Uma análise comparativa entre os testes de primalidade AKS e Miller-Rabin

Uma análise comparativa entre os testes de primalidade AKS e Miller-Rabin

Fernando de Farias

Universidade Católica de Brasília Curso de Matemática Orientador: José Eduardo Castilho

RESUMO

Os algoritmos para determinação de primalidade são classificados em duas classes de métodos: os determinísticos e os probabilísticos. Em geral, os algoritmos probabilísticos são de tempo polinomial enquanto que os determinísticos são de tempo exponencial. O AKS é o primeiro algoritmo determinístico a executar este teste em tempo polinomial.

Este trabalho faz uma análise entre o método AKS e o método Miller-Rabin, que é um dos métodos probabilísticos mais utilizados. Para isto, foi feita implementação na linguagem do Maple para a análise da comparação do desempenho de cada algoritmo.

Palavras-chave: primalidade, números primos.

1. INTRODUÇÃO

Comprovar a primalidade de um número natural significa comprovar que este número só admite como divisores positivos ele próprio e o número um. Os números que não são primos são conhecidos como números compostos. Todo número composto pode ser escrito de forma única (a menos da ordem dos fatores) como o produto finito de números primos. Com isto pode-se dizer que os números primos formam uma base para a construção dos números inteiros. Este fato justifica o porquê dos números primos serem objeto de estudo desde a antigüidade até os tempos atuais. Testar a primalidade com números pequenos, até que a tarefa não é das mais complicadas, mas à medida que os números se tornam maiores, a comprovação da primalidade tornar-se muito problemática. Isto se deve ao fato de não se conhecer um procedimento de geração de números primos.

“A importância dos testes de primalidade se deve principalmente aos sistemas de criptografia, onde existe uma necessidade de gerar números primos com ordem de grandeza acima de 100 dígitos, que é vital para a segurança dos criptosistemas. Os primeiros algoritmos criados para testar a primalidade de um número remontam à Grécia antiga. Até 2002, os principais algoritmos desenvolvidos eram enquadrados em duas grandes classes”. (BRAGA, 2002):

• De tempo não-polinomial e determinísticos: Afirmam com 100% de certeza a primalidade de um número, mas o cálculo é realizado em tempo exponencial.

Exemplos: Crivo de Eratóstenes e Adleman- Rumely, que apresentam tempo de execução da ordem de ^log

( )

^{n O(logloglogn).}

• De tempo polinomial, mas não-determinísticos: A complexidade do algoritmo é em função de um polinômio. O tempo de cálculo não 'explode' quando o número testado é muito grande, mas não dão certeza absoluta quanto à primalidade.

Exemplos: Teste de MILLER-RABIN.

Entretanto no final de 2002, um professor indiano, Manindra Agrawal, e seus dois alunos, Neeraj Kayal e Nitin Saxena, descobriram um algoritmo que está sendo chamado de AKS (iniciais de seus nomes), que permite verificar, sem margem de erro, se um inteiro positivo é ou não primo, em tempo polinomial.

Neste trabalho se faz uma análise dos testes probabilísticos e os determinísticos, onde são abordados dois testes para análise comparativa: o Testes de Miller-Rabin, que é um teste probabilístico pertencente a família Teste de Monte Carlo, com margem de erro muito pequena, da ordem de10⁻²⁴, e o Teste do AKS, que é determinístico e de tempo polinomial. Os algoritmos têm como fundamentação teórica o Pequeno Teorema de Fermat, o qual será apresentado na próxima seção.

2. PEQUENO TEOREMA DE FERMAT

Vários algoritmos eficientes de teste de primalidade sejam determinísticos ou probabilísticos se baseiam no Pequeno Teorema de Fermat (PTF):

Teorema 2.1 Se p é um primo e se não divide o inteiro a(p/| a), então:

p é primo ⇒

a

^p−1≡1 (mod p )

Demonstração: Considere os p−1 primeiros múltiplos positivos de a , isto é, os inteiros:

a p a a

a,2 ,3 ,...,( −1)

Nenhum desses inteiros é congruente a ⁰

(

^{mod p}

)

, além disso, dois quaisquer deles são incongruentes

(

^{mod p}

)

, pois, se fossem:

(

^mod

)

^,1≤ < ≤ −¹

≡sa p r s p

ra

Então, o fator comum a poderia ser cancelado, porque o mdc

( )

a^,p =¹, e teríamos:

(

^p

)

s

r≡ mod o que é impossível, visto que 0<s−r< p.

Assim sendo, cada um dos inteiros ^a,2a,3a,...,

(

^p−1

)

^a é congruente

(

^{mod p}

)

a um único dos inteiros 1,2,3,..., p−1, considerados uma certa ordem, e por conseguinte multiplicando ordenadamente todas essas p−1 congruências por a , teremos:

(

^p

)

^a

a a

a⋅2 ⋅3 ..., −1 ≡ ^{1⋅2⋅3⋅...}

(

^p−1

) (

^{mod p}

)

ou seja:

(

^p

) (

^p

) (

^p

)

a^p−1 −1!≡ −1! mod

Como p é primo e p não divide

(

p−¹

)

^!, podemos cancelar o fator comum

(

p−¹

)

^!, o que dá a congruência de Fermat:

^{ap−1 ≡1}

(

^{mod p}

)

□

Os números que satisfazem o PTF são chamados de prováveis primos. O termo prováveis se deve ao fato de que o PTF não garante a volta. Para cada valor de a existe uma infinidade de não primos que satisfaz esse teste os quais são chamados de pseudoprimos ou falsos primos. Como exemplo tem-se o número de Carmichael, p=1001152801, que satisfaz o PTF, mas é um número composto, pois este pode ser expresso comop=11×41×61×151×241.

3. ALGORITMO AKS

O algoritmo AKS ganhou destaque por ser o primeiro algoritmo publicado que é simultaneamente polinomial, determinístico, e incondicional. O que isto significa, o tempo máximo de processamento do algoritmo pode ser expresso como um polinômio em relação ao número de dígitos do número analisado. Isto permite classificar o número informado como primo ou composto ao invés de retornar um resultado probabilístico. O ponto chave do algoritmo tem como base o seguinte Teorema:

Teorema 3.1 Suponha que a∈Z^*_p. Então p>1é primo se:

a x a

x+ )^p ≡ ^p+

( (mod p ).

Demonstração: Pelo Teorema Binomial de Newton, temos que:

j j p p

j

p x a

j a p

x ⁻

∑

= 







=  +

0

)

( ,

Mas nos casos em que j é diferente de 1 e p , o coeficiente binomial 







 j

p é divisível por p , logo

todos os termos intermediários desta expansão são divisíveis por p , ou seja, são concruentes a zero modulo p .

Assim

a x a x a

x+ )^p ≡ ^p + ^p ≡ ^p +

( (mod p ).

Onde na última congruência é devida ao PTF. Desta forma obtém-se o seguinte critério de primalidade

p é primo ⇔ (x+a)^p ≡x^p+a (mod p ), para todo a < p

O conceito básico do algoritmo AKS é a congruência do Teorema 3.1. Analisando a expansão binomial inteira de

(

^x+^a

)

^p, ou seja, os temos 







 j

p com j≠1e p ,pode-se determinar se p é

primo, pois caso todos os termos da expansão com j=1,...p−1 forem divisíveis por p , então p seria primo, caso contrário teríamos p composto. Pode-se verificar esta propriedade no Triangulo de Pascal, onde cada linha representa os coeficientes da expansão binomial.

Triangulo de Pascal 0: 1

1: 1 1 2: 1 2 1

3: 1 3 3 1

4: 1 4 6 4 1

5: 1 5 10 10 5 1 6: 1 6 15 20 15 6 1 7: 1 7 21 35 35 21 7 1 8: 1 8 28 56 70 56 28 8 1 9: 1 9 36 84 126 126 84 36 9 1 10: 1 10 45 120 210 252 210 120 45 10 1

Para p muito grande este tipo de teste é impraticável e o AKS implementa o teste, descrito a seguir. A idéia do AKS é tornar o teste binomial rápido e ainda ser capaz de provar que o teste responde corretamente mesmo quando p é composto. Ao invés de trabalharmos com módulo p , trabalhamos com módulo um polinômio x^r −1 (onde r é um primo razoavelmente pequeno). Ou seja, no lugar de calcular

(

^x+^a

)

^p , calcula-se o resto da divisão de

(

^x+^a

)

^p por x^r−1, que é feito usando o mesmo método em Álgebra para dividir um polinômio por outro. Dessa maneira, teremos no máximo r−1 termos para examinar, enquanto que na expansão de

(

^x+^a

)

^p temos

−1 p .

Desta forma, o AKS considera a seguinte congruência:

(

^x+a

)

^{p ≡}

(

^{xp +a}

) (

^{mod(xr−1,p)}

)

, (3.1) onde

(

^{mod(xr −1,p)}

)

representa aplicar

(

^{modxr −1}

)

e ao resultado aplicar

(

^modp

)

. Como a congruência original é satisfeita sempre que p é primo, então tem-se que a congruência (3.1) também é satisfeita quando p é primo. A justificativa é que quando duas expressões são iguais,

apresentam o mesmo resto quando se divide essas duas expressões por x^r −1. O que não é óbvio é que a nova congruência é sempre falsa quando n é composto, pois mesmo quando

(

^x−a

)

^{n ≡/}

(

^xn−a

) ⁽

^modn

⁾

é possível que dois diferentes polinômios tenham o mesmo resto quando divididos por x^r −1 O que o AKS mostra é que se p é composto, e se for escolhido o valor de r , que satisfaz as condições

p r

q>2 log e ^{p( )r−1/q} ≡/¹

(

^modr

)

, (3.2) onde q é o maior fator primo de r−1. Desta forma basta testar apenas um número pequeno de

a até encontrarmos um tal que

(

^x−a

)

^{p ≡/}

(

^{xp −a}

)

^mod

(

^{xr −1,p}

)

. □

Uma vez que se encontra um valor de a que satisfaz a relação acima, prova-se que p é composto. O valor de a deve estar no intervalo entre 1 e 2 rlogp, (BRAGA, 2002).

Algoritmo AKS 1. Entrada p>1

2. Se p=a^bcom b>1, retorna COMPOSTO 3. r←2

4. Enquanto

(

^{r< p}

)

^{

5. Se mdc

( )

r^,p ≠¹, retorna COMPOSTO 6. Se r é primo{

7. Encontre q o maior divisor primo de r−1

8. Se q>2 rlogp e ^{p( )r−1/q} ≡/¹

(

^modr

)

vai para 10.}

9. r←r+1}

10. Para a=1até 2 r logp faça

11. Se

(

^x+a

)

^{p ≡/xp+a}

(

^{modxr −1,p}

)

retoma COMPOSTO 12. retorna PRIMO

Os passos do algoritmo, numerados de um a nove, usam alguns conceitos algébricos que descartam valores que não influenciam na determinação da primalidade. No passo dois verifica- se, se n é uma potência de um número inteiro. Isto é feito por um algoritmo em tempo polinomial.

Nos passos de três a nove procura-se os valores de r e q que satisfaçam as condições (3.2). Nos passos dez e onze verifica-se a existência de um valor de a que não satisfaça a condição (3.1), retornando que o número é composto. Caso contrário tem-se que o número p é primo.

4. TESTE DE MILLER-RABIN

“Com teste de Miller-Rabin inaugurou a classe de testes probabilísticos chamada de Testes de Monte Carlo. Estes testes são usados largamente na maioria das funções de teste de primalidade presentes nos softwares matemáticos, dada a sua velocidade e o grau de confiabilidade. De fato, o esse algoritmo não verifica a primalidade de um número, a única coisa que ele detecta com segurança é se o número é composto”. (COUTINHO, 2003). Ele faz um teste, que verifica se o número é composto. “Caso o teste seja falho existe a probabilidade de 75% do número ser primo.

Aplica-se novamente o teste e se este for falho a probabilidade do número ser primo passa a ser 93%”. (MARTINEZ e CAMPOS, 2004). O procedimento pode ser repetido e na quinta iteração tem-se uma probabilidade aproximada de 99.9% do número ser primo. Se o número passar no teste, ele é composto. É importante dizer que o teste Miller-Rabin, como às vezes também é chamado, não dá indícios sobre a fatoração prima do número n. O algoritmo tem como base o resultado do seguinte teorema:

Teorema 4.1 Seja p ímpar e p−1=2^kqcom q ímpar e k≥1. Se p é primo e a∈Z^*_p, então

(

ⁿ

)

a^q ≡1mod ou existe um i∈

{

^0,1,...,k−¹

}

tal que

(

^p

)

a^2iq ≡1mod

Demonstração: Consideremos a seguinte seqüência de potencias módulo p :

q q q

q ^{k k}

a a

a

a ,

²

,...,

^{2 −1}

,

²

Se p for um número primo, então pelo menos uma destas potências tem que ser congruente a 1 modulo p , pois, pelo (Teorema 2.1), temos

(

^p

)

a

a^2kq = ^p−1 ≡1mod .

Seja i≥1 o menor expoente tal que ^{a2iq ≡1}

(

^modp

)

. Podemos escrever

(

¹

) (

¹

)

1 ^{2 1 2 1}

2^iq − = a ^i−q − ⋅ a ^{i− q} +

a .

Como p é primo e p |

(

^{a2iq −1}

)

, então ou p |

(

^{a2i−1q −1}

)

^{ou p |}

(

^{a2i−1q +1}

)

. Sendo i o menor expoente tal que

(

^{a2iq −1}

)

é divisível por p , então

(

^{a2i−1q −1}

)

não é divisível por p . Segue que

p divide

(

^{a2i−1q +1}

)

^{, isto é, a2iq −1≡−1}

⁽

^{mod p}

⁾

^.

Concluído que se p é primo, então uma das potências da seqüência dada tem que ser congruente

(

^p

)

a−1mod quando i≥1. Agora, se i=0 então ^aq ≡¹

(

^modp

)

e a esta congruência não podemos aplicar o produto notável, pois q é ímpar.

Portanto, se p é primo, então uma das potências da seqüência é congruente a−1 módulo p ou

(

^p

)

a^q ≡1mod □ Se os primos se destinarem para o uso "industrial" (por exemplo, para a encriptação RSA), geralmente não é necessário provar sua primalidade. É suficiente saber que a probabilidade do número ser composto é menor do que 10²⁴%. Neste caso, podem-se utilizar os testes (fortes) de primalidade provável.

Algoritmo Miller-Rabin

1. escolha a∈

{

^1,...,p−¹

}

aleatório 2. escreva p−1=2^tq, qímpar

3. calcule sucessivamente ^{a a}

(

^p

)

^{a a}

(

^p

)

^ak ^ak

(

^p

)

q mod , _{1 0}² mod ,... ²₁ mod

0 = = = − até que

t

k= ou ^ak ≡1

(

mod^p

)

4. se k=t e ^ak ≡/1

(

mod^p

)

retorne COMPOSTO 5. senão k =0então retorne PRIMO

6. senão ^ak−₁≡/−1

(

mod^p

)

então retorne COMPOSTO 7. senão retorne PRIMO

5. ANÁLISE COMPARATIVA

Nesta seção faz-se um teste comparativo entre os algoritmos AKS e Miller-Rabin. O objetivo é comparar a eficiência no contexto computacional. Para isto, implementou-se os algoritmos, usando o Maple com o pacote numtheory . Os códigos e detalhes da implementação, são apresentados em anexo. Os testes foram realizados num computador: Pentium 4 CPU 3.00 GHz, 512 MB de RAM.

TABELA 1: Analise comparativa

Tempo

Números AKS RABIN

1001152801 0.734 s 0 s

1000151 4700 s

“ ran out of memory”

0.47 s

4339 3.891 s 0.078

155121545123548965423579 514269624785214512122156

706197

0.781 s 0.31 s

O primeiro número testado foi um pseudo primo, o AKS levou 0.734 para testar o número, o RABIN com a probabilidade mais de 99,9% levou 0 segundos fazer a observação de que este zero significa tempo menor que 0.001 comparando com o tempo do AKS, ambos verificam que o número não é primo.

Segundo é um primos de 7 dígitos, AKS levou 4700 s em média para retornar que não havia memória suficiente para verificar sua primalidade enquanto o RABIN levou 0.47 segundos com a probabilidade de 99,9% de esse número ser primo.

O terceiro exemplo é um número primo, para o qual o AKS levou 3.891 segundos. Neste caso o valor de r é igual ao valor de p .

O quarto número é composto, AKS levou 0.781 segundos para retornar que o número era composto e RABIN levou 0.31 segundos com a probabilidade desse número ser primo de menos 0.001%.

O teste de Miller-Rabin, aplicado ao número 45127, dá como verdadeiro que este seja primo. No entanto a implementação do método AKS, apresentada neste trabalho, não conseguiu fazer a verificação após 10 horas de processamento. Isto se deve a forma como o passo 11 do algoritmo foi implementado.

A limitação de memória tem ocorrido no passo 11 do algoritmo. Este passo tem sido um limitante na implementação apresentada. Neste aspecto, o Rabin tem sido mais eficiente. Foi testado o primo de 80 dígitos, apresentado abaixo, e o Rabin respondeu como sendo primo, num tempo de 0.52s, enquanto o AKS já está dando limitação de memória para primos com 7 dígitos.

Primo de 80 dígitos:

10011528011151515151234511521212158784512154155512121548789555895515121261321153 6. CONCLUSÃO

Em todos os casos testados verificou-se a eficiência na questão tempo de processamento e memória no algoritmo do Miller-Rabin é superior ao algoritmo do AKS. “Na implementação do algoritmo AKS o passo 11 calcula duplo módulo entre polinômios de grau p e r . Esta divisão polinomial foi implementada com o uso do comando rem do pacote numtheory do Maple, A implementação eficiente deste passo tem sido um desafio aos programadores”. (SANTOS e ENOQUE). Apesar do número de operações ser de tempo polinomial, este tem sido o passo significativo no cálculo do tempo total de execução. Crandall e Papadopoulos (2003) sugerem uma nova implementação para este passo que deve melhorar a desempenho do algoritmo, mas que não pode ser testada neste trabalho, por exigir uma linguagem de programação de baixo nível. Outro fator que deve melhorar a “performance” do algoritmo é se fazer uma implementação num ambiente de cálculo, que não seja simbólico. O AKS tem sua relevância do ponto de vista matemático, mas em termos práticos o Rabin tem-se mostrado mais eficiente.

REFERÊNCIAS BIBLIOGRÁFICAS

BRAGA, da R. B, Algoritmo AKS primalidade de um numero em tempo polinomial, UFRJ artigo de conclusão de curso, 11 de setembro, 2002.

COUTINHO, S. C. Uma introdução ao algoritmo AKS, Coleção Iniciação cientifica, Sociedade brasileira de matemática. 2003

CRANDALL, R. e PAPADOPOULOS, J. On the implementation of AKS-class primality test, Advanced Computation Group. Apple Computer e University of Maryland College Park. 2003

MARTINEZ, E. B. F e CAMPOS, M. T, Algoritmo AKS para verificação de primalidade em tempo polinomial, 2004, < http://www.cic.unb.br/~pedro/trabs/primal.htm >, Acesso em 28/08/2007.

SANTOS, P. NETO, R. X. e ENOQUE T. Uma tentativa de implementação do algoritmo de primalidade AKS.

2002, Disponível em <http://www.cic.unb.br/~pedro/trabs/primal.htm> , Acesso em 10/11/2007.

Fernando de Farias Nunes (fernandofnunes@hotmail.com) Curso de Matemática, Universidade Católica de Brasília

EPCT – QS 07 – Lote 01 – Águas Claras – Taguatinga – CEP.: 72966-700

ANEXOS.

A1: Algoritmo AKS.

Esta implementação tem como base o código apresentado por Braga (2004). A implementação original faz uso a função isprime, que é um procedimento probabilístico. Isto influencia nos resultados de eficiência do algoritmo. Desta forma optou-se por substituir a função isprime pelo Crivo de Erastóteles. Deve-se observar que nesta fase do algoritmo, o número r , que deve ser testado pelo Crivo, é bem pequeno com relação ao número p .

# Procedimento AKS aks := proc (n) local r, fs, q, a;

if (NisAB(n)) then RETURN(false) fi;

r := 2;

while r < n do

if igcd(n, r) <> 1 then RETURN(false); fi; # n is composite if crivo(r) then

if r = 2 then q := 2; else fs := factorset(r-1); q := fs[-1]; fi;

if q >= simplify(4.0*sqrt(r)*log(n)) and (n^((r-1)/q) mod r) <> 1 then break;

fi;

fi;

if r > 2 then r := r + 2; else r:=r+1; end if;

# print(`Valor de r = `,r);

od;

print("Valor de r = ",r);

for a from 1 to simplify(2.0*sqrt(r)*log(n)) do

if ((rem((x-a)^n, x^r-1, x) mod n)<>(rem(x^n-a, x^r-1, x) mod n)) then RETURN(false); # n is composite

fi;

od;

RETURN(true); # n is prime end:

# Função que checa se n = a^b NisAb := proc(n)

local b, ret, lim;

ret:=false;

lim:= trunc(evalf((log(n))/log(2)));

for b from 2 to lim while (not ret) do if type(eval(exp(log(n)/b)),integer) then

if type(eval(root(n,b)),integer) then ret := true end if;

fi;

od;

return(ret);

end:

# Crivo de Erastóteles crivo:=proc(n::integer) local k;

k:=3;

while (k < sqrt(n*1.0)) do

if n mod k = 0 then return false; end if;

k:=k+2;

end do;

return true;

end:

A2: Algoritmo Miller-Rabin.

# Teste de Miller-Rabim

MRtest := proc (N::integer,t::integer) local a,d,e,j,k,s,u,f,found,randomelement;

randomelement := rand(2..N-1);

for s from 1 to t do a := randomelement();

if N mod a = 0 then return(false) fi;

d := igcd(a,N);

if d>1 then return(false) fi;

e := a&^(N-1) mod N;

if not (e=1) then return(false) fi;

# print(`Iniciando o teste de Miller-Rabin`);

u := N-1;

k := 0;

while (u mod 2 = 0) do u := u/2;

k := k+1;

od;

f := a &^u mod N;

# print(f);

if (f=-1 mod N) or (f=1 mod N) then break fi;

found := false;

for j from 1 to k do f := f &^2 mod N;

# print(f);

if f=-1 mod N then found := true; break fi;

od;

if found then break else return(false)

fi;

od;

print(`Teste MR`,t,`vezes aplicado:`,N,` supostamente é primo`);

return(true);

end: