Ceci implique que αn−1 = 1 et que α∈ (Z/pZ)× d’inverse αn−2

Universit´e de Bordeaux L3 Math, Info, Math-Info Coll`ege Sciences et Technologies

Ann´ee Universitaire 2015-2016 Examen

Parcours : IN601, MA601, MA603 UE :N1MA6W31 Epreuve :´ Cryptographie et Arithm´etique

Date : 26 Avril 2016 Heure : 14h00 Dur´ee : 3h Documents : Aucun document autoris´e

Epreuve de M. Cerri´

Corrig´e

Exercice 1 [Th´eor`eme de Proth]

1)Soient α∈Z/nZ une racine primitive modulo neta∈Ztel queα=a.

L’´el´ementα´etant d’ordren−1 dans (Z/nZ)^×, on aαⁿ⁻¹ = 1 etαⁿ⁻¹² 6= 1. Orαⁿ⁻¹ = 1 implique (αⁿ⁻¹² −1)(αⁿ⁻¹² +1) = 0. MaisZ/nZest un corps etαⁿ⁻¹² −16= 0. On en d´eduit queαⁿ⁻¹² +1 = 0, ce qui donne aⁿ⁻¹² ≡ −1 modn.

2.a) Commeaⁿ⁻¹² ≡ −1 modn, on a aⁿ⁻¹² ≡ −1 modp etαⁿ⁻¹² =−1 dans Z/pZ. Ceci implique que αⁿ⁻¹ = 1 et que α∈ (Z/pZ)^× d’inverse αⁿ⁻². De plus, comme 1 6=−1 (car,n ´etant impair, on a p > 2), l’ordre deα dans (Z/pZ)^× divise n−1 = 2^rs mais ne divise pas ⁿ⁻¹₂ = 2^r−1s. Ceci n’est possible que si 2^r divise cet ordre.

2.b) L’ordre de α dans (Z/pZ)^× divise p−1 (cons´equence du th´eor`eme de Lagrange). On en d´eduit que 2^r divisep−1 et donc p≡1 mod 2^r.

2.c)

i) Si nest compos´e il s’´ecrit comme produit de t≥2 nombres premiers n=Qt

i=1pi. Par la question pr´ec´edente, pour touti on api ≡1 mod 2^r. Posons x=p1 ety =Qt

i=2pi. On a x, y >1 et x, y≡1 mod 2^r, d’o`u x=k2^r+ 1 et y=l2^r+ 1 avec k, l >0. Comme n=xy on a la conclusion.

ii) Sik=l = 1 on obtientn= (2^r+ 1)² = 2^2r+ 2^r+1+ 1 d’o`u l’on d´eduit s= 2^r+ 2. Or s est impair.

iii) On a donc n≥(2×2^r+ 1)(2^r+ 1) = (2^r+1+ 3)2^r+ 1 d’o`us≥2^r+1+ 3.

2.d) Par contraposition, commes <2^r+1+ 3, on obtient quen est premier.

3)SiFnest premier, la question 1 implique qu’il existea∈Ztel quea^Fn−12 =a²²

n−1

≡ −1 modFn. R´eciproquement si un tel a existe, le th´eor`eme de Proth (avec s= 1, r = 2ⁿ) montre que F_n est premier.

Remarque. On ne peut pas faire mieux que s < 2^r+1+ 3 comme le montre le cas n = 15 = (2²+ 3)2¹+ 1 qui est compos´e et v´erifie qu’il existe a=−1 tel que aⁿ⁻¹² ≡ −1 modn.

Exercice 2 [Algorithme de Dixon] 1)Six²≡y² modN, alors

(1) N |(x+y)(x−y).

Si pgcd(x+y, N) =N, alorsN |x+y etx≡ −ymodN, ce qui est faux. Si pgcd(x+y, N) = 1, alors (1) et le lemme de Gauss impliquent N | x−y ou encore x ≡ ymodN, ce qui est encore faux. Par suite pgcd(x+y, N) qui est un diviseur deN, est un diviseur non trivial deN. Le mˆeme

raisonnement s’applique `a pgcd(x−y, N).

2)En faisant par exemple¹ le produit des congruences num´eros 2, 5 et 6 on obtient (10235×99334×80737)² ≡(2⁵×11)²modN,

ou encore²

1148323² ≡352²modN.

En posant x= 1148323 ety= 352, on constate que les hypoth`eses de la question 1 sont v´erifi´ees.

On calcule alors par exemple pgcd(x+y, N) `a l’aide de l’algorithme d’Euclide et on trouve 4177.

Un second diviseur non trivial de N est N/4177 = 809, que l’on peut aussi obtenir en calculant pgcd(x−y, N).

Exercice 3 [syst`eme cryptographique du sac `a dos de Naccache-Stern]

1) Comme pour tout i, 0< p_i < p qui est premier, le petit th´eor`eme de Fermat donne : p^p−1_i = 1 modpdoncp^b(p−1)_i = 1 modp. Deas+b(p−1) = 1, on d´eduit que pour toution ap^as_i p^b(p−1)_i = pi modp doncp^as_i =pi modp. Le choix vi=p^a_i modpconvient.

2)On a

c^smodp=

n

Y

i=0

v^sm_i ⁱ modp=

n

Y

i=0

p^m_i ⁱ modp= Y

i/mi=1

pi modp= Y

i/mi=1

pi

car Q

pi < p.

3)Alice calcule x=c^smodp. Pour tout ielle fait la division euclidienne dex parp_i. Si p_i divise x alorsmi= 1. Sinon mi = 0.

4.a) Appliquons l’algorithme d’Euclide ´etendu `a p−1 = 210 ets= 97.

r_i r_i+1 q_i u_i v_i

210 97 1 0

97 16 2 0 1

16 1 6 1 −2

1 0 6 −6 13

On obtient la relation de B´ezout 13s−6(p−1) = 1 donca= 13. Par cons´equentv0= 2¹³mod 211, v1 = 3¹³mod 211, v2 = 5¹³mod 211 et v3 = 7¹³mod 211. On utilise l’exponentiation binaire modulaire en tenant compte du fait que 13 = 2³+ 2²+ 1. On obtient alors v₀ = 2×16×45 = 174 mod 211,v1 = 3×81×20 = 7 mod 211,v2= 5×203×64 = 183 mod 211 etv3 = 7×80×70 = 165 mod 211. Sa cl´e publique est donc

K_pub = (211,3,174,7,183,165).

4.b) Alice calcule x = c^smodp = 98⁹⁷mod 211. Elle utilise l’exponentiation binaire modulaire en tenant compte du fait que 97 = 2⁶+ 2⁵+ 1. Elle obtientx= 98×203×64 = 42 mod 211. Elle observe que 2 | 42, 3 | 42, 5 -42 et 7 |42 et elle en d´eduit que m = (1,1,0,1) ou 11. On peut v´erifier que sim= (1,1,0,1), le chiffr´e est effectivement 174×7×165 = 98 mod 211.

Exercice 4 [Log Discret]

1) Dans Z/pZ il calcule d’abord A^s = α^ks = P^k puis son inverse P^−k `a l’aide de l’algorithme d’Euclide ´etendu. Il peut aussi commencer par calculer dansZ/pZl’inverse de Apuis l’´elever `a la puissance spour obtenirP^−k. Enfin il calcule BP^−k =m.

2.a) Le groupe (Z/pZ)^× est d’ordre 36 = 2²×3². Pour ´etablir que α qui est bien dans (Z/pZ)^× est d’ordre 36, il suffit de v´erifier queα¹²6= 1 et α¹⁸6= 1, o`u ´egalit´es et in´egalit´es sont entendues

1On pouvait ´egalement s´electionner les congruences 2, 3, 4, 7 ou 1, 2, 4, 5 ou encore 1, 2, 3, 6, 7. Le choix 1, 4, 6 et le choix 1, 3, 5, 7 en revanche ´etaient infructueux car conduisant `ax≡ ±ymodN.

2Pour cela ne pas calculer (sauf si on calcule “`a la main”) 10235×99334×80737, puis le r´esultat obtenu modulo N, maisx= 10235×99334 modN, puisx×80737 modN.

modulo p. On a α⁶ = 64 = 27 d’o`u α¹²= 26 etα¹⁸= 36.

2.b) Trivialement, la cl´e publique de Bob est (37,2,27).

2.c) Bob calcule 25⁶ mod 37 et trouve 10. Pour calculer 10⁻¹ mod 37 il utilise l’algorithme d’Euclide ´etendu.

ri ri+1 qi ui vi

37 10 1 0

10 7 3 0 1

7 3 1 1 −3

3 1 2 −1 4

1 0 3 3 −11

On a donc la relation de B´ezout 3×31−11×10 = 1 et 10⁻¹ mod 37 =−11 = 26. Bob calcule alors 9×26 mod 37 = 12. Le clair estm= 12.

3.a) Il y a φ(p−1) racines primitives modulo p. Or la d´ecomposition en produit de premiers de p−1 est 25468 = 2²×6367 (pour ´etablir que 6367 est premier il faut quand mˆeme v´erifier qu’il n’est divisible par aucun premier ≤ 79, soit 22 divisions dont heureusement certaines sont triviales). On en d´eduit qu’il y a 2×6366 = 12732 racines primitives modulo p.

3.b) Notons a= log₃(2), b= log₃(5) et c= log₃(7). Comme 490 = 2×5×7², 1568 = 2⁵×7² et 700 = 2²×5²×7, on a le syst`eme







a+b+ 2c = 1117 mod (p−1) 5a+ 2c = 1387 mod (p−1) 2a+ 2b+c = 1695 mod (p−1)

En faisant par exemple 2×(1)−(3) on obtient 3c= 539 mod (p−1). Comme 25468 = 3×8489 + 1 on a 3⁻¹mod (p−1) = −8489 d’o`u c = −8489× 539 mod (p− 1) = 8669. De (2) on tire 5a = 1387−2×8669 = 9517 mod (p−1). On voit facilement (ou sinon, on utilise Euclide

´

etendu) que 2×25468−10187×5 = 1 d’o`u l’on tire 5⁻¹ mod (p−1) =−10187. On obtient alors a=−10187×9517 mod (p−1) = 6997. Enfin de (1) on tireb= 1117−6997−2×8669 mod (p−1) = 2250.

3.c)Sachant que 10994 = 3^smodpet que 2450 = 2×5²×7², on obtient en passant aux logarithmes s+ 1351 =a+ 2b+ 2cmod (p−1) d’o`us= 6997 + 2×2250 + 2×8669−1351 mod (p−1) = 2016.

La cl´e secr`ete de Bob est 2016.

Exercice 5 [Corps finis]

1)On voit queD= detAet on sait que siKest un corps,A∈M₂(K) est inversible si et seulement si detA6= 0. Par ailleurs on voit facilement que siD6= 0, l’inverse deA est

(2) A⁻¹ =D⁻¹

d −b

−c a

.

2) Une matrice A ∈M2(K) est inversible si et seulement si ses deux colonnes forment une base de K². Pour qu’il en soit ainsi, il faut et il suffit que la premi`ere colonne soit non nulle et que la seconde ne soit pas colin´eaire `a la premi`ere. Pour la premi`ere colonne not´eeC on a |K²| −1 choix (on exclut la colonne nulle) et, C´etant fix´ee, on a|K²| − |K|choix pour la seconde (on exclut les

|K|colonnes de la formeλC o`u λ∈K). Compte tenu de|K²|=|K|² on a bien

(3) |GL₂(K)|= |K|²−1

|K|²− |K|

. 3)On obtient facilement : X,X+ 1 etX²+X+ 1.

4) SiP(X) est r´eductible, il est divisible par un polynˆome irr´eductible de degr´e ≤j5 2 k

= 2. On voit facilement queP(X) n’ a pas de racine dansF2, donc n’est divisible ni parX, ni parX+1. Par ailleurs, la division euclidienne deP(X) parX²+X+1 estX⁵+X²+1 = (X²+X+1)(X³+X²)+1 etP(X) n’est pas divisible par X²+X+ 1.

5)Comme degP(X) = 5, on a|K|= 2⁵= 32. On en d´eduit que|M₂(K)|=|K|⁴= 2²⁰= 1048576.

De plus par (3) on a |GL₂(K)|= (2¹⁰−1)(2¹⁰−2⁵) = 1014816.

6) Par ce qui pr´ec`ede, le nombre de messages qu’ils peuvent ´echanger est 2<sup>20</sup> = 1048576. Le nombre de cl´es secr`etes possibles est|GL₂(K)| × |M₂(K)|= 2²⁰(2¹⁰−1)(2¹⁰−2⁵)≈1.06×10¹². 7)Trivialement, sic=Am+B on am=A⁻¹(c−B) =A⁻¹(c+B) car le corpsK donc l’anneau M₂(K) sont de caract´eristique 2.

8)On a

c =

1 +α²+α³ α²+α⁴ 1 +α³+α⁴ α²+α³

α+α³ 1 +α² 1 +α³ α²+α⁴

+

1 +α⁴ α+α³ α+α⁴ α²+α⁴

=

1 +α+α²+α⁴+α⁶+α⁷ 1 +α+α⁵+α⁸ α²+α⁷ 1 +α³+α⁴+α⁷

.

Comme P(X) = X⁵+X² + 1 on a α⁵ = 1 +α², d’o`u l’on d´eduit successivement α⁶ = α+α³, α⁷ = α² +α⁴ et α⁸ = α³+α⁵ = 1 +α² +α³. En rempla¸cant dans la matrice pr´ec´edemment obtenue, on trouve

c=

1 +α³ 1 +α+α³ α⁴ 1 +α²+α³

.

9.a) On a D = (1 +α²+α³)(α²+α³)−(α²+α⁴)(1 +α³+α⁴) =α³+α⁵+α⁷+α⁸. Compte tenu des valeurs obtenues ci-dessus pourα⁵,α⁷ etα⁸ on trouve D=α²+α⁴.

9.b) Appliquons l’algorithme d’Euclide ´etendu dansF2[X] `a P(X) etX⁴+X². ri(X) ri+1(X) qi(X) ui(X) vi(X)

X⁵+X²+ 1 X⁴+X² 1 0

X⁴+X² X³+X²+ 1 X 0 1

X³+X²+ 1 X+ 1 X+ 1 1 X

X+ 1 1 X² X+ 1 X²+X+ 1

1 0 X+ 1 X³+X²+ 1 X⁴+X³+X²+X

On en d´eduit la relation de B´ezout (X⁵+X²+1)(X³+X²+1)+(X⁴+X²)(X⁴+X³+X²+X) = 1.

En passant aux classes modulo P(X) on obtient (α⁴+α²)(α⁴+α³+α²+α) = 1 et D⁻¹ =α+α²+α³+α⁴.

En reportant dans (2) on obtient

A⁻¹ = (α+α²+α³+α⁴)

α²+α³ α²+α⁴ 1 +α³+α⁴ 1 +α²+α³

=

α³+α⁷ α³+α⁴+α⁷+α⁸ α+α²+α³+α⁸ α+α²+α⁴+α7

.

Compte tenu des valeurs de α⁷ etα⁸ obtenues plus haut on a finalement A⁻¹ =

α²+α³+α⁴ 1

1 +α α

.

9.c) Par la question 7, on a m =

α²+α³+α⁴ 1

1 +α α

α² α³ α⁴ 1

+

1 +α⁴ α+α³ α+α⁴ α²+α⁴

=

α²+α³+α⁴ 1

1 +α α

1 +α²+α⁴ α α 1 +α²+α4

=

α+α²+α³+α⁵+α⁷+α⁸ 1 +α²+α³+α⁵ 1 +α+α³+α⁴+α⁵ α²+α³+α⁵

,

ce qui, compte tenu des valeurs de α⁵,α⁷ etα⁸, donne m=

α+α⁴ α³ α+α²+α³+α⁴ 1 +α³

.