第五讲 二次剩余
二次剩余的应用
GM加密方案
3
GM加密方案-
门限解密
4
GM加密方案-
门限解密
5
GM加密方案-其他扩展
1、
门限解密？
2、完全分布式解密？
3、不依赖于可信中心？
6
Rabin加密解密算法:生成密钥
取两个大素数p和q，n=pq 选择这样的pq可以简化计算
7
加密过程
P为明文空间，选择某一明文m，加密公式为
8
解密过程
根据以下公式计算出同余意义下的平方根mp和mq： 根据扩展欧几里得算法，求得yp和yq：
9
解密过程
根据以下公式计算最终结果：
每一个密文对应四个原文，而真正的原文一ຫໍສະໝຸດ 需要根据 验证码来对应。10
示例
p=7，q=11，n=77，P={0，...，76} 加密：当m=20时，密文c=400 mod 77 = 15 解密：
得到：
11
补充：二次剩余的应用
1
难题假设
假设p是素数，则判断整数a是否为模p的二次剩余是容易 的，即可以在多项式时间内完成
假如N是大素数的乘积，如：N=pq，则在不知道p和q的 前提下判断整数是否为模N的二次剩余是困难的
其难度和大整数因子分解等价
[1] Leonard M. Adleman: On Distinguishing Prime Numbers from Composite Numbers (Abstract). FOCS 1980: 387-406 [2] Shafi Goldwasser, Silvio Micali: Probabilistic Encryption and How to Play Mental Poker Keeping Secret All Partial Information. STOC 1982: 365-377 [3] Shafi Goldwasser, Silvio Micali: Probabilistic Encryption. J. Comput. Syst. Sci. 28(2): 270-299 (1984)
二次剩余的应用1-GM密码、Rabin密码、电话抛硬币
2
平方剩余的应用：Goldwasser-Micali 密码体制 1 产生公钥、 私钥对的过程
3
Goldwasser-Micali 密码体制 2 保密通信的过程
4
5
6
GM密 GM密码体制的安全性 GM体 GM体制的加密算法可以看做是一个无差错 的 随 机 化 算 法 ， 加 密 算 法 中 的 随机 操 作 不 会 在 密 文 中引 入 任 何 错 误 ， 但 却 获 得 了 下 面 的 重 要 功能 ： 将 明 文 比 特 0 均 匀 分 布 在 QR n上，明文比特1均匀分布在J n (1) \ QR n上。
22
19
完全或 无保密 已知加密 算法及其输出 的一条密文 ，攻击者 的任务是 恢复出这条长 度通常由密 码系统的安全 参数决 定的整条明 文；或者是 在一个已知加 密算 法的基 础上给定一 组明密文对 ，攻击者的任 务是 恢复整 个密钥。攻 击者或者成 功地完全得到 想要 的秘密， 或者什么也得 不到。 我们应该 特别注意“无 ”的含义： 它意味着 无论在 攻击之前或 者之后，攻 击者没有得到 关于 秘密的任何 信息。
7
语义安全性
凡是在给定密文条件下可
以 有效 计 算 的 有 关 相 应 明 文 的 信 息 ， 都 可 以 在没 有 该 密 文 的 条 件 下 有 效 的 计 算 。
GM体 GM体制的语义安全性 RSA模 假设k为RSA模数N的两个素因子的规模， GM的 则参数为k的GM的密码体制是语义安全 QR假 的当且仅当QR假设成立。
14
Rabin公钥密码体制 公钥密码体制
• • • 4个根中有一个是明文m。 如果把(modp)、(modq)值为mp、mq的根叫做m’，则 (modp)、(modq)值为p-mp、q-mq的根就是n-m’。 另外两个根的和也等于n。即如果把一个叫做m’’，则 另一个就是n- m’’。 那么， 4个不同的根怎样计算呢？如果仅仅知道n， 而不知道分解式n=pq，则无法计算mp和mq，因而无法计 算这4个不同的根。
二次剩余反演公式
二次剩余反演公式首先，我们来回顾一下二次剩余的概念。
对于给定的正整数n和整数a，如果存在整数x满足x^2≡a(mod n)，则称a是关于模n的一个二次剩余。
可以看出，如果a是一个二次剩余，则a的每个剩余类都是一个二次剩余。
反之，如果a不是一个二次剩余，则a的每个剩余类都不是一个二次剩余。
现在，我们来讨论二次剩余反演公式的原理。
设p是一个奇素数，a是一个整数，p不整除a。
根据费马小定理，p为奇素数时，a^(p-1)≡1(mod p)。
由此可以得到以下结论：(1) 如果a是p的一个二次剩余，则存在整数b满足b^2≡a(mod p)。
那么，a^((p-1)/2)≡b^(p-1)≡1(mod p)。
(2) 如果a不是p的一个二次剩余，则a^((p-1)/2)≡(-1)(mod p)。
根据勒让德符号的定义，可以得到以下关系：(1)如果a是p的一个二次剩余，则(a/p)=1(2)如果a不是p的一个二次剩余，则(a/p)=-1现在，我们可以叙述二次剩余反演公式的基本形式。
设p是一个奇素数，a是一个整数，p不整除a。
那么，我们可以得到以下等式：\sum_{x=0}^{p-1} (a/p)^(x^2) = (a/p)^(p-1)。
这个公式的证明需要使用因子分解和费马小定理的性质，这里我们不再详述。
二次剩余反演公式的应用非常广泛。
它可以用于求解一些特定形式的整数解方程和模方程。
例如，如果我们要求解关于模p的方程x^2≡a(mod p)，其中p为奇素数，a为整数，p不整除a，我们可以利用二次剩余反演公式来求解。
具体的求解方法如下所示。
首先，我们根据二次剩余的定义，判断a是否是p的一个二次剩余。
如果a是一个二次剩余，则根据二次剩余反演公式，方程的解个数为(p+1)/2、如果a不是一个二次剩余，则方程无解。
在实际求解中，我们可以利用勒让德符号的计算公式来判断a是否是一个二次剩余。
另外，二次剩余反演公式还可以用于研究模方程的解的性质和分布情况。
初等数论(严蔚敏版)12 第五章二次同余式与平方剩余
8 / 38
《初等数论》习题解答（第三版）新乡学院
2、 (i)应用前几章的结果证明:模 p 的简化剩余系中一定有平方
剩余及平方非剩余存在，
(ii) 证明两个平方剩余的乘积是平方剩余;平方剩余与平方
非剩余的乘积是平方非剩余。
(iii)应用(i)、(ii)证明：模 p 的简化剩余系中平方剩余与平 p 1
设其解是： x 2mod p，即有： 22 a mod p，
13 / 38
《初等数论》习题解答（第三版）新乡学院
令22 a kp 22 a k p 0 mod p
2
而 2 a 2 C1 21 a C2 22 a a
pQ a
2 a p Q a
21 / 38
《初等数论》习题解答（第三版）新乡学院
3、设n是正整数，4n 3及8n 7都是质数，说明 24n3 1(mod 8n 7) 由此证明：23 | 211 1, 47 | 223 1,503 | 2251 1。
证明：当 p 8n 7时，由本节定理 1 的推论知2为平方剩余，
应用欧拉判别条件即有
p 3
当它们同为1或同时为
1时，
3 p
1，
3
一为1，一为 1时，
p
1
24 / 38
《初等数论》习题解答（第三版）新乡学院
p 1
p1
显然，当 为偶数，而 p 1(mod 4)时，(1) 2 1，
2
p 1
p1
当 是奇数，即 p 1(mod 4)时，(1) 2 1。
2
再因为 p 是奇质数，关于模3我们有 p 1或 p 1，
用 4a 乘 (1) 后再配方，即得 (2ax b)2 q 0(mod m), q b2 4ac 仍记2ax b为 x，即有 x2 q(mod m) 由以上讨论即知若 x x0 (mod m)为(1)的解， 则 x 2ax0 b(mod m)为(2)的解，必要性得证。
什么是数学书里关于二次剩余数量的内容
二次剩余的乘法性质：如果a和b都是模p的二次剩余，那么它们的乘积ab也是二次剩余，即(ab)≡a*b (mod p)。
二次剩余的非二次剩余性质：如果a是模p的二次剩余，那么a^((p-1)/2) ≡ 1 (mod p)，否则a^((p-1)/2) ≡ -1 (mod p)。
什么是数学书里关于二次剩余数量的内容
在数学书中，关于二次剩余数量的内容主要涉及到二次剩余的定义、性质和计算方法。以下是一些常见的内容：
1.二次剩余的定义：数论中，给定一个整数a和一个素数p，如果存在一个整数x使得x^2 ≡ a (mod p)，则称a是模p的二次剩余。
2.二次剩余的性质：数学书中会介绍二次剩余的一些基本性质，例如：
3.二次剩余的计算方法：数学书中会介绍一些计算模p的二次剩余的方法，例如：
基于二次剩余的符号：欧拉符号或雅可比二次剩余的定理：二次剩余的定理可以用来计算给定数的平方根，例如勾股数的构造。
总的来说，数学书中关于二次剩余数量的内容会包括定义、性质以及计算方法，旨在帮助读者深入理解二次剩余的特性和应用。这些知识对于数论、密码学等领域具有重要的理论基础和实际应用。
数论-二次剩余、欧拉判别准则、高斯引理
数论-⼆次剩余、欧拉判别准则、⾼斯引理定义：∀ n,m ,(n,m)=1,m≥2，若n是模m的⼆次剩余《==》x**2 ≡ n (mod m)有解例：若n=2,m=3，x**2 ≡ 2 (mod 3)⽆解，则2是模3的⼆次⾮剩余若n=2,m=7，x**2 ≡ 2 (mod 7)在x=3时成⽴，有解，故2是模7的⼆次剩余Th1:在模p(奇素数)的缩系{1,2,3,...,p-1}中，有(p-1)/2个⼆次剩余和(p-1)/2个⼆次⾮剩余，且其中⼆次剩余为A:{<1>,<2**2>,...,<((p-1)/2)**2>}证明：（A中元素两两不同）假设∃i,j i≠j ,1≤i≤(p-1)/2有<i**2> ≡ <j**2>故<i**2> ≡ i**2 (mod p)<j**2> ≡ j**2 (mod p)∴i**2 ≡ j**2 (mod p)∴p|(i**2-j**2)即p | (i+j)*(i-j)∵2<i+j<p-1∴p|i-j,故p≤|i-j|∵|i-j|<(p-1)/2∴假设所得结果与事实不成⽴，故A中元素两两不同（A中每个元素是模p的⼆次剩余）∀ <i**2> ∈A ,<i**2> ≡ i**2 (mod A)∴∃x=i,有x**2≡ <i**2> (mod p)故A中的每个元素是模p的⼆次剩余（n∈{1,2,...,p-1}(模p的缩系)是模p的⼆次剩余，则n∈A）∃ x,有x**2 ≡ n (mod p)∴(p-x)**2 ≡ n (mod p)若x≥(p-1)/2+1,(p-x)≥(p-1)/2+1，则p≥p+1,但p<p+1,故p-x和x中有⼀个≤(p-1)/2,⼀个≥(p-1)/2+1∴n ≡ x**2 (mod p) (或者n ≡ (p-x)**2 (mod p))∵x≤(p-1)/2(或p-x≤(p-1)/2)故n∈A,即A中每个元素是模p的⼆次剩余，得证Th2:(欧拉判别准则）---------------------------------------------引⼊勒让德符号：(n/p),其中①(n/p)=1 --> n是p的⼆次剩余②(n/p)≠1 --> n是p的⼆次⾮剩余--------------------------------------------①若(n/p)=1，则n**((p-1)/2) ≡ 1 (mod p)②若(n/p)=-1，则n**((p-1)/2) ≡ -1 (mod p)证明：（(n/p)=1 => n**((p-1)/2) ≡ 1 (mod p)）∵(n/p)=1故∃ x,有 x**2 ≡ n (mod p)∵(x,p)=1，故x**(p-1) ≡ 1 (mod p)故(x**2)**((p-1)/2) ≡ n**(p-1)/2 (mod p)即n**((p-1)/2）≡ 1 (mod p)（ n**((p-1)/2) ≡ 1 (mod p) => （n/p）=1）∵n**((p-1)/2) ≡ 1 (mod p)，且1 ≠ 0 (mod p)根据拉格朗⽇定理，可知对于同余式，解数≤(p-1)/2⼜∵对于集合A={<1>,<2**2>,...,<((p-1)/2)**2>}取i∈A,则有(<i**2>)**(p-1)/2 ≡ (i**2)**(p-1)/2 ≡ i**(p-1) ≡ 1 (mod p)∴A中元素为同余式n**((p-1)/2) ≡ 1 (mod p)的解⼜∵A中元素恰为(p-1)/2个∴A中元素就是同余式n**((p-1)/2) ≡ 1 (mod p)的解，也就是说n的取值在集合A中∴(n/p)=1若(n/p)=-1，则(n/p)≠1∴n**(p-1)/2 ≠ 1 (mod p)∵(n,p)=1 ∴n**(p-1) ≡ 1 (mod p)∴(n**(p-1)/2)**2 ≡ 1(mod p)∴((n**(p-1)/2)**2)-1 ≡ 0 (mod p)∴p | (n**(p-1)/2)**2-1 即p | ((n**(p-1)/2)+1)*((n**(p-1)/2)-1)∵n**(p-1)/2 ≠ 1 (mod p) ∴ p | (n**(p-1)/2)+1 即 (n**(p-1)/2) ≡ -1 (mod p)得证，综上所述，n**(p-1)/2 ≡ (n/p) (mod p)推论：若p 不整除于 m*n,则((m*n)/p)=(m/p)*(n/p)证明：(m/p)=m**(p-1)/2 (mod p)(n/p)=n**(p-1)/2 (mod p)故(m/p)*(n/p)=m**(p-1)/2 * n**(p-1)/2 (mod p)= (m*n)**((p-1)/2) (mod p)=((m*n)/p) (mod p),得证⾼斯引理：若(p,n)=1,<1*n><2*n>,...,<(p-1)/2*n>中有m个数>p/2,则(n/p)=(-1)**m证明：设集合A={<1*n>,<2*n>,...,<(p-1)/2*n>}={a1,a2,...,al,b1,b2,...,bm}，其中1≤ai<p/2, bj>p/2,l+m=p-1,A∈{1,2,...,p-1}则p-bj≠ ai (mod p)(证明p-bj≠ ai (mod p):p/2<bj<p-1<p故0<bj<p/2，即1≤p-bj<p/2若p-bj ≡ ai (mod p),则ai+bj≡ 0 (mod p)∴∃ x,y，有<x*n>+<y*n> ≡ 0 (mod p)即<n*(x+y)> ≡ 0 (mod p)∵x,y∈[1,p-1/2]∴x+y∈[2,p-1]∴(<x+y>,p)=1∵(n,p)=1，故<n*(x+y)> ≠ 0 (mod p)与<n*(x+y)> ≡ 0 (mod p)，故不存在这样的x,y使得p-bj ≡ ai (mod p)成⽴∴p-bj≠ ai (mod p))∴{a1,a2,...,al,p-b1,p-b2,...,p-bk}={1,2,...,(p-1)/2}(模p的⼆次剩余集合)∴∏ai*∏(p-bj)=((p-1)/2)!∵ai,bj∈{<1*n><2*n>,...,<(p-1)/2*n>},故∏ai*∏(p-bj) = [1*2*...*((p-1)/2)]*[(-1)**(m)]*[n**(p-1)/2] ≡ ((p-1)/2)! (mod p)即 [(-1)**(m)]*[n**(p-1)/2] ≡ 1 (mod p)∵[n**(p-1)/2] ≡ (n/p) (mod p)∴ [(-1)**(m)]*[n**(p-1)/2] =(n/p)*(-1)**(m) ≡ 1 (mod p)∴(n/p)≡(-1)**(m) (mod p)得证。
第5章二次同余式与平方剩余
第五章 二次同余式与平方剩余本章的目的是较深入地讨论二次同余式。
讨论方法是把问题归结到讨论形如)(mo d 2m a x ≡的同余式，进而引入平方剩余和平方非剩余的概念，再应用数论中常用的函数(勒让德符号及雅可比符号)去讨论m 是单质数的情形，进而讨论一般的情形。
最后还应用本章结果解决两个不定方程的问题，并介绍一下与它们有关的著名的华林问题。
教学内容: 1.一般二次同余式教学目的: 了解一般二次同余式及平方剩余，平方非剩余的概念： 教学重难点: 平方剩余的概念 教学过程:本节主要讨论二次同余式，讨论方法是把问题归结到讨论形如)(mod 2m a x ≡的同余式，进而引入平方剩余和平方非剩余的概念，再应用数论中常用的函数讨论m 是单质数的情形，进而讨论一般的情形： 一． 基本概念： 首先：二次同余式的一般形式：)(m od 0),(m od 02m a m c bx ax ≡/≡++（1） 用4a 乘（1）式再加上2b 得：acb b ax am ac b b abx x a 4)2()4(mod 444222222-≡+-≡++即若令ac b D b ax y 4,22-=+=则上式变为)4(mod 2am D y ≡（2）具体分析过程见书上P74:由同于是的性质可知（2）与（1）式同时有解或同时误解：故讨论（1）式有解的问题可以转为讨论（2）式有解的问题：为了讨论（2）式是否有解，我们引入平方剩余和平方非剩余的概念：定义：假设（a,m ）=1，如果同余式)(mod 2m a x ≡有解，则a 叫做模m 的平方剩余，否则叫做模m 的平方非剩余：例：)7(m od 2a x ≡根据同余式解的形式：他的接有0，1，2，3，4，5，6这7中可能，而a 有1，2，3，4，5，6这六种可能，严整可知 当a 取1，2，4是有解，当a 取3，5，6时误解，故1，2，4为模7的平方剩余，而3，5，6为模7的平方非剩余：教学内容: 2.单质数的平方剩余与平方非剩余教学目的: 了解单质数的平方剩余，平方非剩余的基本性质及判别方法： 教学重难点: 平方剩余，平方非剩余的判别 教学过程:这节我们讨论单质数p 的平方剩余，平方非剩余： 一． 判别方法： 定理1：（欧拉判别条件）：若（a,p ）=1，则a 是模p 的平方剩余的充要条件是：)(mod 121p ap ≡-：而a 是模p 的平方非剩余的充要条件是：)(mod 121p ap -≡-证明：见书上P76：由此定理我们就可以判别单质数p 的平方剩余，平方非剩余： 二．基本性质：定理2：模p 的平方剩余和平方非剩余各为21-p ，而且21-p 个平方剩余分别与序列)21(2,122-p 中之一数同余，且仅与一数同余： 证明：见书上P77：关于平方剩余和平方非剩余具有以下性质： 定理3：对于同一素数p 来说： 1． 二平方剩余之积仍是平方剩余：2． 一平方剩余与一平方非剩余之积为平方非剩余： 3． 二平方非剩余之积为平方剩余：证明：1。
数论与有限域 第三章
1 2 q 只需确定勒让德符号 ， 以及 （其中q p p p 是一奇素数）的值。
二、欧拉判别法
若p 1(mod 4); 1 1 定理3.2.3 设p是奇素数，则 p 1 若p 1(mod 4).
第二节 勒让德符号
一、勒让德符号的定义
二、欧拉判别法
三、高斯引理
一、勒让德符号的定义
定义3.2.1 设p是奇素数，a是整数，且p∤a，则 a 勒让德（Legendre）符号 定义为
p
若a是模p的二次剩余; a 1 p ， 1 若a是模p的二次非剩余 . a 例3.2.1 由例3.1.3知道，勒让德符号 , a 1,2, ,12 13
二、欧拉判别法
定理3.2.1（欧拉判别法）设p是奇素数，a是整数，且 a a ( p1) / 2 (mod p ) p∤a，则 p a 证明：由于勒让德符号 的取值只有±1，因而 p
下面我们可以分两种情形来讨论. a 首先，若 =1，则a是模p的二次剩余，即
13
例3.2.4 p=17，n=10，则10，20，30，40，50，60，70， 80对17取模的最小剩余10，3，13，6，16，9，2， 12中有5个大于17/2，即m=5，进而由高斯引理有
10 5 1 1 17
三、高斯引理
2 ( p 2 1 ) / 8 定理3.2.5 若p是奇素数，则 1 p p 1(mod 8，则2为模p的二次剩余； ) 因而若 p 3(mod 8)，则2为模p的二次非剩余。 若
二、欧拉判别法
例3.2.2 设p=13，a=132，由于 1326 (mod 13) ≡26 ≡-1 (mod 13)， 132 由欧拉判别法有 13 =-1，因而132是模13的二次非剩余。