φ(n) = (p-1)(q-1) p 和 q 是两个大数找到 e 使得 gcd(e,φ(n)) = 1 [关闭]

Question

φ(n) = (p-1)(q-1) p 和 q 是两个大数 找到 e 使得 gcd(e,φ(n)) = 1

认为 p 和 q 是一个非常大的素数 (Bigint)。我想为此找到一个有效的解决方案。

[编辑] 我可以使用蛮力方法解决这个问题。但由于数字太大，我需要更有效的解决方案。 还有 1

Answer 1

通常您选择e 作为素数。一个常见的选择是 65537。然后选择 p 和 q 以便 gcd(p-1, e)=1 和 gcd(q-1, e)=1，这只需要您检查 p-1 和 q-1 不是 e 的倍数（当您（很少) 发现其中之一是，您生成一个新的素数）。

65537 的优点是允许您通过观察 x^65537 = x^(2^16+1) = x^2^2^2^2^2^2^2^2^2^2^2^2^2^2^2^2 * x (mod m) 来优化公钥运算，因此您只需要 16 个模平方和一个模乘。

Answer 2

你必须决定你希望 e 有多大。这是一个系统决定。通常，e 过去固定为 3；现在更常见的是 e=65537。在这些情况下，e 是素数，因此（正如其他人已经指出的那样）您只需检查 (p-1)(q-1) 不是 e 的倍数。
但某些系统要求指定 32 位随机 e。这是因为一些密码学家认为在固定指数 RSA 系统中比在随机指数系统中更容易发现缺陷。 （据我所知，还没有发现针对固定指数系统的具体利用；但是密码学家被付钱过分谨慎。）
因此，假设您不得不生成一个与 (p-1)(q-1) 互质的随机 32 位 e。最简单的解决方案是：生成一个随机的 32 位奇数 e。然后计算它的逆模(p-1)(q-1)。如果这个逆计算失败，因为 e 不是 (p-1)(q-1) 的互质数，那么再试一次。
这是一个合理、实用的解决方案。无论如何，您都需要计算倒数，计算倒数不会比计算 gcd 花费更长的时间。
如果你真的需要尽可能快，你可以寻找 (p-1)(q-1) 的小素因数，并尝试将 e 除以这些因数：如果你找到小的素因数，那么你可以加快您对 e 的搜索；如果您不这样做，那么搜索可能会很快终止。
另一个合理的解决方案是生成一个随机的 32 位素数 e，并检查 (p-1)(q-1) 是否可以被 e 整除。这是否允许取决于您的系统要求。您是否自己设置这些系统要求？

Answer 3

选择满足这一点的第一个素数 >= 3。 如果您正在寻找速度，您可以使用小指数。

2 个指数可能有两个问题。

• 您不应该使用小指数来加密多个方案的相同消息。 （例如，如果存在 exp = 3 的私有/公共对树，您可以使用高斯算法来恢复明文。

• 你不应该发送短消息，因为攻击者可能只使用立方根来恢复它。

考虑到这些弱点，您可能会使用此方案。据我所知，数字 3 是 e 的常用数字。

顺便说一句，与检查素数相比，暴力破解少数数字可以忽略不计。

Answer 4

我认为您可能误报了问题； e=1 非常适合你写的那个。

Answer 5

然后你需要做的是计算 de = 1 mod phi(n)。这实际上非常快——您只需要在 e 和 phi n 上使用扩展的欧几里得算法。这样做将允许您计算 de + k\phi(n) = 1，也就是说您已经计算了 \phi(n) 下的 e 的倒数。

编辑，Rasmus Faber 是正确的，您确实需要验证 gcd(e, \phi(n)) = 1。扩展的欧几里得算法仍然会为您执行此操作 - 您计算 gcd 和倍数e, φ(n)。这告诉你 d 是什么，即 d 是 e 的倒数，模 phi n 告诉你 t^ed = t^1 模 phi n。

至于在实践中这样做，我强烈建议using a bignum library；滚动您自己的任意精度欧几里得扩展算法并不容易。这是one such function，它将有效地执行任意精度算术。