A. 什麼是RSA非對稱加密
非對稱密鑰——RSA演算法
RSA演算法是最流行的公鑰密碼演算法，使用長度可以變化的密鑰。RSA是第一個既能用於數據加密也能用於數字簽名的演算法。
RSA演算法原理如下：
1.隨機選擇兩個大質數p和q，p不等於q，計算N=pq；
2.選擇一個大於1小於N的自然數e，e必須與(p-1)(q-1)互素。
3.用公式計算出d：d×e = 1 (mod (p-1)(q-1)) 。
4.銷毀p和q。
最終得到的N和e就是「公鑰」，d就是「私鑰」，發送方使用N去加密數據，接收方只有使用d才能解開數據內容。
RSA的安全性依賴於大數分解，小於1024位的N已經被證明是不安全的，而且由於RSA演算法進行的都是大數計算，使得RSA最快的情況也比DES慢上倍，這是RSA最大的缺陷，因此通常只能用於加密少量數據或者加密密鑰，但RSA仍然不失為一種高強度的演算法。
B. RSA 加密演算法（原理篇）
前幾天看到一句話，「我們中的很多人把一生中最燦爛的笑容大部分都獻給了手機和電腦屏幕」。心中一驚，這說明了什麼？手機和電腦已經成為了我們生活中的一部分，所以才會有最懂你的不是你，也不是你男朋友，而是大數據。
如此重要的個人數據，怎樣才能保證其在互聯網上的安全傳輸呢？當然要靠各種加密演算法。說起加密演算法，大家都知道有哈希、對稱加密和非對稱加密了。哈希是一個散列函數，具有不可逆操作；對稱加密即加密和解密使用同一個密鑰，而非對稱加密加密和解密自然就是兩個密鑰了。稍微深入一些的，還要說出非對稱加密演算法有DES、3DES、RC4等，非對稱加密演算法自然就是RSA了。那麼當我們聊起RSA時，我們又在聊些什麼呢？今天筆者和大家一起探討一下，有不足的地方，還望各位朋友多多提意見，共同進步。
RSA簡介：1976年由麻省理工學院三位數學家共同提出的，為了紀念這一里程碑式的成就，就用他們三個人的名字首字母作為演算法的命名。即 羅納德·李維斯特 （Ron Rivest）、 阿迪·薩莫爾 （Adi Shamir）和 倫納德·阿德曼 （Leonard Adleman）。
公鑰：用於加密，驗簽。
私鑰：解密，加簽。
通常知道了公鑰和私鑰的用途以後，即可滿足基本的聊天需求了。但是我們今天的主要任務是來探究一下RSA加解密的原理。
說起加密演算法的原理部分，肯定與數學知識脫不了關系。
我們先來回憶幾個數學知識：
φn = φ(A*B)=φ(A)*φ(B)=(A-1)*(B-1)。
這個公式主要是用來計算給定一個任意的正整數n，在小於等於n的正整數中，有多少個與n構成互質的關系。
其中n=A*B，A與B互為質數，但A與B本身並不要求為質數，可以繼續展開，直至都為質數。
在最終分解完成後，即 φ(N) = φ(p1)*φ(p2)*φ(p3)... 之後，p1，p2，p3都是質數。又用到了歐拉函數的另一個特點，即當p是質數的時候，φp = p - 1。所以有了上面給出的歐拉定理公式。
舉例看一下：
計算15的歐拉函數，因為15比較小，我們可以直接看一下，小於15的正整數有 1、2、3、4、5、6、7、8、9、10、11、12、13、14。和15互質的數有1、2、4、7、8、11、13、14一共四個。
對照我們剛才的歐拉定理： 。
其他感興趣的，大家可以自己驗證。
之所以要在這里介紹歐拉函數，我們在計算公鑰和私鑰時候，會用到。
如果兩個正整數m 和 n 互質，那麼m 的 φn 次方減1，可以被n整除。
其中 .
其中當n為質數時，那麼 上面看到的公式就變成了
mod n 1.
這個公式也就是著名的 費馬小定理 了。
如果兩個正整數e和x互為質數，那麼一定存在一個整數d，不止一個，使得 e*d - 1 可以被x整除，即 e * d mode x 1。則稱 d 是 e 相對於 x的模反元素。
了解了上面所講的歐拉函數、歐拉定理和模反元素後，就要來一些化學反應了，請看圖：
上面這幅圖的公式變化有沒有沒看明白的，沒看明白的咱們評論區見哈。
最終我們得到了最重要的第5個公式的變形，即紅色箭頭後面的：
mod n m。
其中有幾個關系，需要搞明白，m 與 n 互為質數，φn = x，d 是e相對於x的模反元素。
有沒有看到一些加解密的雛形。
從 m 到 m。 這中間涵蓋了從加密到解密的整個過程，但是缺少了我們想要的密文整個過程。
OK，下面引入本文的第四個數學公式：
我們來看一下整個交換流程：
1、客戶端有一個數字13，服務端有一個數字15;
2、客戶端通過計算 3的13次方 對 17 取余，得到數字12; 將12發送給服務端；同時服務端通過計算3的15次方，對17取余，得到數字6，將6發送給客戶端。至此，整個交換過程完成。
3、服務端收到數字12以後，繼續計算，12的15次方 對 17取余，得到 數字10。
4、客戶端收到數字 6以後，繼續計算，6的13次方 對 17 取余，得到數字 10。
有沒有發現雙方，最終得到了相同的內容10。但是這個數字10從來沒有在網路過程中出現過。
好，講到這里，可能有些人已經恍然大悟，這就是加密過程了，但是也有人會產生疑問，為什麼要取數字3 和 17 呢，這里還牽涉到另一個數學知識，原根的問題。即3是17的原根。看圖
有沒有發現規律，3的1~16次方，對17取余，得到的整數是從1~16。這時我們稱3為17的原根。也就是說上面的計算過程中有一組原根的關系。這是最早的迪菲赫爾曼秘鑰交換演算法。
解決了為什麼取3和17的問題後，下面繼續來看最終的RSA是如何產生的：
還記得我們上面提到的歐拉定理嗎，其中 m 與 n 互為質數，n為質數，d 是 e 相對於 φn的模反元素。
當迪菲赫爾曼密鑰交換演算法碰上歐拉定理會產生什麼呢？
我們得到下面的推論：
好，到這里我們是不是已經看到了整個的加密和解密過程了。
其中 m 是明文；c 是密文； n 和 e 為公鑰；d 和 n 為私鑰 。
其中幾組數字的關系一定要明確：
1、d是e 相對於 φn 的模反元素，φn = n-1，即 e * d mod n = 1.
2、m 小於 n，上面在講迪菲赫爾曼密鑰交換演算法時，提到原根的問題，在RSA加密演算法中，對m和n並沒有原根條件的約束。只要滿足m與n互為質數，n為質數，且m < n就可以了。
OK，上面就是RSA加密演算法的原理了，經過上面幾個數學公式的狂轟亂炸，是不是有點迷亂了，給大家一些時間理一下，後面會和大家一起來驗證RSA演算法以及RSA為什麼安全。
C. 密碼學基礎1：RSA演算法原理全面解析
本節內容中可能用到的符號說明如下：
質數和合數： 質數是指除了平凡約數1和自身之外，沒有其他約數的大於1的正整數。大於1的正整數中不是素數的則為合數。如 7、11 是質數，而 4、9 是合數。在 RSA 演算法中主要用到了質數相關性質，質數可能是上帝留給人類的一把鑰匙，許多數學定理和猜想都跟質數有關。
[定理1] 除法定理： 對任意整數 a 和 任意正整數 n，存在唯一的整數 q 和 r，滿足 。其中， 稱為除法的商，而 稱為除法的余數。
整除： 在除法定理中，當余數 時，表示 a 能被 n 整除，或者說 a 是 n 的倍數，用符號 表示。
約數和倍數 ： 對於整數 d 和 a，如果 ，且 ，則我們說 d 是 a 的約數，a 是 d 的倍數。
公約數： 對於整數 d，a，b，如果 d 是 a 的約數且 d 也是 b 的約數，則 d 是 a 和 b 的公約數。如 30 的約數有 1，2，3，5，6，10，15，30，而 24 的約數有 1，2，3，4，6，8，12，24，則 30 和 24 的公約數有 1，2，3，6。其中 1 是任意兩個整數的公約數。
公約數的性質：
最大公約數： 兩個整數最大的公約數稱為最大公約數，用 來表示，如 30 和 24 的最大公約數是 6。 有一些顯而易見的性質：
[定理2] 最大公約數定理： 如果 a 和 b 是不為0的整數，則 是 a 和 b 的線性組合集合 中的最小正元素。
由定理2可以得到一個推論：
[推論1] 對任意整數 a 和 b，如果 且 ，則 。
互質數： 如果兩個整數 a 和 b 只有公因數 1，即 ，則我們就稱這兩個數是互質數(coprime）。比如 4 和 9 是互質數，但是 15 和 25 不是互質數。
互質數的性質：
歐幾里得演算法分為樸素歐幾里得演算法和擴展歐幾里得演算法，樸素法用於求兩個數的最大公約數，而擴展的歐幾里得演算法則有更多廣泛應用，如後面要提到的求一個數對特定模數的模逆元素等。
求兩個非負整數的最大公約數最有名的是 輾轉相除法，最早出現在偉大的數學家歐幾里得在他的經典巨作《幾何原本》中。輾轉相除法演算法求兩個非負整數的最大公約數描述如下：
例如， ，在求解過程中，較大的數縮小，持續進行同樣的計算可以不斷縮小這兩個數直至其中一個變成零。
歐幾里得演算法的python實現如下：
擴展歐幾里得演算法在 RSA 演算法中求模反元素有很重要的應用，定義如下：
定義： 對於不全為 0 的非負整數 ，則必然存在整數對 ，使得
例如，a 為 3，b 為 8，則 。那麼，必然存在整數對 ，滿足 。簡單計算可以得到 滿足要求。
擴展歐幾里得演算法的python實現如下：
同餘： 對於正整數 n 和 整數 a，b，如果滿足 ，即 a-b 是 n 的倍數，則我們稱 a 和 b 對模 n 同餘，記號如下： 例如，因為 ，於是有 。
對於正整數 n，整數 ，如果 則我們可以得到如下性質：
譬如，因為 ，則可以推出 。
另外，若 p 和 q 互質，且 ，則可推出：
此外，模的四則運算還有如下一些性質，證明也比較簡單，略去。
模逆元素： 對整數 a 和正整數 n，a 對模數 n 的模逆元素是指滿足以下條件的整數 b。 a 對 模數 n 的 模逆元素不一定存在，a 對 模數 n 的模逆元素存在的充分必要條件是 a 和 n 互質，這個在後面我們會有證明。若模逆元素存在，也不是唯一的。例如 a=3，n=4，則 a 對模數 n 的模逆元素為 7 + 4k，即 7，11，15，...都是整數 3 對模數 4 的模逆元素。如果 a 和 n 不互質，如 a = 2，n = 4，則不存在模逆元素。
[推論2] 模逆元素存在的充分必要條件是整數 a 和 模數 n 互質。
[定理3] 唯一質數分解定理： 任何一個大於1的正整數 n 都可以 唯一分解 為一組質數的乘積，其中 都是自然數(包括0)。比如 6000 可以唯一分解為 。
由質數唯一分解定理可以得到一個推論： 質數有無窮多個 。
[定理4] 中國剩餘定理(Chinese remainder theorem，CRT) ，最早見於《孫子算經》(中國南北朝數學著作，公元420-589年)，叫物不知數問題，也叫韓信點兵問題。
翻譯過來就是已知一個一元線性同餘方程組求 x 的解：
宋朝著名數學家秦九韶在他的著作中給出了物不知數問題的解法，明朝的數學家程大位甚至編了一個《孫子歌訣》：
意思就是：將除以 3 的余數 2 乘以 70，將除以 5 的余數 3 乘以 21，將除以 7 的余數 2 乘以 15，最終將這三個數相加得到 。再將 233 除以 3，5，7 的最小公倍數 105 得到的余數 ，即為符合要求的最小正整數，實際上， 都符合要求。
物不知數問題解法本質
求解通項公式
中國剩餘定理相當於給出了以下的一元線性同餘方程組的有解的判定條件，並用構造法給出了解的具體形式。
模數 兩兩互質 ，則對任意的整數： ，方程組 有解，且解可以由如下構造方法得到：
並設 是除 以外的其他 個模數的乘積。
中國剩餘定理通項公式證明
D. rsa演算法原理
RSA演算法是最常用的非對稱加密演算法，它既能用於加密，也能用於數字簽名。RSA的安全基於大數分解的難度。其公鑰和私鑰是一對大素數（100到200位十進制數或更大）的函數。從一個公鑰和密文恢復出明文的難度，等價於分解兩個大素數之積。
我們可以通過一個簡單的例子來理解RSA的工作原理。為了便於計算。在以下實例中只選取小數值的素數p,q,以及e，假設用戶A需要將明文「key」通過RSA加密後傳遞給用戶B，過程如下：設計公私密鑰(e,n)和(d,n)。
令p=3，q=11，得出n=p×q=3×11=33；f(n)=(p-1)(q-1)=2×10=20；取e=3，（3與20互質）則e×d≡1 mod f(n)，即3×d≡1 mod 20。通過試算我們找到，當d=7時，e×d≡1 mod f(n)同餘等式成立。因此，可令d=7。從而我們可以設計出一對公私密鑰，加密密鑰（公鑰）為：KU =(e,n)=(3,33)，解密密鑰（私鑰）為：KR =(d,n)=(7,33)。
英文數字化。將明文信息數字化，並將每塊兩個數字分組。假定明文英文字母編碼表為按字母順序排列數值。則得到分組後的key的明文信息為：11，05，25。
明文加密。用戶加密密鑰(3,33) 將數字化明文分組信息加密成密文。由C≡Me(mod n)得：
C1(密文)≡M1（明文）^e (mod n) == 11≡11^3 mod 33 ;
C2(密文)≡M2（明文）^e (mod n) == 26≡05^3 mod 33;
C3(密文)≡M3（明文）^e (mod n) == 16≡25^3 mod 33;
所以密文為11.26.16。
密文解密。用戶B收到密文，若將其解密，只需要計算，即：
M1(明文)≡C1（密文）^d (mod n) == 11≡11^7 mod 33;
M2(明文)≡C2（密文）^d (mod n) == 05≡26^7 mod 33;
M3(明文)≡C3（密文）^d (mod n) == 25≡16^7 mod 33;
轉成明文11.05.25。根據上面的編碼表將其轉換為英文，我們又得到了恢復後的原文「key」。
當然，實際運用要比這復雜得多，由於RSA演算法的公鑰私鑰的長度（模長度）要到1024位甚至2048位才能保證安全，因此，p、q、e的選取、公鑰私鑰的生成，加密解密模指數運算都有一定的計算程序，需要仰仗計算機高速完成。
E. 簡述RSA演算法中密鑰的產生，數據加密和解密的過程，並簡單說明RSA演算法安全性的原理。
RSA演算法的數學原理
RSA演算法的數學原理:
先來找出三個數, p, q, r,
其中 p, q 是兩個相異的質數, r 是與 (p-1)(q-1) 互質的數。
p, q, r 這三個數便是 private key。接著, 找出m, 使得 rm == 1 mod (p-1)(q-1)..... 這個 m 一定存在, 因為 r 與 (p-1)(q-1) 互質, 用輾轉相除法就可以得到了..... 再來, 計算 n = pq....... m, n 這兩個數便是 public key。
編碼過程是, 若資料為 a, 將其看成是一個大整數, 假設 a < n.... 如果 a >= n 的話, 就將 a 表成 s 進位 (s <= n, 通常取 s = 2^t), 則每一位數均小於 n, 然後分段編碼...... 接下來, 計算 b == a^m mod n, (0 <= b < n), b 就是編碼後的資料...... 解碼的過程是, 計算 c == b^r mod pq (0 <= c < pq), 於是乎, 解碼完畢...... 等會會證明 c 和 a 其實是相等的 :) 如果第三者進行竊聽時, 他會得到幾個數: m, n(=pq), b...... 他如果要解碼的話, 必須想辦法得到 r...... 所以, 他必須先對 n 作質因數分解......... 要防止他分解, 最有效的方法是找兩個非常的大質數 p, q, 使第三者作因數分解時發生困難......... <定理> 若 p, q 是相異質數, rm == 1 mod (p-1)(q-1), a 是任意一個正整數, b == a^m mod pq, c == b^r mod pq, 則 c == a mod pq 證明的過程, 會用到費馬小定理, 敘述如下: m 是任一質數, n 是任一整數, 則 n^m == n mod m (換另一句話說, 如果 n 和 m 互質, 則 n^(m-1) == 1 mod m) 運用一些基本的群論的知識, 就可以很容易地證出費馬小定理的........ <證明> 因為 rm == 1 mod (p-1)(q-1), 所以 rm = k(p-1)(q-1) + 1, 其中 k 是整數 因為在 molo 中是 preserve 乘法的 (x == y mod z and u == v mod z => xu == yv mod z), 所以, c == b^r == (a^m)^r == a^(rm) == a^(k(p-1)(q-1)+1) mod pq 1. 如果 a 不是 p 的倍數, 也不是 q 的倍數時, 則 a^(p-1) == 1 mod p (費馬小定理) => a^(k(p-1)(q-1)) == 1 mod p a^(q-1) == 1 mod q (費馬小定理) => a^(k(p-1)(q-1)) == 1 mod q 所以 p, q 均能整除 a^(k(p-1)(q-1)) - 1 => pq | a^(k(p-1)(q-1)) - 1 即 a^(k(p-1)(q-1)) == 1 mod pq => c == a^(k(p-1)(q-1)+1) == a mod pq 2. 如果 a 是 p 的倍數, 但不是 q 的倍數時, 則 a^(q-1) == 1 mod q (費馬小定理) => a^(k(p-1)(q-1)) == 1 mod q => c == a^(k(p-1)(q-1)+1) == a mod q => q | c - a 因 p | a => c == a^(k(p-1)(q-1)+1) == 0 mod p => p | c - a 所以, pq | c - a => c == a mod pq 3. 如果 a 是 q 的倍數, 但不是 p 的倍數時, 證明同上 4. 如果 a 同時是 p 和 q 的倍數時, 則 pq | a => c == a^(k(p-1)(q-1)+1) == 0 mod pq => pq | c - a => c == a mod pq Q.E.D. 這個定理說明 a 經過編碼為 b 再經過解碼為 c 時, a == c mod n (n = pq).... 但我們在做編碼解碼時, 限制 0 <= a < n, 0 <= c < n, 所以這就是說 a 等於 c, 所以這個過程確實能做到編碼解碼的功能.....
F. 什麼是RSA演算法，求簡單解釋。
RSA公鑰加密演算法是1977年由Ron Rivest、Adi Shamirh和LenAdleman在（美國麻省理工學院）開發的。RSA取名來自開發他們三者的名字。RSA是目前最有影響力的公鑰加密演算法，它能夠
抵抗到目前為止已知的所有密碼攻擊，已被ISO推薦為公鑰數據加密標准。RSA演算法基於一個十分簡單的數論事實：將兩個大素數相乘十分容易，但那時想要對其乘積進行因式分解卻極其困難，因此可以將乘積公開作為加密密鑰。由於進行的都是大數計算，使得RSA最快的情況也比DES慢上好幾倍，無論是軟體還是硬體實現。速度一直是RSA的缺陷。一般來說只用於少量數據加密。RSA的速度比對應同樣安全級別的對稱密碼演算法要慢1000倍左右。
基礎
大數分解和素性檢測——將兩個大素數相乘在計算上很容易實現，但將該乘積分解為兩個大素數因子的計算量是相當巨大的，以至於在實際計算中是不能實現的。
1.RSA密碼體制的建立：
(1)選擇兩個不同的大素數p和q；
(2)計算乘積n=pq和Φ(n)=(p-1)(q-1)；
(3)選擇大於1小於Φ(n)的隨機整數e，使得gcd(e,Φ(n))=1；
(4)計算d使得de=1mod Φ(n)；
(5)對每一個密鑰k=(n,p,q,d,e)，定義加密變換為Ek(x)=xemodn，解密變換為Dk(x)=ydmodn，這里x,y∈Zn；
(6)以{e,n}為公開密鑰，{p,q,d}為私有密鑰。
2.RSA演算法實例:
下面用兩個小素數7和17來建立一個簡單的RSA演算法：
(1)選擇兩個素數p=7和q=17；
(2)計算n=pq=7 17=119，計算Φ(n)=(p-1)(q-1)=6 16=96；
(3)選擇一個隨機整數e=5，它小於Φ(n)＝96並且於96互素；
(4)求出d，使得de=1mod96且d<96，此處求出d=77，因為 77 5＝385＝4 96＋1；
(5)輸入明文M＝19，計算19模119的5次冪，Me＝195＝66mod119,傳出密文C＝66；(6)接收密文66，計算66模119的77次冪；Cd=6677≡19mod119得到明文19。
G. rsa 的基本原理
1978年就出現了這種演算法，它是第一個既能用於數據加密也能用於數字簽名的演算法。
它易於理解和操作，也很流行。演算法的名字以發明者的名字命名：Ron Rivest, Adi
Shamir 和Leonard Adleman。但RSA的安全性一直未能得到理論上的證明。
RSA的安全性依賴於大數分解。公鑰和私鑰都是兩個大素數（ 大於 100
個十進制位）的函數。據猜測，從一個密鑰和密文推斷出明文的難度等同於分解兩個
大素數的積。
密鑰對的產生。選擇兩個大素數，p 和q 。計算：
n = p * q
然後隨機選擇加密密鑰e，要求 e 和 ( p - 1 ) * ( q - 1 ) 互質。最後，利用
Euclid 演算法計算解密密鑰d, 滿足
e * d = 1 ( mod ( p - 1 ) * ( q - 1 ) )
其中n和d也要互質。數e和
n是公鑰，d是私鑰。兩個素數p和q不再需要，應該丟棄，不要讓任何人知道。
加密信息 m（二進製表示）時，首先把m分成等長數據塊 m1 ,m2,..., mi ，塊長s
，其中 2^s <= n, s 盡可能的大。對應的密文是：
ci = mi^e ( mod n ) ( a )
解密時作如下計算：
mi = ci^d ( mod n ) ( b )
RSA 可用於數字簽名，方案是用 ( a ) 式簽名， ( b )
式驗證。具體操作時考慮到安全性和 m信息量較大等因素，一般是先作 HASH 運算。
RSA 的安全性。
RSA的安全性依賴於大數分解，但是否等同於大數分解一直未能得到理論上的證明，因
為沒有證明破解
RSA就一定需要作大數分解。假設存在一種無須分解大數的演算法，那它肯定可以修改成
為大數分解演算法。目前， RSA
的一些變種演算法已被證明等價於大數分解。不管怎樣，分解n是最顯然的攻擊方法。現
在，人們已能分解140多個十進制位的大素數。因此，模數n
必須選大一些，因具體適用情況而定。
RSA的速度。
由於進行的都是大數計算，使得RSA最快的情況也比DES慢上100倍，無論是軟體還是硬
件實現。速度一直是RSA的缺陷。一般來說只用於少量數據加密。
RSA的選擇密文攻擊。
RSA在選擇密文攻擊面前很脆弱。一般攻擊者是將某一信息作一下偽裝(
Blind)，讓擁有私鑰的實體簽署。然後，經過計算就可得到它所想要的信息。實際上
，攻擊利用的都是同一個弱點，即存在這樣一個事實：乘冪保留了輸入的乘法結構：
( XM )^d = X^d *M^d mod n
前面已經提到，這個固有的問題來自於公鑰密碼系統的最有用的特徵--每個人都能使
用公鑰。但從演算法上無法解決這一問題，主要措施有兩條：一條是採用好的公鑰協議
，保證工作過程中實體不對其他實體任意產生的信息解密，不對自己一無所知的信息
簽名；另一條是決不對陌生人送來的隨機文檔簽名，簽名時首先使用One-Way Hash
Function
對文檔作HASH處理，或同時使用不同的簽名演算法。在中提到了幾種不同類型的攻擊方
法。
RSA的公共模數攻擊。
若系統中共有一個模數，只是不同的人擁有不同的e和d，系統將是危險的。最普遍的
情況是同一信息用不同的公鑰加密，這些公鑰共模而且互質，那末該信息無需私鑰就
可得到恢復。設P為信息明文，兩個加密密鑰為e1和e2，公共模數是n，則：
C1 = P^e1 mod n
C2 = P^e2 mod n
密碼分析者知道n、e1、e2、C1和C2，就能得到P。
因為e1和e2互質，故用Euclidean演算法能找到r和s，滿足：
r * e1 + s * e2 = 1
假設r為負數，需再用Euclidean演算法計算C1^(-1)，則
( C1^(-1) )^(-r) * C2^s = P mod n
另外，還有其它幾種利用公共模數攻擊的方法。總之，如果知道給定模數的一對e和d
，一是有利於攻擊者分解模數，一是有利於攻擊者計算出其它成對的e』和d』，而無
需分解模數。解決辦法只有一個，那就是不要共享模數n。
RSA的小指數攻擊。 有一種提高
RSA速度的建議是使公鑰e取較小的值，這樣會使加密變得易於實現，速度有所提高。
但這樣作是不安全的，對付辦法就是e和d都取較大的值。
RSA演算法是第一個能同時用於加密和數字簽名的演算法，也易於理解和操作。RSA是被研
究得最廣泛的公鑰演算法，從提出到現在已近二十年，經歷了各種攻擊的考驗，逐漸為
人們接受，普遍認為是目前最優秀的公鑰方案之一。RSA
的安全性依賴於大數的因子分解，但並沒有從理論上證明破譯RSA的難度與大數分解難
度等價。即RSA的重大缺陷是無法從理論上把握它的保密性能如何，而且密碼學界多數
人士傾向於因子分解不是NPC問題。
RSA的缺點主要有：A)產生密鑰很麻煩，受到素數產生技術的限制，因而難以做到一次
一密。B)分組長度太大，為保證安全性，n 至少也要 600 bits
以上，使運算代價很高，尤其是速度較慢，較對稱密碼演算法慢幾個數量級；且隨著大
數分解技術的發展，這個長度還在增加，不利於數據格式的標准化。目前，SET(
Secure Electronic Transaction
)協議中要求CA採用2048比特長的密鑰，其他實體使用1024比特的密鑰。
DSS/DSA演算法
Digital Signature Algorithm
(DSA)是Schnorr和ElGamal簽名演算法的變種，被美國NIST作為DSS(Digital Signature
Standard)。演算法中應用了下述參數：
p：L bits長的素數。L是64的倍數，范圍是512到1024；
q：p - 1的160bits的素因子；
g：g = h^((p-1)/q) mod p，h滿足h < p - 1, h^((p-1)/q) mod p > 1；
x：x < q，x為私鑰 ；
y：y = g^x mod p ，( p, q, g, y )為公鑰；
H( x )：One-Way Hash函數。DSS中選用SHA( Secure Hash Algorithm )。
p, q,
g可由一組用戶共享，但在實際應用中，使用公共模數可能會帶來一定的威脅。簽名及
驗證協議如下：
1. P產生隨機數k，k < q；
2. P計算 r = ( g^k mod p ) mod q
s = ( k^(-1) (H(m) + xr)) mod q
簽名結果是( m, r, s )。
3. 驗證時計算 w = s^(-1)mod q
u1 = ( H( m ) * w ) mod q
u2 = ( r * w ) mod q
v = (( g^u1 * y^u2 ) mod p ) mod q
若v = r，則認為簽名有效。
DSA是基於整數有限域離散對數難題的，其安全性與RSA相比差不多。DSA的一個重要特
點是兩個素數公開，這樣，當使用別人的p和q時，即使不知道私鑰，你也能確認它們
是否是隨機產生的，還是作了手腳。RSA演算法卻作不到。
H. 加密基礎知識二 非對稱加密RSA演算法和對稱加密
上述過程中，出現了公鑰(3233,17)和私鑰(3233,2753)，這兩組數字是怎麼找出來的呢？參考 RSA演算法原理（二）
首字母縮寫說明：E是加密（Encryption）D是解密（Decryption）N是數字（Number）。
1.隨機選擇兩個不相等的質數p和q。
alice選擇了61和53。（實際應用中，這兩個質數越大，就越難破解。）
2.計算p和q的乘積n。
n = 61×53 = 3233
n的長度就是密鑰長度。3233寫成二進制是110010100001，一共有12位，所以這個密鑰就是12位。實際應用中，RSA密鑰一般是1024位，重要場合則為2048位。
3.計算n的歐拉函數φ(n)。稱作L
根據公式φ(n) = (p-1)(q-1)
alice算出φ(3233)等於60×52，即3120。
4.隨機選擇一個整數e，也就是公鑰當中用來加密的那個數字
條件是1< e < φ(n)，且e與φ(n) 互質。
alice就在1到3120之間，隨機選擇了17。（實際應用中，常常選擇65537。）
5.計算e對於φ(n)的模反元素d。也就是密鑰當中用來解密的那個數字
所謂"模反元素"就是指有一個整數d，可以使得ed被φ(n)除的余數為1。ed ≡ 1 (mod φ(n))
alice找到了2753，即17*2753 mode 3120 = 1
6.將n和e封裝成公鑰，n和d封裝成私鑰。
在alice的例子中，n=3233，e=17，d=2753，所以公鑰就是 (3233,17)，私鑰就是（3233, 2753）。
上述故事中，blob為了偷偷地傳輸移動位數6，使用了公鑰做加密，即6^17 mode 3233 = 824。alice收到824之後，進行解密，即824^2753 mod 3233 = 6。也就是說，alice成功收到了blob使用的移動位數。
再來復習一下整個流程：
p=17,q=19
n = 17 19 = 323
L = 16 18 = 144
E = 5(E需要滿足以下兩個條件：1<E<144,E和144互質)
D = 29(D要滿足兩個條件，1<D<144,D mode 144 = 1)
假設某個需要傳遞123，則加密後：123^5 mode 323 = 225
接收者收到225後，進行解密，225^ 29 mode 323 = 123
回顧上面的密鑰生成步驟，一共出現六個數字：
p
q
n
L即φ(n)
e
d
這六個數字之中，公鑰用到了兩個（n和e），其餘四個數字都是不公開的。其中最關鍵的是d，因為n和d組成了私鑰，一旦d泄漏，就等於私鑰泄漏。那麼，有無可能在已知n和e的情況下，推導出d？
（1）ed≡1 (mod φ(n))。只有知道e和φ(n)，才能算出d。
（2）φ(n)=(p-1)(q-1)。只有知道p和q，才能算出φ(n)。
（3）n=pq。只有將n因數分解，才能算出p和q。
結論：如果n可以被因數分解，d就可以算出，也就意味著私鑰被破解。
可是，大整數的因數分解，是一件非常困難的事情。目前，除了暴力破解，還沒有發現別的有效方法。維基網路這樣寫道："對極大整數做因數分解的難度決定了RSA演算法的可靠性。換言之，對一極大整數做因數分解愈困難，RSA演算法愈可靠。假如有人找到一種快速因數分解的演算法，那麼RSA的可靠性就會極度下降。但找到這樣的演算法的可能性是非常小的。今天只有短的RSA密鑰才可能被暴力破解。到2008年為止，世界上還沒有任何可靠的攻擊RSA演算法的方式。只要密鑰長度足夠長，用RSA加密的信息實際上是不能被解破的。"
然而，雖然RSA的安全性依賴於大數的因子分解，但並沒有從理論上證明破譯RSA的難度與大數分解難度等價。即RSA的重大缺陷是無法從理論上把握它的保密性能如何。此外，RSA的缺點還有：
A)產生密鑰很麻煩，受到素數產生技術的限制，因而難以做到一次一密。
B)分組長度太大，為保證安全性，n 至少也要 600bits以上，使運算代價很高，尤其是速度較慢，較對稱密碼演算法慢幾個數量級；且隨著大數分解技術的發展，這個長度還在增加，不利於數據格式的標准化。因此， 使用RSA只能加密少量數據，大量的數據加密還要靠對稱密碼演算法 。
加密和解密是自古就有技術了。經常看到偵探電影的橋段，勇敢又機智的主角，拿著一長串毫無意義的數字苦惱，忽然靈光一閃，翻出一本厚書，將第一個數字對應頁碼數，第二個數字對應行數，第三個數字對應那一行的某個詞。數字變成了一串非常有意義的話：
Eat the beancurd with the peanut. Taste like the ham.
這種加密方法是將原來的某種信息按照某個規律打亂。某種打亂的方式就叫做密鑰(cipher code)。發出信息的人根據密鑰來給信息加密，而接收信息的人利用相同的密鑰，來給信息解密。 就好像一個帶鎖的盒子。發送信息的人將信息放到盒子里，用鑰匙鎖上。而接受信息的人則用相同的鑰匙打開。加密和解密用的是同一個密鑰，這種加密稱為對稱加密（symmetric encryption）。
如果一對一的話，那麼兩人需要交換一個密鑰。一對多的話，比如總部和多個特工的通信，依然可以使用同一套密鑰。 但這種情況下，對手偷到一個密鑰的話，就知道所有交流的信息了。 二戰中盟軍的情報戰成果，很多都來自於破獲這種對稱加密的密鑰。
為了更安全，總部需要給每個特工都設計一個不同的密鑰。如果是FBI這樣龐大的機構，恐怕很難維護這么多的密鑰。在現代社會，每個人的信用卡信息都需要加密。一一設計密鑰的話，銀行怕是要跪了。
對稱加密的薄弱之處在於給了太多人的鑰匙。如果只給特工鎖，而總部保有鑰匙，那就容易了。特工將信息用鎖鎖到盒子里，誰也打不開，除非到總部用唯一的一把鑰匙打開。只是這樣的話，特工每次出門都要帶上許多鎖，太容易被識破身份了。總部老大想了想，乾脆就把造鎖的技術公開了。特工，或者任何其它人，可以就地取材，按照圖紙造鎖，但無法根據圖紙造出鑰匙。鑰匙只有總部的那一把。
上面的關鍵是鎖和鑰匙工藝不同。知道了鎖，並不能知道鑰匙。這樣，銀行可以將「造鎖」的方法公布給所有用戶。 每個用戶可以用鎖來加密自己的信用卡信息。即使被別人竊聽到，也不用擔心：只有銀行才有鑰匙呢！這樣一種加密演算法叫做非對稱加密(asymmetric encryption)。非對稱加密的經典演算法是RSA演算法。它來自於數論與計算機計數的奇妙結合。
1976年，兩位美國計算機學家Whitfield Diffie 和 Martin Hellman，提出了一種嶄新構思，可以在不直接傳遞密鑰的情況下，完成解密。這被稱為"Diffie-Hellman密鑰交換演算法"。這個演算法啟發了其他科學家。人們認識到，加密和解密可以使用不同的規則，只要這兩種規則之間存在某種對應關系即可，這樣就避免了直接傳遞密鑰。這種新的加密模式被稱為"非對稱加密演算法"。
1977年，三位數學家Rivest、Shamir 和 Adleman 設計了一種演算法，可以實現非對稱加密。這種演算法用他們三個人的名字命名，叫做RSA演算法。從那時直到現在，RSA演算法一直是最廣為使用的"非對稱加密演算法"。毫不誇張地說，只要有計算機網路的地方，就有RSA演算法。
1.能「撞」上的保險箱（非對稱/公鑰加密體制，Asymmetric / Public Key Encryption）
數據加密解密和門鎖很像。最開始的時候，人們只想到了那種只能用鑰匙「鎖」數據的鎖。如果在自己的電腦上自己加密數據，當然可以用最開始這種門鎖的形式啦，方便快捷，簡單易用有木有。
但是我們現在是通信時代啊，雙方都想做安全的通信怎麼辦呢？如果也用這種方法，通信就好像互相發送密碼保險箱一樣…而且雙方必須都有鑰匙才能進行加密和解密。也就是說，兩個人都拿著保險箱的鑰匙，你把數據放進去，用鑰匙鎖上發給我。我用同樣的鑰匙把保險箱打開，再把我的數據鎖進保險箱，發送給你。
這樣看起來好像沒什麼問題。但是，這裡面 最大的問題是：我們兩個怎麼弄到同一個保險箱的同一個鑰匙呢？ 好像僅有的辦法就是我們兩個一起去買個保險箱，然後一人拿一把鑰匙，以後就用這個保險箱了。可是，現代通信社會，絕大多數情況下別說一起去買保險箱了，連見個面都難，這怎麼辦啊？
於是，人們想到了「撞門」的方法。我這有個可以「撞上」的保險箱，你那裡自己也買一個這樣的保險箱。通信最開始，我把保險箱打開，就這么開著把保險箱發給你。你把數據放進去以後，把保險箱「撞」上發給我。撞上以後，除了我以外，誰都打不開保險箱了。這就是RSA了，公開的保險箱就是公鑰，但是我有私鑰，我才能打開。
2.數字簽名
這種鎖看起來好像很不錯，但是鎖在運輸的過程中有這么一個嚴重的問題：你怎麼確定你收到的開著的保險箱就是我發來的呢？對於一個聰明人，他完全可以這么干：
(a)裝作運輸工人。我現在把我開著的保險箱運給對方。運輸工人自己也弄這么一個保險箱，運輸的時候把保險箱換成他做的。
(b)對方收到保險箱後，沒法知道這個保險箱是我最初發過去的，還是運輸工人替換的。對方把數據放進去，把保險箱撞上。
(c)運輸工人往回運的時候，用自己的鑰匙打開自己的保險箱，把數據拿走。然後復印也好，偽造也好，弄出一份數據，把這份數據放進我的保險箱，撞上，然後發給我。
從我的角度，從對方的角度，都會覺得這數據傳輸過程沒問題。但是，運輸工人成功拿到了數據，整個過程還是不安全的，大概的過程是這樣：
這怎麼辦啊？這個問題的本質原因是，人們沒辦法獲知，保險箱到底是「我」做的，還是運輸工人做的。那乾脆，我們都別做保險箱了，讓權威機構做保險箱，然後在每個保險箱上用特殊的工具刻上一個編號。對方收到保險箱的時候，在權威機構的「公告欄」上查一下編號，要是和保險箱上的編號一樣，我就知道這個保險箱是「我」的，就安心把數據放進去。大概過程是這樣的：
如何做出刻上編號，而且編號沒法修改的保險箱呢？這涉及到了公鑰體制中的另一個問題：數字簽名。
要知道，刻字這種事情吧，誰都能幹，所以想做出只能自己刻字，還沒法讓別人修改的保險箱確實有點難度。那麼怎麼辦呢？這其實困擾了人們很長的時間。直到有一天，人們發現：我們不一定非要在保險箱上刻規規矩矩的字，我們乾脆在保險箱上刻手寫名字好了。而且，刻字有點麻煩，乾脆我們在上面弄張紙，讓人直接在上面寫，簡單不費事。具體做法是，我們在保險箱上嵌進去一張紙，然後每個出產的保險箱都讓權威機構的CEO簽上自己的名字。然後，CEO把自己的簽名公開在權威機構的「公告欄」上面。比如這個CEO就叫「學酥」，那麼整個流程差不多是這個樣子：
這個方法的本質原理是，每個人都能夠通過筆跡看出保險箱上的字是不是學酥CEO簽的。但是呢，這個字體是學酥CEO唯一的字體。別人很難模仿。如果模仿我們就能自己分辨出來了。要是實在分辨不出來呢，我們就請一個筆跡專家來分辨。這不是很好嘛。這個在密碼學上就是數字簽名。
上面這個簽字的方法雖然好，但是還有一個比較蛋疼的問題。因為簽字的樣子是公開的，一個聰明人可以把公開的簽字影印一份，自己造個保險箱，然後把這個影印的字也嵌進去。這樣一來，這個聰明人也可以造一個相同簽字的保險箱了。解決這個問題一個非常簡單的方法就是在看保險箱上的簽名時，不光看字體本身，還要看字體是不是和公開的字體完全一樣。要是完全一樣，就可以考慮這個簽名可能是影印出來的。甚至，還要考察字體是不是和其他保險櫃上的字體一模一樣。因為聰明人為了欺騙大家，可能不影印公開的簽名，而影印其他保險箱上的簽名。這種解決方法雖然簡單，但是驗證簽名的時候麻煩了一些。麻煩的地方在於我不僅需要對比保險箱上的簽名是否與公開的筆跡一樣，還需要對比得到的簽名是否與公開的筆跡完全一樣，乃至是否和所有發布的保險箱上的簽名完全一樣。有沒有什麼更好的方法呢？
當然有，人們想到了一個比較好的方法。那就是，學酥CEO簽字的時候吧，不光把名字簽上，還得帶上簽字得日期，或者帶上這個保險箱的編號。這樣一來，每一個保險箱上的簽字就唯一了，這個簽字是學酥CEO的簽名+學酥CEO寫上的時間或者編號。這樣一來，就算有人偽造，也只能偽造用過的保險箱。這個問題就徹底解決了。這個過程大概是這么個樣子：
3 造價問題（密鑰封裝機制，Key Encapsulation Mechanism）
解決了上面的各種問題，我們要考慮考慮成本了… 這種能「撞」門的保險箱雖然好，但是這種鎖造價一般來說要比普通的鎖要高，而且鎖生產時間也會變長。在密碼學中，對於同樣「結實」的鎖，能「撞」門的鎖的造價一般來說是普通鎖的上千倍。同時，能「撞」門的鎖一般來說只能安裝在小的保險櫃裡面。畢竟，這么復雜的鎖，裝起來很費事啊！而普通鎖安裝在多大的保險櫃上面都可以呢。如果兩個人想傳輸大量數據的話，用一個大的保險櫃比用一堆小的保險櫃慢慢傳要好的多呀。怎麼解決這個問題呢？人們又想出了一個非常棒的方法：我們把兩種鎖結合起來。能「撞」上的保險櫃裡面放一個普通鎖的鑰匙。然後造一個用普通的保險櫃來鎖大量的數據。這樣一來，我們相當於用能「撞」上的保險櫃發一個鑰匙過去。對方收到兩個保險櫃後，先用自己的鑰匙把小保險櫃打開，取出鑰匙。然後在用這個鑰匙開大的保險櫃。這樣做更棒的一個地方在於，既然對方得到了一個鑰匙，後續再通信的時候，我們就不再需要能「撞」上的保險櫃了啊，在以後一定時間內就用普通保險櫃就好了，方便快捷嘛。
以下參考 數字簽名、數字證書、SSL、https是什麼關系？
4.數字簽名（Digital Signature）
數據在瀏覽器和伺服器之間傳輸時，有可能在傳輸過程中被冒充的盜賊把內容替換了，那麼如何保證數據是真實伺服器發送的而不被調包呢，同時如何保證傳輸的數據沒有被人篡改呢，要解決這兩個問題就必須用到數字簽名，數字簽名就如同日常生活的中的簽名一樣，一旦在合同書上落下了你的大名，從法律意義上就確定是你本人簽的字兒，這是任何人都沒法仿造的，因為這是你專有的手跡，任何人是造不出來的。那麼在計算機中的數字簽名怎麼回事呢？數字簽名就是用於驗證傳輸的內容是不是真實伺服器發送的數據，發送的數據有沒有被篡改過，它就干這兩件事，是非對稱加密的一種應用場景。不過他是反過來用私鑰來加密，通過與之配對的公鑰來解密。
第一步：服務端把報文經過Hash處理後生成摘要信息Digest，摘要信息使用私鑰private-key加密之後就生成簽名，伺服器把簽名連同報文一起發送給客戶端。
第二步：客戶端接收到數據後，把簽名提取出來用public-key解密，如果能正常的解密出來Digest2，那麼就能確認是對方發的。
第三步：客戶端把報文Text提取出來做同樣的Hash處理，得到的摘要信息Digest1，再與之前解密出來的Digist2對比，如果兩者相等，就表示內容沒有被篡改，否則內容就是被人改過了。因為只要文本內容哪怕有任何一點點改動都會Hash出一個完全不一樣的摘要信息出來。
5.數字證書（Certificate Authority）
數字證書簡稱CA，它由權威機構給某網站頒發的一種認可憑證，這個憑證是被大家（瀏覽器）所認可的，為什麼需要用數字證書呢，難道有了數字簽名還不夠安全嗎？有這樣一種情況，就是瀏覽器無法確定所有的真實伺服器是不是真的是真實的，舉一個簡單的例子：A廠家給你們家安裝鎖，同時把鑰匙也交給你，只要鑰匙能打開鎖，你就可以確定鑰匙和鎖是配對的，如果有人把鑰匙換了或者把鎖換了，你是打不開門的，你就知道肯定被竊取了，但是如果有人把鎖和鑰匙替換成另一套表面看起來差不多的，但質量差很多的，雖然鑰匙和鎖配套，但是你卻不能確定這是否真的是A廠家給你的，那麼這時候，你可以找質檢部門來檢驗一下，這套鎖是不是真的來自於A廠家，質檢部門是權威機構，他說的話是可以被公眾認可的（呵呵）。
同樣的， 因為如果有人（張三）用自己的公鑰把真實伺服器發送給瀏覽器的公鑰替換了，於是張三用自己的私鑰執行相同的步驟對文本Hash、數字簽名，最後得到的結果都沒什麼問題，但事實上瀏覽器看到的東西卻不是真實伺服器給的，而是被張三從里到外（公鑰到私鑰）換了一通。那麼如何保證你現在使用的公鑰就是真實伺服器發給你的呢？我們就用數字證書來解決這個問題。數字證書一般由數字證書認證機構（Certificate Authority）頒發，證書裡麵包含了真實伺服器的公鑰和網站的一些其他信息，數字證書機構用自己的私鑰加密後發給瀏覽器，瀏覽器使用數字證書機構的公鑰解密後得到真實伺服器的公鑰。這個過程是建立在被大家所認可的證書機構之上得到的公鑰，所以這是一種安全的方式。
常見的對稱加密演算法有DES、3DES、AES、RC5、RC6。非對稱加密演算法應用非常廣泛，如SSH,
HTTPS, TLS，電子證書，電子簽名，電子身份證等等。
參考 DES/3DES/AES區別
I. 網路安全 簡述RSA演算法的原理和特點
1978年就出現了這種演算法，它是第一個既能用於數據加密也能用於數字簽名的演算法。
它易於理解和操作，也很流行。演算法的名字以發明者的名字命名：Ron Rivest, Adi
Shamir 和Leonard Adleman。但RSA的安全性一直未能得到理論上的證明。
RSA的安全性依賴於大數分解。公鑰和私鑰都是兩個大素數（ 大於 100
個十進制位）的函數。據猜測，從一個密鑰和密文推斷出明文的難度等同於分解兩個
大素數的積。
密鑰對的產生。選擇兩個大素數，p 和q 。計算：
n = p * q
然後隨機選擇加密密鑰e，要求 e 和 ( p - 1 ) * ( q - 1 ) 互質。最後，利用
Euclid 演算法計算解密密鑰d, 滿足
e * d = 1 ( mod ( p - 1 ) * ( q - 1 ) )
其中n和d也要互質。數e和
n是公鑰，d是私鑰。兩個素數p和q不再需要，應該丟棄，不要讓任何人知道。
加密信息 m（二進製表示）時，首先把m分成等長數據塊 m1 ,m2,..., mi ，塊長s
，其中 2^s <= n, s 盡可能的大。對應的密文是：
ci = mi^e ( mod n ) ( a )
解密時作如下計算：
mi = ci^d ( mod n ) ( b )
RSA 可用於數字簽名，方案是用 ( a ) 式簽名， ( b )
式驗證。具體操作時考慮到安全性和 m信息量較大等因素，一般是先作 HASH 運算。
RSA 的安全性。
RSA的安全性依賴於大數分解，但是否等同於大數分解一直未能得到理論上的證明，因
為沒有證明破解
RSA就一定需要作大數分解。假設存在一種無須分解大數的演算法，那它肯定可以修改成
為大數分解演算法。目前， RSA
的一些變種演算法已被證明等價於大數分解。不管怎樣，分解n是最顯然的攻擊方法。現
在，人們已能分解140多個十進制位的大素數。因此，模數n
必須選大一些，因具體適用情況而定。
RSA的速度。
由於進行的都是大數計算，使得RSA最快的情況也比DES慢上100倍，無論是軟體還是硬
件實現。速度一直是RSA的缺陷。一般來說只用於少量數據加密。
RSA的選擇密文攻擊。
RSA在選擇密文攻擊面前很脆弱。一般攻擊者是將某一信息作一下偽裝(
Blind)，讓擁有私鑰的實體簽署。然後，經過計算就可得到它所想要的信息。實際上
，攻擊利用的都是同一個弱點，即存在這樣一個事實：乘冪保留了輸入的乘法結構：
( XM )^d = X^d *M^d mod n
前面已經提到，這個固有的問題來自於公鑰密碼系統的最有用的特徵--每個人都能使
用公鑰。但從演算法上無法解決這一問題，主要措施有兩條：一條是採用好的公鑰協議
，保證工作過程中實體不對其他實體任意產生的信息解密，不對自己一無所知的信息
簽名；另一條是決不對陌生人送來的隨機文檔簽名，簽名時首先使用One-Way Hash
Function
對文檔作HASH處理，或同時使用不同的簽名演算法。在中提到了幾種不同類型的攻擊方
法。
RSA的公共模數攻擊。
若系統中共有一個模數，只是不同的人擁有不同的e和d，系統將是危險的。最普遍的
情況是同一信息用不同的公鑰加密，這些公鑰共模而且互質，那末該信息無需私鑰就
可得到恢復。設P為信息明文，兩個加密密鑰為e1和e2，公共模數是n，則：
C1 = P^e1 mod n
C2 = P^e2 mod n
密碼分析者知道n、e1、e2、C1和C2，就能得到P。
因為e1和e2互質，故用Euclidean演算法能找到r和s，滿足：
r * e1 + s * e2 = 1
假設r為負數，需再用Euclidean演算法計算C1^(-1)，則
( C1^(-1) )^(-r) * C2^s = P mod n
另外，還有其它幾種利用公共模數攻擊的方法。總之，如果知道給定模數的一對e和d
，一是有利於攻擊者分解模數，一是有利於攻擊者計算出其它成對的e』和d』，而無
需分解模數。解決辦法只有一個，那就是不要共享模數n。
RSA的小指數攻擊。 有一種提高
RSA速度的建議是使公鑰e取較小的值，這樣會使加密變得易於實現，速度有所提高。
但這樣作是不安全的，對付辦法就是e和d都取較大的值。
RSA演算法是第一個能同時用於加密和數字簽名的演算法，也易於理解和操作。RSA是被研
究得最廣泛的公鑰演算法，從提出到現在已近二十年，經歷了各種攻擊的考驗，逐漸為
人們接受，普遍認為是目前最優秀的公鑰方案之一。RSA
的安全性依賴於大數的因子分解，但並沒有從理論上證明破譯RSA的難度與大數分解難
度等價。即RSA的重大缺陷是無法從理論上把握它的保密性能如何，而且密碼學界多數
人士傾向於因子分解不是NPC問題。
RSA的缺點主要有：A)產生密鑰很麻煩，受到素數產生技術的限制，因而難以做到一次
一密。B)分組長度太大，為保證安全性，n 至少也要 600 bits
以上，使運算代價很高，尤其是速度較慢，較對稱密碼演算法慢幾個數量級；且隨著大
數分解技術的發展，這個長度還在增加，不利於數據格式的標准化。目前，SET(
Secure Electronic Transaction
)協議中要求CA採用2048比特長的密鑰，其他實體使用1024比特的密鑰。
DSS/DSA演算法
Digital Signature Algorithm
(DSA)是Schnorr和ElGamal簽名演算法的變種，被美國NIST作為DSS(Digital Signature
Standard)。演算法中應用了下述參數：
p：L bits長的素數。L是64的倍數，范圍是512到1024；
q：p - 1的160bits的素因子；
g：g = h^((p-1)/q) mod p，h滿足h < p - 1, h^((p-1)/q) mod p > 1；
x：x < q，x為私鑰 ；
y：y = g^x mod p ，( p, q, g, y )為公鑰；
H( x )：One-Way Hash函數。DSS中選用SHA( Secure Hash Algorithm )。
p, q,
g可由一組用戶共享，但在實際應用中，使用公共模數可能會帶來一定的威脅。簽名及
驗證協議如下：
1. P產生隨機數k，k < q；
2. P計算 r = ( g^k mod p ) mod q
s = ( k^(-1) (H(m) + xr)) mod q
簽名結果是( m, r, s )。
3. 驗證時計算 w = s^(-1)mod q
u1 = ( H( m ) * w ) mod q
u2 = ( r * w ) mod q
v = (( g^u1 * y^u2 ) mod p ) mod q
若v = r，則認為簽名有效。
DSA是基於整數有限域離散對數難題的，其安全性與RSA相比差不多。DSA的一個重要特
點是兩個素數公開，這樣，當使用別人的p和q時，即使不知道私鑰，你也能確認它們
是否是隨機產生的，還是作了手腳。RSA演算法卻作不到。
本文來自CSDN博客，