Passo 2 Escolha aleatoriamente inteiros b, x 1, y 1 entre 1 e n. Passo 3 Seja c = y 2 1 x3 1 bx 1(mod n), considere a cúbica C : y 2 = x 3 + bx + c. Pela escolha de c, P = (x 1, y 1 ) C. Passo 4 Verifique se (4b c 2, n) = 1. (Se for igual a n, volte e escolha um novo b. Se ele é estrito entre 1 e n então ele é um fator não trivial de n, e assim concluímos.) Passo 5 Escolha o número k como produto de pequenos primos a pequenas potências. Por exemplo tome k = [1, 2, 3,..., m], onde m é um inteiro inteiro positivo. Passo 6 Calcule kp = ( a k d 2 k, b k ). d 3 k Passo 7 Calculamos D = (d k, n). Se 1 < D < n, então D é um fator não trivial de n e assim concluímos. Se D = 1, ou voltamos ao Passo 5 e aumentamos o valor de k. Faremos agora um estudo do funcionamento do algoritmo de Lenstra e como executaremos o cálculo P + P + + P do passo 6. Para ver porque o algoritmo funciona, suponha que tenhamos a sorte de escolher uma 8

11 curva C e o número k de modo que, para algum primo p dividindo n, temos # C(Z p ) dividindo k. Então todo elemento em C(Z p ) tem ordem dividindo k. Assim, em particular, reduzindo P C(Q) módulo p temos que: kp = k P = Õ. Em outras palavras, a redução de kp módulo p é o ponto O no infinito e assim devemos ter p d k, ou seja, p (d k, n). Ainda mais, n não divide d k, portanto teremos um fator de n. Isto explica porque o algoritmo de Lenstra funciona. Agora buscamos calcular kp eficientemente. Ao invés de fazer P + P + + P usaremos o mesmo esquema que usamos para calcular a k. Primeiro escrevemos k como: k = k 0 + k k k k r 2 r, k i {0, 1}. Como antes, podemos fazer isso para r log 2 k. A seguir calculamos e finalmente fazemos kp = r i=0 P 0 = P P 1 = 2P 0 = 2P P 2 = 2P 1 = 2 2 P P 3 = 2P 2 = 2 3 P. P r = 2P r 1 = 2 r P, P i. Desse modo calculamos kp em menos de 2 log 2 k passos, dobrando e adicionando pontos. Note entretanto que não queremos calcular as coordenadas de kp como número racional porque o numerador e o denominador deveriam ter aproximadamente k 2 dígitos. Então o melhor seria realizar nossos cálculos módulo n. Mas n não é primo, então devemos encontrar uma forma de usar as fórmulas para dobrar ou adicionar pontos. Considere o problema de adicionar dois pontos, digamos Q 1 = (x 1, y 1 ) e Q 2 = (x 2, y 2 ), onde x 1, y 1, x 2, y 2 são inteiros módulo n. Nossa fórmula para Q 3 = Q 1 + Q 2 diz que: x 3 = λ 2 x 1 x 2 e y 3 = λx 3 (y 1 λx 1 ), onde λ = y 2 y 1 x 2 x. A dificuldade encontra-se em calcular λ porque o 1 anel Z/nZ não é corpo, assim x 2 x 1 talvez não possua inverso. Ao fazer fazer estes cálculos, encontraremos três possibilidades: 1) (x 2 x 1, n) = 1. Neste caso x 2 x 1 possui inverso em Z/nZ, assim podemos calcular Q 3 módulo n. 2) 1 < (x 2 x 1, n) < n. Neste caso (x 2 x 1, n) é um fator de n. 3) (x 2 x 1, n) = n. Neste caso retornaremos ao passo 5 e reduziremos o valor de k, ou podemos retornar ao passo 2 e considerar outra curva. Para duplicar o ponto Q = (x, y) módulo n, precisamos calcular a relação λ = f (x) 2y = 3x2 + 2ax + b (mod n). 2y 9

12 Assim obtemos as mesmas 3 alternativas: calculamos 2Q(mod n) ou obtemos um fator próprio de n, ou (y, n) = n e temos que recomeçar com um novo k ou uma nova curva. Isto mostra como Lenstra funciona, embora na prática há diversos caminhos para fazer isso mais eficientemente. Para ilustrar o processo geral, iremos agora usar o algoritmo de Lenstra para fatorar o inteiro: n = A primeira coisa a se fazer é checar que n não é primo. descrito antes, facilmente calculamos 2 n (mod n). Usando sucessivamente o esquema Pelo pequeno teorema de Fermat, n não é primo. Procuremos um fator. O primeiro passo no Lenstra é checar que n não é potência perfeita n, 3 n, 4 n,..., 31 n 1, Nenhum desses são inteiros, assim n não é potência perfeita. Como concluímos que n tem algum fator primo p menor que Buscamos escolher um valor de k de modo que alguns inteiros próximos de p dividam k. Tentaremos k = LCM[1, 2, 3,..., 17] = , que tem muitos fatores menores que A seguir temos de escolher uma curva elítica e um ponto seu. Como indicado na descrição do algoritmo de Lenstra, é mais fácil fixar o ponto P e um dos coeficientes da curva, e então escolher o outro coeficiente tal que o ponto esteja na curva. Tome P = (2, 1). Tomamos vários valores de b, e então definimos c = 7 2b. Para começar tomamos b = 1, então c = 9. Assim, olhando para a curva C e P (ponto) dados por C : y 2 = x 3 + x 9, P = (2, 1) C. Nosso objetivo é calcular kp(mod n) usando sucessivas duplicações. Assim a primeira coisa a fazer é expressar k como soma de potências de 2. Por isso, para calcular kp(mod 3), precisamos determinar 2 i P(mod 3) para 0 i 23. Podemos montar uma tabela, e finalmente, adicionando os pontos apropriados da tabela, encontramos o valor de kp(mod n). Assim, agora conhecemos que na curva y 2 = x 3 + x 9 considerada módulo n, temos kp = (2, 1) ( , )(mod ). Isso não diz sobre os fatores de n. O ponto principal do algoritmo de Lenstra é que ele nos dá um fator de n precisamente quando a lei da adição falha. Assim se pudermos calcular kp(mod n), temos que recomeçar com um novo k, um novo P, ou uma nova curva. Tomamos a última alternativa, variando a curva. Assim colocaremos com k = e com P = (2, 1), mas agora tomaremos b = 2 e c = 7 2b = 11. Usando esta curva e repetindo o cálculo anterior mais uma vez descobrimos que podemos calcular kp(mod n). Então tome b = 3 e c = 13, etc. É possível calcular kp(mod n) para todo b = 3, 4, 5,..., 41. Entretanto, quando tentamos b = 42 e c = 91, a lei da adição falha e encontramos um fator de n. O que acontece é o seguinte: não temos nenhuma dificuldade em fazer uma tabela dos 2 i P(mod n) para 0 i 23, como acima. Então começamos adicionando os pontos da tabela para calcular kp(mod m). Como um penúltimo passo, encontramos ( )P = P ( , )(mod n) 10

13 Também 2 23 P ( , )(mod n). Então para calcular kp teremos que somar estes últimos pontos módulo n. Para fazer isso temos que tomar a diferença de suas coordenadas x e encontrar o inverso de n. Mas quando tentamos fazer isso, descobrimos que o inverso não existe porque ( , n) = ( , ) = Assim a tentativa de calcular (2, 1) na curva falha, mas ele leva a fatoração y 2 = x x 91(mod ) n = = É fácil conferir que cada um desses fatores é primo, assim o algoritmo nos dá a fatoração completa de n. Example 3 Seja n = 35. Observe que 35 não é primo e também não é uma potência perfeita. Considere k = 6 = Tome b = 1 e c = = 1(mod 35) = 34. Então C : y 2 = x 3 + x + 34 e P = (1, 1) C. Observamos (31216, 35) = 1. Sejam P 1 := P e P 2 := 2P 1. Calculemos P 1 := 2P: x 3 = λ 2 2, λ = (mod 35) = 2, 2 o que implica x 3 = 2. Por outro lado, y 3 = 2 2 (1 2) = 3 = 32(mod 35), ou P 1 = (2, 32). Pelo mesmo processo, 2P 1 = (25, 12), onde 25 = λ 2 x 1 x 2, 12 = λ 25 ( y 1 λx 1 ), x 1 = x 2 = 2, y 1 = y 2 = 32 e λ = (mod 35) = 13 (mod 35) = 13 29(mod 35) = 377(mod 35) = Então d := (27 2, n) = (25, 35) = 5. Como 1 < d < n = 35, pelo algoritmo que 5 é um fator de 35. Referências [H] Hefez, A. Introdução à Geometria Projetiva, Monografias de Matemática N o 46 IMPA (1990) [DH] Husemöller, D. Elliptic Curves, Graduate Texts in Matehmatics 111, Springer - Verlag (1987) [S] Silverman, J. H and Tate, J. Rational Points on Elliptic Curves, Undergraduate Texts in Matehmatics Springer - Verlag (1992) [V] Vainsencher, I. Introdução às Curvas Algébricas IMPA (2005) 11