Алгоритм Блюм — Блюма — Шуба

Алгоритм Блюм — Блюма — Шуба (англ. Algorithm Blum — Blum — Shub, BBS) — генератор псевдослучайных чисел, предложенный в 1986 году Ленор Блюм, Мануэлем Блюмом и Майклом Шубом.

BBS выглядит так:

\text{[math]}

x_{n+1}=x_{n}^{2}\;{\bmod {\;}}M,

x_{n+1}=x_n^2\;\bmod\;M,

где $\text{[math]}$ $\text{[math]}$ $M=pq$ $M=pq$ является произведением двух больших простых $\text{[math]}$ $\text{[math]}$ $p$ $p$ и $\text{[math]}$ $\text{[math]}$ $q$ $q$ . На каждом шаге алгоритма выходные данные получаются из $\text{[math]}$ $\text{[math]}$ $x_{n}$ $x_{n}$ путём взятия либо бита чётности, либо одного или больше наименее значимых бит $\text{[math]}$ $\text{[math]}$ $x_{n}$ $x_{n}$ .

Два простых числа, $\text{[math]}$ $\text{[math]}$ $p$ $p$ и $\text{[math]}$ $\text{[math]}$ $q$ $q$ , должны быть оба сравнимы с 3 по модулю 4 (это гарантирует, что каждый квадратичный вычет имеет один квадратный корень, который также является квадратичным вычетом) и наибольший общий делитель НОД $\text{[math]}$ $\text{[math]}$ $(p-1,q-1)$ $(p-1,q-1)$ должен быть мал (это увеличивает длину цикла).

Интересной особенностью этого алгоритма является то, что для получения $\text{[math]}$ $\text{[math]}$ $x_{n}$ $x_{n}$ необязательно вычислять все $\text{[math]}$ $\text{[math]}$ $n-1$ $n-1$ предыдущих чисел, если известно начальное состояние генератора $\text{[math]}$ $\text{[math]}$ $x_{0}$ $x_{0}$ и числа $\text{[math]}$ $\text{[math]}$ $p$ $p$ и $\text{[math]}$ $\text{[math]}$ $q$ $q$ . $\text{[math]}$ $\text{[math]}$ $n$ $n$ -ное значение может быть вычислено «напрямую» используя формулу:

\text{[math]}

x_{n}=x_{0}^{2^{n}{\bmod {\lambda }}(M)}\;{\bmod {\;}}M

x_{n}=x_{0}^{2^{n}{\bmod {\lambda }}(M)}\;{\bmod {\;}}M

,

где $\text{[math]}$ $\text{[math]}$ $\lambda$ $\lambda$ — функция Кармайкла: в данном случае $\text{[math]}$ $\text{[math]}$ $\lambda (M)=\lambda (pq)=lcm(p-1,q-1)$ $\lambda (M)=\lambda (pq)=lcm(p-1,q-1)$ — наименьшее общее кратное чисел $\text{[math]}$ $\text{[math]}$ $p-1$ $p-1$ и $\text{[math]}$ $\text{[math]}$ $q-1$ $q-1$ .

НадёжностьПравить

Этот генератор подходит для криптографии, но не для моделирования, потому что он недостаточно быстр. Однако, он имеет необычно высокую стойкость, которая обеспечивается качеством генератора исходя из вычислительной сложности задачи факторизации чисел. Когда простые числа выбраны осторожно, и $\text{[math]}$ $\text{[math]}$ $O(\log \log M)$ бит каждого $\text{[math]}$ $\text{[math]}$ $x_{n}$ являются выходными данными, тогда предел взятый как $\text{[math]}$ $\text{[math]}$ $M$ быстро растёт, и вычисление выходных бит будет настолько же трудно, как и факторизация $\text{[math]}$ $\text{[math]}$ $M$ .

Если факторизация целых чисел так трудна (как предполагается), тогда BBS с большим $\text{[math]}$ $\text{[math]}$ $M$ будет иметь выход, свободный от любых неслучайных шаблонов, которые могут быть выявлены при достаточном объёме вычислений. Однако, возможно появление быстрого алгоритма для факторизации, и вследствие этого BBS не является гарантированно надёжным.

ПримечанияПравить

ЛитератураПравить

Lenore Blum, Manuel Blum, and Michael Shub. «A Simple Unpredictable Pseudo-Random Number Generator», SIAM Journal on Computing, volume 15, pages 364—383, May 1986.
Lenore Blum, Manuel Blum, and Michael Shub. «Comparison of two pseudo-random number generators», Advances in Cryptology: Proceedings of Crypto '82. Available as PDF.
Pascal Junod, «Cryptographic Secure Pseudo-Random Bits Generation: The Blum-Blum-Shub Generator», August 1999. 21 page PDF file
Martin Geisler, Mikkel Krøigård, and Andreas Danielsen. «About Random Bits», December 2004. Available as PDF and Gzipped Postscript.
Randomness Recommendations for Security — RFC 1750.