利用者:Meauk/sandbox

成立の証拠

a が {(g^{p - 1} mod p²) - 1} / p に等しいということは、g^{p - 1} mod p² が ap + 1 に等しいことを意味する。これには次の2点が関わる。

g と p が互いに素（最大公約数が1）である時、フェルマーの小定理によれば g^{p - 1} ≡ 1 (mod p) が成立するということ。
任意の非負整数 N₁ を考える時、N₁ mod p² において p² を含む全ての項は 0 になるので、その結果は「p¹ の項」よりも大きいことはないということ。

したがって、a とは「g^{p - 1} を p² で割った時の p¹ の項の係数」であると述べることができる。

その上で、d が ad ≡ 1 (mod p) によって求められるというので、この d は「法 p における a の逆元」に相当することになる。

初めに C^{p - 1} mod p² について考える。

そもそも暗号文は C ≡ g^{m + nr} (mod n²) によって求められるが、これは言い換えると C ≡ g^m × g^pqr (mod p²q²) である。

この時、次の3点に注意する。

任意の非負整数 N₂ を用いて (N₂ mod p²q²) mod p² を計算することを考える時、それは初めから N₂ mod p² を計算することと同じである。
任意の3つの非負整数 x、y、z を考える時、任意の法において少なくとも次の2つが成り立つ。なお、その2つの間には直接的な関連性はない。
- (xy)^z ≡ x^zy^z
- x^yz ≡ (x^y)^z ≡ (x^z)^y
任意の非負整数 N₃ を用いて N₃^{p(p - 1)} mod p² を計算することを考えると、p² に対応するカーマイケル数が p(p - 1) であることとカーマイケルの定理から、その結果は常に 1 となる。つまりその部分 p(p - 1) は、法 p² において指数法則的に 0 であることを意味している。

この時点で、

C^{p - 1} mod p²

≡ (g^m × g^pqr)^{p - 1} mod p²

≡ g^{m(p - 1)} × g^{p(p - 1)qr} mod p²

≡ (g^m)^{p - 1} × 1 mod p²

≡ (g^{p - 1})^m mod p²

と述べられる。

ところで、節「値 d の正体」で既に出てきた次の2つを思い出したい。

g^{p - 1} mod p² が ap + 1 に等しいということ。
任意の非負整数 N₁ を考える時、N₁ mod p² において p² を含む全ての項は 0 になるので、その結果は「p¹ の項」よりも大きいことはないということ。

ゆえに上記の過程を踏まえれば、 C^{p - 1} mod p² が (ap + 1)^m mod p² に等しく、さらに amp + 1 に等しいと述べることができる。

ここでやっと D の中身たる {(C^{p - 1} mod p²) - 1} / p に触れることができるわけであるが、これまでの議論から、C^{p - 1} mod p² が amp + 1 に等しいことが判明している。

したがって、{(amp + 1) - 1} / p を計算することで、 D の正体が am であると分かる。

復号の最終過程は Dd mod p を計算することであった。

ここで次の3点を確認する。

このようであるから、Dd mod p を計算することは am × a^{- 1} mod p を計算することを意味し、結果的に平文たる m を得られる。