Das Jacobi-Symbol

Das Jacobi-Symbol

Definition Jacobi-Symbol

Sei n∈Nungerade mit Primfaktorzerlegung n=Qs

i=1p_i^ri. Wir definieren das Jacobi-Symbol _n^a

:=Qs i=1

a p_i

r_i

.

Anmerkungen:

Falls a quadratischer Rest mod n ist, dann gilt a≡b²modn und (^a_n) = (^b_n²) =Qs

i=1(^b_p²

i)^ri =Qs i=1(_p^b

i)^2ri =1.

Falls(^a_n) =1, dann muss a kein quadratischer Rest mod n sein.

Es gilt z.B.(₁₅²) = (²₃)(²₅) = (−1)²=1.

Nach CRT müsste jede Lösung von x²≡2mod15 auch eine Lösungen von x²≡2mod3 und x²≡2mod5 sein.

Beide Kongruenzen besitzen aber keine Lösungen.

Übung:

(^a_n)ist multiplikativ in a und n. D.h. für a=a₁a₂und n=n₁n₂gilt (^a_n) = (_n^a

1)(_n^a

2) = (^a_n¹

1)(^a_n²

1)(^a_n¹

2)(^a_n²

2).

Reziprozität für Jacobi-Symbol

Satz Reziprozität

Seien m6=n≥3 ungerade natürliche Zahlen. Dann gilt

1 (⁻_n¹) = (−1)ⁿ⁻¹² .

2 (²_n) = (−1)ⁿ²⁸⁻¹.

3 (^m_n) = (−1)^{m−12 ·n−12} (_mⁿ).

Beweis:

Obige Identitäten gelten für prime n,m. Die linken Seiten sind multiplikativ in n,m, können also in die Primteiler zerlegt werden.

Genügt zu zeigen: Die rechten Seiten sind multiplikativ in n,m.

Sei n=n₁n₂ungerade, d.h. n₁,n₂sind ebenfalls ungerade.

(1) Wir zeigen(−1)^n1n22−1 = (−1)ⁿ¹⁻¹² ·(−1)ⁿ²²⁻¹. Dies ist äquivalent zu

n₁n₂−1

2 ≡ ⁿ¹⁺ⁿ₂²⁻²mod2

⇔ n₁n₂−n₁−n₂+1= (n₁−1)(n₂−1)≡0mod4 Da n₁−1 und n₂−1 beide gerade sind, folgt die Korrektheit.

Reziprozität für Jacobi-Symbol

Beweis: (Fortsetzung) (2) zu zeigen:(−1)

n21n22−1

8 = (−1)

n21−1

8 (−1)

n22−1

8 . Dies ist äquivalent zu

n²₁n²₂−1

8 ≡ ⁿ²¹₈⁻¹+ⁿ²²₈⁻¹ mod2⇔n²₁n²₂−n²₁−n²₂+1≡0mod16.

Wir formen weiter um zu

(n²₁−1)(n²₂−1) = (n1+1)(n1−1)(n2+1)(n2−1)≡0mod16.

Die Korrektheit folgt, da alle vier Terme n₁±1, n₂±1 gerade sind.

(3) Aus (1) folgt die Multiplikativität von

(−1)^{m−12 ·n−12} =

(−1)^{m−12 n−1}₂

in n und m.

Anmerkung: Für ungerades n und m=2^km^′mit ungeradem m^′gilt

m n

= ²_nk

·

m^′ n

= ²_nk

·(−1)^{(m′ −1)(n4 −1)} _mⁿ_′ .

Rekursive Berechnung des Jacobi Symbols

Definition amodn

Sei a∈Zund n∈N. Dann bezeichnen wir mit amodn dasjenige b∈Zmit b ≡amodn und 0≤b <n. D.h. b=a− ⌊^a_n⌋ ·n.

Algorithmus Jacobi-Symbol

EINGABE: m,n mit n ungerade undggT(m,n) =1.

1 Falls m=1, Ausgabe 1.

2 Sei m=2^km^′ mit m^′ ungerade.

3 Ausgabe(−1)^k(n28−1)·(−1)^{(m′−1)(n4 −1)}·Jacobi-Symbol(nmodm^′,m^′) AUSGABE: ^m_n

Laufzeit:

Analog zum Euklidischen Alg. erhalten wirO(log max{m,n}) rekursive Aufrufe, jeder dieser benötigtO(log²max{m,n}).

D.h. die Gesamtlaufzeit istO(log³max{m,n}).

Berechnung von Wurzeln für p ≡ 3 mod 4

Bsp: Berechnung von(²²₃₉)

(²²₃₉) = (₃₉²)·(¹¹₃₉) =−(³⁹₁₁) =−(₁₁⁶) =−(₁₁²)·(₁₁³) =−(¹¹₃) =−(²₃) =1.

Ziel: Falls x²≡d modp mit(^d_p) =1, berechne beide Lösungen.

Satz Wurzeln für p ≡3mod4

Sei p ∈Pmit p≡3mod4 und d ∈Zmit(^d_p) =1. Dann sind die Lösungen von x²≡d modp von der Form±d^p+14 .

Beweis:

Es gilt(±d^p+14 )²=d^p+12 =d^p−21 ·d ≡(^d_p)·d =d modp.

Es gilt d^p+14 6≡ −d^p+14 modp, da d^p+14 ∈U_p und p>2.

DaF_pein Körper ist, sind dies die einzigen beiden Lösungen.

Berechnen allgemeiner Quadratwurzel

Idee des Algorithmus von Tonelli und Shanks:

Sei p−1=2^s·q mit q ungerade.

Erster Ansatz: Berechne a≡d^q+12 modp. Dann gilt a²≡(d^q+12 )²=d^q·d modp.

Falls d^q≡1modp, dann ist a bereits die gesuchte Quadratwurzel.

Es gilt U_p ∼=Z/ϕ(p)Z∼=Z/2^sZ×Z/qZ. Wir schreiben x ∼= (x1,x₂).

Für die Abbildung f :U_p→U_p,x 7→x^qgilt

f(x) =x^q ∼=q(x₁,x₂) = (qx₁,qx₂) = (qx₁,0)∈Z/2^sZ×0.

D.h. q-ten Potenzen sind in einer Untergruppe H der Ordnung 2^s. Wir wollen nun einen Erzeuger g von H konstruieren.

Sei z ∈U_p mit(^z_p) = (−1). Dann gilt g :≡z^qmodp∈H und g^2s−1 ≡z^q2s−1 =z^p−21 ≡(−1)modp und g^2s ≡z^p−1≡1modp.

D.h. g ist Generator von H und d^q≡g^ℓmodq für ein 0≤ℓ <2^s. ℓist gerade, da g^ℓ ≡d^q≡ ^a_d² modp quadratischer Rest ist. Es folgt

(a·g^−ℓ2)²≡d modp.

Damit ist a·g^−ℓ2 unsere gesuchte Quadratwurzel.

Berechnen des Diskreten Logarithmus modulo 2

Lemma Berechnen des Diskreten Logarithmus modulo 2^s Sei p prim mit p−1=2^sq, q ungerade. Sei H =hgi ⊆U_pmit ord(g) =2^s. Für x =g^ℓ∈H kannℓinO(log⁴p)berechnet werden.

Beweis:

Wir schreibenℓ=Ps−1

i=0 ℓ_i·2ⁱ und berechnenℓ₀, . . . , ℓ_s−1. Berechnung vonℓ₀: Wir berechnen x^2s−1 modq. Es gilt

x^2s−1≡g^ℓ·2s−1 =g^{Ps−1i=0 ℓi·2s−1+i} ≡g^ℓ02s−1 modp.

Da x^2s ≡1modp, muss x^2s−1 ≡ ±1modp gelten.

Falls x^2s−1 ≡(−1)modp, dann istℓ0=1, sonst istℓ0=0.

Sei nunℓ₀, . . . , ℓ_j−1bekannt. Wir wollenℓ_j berechnen.

Berechnung vonℓ_j: Es g

Ps−1 i=j ℓ_i2ⁱ

≡xg^{−Pj−1i=0ℓi2i} :=x^′. Damit ist (x^′)^2s−1−j ≡g

Ps−1

i=j ℓ_i·2^s−1−j+i

≡g^ℓj2s−1 modp.

Damit gilt analog wie zuvorℓ_j =1 gdw(x^′)^2s−1−j ≡(−1)modp.

Jedesℓj kann in ZeitO(log³p)berechnet werden.