[論文レビュー] Bilinear Pairings on Elliptic Curves

Andreas Enge|arXiv (Cornell University)|Jan 23, 2013

Cryptography and Data Security参考文献 1被引用数 6

ひとこと要約

本稿は、有限体上の楕円曲線における双線形ペアリングについて、自己完備的で厳密な導入を提供する。主な焦点は、WeilペアリングとTateペアリングにあり、Weil双対性を用いたそれらの同等性、および ate、R-ate、最適ペアリングといった高度な構成法である。ペアリングの評価ループを短縮することで、ねじれの変種と多項式族を用いることにより、計算複雑性を φ(k) の要因で低減し、ペアリングベースの暗号における顕著な性能向上を実現していることを示している。

ABSTRACT

I denne oppgåva studerer vi bilineære parringer på elliptiske kurver. Først gir vi ein introduksjon til algebraisk geometri og spesielt omgrepet divisorar. Vidare ser vi på elliptiske kurver og deira aritmetikk. Vi ser på to ulike parringer på elliptiske kurver, Weilparringa og Tateparringa. Vi skildrar Weilparringa på to ulike måtar og viser provet for relasjonen mellom dei. Vidare skildrar vi Tateparringa i detalj og syner eigenskapane til begge parringane. Vi syner òg korleis dei kan reknast ut. Til slutt skildrar vi MOV-angrepet og den tredelte nøkkelavtala til Diffie- Hellman som døme på bruk av parringar i kryptografi.

研究の動機と目的

• 暗号的応用を想定し、有限体上の楕円曲線における双線形ペアリングについて、数学的に厳密で自己完備的な導入を提供すること。
• Weil双対性を用いて、Weilペアリングの3つの定義の同等性を確立し、基礎的な一貫性を保証すること。
• ate、R-ate、最適ペアリングといった高度なペアリング構成法を提示し、それらの双線形性、非退化性、および計算効率の向上を強調すること。
• ペアリング評価における計算的トレードオフを分析し、特にループ長の短縮と関数評価回数のバランスを検討すること。
• 埋め込み次数 k が小さく、多項式パラメータ化を用いた効率的なペアリング計算が可能な楕円曲線族の最近の進展を概説すること。

提案手法

• Weil双対性を用いて、Weilペアリングの3つの定義の同等性を証明し、理論的基盤を確立する。
• 楕円曲線上の因子と有理関数の理論を応用して、WeilペアリングとTateペアリングを定義し、直線関数と極を用いた明示的構成を行う。
• Frobenius自己準同型の性質を活用して、ねじれペアリング（例：ねじれ ate ペアリング）を導入し、ループ長を φ(k) の要因で短縮することで、ペアリング計算の効率を向上させる。
• Z[X] 上の加法・減法列と格子削減技術を用いて、ペアリング評価におけるスカラー乗算回数を最小化する短いベクトルを特定する。
• 多項式族（例：p(X), r(X), u(X)）を用いて最適ペアリングを構成し、r(X) が既約で、p(X) ≡ y(X) mod r(X)^2 となるようにする。これにより、定数時間のベース関数評価が可能になる。
• ペアリング関数の評価コストを分析し、ループ長が φ(k) で短縮される一方、評価回数の増加が性能向上を相殺する可能性があることを示す。ただし、係数が適切に構造化されていれば、その影響を軽減できる。

実験結果

リサーチクエスチョン

• RQ1 Weil双対性を用いて、Weilペアリングの3つの異なる定義がどのように同等であることを証明できるか？
• RQ2 ate、R-ate、最適ペアリングが、標準のMillerループと比較して、なぜ φ(k) の要因でループ長を短縮できるか、その条件は何か？
• RQ3 ateペアリングのねじれ変種は、楕円曲線上のペアリング計算においてどのように効率を向上させるか？
• RQ4 楕円曲線の多項式族は、最小の評価コストを持つ最適ペアリングをどのように構成可能にするか？
• RQ5 係数多項式の算術的性質（例：k の素因数による可除性）は、ペアリング計算の効率にどの程度影響を与えるか？

主な発見

• Weil双対性を用いて、Weilペアリングの3つの定義が同等であることが証明され、基礎的なペアリング理論の一貫性が保証された。
• ateペアリングとR-ateペアリングは、標準のMillerループと比較して、ループ長を φ(k) の要因で短縮し、ペアリングの効率を顕著に向上させる。
• ateペアリングのねじれ変種は、Frobenius写像を用いて点を生成可能であり、共通のベース点を共有する複数のペアリング関数を同時に評価可能にする。
• Vercauteren の Heßペアリングの特殊化（y(X) = p(X)）は、Z[X]-格子における短いベクトルを生成し、f_{t_i, Q} の評価を単一のベース関数 f_{x_0, Q} で効率的に行える。
• k=10 の族において、最適ペアリングは φ(10) = 4 の要因で高速化され、p(X)、r(X)、u(X) の明示的多項式が得られ、埋め込み次数が小さく、効率的なペアリング計算が可能な曲線を生成する。
• ループ長に φ(k) の理論的利点があるものの、評価回数の増加が性能向上を相殺する可能性がある。ただし、係数が適切に構造化されていれば（例：小さな意味のある係数を持つ多項式族）、その影響を軽減できる。