如果素数 $p$ 满足 $2p+1$ 也是素数，就称 $p$ 为索菲·热尔曼素数。5 是，因为 11 是素数。7 不是，因为 $15=3\cdot5$。这个序列是这样开始的：

$$2,\ 3,\ 5,\ 11,\ 23,\ 29,\ 41,\ 53,\ 83,\ 89,\ 113,\ 131,\ldots$$

与每个 $p$ 对应的素数 $2p+1$ 称为安全素数：$5, 7, 11, 23, 47, 59, 83, \ldots$ 索菲·热尔曼在她的费马定理中需要它们。两个世纪后，它们在保护互联网连接。

会用完吗？

100 以内有 10 个索菲·热尔曼素数；1000 以内有 37 个。它们越来越稀少，但一直在出现。没有人能证明它们有无穷多个。这是一个悬而未决的问题，与孪生素数猜想属于同一类，后者问的是：像 $11$ 和 $13$ 这样相差 2 的素数对是否有无穷多个。

链

有时这个操作可以重复。从 $2$ 开始：

$$2\to5\to11\to23\to47,$$

全都是素数，直到 $2\cdot47+1=95$ 不是。这样的序列称为坎宁安链，以 20 世纪初研究它们的英国军人兼数学家艾伦·坎宁安命名。从 89 开始的链也很长：$89\to179\to359\to719\to1439\to2879$，连续六个素数。

欧拉与拉格朗日的一个定理

梅森数 $2^p-1$ 是寻找巨大素数时最受青睐的候选者。欧拉提出、拉格朗日在 1775 年证明了：安全素数会让这场寻找扫兴。

如果 $p$ 是索菲·热尔曼素数，且 $p\equiv3\pmod4$，那么 $2p+1$ 整除 $2^p-1$。

当 $p=11$ 时，$2p+1=23$，确实 $2^{11}-1=2047=23\cdot89$。当 $p=23$ 时，$2^{23}-1=8\,388\,607=47\cdot178\,481$。这样一来，如果这种形式的索菲·热尔曼素数有无穷多个，就一下子排除了无穷多个梅森数。

密码学

当你打开一个安全网站时，你的电脑和服务器需要通过一个任何人都能窃听的网络商定一个秘密密钥。实现这一点最常用的方法之一，由惠特菲尔德·迪菲和马丁·赫尔曼在 1976 年提出，它在一个有数百位的巨大素数 $q$ 下做模运算。

它的安全性依赖于某个问题，即离散对数问题，在模 $q$ 下很难解。当 $q-1$ 能分解成许多小因数时，这个问题就变得容易。所以标准推荐使用安全素数 $q=2p+1$，其中 $p$ 也是素数：这样 $q-1=2p$ 就有一个巨大的素因数，这条捷径就被堵上了。索菲·热尔曼用来研究费马的辅助素数，变成了一把锁。

练习：验证 p = 3 时 2p + 1 整除 2ᵖ − 1，而 p = 5 时不整除

$p=3$ 满足 $p\equiv3\pmod4$：$2p+1=7$，$2^3-1=7$，整除。$p=5$ 满足 $p\equiv1\pmod4$：$2p+1=11$，$2^5-1=31$，不是 11 的倍数。定理只对 $p\equiv3\pmod4$ 成立；对 $p\equiv1\pmod4$，成立的是 $2p+1$ 整除 $2^p+1$：$2^5+1=33=3\cdot11$。

练习：把从 41 开始的坎宁安链继续下去

$41\to83\to167\to335$。前三个是素数，但 $335=5\cdot67$ 不是。这条链的长度是 3。

资料来源： 索菲·热尔曼传记，MacTutor · Whitfield Diffie 与 Martin Hellman，“New Directions in Cryptography”（1976）· RFC 7919，有限域 Diffie-Hellman 群。

索菲·热尔曼的全部主题 · ← 热尔曼定理与费马大定理 · 索菲·热尔曼恒等式：分解看似是素数的数 →

图片来源.