在 RSA 加密算法中查找 p 和 q

Question

在RSA加密算法中已知e、d和n时，如何找到p和q的因数。我试图搜索但找不到任何来源。任何提示、参考或解决方案就足够了。

(e,n) 和 (d,n) 分别是公钥和私钥，n = pq.

Answer 1

我找到了一个source written in german (page 12+13)，它描述了一种随机算法来计算p 和q。

算法：

1. 计算s = max { t : 2<sup>t</sup> | (ed-1) } 和k = (ed-1) / (2<sup>s</sup>)
2. 在[2,n-1]中选择一个随机数a
3. 计算g = gcd(a,n)
4. 如果g > 1 ⇒ g = p 和q = n/g.
   否则为t = s-1, ... ,0 做：
   1. g = gcd( a<sup>k ⋅ 2<sup>t</sup></sup>, n )
   2. 如果g < n ⇒ g = p 和q = n/g。
      否则在[2,n-1]中选择一个新的随机数a并执行3。

如果选择a作为随机数（均匀分布），则找到p和q的概率为1/2，所以预计2次尝试后得到解。

证明这有效的证据与chinese remainder theorem有关。

备注：如果你已经有了私钥，那么很可能没有理由计算n的因数，因为同一个n的密钥(e,d)不应该超过一对。但是您可以使用此算法来证明破解 RSA 与分解n 一样困难。 （RSA 并不比因式分解更难，因为如果你有p 和q，你可以简单地计算私钥d）。