非对称密钥RSA加密算法及其密钥产生

 

一、 RSA算法是第一个能同时用于加密和数字签名的算法，也易于理解和操作。 RSA是被研究得最广泛的公钥算法，从提出到现在已近二十年，经历了各种攻击的考验，逐渐为人们接受，普遍认为是目前最优秀的公钥方案之一。RSA的安全性依赖于大数的因子分解，但并没有从理论上证明破译RSA的难度与大数分解难度等价。即RSA的重大缺陷是无法从理论上把握它的保密性能如何，而且密码学界多数人士倾向于因子分解不是NPC问题。RSA的缺点主要有：A)产生密钥很麻烦，受到素数产生技术的限制，因而难以做到一次一密。B)分组长度太大，为保证安全性，n 至少也要 600 bits以上，使运算代价很高，尤其是速度较慢，较对称密码算法慢几个数量级；且随着大数分解技术的发展，这个长度还在增加，不利于数据格式的标准化。目前,SET(Secure Electronic Transaction)协议中要求CA采用2048比特长的密钥，其他实体使用1024比特的密钥。

其中公钥e和私钥d的求解过程分两步：

　　（1）：随机选取两个100位(指十进制)以上的素数p和q；

         产生素数的方法：根据修改的欧拉定理，如p为素数，则对于X的所有整数值，应满足:pow（X，（p一1））=1modP。

       这是一个必要条件而非充分条件，不过，如果有5个以上的X值能满足上述条件，则P可基本断定为素数。图1是产生素数的流程图，该流程图表示，如果X从1一5之间变化时，均能满足上述条件，则P为素数，否则将P十1，重复计算，直到获得素数为止。由此求得p和q，其乘积即为n。

                                   
       （2）：n = p * q 然后随机选择加密密钥e，要求 e 和 ( p - 1 ) * ( q - 1 ) 互质。

      检查两数是否互质的方法：检查两数的公约数以gcd是否为l，若是，则两数互素。根据欧几里德算法，如果a为n+c，则a和b的gCd等于b和C的gcd，即gcd(a，b)=gcdb(，c)，因此，gdc(a，b)可用每次运算的余数去除该运
算的除数来计算，这样可以逐渐减少参加运算的操作数的数值，最后的非零余数即为公约。
如对40，31是否互素进行判断，即计算gcd(40，31)。
第一次运算:40=31*l+9，即40/31的余数为9;
第二次运算:31=9*3+4，即31/9的余数为4;
第三次运算:9一*42+1，即9/4的余数为1。
因此，gcd(40，31)=1，40与31互素。
上述算法即使对根大的整数，也只需要不多的步骤即可得到结果。

       （3）：利用欧几里德定理计算解密密钥d, 满足 
                 e * d = 1 ( mod ( p - 1 ) * ( q - 1 ) ) ，即ed的相乘值与( p - 1 ) * ( q - 1 ) 互质。

　　其中n和d也要互质。数e和n是公钥，d是私钥。两个素数p和q不再需要，与私钥不同的是不仅需要保密，而且应该丢弃，不要让任何人知道。

　 编码过程是, 若资料为 a, 化为二进制数表示, 首先把m分成等长数据块 m1 ,m2,..., mi ，块长s，其中 2^s <= n, s 尽可能的大。对应的密文是：

　　ci = mi^e ( mod n ) －－－－－－－－－－－－－( a )

　　解密时作如下计算：

　　mi = ci^d ( mod n ) －－－－－－－－－－－－－( b ) 
　　RSA 可用于数字签名，方案是用 ( a ) 式签名， ( b )式验证。具体操作时考虑到安全性和 m信息量较大等因素，一般是先作 HASH 运算。

二、RSA 的安全性

RSA的安全性依赖于大数分解，但是否等同于大数分解一直未能得到理论上的证明，因为没有证明破解 RSA就一定需要作大数分解。假设存在一种无须分解大数的算法，那它肯定可以修改成为大数分解算法。目前， RSA 的一些变种算法已被证明等价于大数分解。不管怎样，分解n是最显然的攻击方法。现在，人们已能分解多个十进制位的大素数。因此，模数n 必须选大一些，因具体适用情况而定。

三、RSA的速度

由于进行的都是大数计算，使得RSA最快的情况也比DES慢上100倍，无论是软件还是硬件实现。速度一直是RSA的缺陷。一般来说只用于少量数据加密。