Quelques tests de primalité

Transcription

1 Quelques tests de primalité J.-M. Couveignes (merci à T. Ezome et R. Lercier) Institut de Mathématiques de Bordeaux & INRIA Bordeaux Sud-Ouest École de printemps C2 Mars 2014

2 Plan 1 Introduction 2 De Fermat à Miller-Rabin 3 Test de Miller-Rabin 4 Le test de Solovay-Strassen

3 Définition et résultats classiques Euclide, livre sept des Élément, vers -300 : définition, existence d un diviseur premier, algorithme pour pgcd et ppcm, infinité, p k+1 l k p l + 1, crible d Eratosthène, théorème fondamental de l arithmétique (preuve par Gauss), complexité linéaire pour +, quadratique pour, exponentielle pour primalité et factorisation : T = n 1/2+o(1).

4 Distribution des nombres premiers A π(a) A/π(A) log A Théorème des nombres premiers : π(a) = p n =(1 + o(1)) n log n. Assez nombreux! A log A (1 + o(1)) et

5 Exponentiation Étant donné g dans G et e entier naturel, calculer g e. Maladroit g, g 2, g 3,...,g e 1, g e. T =(e 1). L algorithme d exponentiation rapide permet de calculer efficacement g e. Méthode inventée par Piṅgala dans son Chandah-sûtra (entre -450 et -250). e = 0 k K k2 k et b 0 = g, b k = bk 1 2 pour 1 k K. Puis g e b k k. 0 k K T = O(log e).

6 Ordre d un élément dans un groupe 0 oz Z G a g a. Trouver o? Prouver o? Si f = i pm i i et q i = f /p i et g f = 1etg q i = 1alorsf = o. Si l on a des preuves courtes de primalité, on a des preuves courtes pour l ordre d un élément dans un groupe.

7 Un peu d arithmétique Les propriétés de l anneau Z/nZ reflètent la factorisation de n. Si n = i pm i i alors Z/nZ i (Z/pm i i Z). Bijection effective : r i = n/p m i i et s i inverse de r i modulo p m i i (u i ) i i u i r i s i mod n. En particulier (Z/nZ) est d ordre i pm i 1 i (p i 1) donc #(Z/nZ) = n 1 n est premier. Une preuve que g mod n est d ordre n 1estunepreuvedeprimalité.

8 Preuves courtes de primalité Exhiber un générateur g de (Z/nZ) et une preuve que g est d ordre n 1. Exhiber la factorisation n 1 = i pm i i premiers. et une preuve que les p i sont Vérifier que g n 1 = 1etg n 1 p i = 1. PRIMES est dans NP co-np.

9 Ordre ou ordre exact On se donne un groupe algébrique G, e.g. groupe multiplicatif ou courbe elliptique sur Z/nZ. Soit G(Z/nZ) =(Z/nZ) ou E(Z/nZ) par exemple. On a un morphisme ρ p : G(Z/nZ) G p (Z/pZ) pour tout p n. Soit o premier à n. OnditqueA G(Z/nZ) est d ordre exact o si oa = 0 et pour tout p n l image ρ p (A) est d ordre o dans G p (Z/pZ). Autrement dit pour tout q o et p n on a o q A = 0modp.

10 Ordre ou ordre exact Soit n = 7 13 = 91 et G le groupe multiplicatif. 1 est d ordre 2 modulo 7 et 3 est d ordre 3 modulo 13, donc ( 1) 6 13 = 36 = 55 est d ordre 6 modulo n mais pas d ordre exact 6. En revanche 3 est d ordre 6 modulo 7 et 10 est d ordre 6 modulo 13, donc = 374 = 10 est d ordre exact 6. En particulier et sont inversibles modulo n.

11 Théorème (Pocklington) Test de Pocklington-Lehmer Soit n 2 un entier. Soit a (Z/nZ) d ordre exact s n. Alors n est premier. a est d ordre exact s signifie a s = 1eta i 1 est inversible pour 1 i < s (de façon équivalente a s/q 1 est inversible pour tout diviseur premier q de s). Démonstration. Soit p un diviseur premier de n. Le groupe (Z/pZ) contient a mod p. Donc s divise p 1. Donc p 1 + s > n. Donc tout diviseur premier de n est plus grand que n,etn est premier. Ce qui est difficile en pratique, c est de trouver un facteur s assez grand de n 1 qui soit produit de petits premiers. Souvent on écrit n 1 = 2m et on est bloqué.

12 Des premiers pour quoi faire? On va voir que PRIMES est dans P. Le problème de la factorisation ne semble pas être dans P. Fonctions asymétriques et fonctions trappes. Pour construire des groupes multiplicatifs et utiliser des logarithmes discrets. On connaît #(Z/pZ). Pour construire des corps finis et faire de la géométrie : (3x + 2y) p = 3x p + 2y p F p [x, y]. SiV est une variété algébrique sur F p on a une application F : V V.Onpeutcalculer#E(F p ).

13 Critère de Fermat Si n est premier alors x n = x mod n pour tout entier x et x n 1 = 1modn si (x, n) =1. Preuve 1 : on vérifie pour x = 1 et on utilise (x + y) p = x p + y p. Preuve 2 : théorème de Lagrange. Critère de composition : W n =(Z/nZ), F n associée est définie par : F n : (Z/nZ) {prime, composite} x prime si x n 1 = 1modn composite si x n 1 = 1modn On choisit x au hasard (comment?) et on calcule F n (x). Si F n (x) =composite alors n est composé. Critère de composition. Si F n (x) =prime que faire?

14 Critère de Fermat Combien de faux témoins? Pas trop en général. 100% pour les nombres de Carmichael exemple n = 561 = Que se passe-t-il? Il y a une infinité de nombres de Carmichael d après Alford, Granville, Pomerance. Le test de Fermat n a pas de faux témoins si n est premier, mais peut avoir 100% de faux témoins pour certains nombres composés.

15 Théorème Le critère de Miller-Rabin Soit n 3 un entier impair et posons n 1 = 2 k mavecmimpair. Si nestpremier, alors pour tout x dans (Z/nZ), on a Démonstration. x m = 1 ou x 2i m = 1 pour un 0 i < k. (1) D après le théorème de Fermat, x n 1 1 = 0. Mais x n 1 1 =(x n 1 2 ) 2 1 =(x n 1 2 1)(x n ) = (x m 1)(x m + 1)(x 2m + 1) (x 2k 1 m + 1) (Z/nZ) est un corps, donc au moins un des facteurs est nul.

16 Le test de Miller-Rabin Corollaire : Si l on trouve un x tel que Eq. (1) est fausse, alors n est composé. Critère de composition : W n =(Z/nZ), M n associée est définie par : M n : (Z/nZ) {prime, composite} x prime si (1) est vraie composite sinon On choisit x au hasard et on calcule M n (x). Comment? Complexité? Si M n (x) =composite alors n est composé. Critère de composition. Si M n (x) =prime que dire?

17 Le test de Miller-Rabin Théorème Si n est composé et impair, et s il a t facteurs premiers, alors #{x in(z/nz) : Eq. (1) est vraie} ϕ(n) 1 2 t 1. Si de plus n 15 alors 1/4. Remarque 1 : Après λ tests, la probabilité de manquer un composé est majorée par 1/4 λ. Remarque 2 : Cette majoration est presque optimale. Pour n = pq avec p = 2 a + 1, q = 4 a 1 deux premiers et a impair, n 1 = 2 a (4a + 3) et il y a beaucoup d entiers x d ordre a modulo n.

18 Preuve I Soit l le plus grand entier tel que 2 l divise p 1 pour tout diviseur premier p de n. Alors B = {x in (Z/nZ) : Eq. (1) est vraie} est contenu dans B = {x in (Z/nZ) : x 2l 1 m = ±1} Si x m = 1modn alors x B.Six m2i = 1 modn avec 1 i < k alors 2 i+1 divise p 1 pour tout p n. Donc l i + 1. Donc x 2l 1m =( 1) 2l i 1.

19 Preuve II Le nombre de x tels que x 2l 1 m = 1estleproduitsurp du nombre de solutions de x 2l 1 m = 1modp ap, Donc, pgcd((p 1)p ap 1, m 2 l 1 ) (= pgcd(p 1, m) 2 l 1 ). #{x in (Z/nZ) : x 2l 1 m = 1} = p n pgcd(p 1, m) 2 l 1. De même, le nombre de x tels que x 2l m = 1modp ap est pgcd(p 1, m) 2 l, donc le nombre de x tels que x 2l 1 m = 1 mod p ap est aussi pgcd(p 1, m) 2 l 1. Donc, #B = 2 p n pgcd(p 1, m) 2l 1, et #B ϕ(n) = 2 pgcd(p 1, m) 2 l 1 (p 1) p ap 1. p n

20 Preuve III Comme 2 l 1 pgcd(p 1, m) divise (p 1)/2, on a #B ϕ(n) 1 2 t 1. Enfin si t = 1, #B /ϕ(n) 1/3.

21 Complexité et fiabilité Si n est premier, pas de faux temoin. Si n est composé, la densité de faux témoins est 1/4 et 1/2 t 1. T =(log n) 2+(n) avec exponentiation et arithmétique rapides. Avec λ/2 tests de Miller-Rabin, pour n 15 impair, l algorithme répond prime avec probabilité 2 λ si n est composé. Le temps de calcul est (λ/2)(log n) 2+(n). Nous verrons qu il existe un algorithme qui atteint la même sécurité en temps λ 1 2 +(λ) (log n) 2+(n) si λ log n.

22 Symbole de Legendre Soit n 3 un entier premier. Pour a entier a n est défini par a 0 si a = 0modn. = 1 si l équation X 2 = a a deux solutions dans Z/nZ. n 1 si l équation X 2 = a n a aucune solution dans Z/nZ. On a n 1 a n = a 2 mod n. Eneffetsia = b 2 alors a n 1 2 = b n 1 = 1et le polynôme x n 1 2 1n apasplusde(n 1)/2 solutions. Cela donne une première méthode pour calculer efficacement ce symbole. Notons que a a n est un morphisme de groupes.

23 Loi de réciprocité quadratique Théorème Si p et q sont des premiers impairs positifs et distincts, alors 2 p p q q p =( 1) (p 1)(q 1) 4, =( 1) p ,et p =( 1) p 1 2.

24 Démonstration. Soit Φ q (x) =1 + x + + x q 1 et A(x) F p [x] un facteur irréductible de Φ q (x) modulo p. Soit L = F p [x]/a et ζ = x mod A(x) L.C estuneracineq-ième primitive de l unité dans L.Lasomme de Gauss τ = x ζ x q x F q 1 est dans L. On montre que τ 2 = q L. Donc τ est une q 1 racine carrée de q. CetteracineestdansF q p si et seulement si p 1 τ p = τ. Onvérifiequeτ p = τ. Donc q est un carré q q p modulo p si et seulement si = 1. q

25 Symbole de Jacobi Soit N 3entierimpairetN = i pe i i sa factorisation. Le symbole de Jacobi est x = ei x. N p i i a Dépend de x mod N. Et = 0ssipgcd(a, b) = 1. b Théorème (Gauss) 1 Pour M 3 et N 3 impairs M et M N N M =( 1) M 1 2, =( 1) (M 1)(N 1) 4. 2 M =( 1) M2 1 8,

26 Calcul du symbole de Jacobi Pour calculer M N on utilise alternativement trois idées remplacer M par M%N, si M est pair, sortir 2, si M est impair et < N basculer. Et même mieux. T =(log max(m, N)) 2+o(1).

27 Critère de Solovay-Strassen Si n 3 est premier alors pour tout x dans (Z/nZ) on a x n 1 x 2 = mod n. n L ensemble des témoins pour ce test est donc W n =(Z/nZ) et l application associée S n : (Z/nZ) {prime, composite} est définie par : S n (x) =prime ssi x n 1 2 = x n mod n.

28 Densité de faux témoins Si n est premier impair, pas de faux témoins. Théorème Si n est un entier impair composé, la densité de faux témoins vérifie où ϕ(n) =#(Z/nZ). {x (Z/nZ) x n 1 2 = x n mod n} 1 ϕ(n) 2, Complexité? Densité? Comparaison avec Miller-Rabin?

29 Bilan On a montré que PRIME est dans co RP. Montrer que PRIME est dans RP a pris beaucoup de temps. Adleman et Huang l ont montré en Rappel : RP co RP est noté ZPP. Quantités pertinentes pour un test de composition : densité µ(n), complexité T (n). Le quotient T (n) log 2 µ(n) est le prix d un bit de sécurité, ou d espérance. On obtient (log n) 2+o(1).

30 Résumé Complexité des algorithmes antiques Distribution des nombres premiers Exponentiation rapide Preuves courtes de l ordre d un élément Preuves courtes de primalité et de composition PRIME est dans NP co NP Ordre exact Test de Pocklington-Lehmer Tests de composition (Miller-Rabin, Solovay-Strassen) PRIME est dans co RP