[論文レビュー] Computing isogenies between supersingular elliptic curves over F_p

Christina Delfs, Steven D. Galbraith⋆|arXiv (Cornell University)|Oct 29, 2013

Cryptography and Residue Arithmetic参考文献 10被引用数 4

ひとこと要約

本稿では、$ℝ_p$ 上に定義された超特異楕円曲線間の準同型写像を計算する新しいアルゴリズムを提示する。この手法は、$ℝ_{p^2}$ 上に定義された完全なグラフではなく、$ℝ_p$ 上の準同型写像グラフの構造を活用することで、$Ϫ(p^{1/4})$ ビット演算で実現する。この方法により、ランダムウォークを用いてまず $ℝ_p$ 上の曲線に還元し、その後に新しい準同型写像構築法を適用することで、一般の超特異準同型問題に対して高速で低記憶容量の解決策が得られ、従来のミートインザミドル・アプローチを著しく上回る性能を発揮する。

ABSTRACT

Let p>3 be a prime and let E, E' be supersingular elliptic curves over F_p. We want to construct an isogeny phi: E --> E'. The currently fastest algorithm for finding isogenies between supersingular elliptic curves solves this problem by performing a "meet-in-the-middle" breadth-first search in the full supersingular 2-isogeny graph over F_{p^2}. In this paper we consider the structure of the isogeny graph of supersingular elliptic curves over F_p. We give an algorithm to construct isogenies between such supersingular elliptic curves that works faster than the usual algorithm. We then discuss how this results can be used to obtain an improved algorithm for the general supersingular isogeny problem.

研究の動機と目的

• 超特異楕円曲線が $ℝ_p$ 上に定義されている場合、$ℝ_{p^2}$ 上の完全な準同型写像グラフよりも制限的ではあるが、より高速な設定である、$ℝ_p$ 上での準同型写像の効率的計算という課題に取り組むこと。
• 従来のアルゴリズムが $Ϫ(p^{1/2})$ の時間と記憶容量を要するという制限を克服するため、$ℝ_p$ 上の超特異曲線の部分グラフの構造を活用すること。
• 完全なグラフ上のランダムウォークと、$ℝ_p$ 上での高速準同型写像構築法を組み合わせることで、実用的で低記憶容量かつ並列化可能な一般超特異準同型問題のためのアルゴリズムを開発すること。
• $ℝ_p$ 上の超特異 $j$-不変量の部分グラフが、小さな素数による準同型写像を用いて効率的にパス探索が可能であるほど十分に接続されていることを示すこと。

提案手法

• 本アルゴリズムは、$ℝ_p$ 上の超特異楕円曲線間の準同型写像を、$j$-不変量が $ℝ_p$ に属するという制限を課した準同型写像グラフの構造を分析することによって構築する。この部分グラフはサイズが $Ϫ(p^{1/2})$ であるが、効率的な探索に適している。
• $\left(\frac{-p}{\ell}\right) = 1$ を満たす小さな素数 $\ell$ の集合を用い、これにより $ℝ_p$ 上の曲線間の $φ_\ell$-準同型写像が $ℝ_p$ 上に保たれることを保証する。
• コアとなるアルゴリズムは、$L$ をこのような小さな素数の集合とする制限付きグラフ $X(\u211d_p, L)$ において双方向探索を実行し、完全なグラフと比較して探索空間とパス長を短縮する。
• 準同型写像グラフの拡張性（エクスパander性）を活用し、任意の出発曲線から出発するランダムウォークが、高い確率で $ℝ_p$ 上の $j$-不変量の部分集合に素早く到達することを保証する。
• 一般準同型問題に対する二段階アプローチに統合される：まず自己回避ランダムウォークを用いて $ℝ_p$ 上の曲線に到達し、その後に新しい準同型写像構築法を適用して $Ϫ(p^{1/4})$ 時間で準同型写像を求める。
• 複雑なステートレスなポラード風ウォークを避ける代わりに、単純で分散可能かつ自己回避可能なウォークを用いることで、実装が容易で並列化が可能となる。

実験結果

リサーチクエスチョン

• RQ1 超特異楕円曲線が $ℝ_p$ 上に定義されている場合、$ℝ_{p^2}$ 上の完全な準同型写像グラフと比較して、より効率的に準同型写像を計算できるか？
• RQ2 超特異曲線の部分グラフが接続されている最小の小さな素数次数 $\ell$ の集合は何か？
• RQ3 まず $ℝ_p$ 上の曲線に還元することで、一般超特異準同型問題に対する低記憶容量かつ並列化可能なアルゴリズムを構築できるか？
• RQ4 制限付きグラフ $X(\u211d_p, L)$ におけるパス長と計算コストは、完全なグラフ $X(\u211d_{p^2}, 2)$ と比較してどの程度か？

主な発見

• 提案されたアルゴリズムは、超特異楕円曲線が $ℝ_p$ 上に定義されている場合、$Ϫ(p^{1/4})$ ビット演算で準同型写像を計算でき、標準的なミートインザミドル・アプローチの $Ϫ(p^{1/2})$ 複雑さと比較して顕著な改善を示す。
• 制限付きグラフ $X(\u211d_p, L)$ における平均パス長は著しく短縮されている。例えば32ビット素数では、53,118から235に短縮された。
• 32ビット素数の場合、新アルゴリズムの平均実行時間は0.720秒であるのに対し、完全なグラフ法では325.852秒であり、400倍以上の高速化が達成された。
• 自己回避ランダムウォークと新しい準同型写像構築法を組み合わせることで、一般超特異準同型問題に対するより単純で低記憶容量かつ容易に並列化可能な解決策が可能になる。
• このアルゴリズムが有効であるのは、$ℝ_p$ 上の $j$-不変量の部分グラフが十分に接続されており、拡張性に似ており、迅速な混合と短いパスを保証するからである。