[論文レビュー] Counting Points on Genus 2 Curves with Real Multiplication

Pierrick Gaudry, David Kohel+1 more|arXiv (Cornell University)|Jun 3, 2011

Cryptography and Residue Arithmetic参考文献 13被引用数 12

ひとこと要約

本稿では、有効に計算可能な実乗法（RM）を備えた genus 2 曲線に対する最適化された Schoof 型アルゴリズムを提示する。計算量は $\tilde{O}(\log^8 q)$ から $\tilde{O}(\log^5 q)$ に削減される。この手法は RM 作用素を活用して点数計算を高速化し、256ビットおよび1024ビットの素数位数 Jacobian の計算を可能にした。1024ビットの例は単一コアで80日間で完了した。

ABSTRACT

We present an accelerated Schoof-type point-counting algorithm for curves of genus 2 equipped with an efficiently computable real multiplication endomorphism. Our new algorithm reduces the complexity of genus 2 point counting over a finite field (\F_{q}) of large characteristic from (\widetilde{O}(\log^8 q)) to (\widetilde{O}(\log^5 q)). Using our algorithm we compute a 256-bit prime-order Jacobian, suitable for cryptographic applications, and also the order of a 1024-bit Jacobian.

研究の動機と目的

• 暗号応用における楕円曲線と genus 2 曲線の点数計算の計算差を是正すること。
• 実乗法を有し、効率的に計算可能な場合に、大規模な素数体上の genus 2 点数計算の計算量を $\tilde{O}(\text{log}^8 q)$ から $\tilde{O}(\text{log}^5 q)$ に低減すること。
• 現代暗号に適した genus 2 曲線の素数位数 Jacobian の実用的計算を可能にすること。
• RM を有する 1024ビットの genus 2 Jacobian の群位数計算が実現可能であることを示すこと。これは、従来の記録をはるかに超える。

提案手法

• 本アルゴリズムは、有効に計算可能な実乗法（RM）作用素を備えた genus 2 曲線に特化した変更版 Schoof–Pila 法を用いる。
• Frobenius 作用素が $\ell$-torsion 点に作用する様子を用いて、Frobenius の特性多項式を小さな素数 $\tilde{\ell}$ でモジュロ計算する。
• RM 作用素の構造を活用して、分割多項式の次数を低減し、点評価の計算コストを低下させる。
• 中国剰余定理を適用して、分解可能な素数 $\ell$ でのモジュロ還元から、完全な特性多項式を再構成する。
• パrameter $t$ でパラメータ化された曲線族 ${\mathcal{C}}_{\mathrm{T}}$ を用い、既知で効率的に計算可能な RM を持つランダムな曲線を生成する。
• 高価な baby-step giant-step（BSGS）や素数べきの持ち上げステップを回避し、代わりに多項式時間のモジュラー計算に依存する。

実験結果

リサーチクエスチョン

• RQ1 実乗法が存在し、効率的に計算可能である場合に、genus 2 点数計算の計算量を著しく低減できるか？
• RQ2 RM 作用素は、genus 2 における Schoof–Pila アルゴリズムの高速化にどの程度活用可能か？
• RQ3 実用的アルゴリズムを用いて、RM を有する 1024ビットの genus 2 Jacobian の群位数を計算可能か？
• RQ4 RM 曲線における分割多項式の次数は、素数 $\ell$ に対してどのように増加するか？また、$O(\ell)$ 界における隠れた定数は何か？

主な発見

• 本アルゴリズムにより、genus 2 点数計算の計算量は $\tilde{O}(\text{log}^8 q)$ から $\tilde{O}(\text{log}^5 q)$ に著しく低減され、大特徴体では顕著な改善が得られた。
• 256ビットの素数位数 Jacobian が正常に計算され、256ビット楕円曲線と同等のセキュリティレベルを達成した。
• 1024ビットの Jacobian の位数が、単一コアの 2.83 GHz プロセッサで約 80 日間で計算され、記録更新を達成した。
• RM 曲線における $\alpha$-分割多項式 $d_2$ の次数は、常に $\ell$ の 2.2 倍以内であり、テストした素数の平均比は 2.05 であった。
• 490 個の候補曲線から 27 個の素数位数 Jacobian が正常に計算され、そのうち 1 つは Jacobian とそのツイストの両方が素数位数である、ツイスト耐性を持つものも含まれた。
• 本手法は BSGS や素数べき持ち上げを回避し、効率的なモジュラー計算と CRT 再構成に依存している。これは RM 構造のおかげで実現可能である。