[論文レビュー] Fast, uniform, and compact scalar multiplication for elliptic curves and genus 2 Jacobians with applications to signature schemes

Ping Ngai Chung, Craig Costello+1 more|arXiv (Cornell University)|Oct 12, 2015

Cryptography and Residue Arithmetic参考文献 31被引用数 4

ひとこと要約

本稿では、Kummer面とxライン射影を活用することで、楕円曲線および genus 2 ジャコビアン上で高速かつ定常時間で、かつコンパクトなスカラー乗算を実現するフレームワークを提示する。この手法により、署名方式（例えば Schnorr 署名）の安全かつ効率的な実装が可能となり、Kummer面上での高速な擬似乗算と、正しい符号付き群元への回復のための効率的な前処理・後処理を組み合わせることで、従来のジャコビアン算術と比較して顕著な性能向上が達成される。

ABSTRACT

We give a general framework for uniform, constant-time one-and two-dimensional scalar multiplication algorithms for elliptic curves and Jacobians of genus 2 curves that operate by projecting to the x-line or Kummer surface, where we can exploit faster and more uniform pseudomultiplication, before recovering the proper "signed" output back on the curve or Jacobian. This extends the work of L{ó}pez and Dahab, Okeya and Sakurai, and Brier and Joye to genus 2, and also to two-dimensional scalar multiplication. Our results show that many existing fast pseudomultiplication implementations (hitherto limited to applications in Diffie--Hellman key exchange) can be wrapped with simple and efficient pre-and post-computations to yield competitive full scalar multiplication algorithms, ready for use in more general discrete logarithm-based cryptosystems, including signature schemes. This is especially interesting for genus 2, where Kummer surfaces can outperform comparable elliptic curve systems. As an example, we construct an instance of the Schnorr signature scheme driven by Kummer surface arithmetic.

研究の動機と目的

• genus 2 ジャコビアンにおけるスカラー乗算の実装において、性能と側面チャネルセキュリティのギャップを是正すること。これは、楕円曲線と比較して遅く、定常時間実行を実現するのが難しいからである。
• Kummer面（元がその逆元と同一視される）では、署名方式のような一般の離散対数に基づく暗号方式をサポートできないという長年の信念を覆すこと。
• Kummer面への射影、高速な擬似乗算の実行、そして正しい符号付き出力を回復する処理を組み合わせることで、genus 2 ジャコビアンにおける効率的かつ側面チャネルセキュアなスカラー乗算を実現すること。
• 既存の擬似乗算に基づく高性能な Diffie-Hellman 実装が、Schnorr 署名を含むより広範な暗号方式へと適応可能であることを示すこと。
• 適切にフルスカラー乗算パイプラインに統合された場合、genus 2 Kummer面が速度および側面チャネル耐性の両面で楕円曲線を上回ることを示すこと。

提案手法

• xラインまたは Kummer 写像を介して、ジャコビアンから Kummer 面への群元の射影により、スカラー乗算が高速かつ一様に計算可能になるようにする。
• Kummer 面上で高速な擬似乗算アルゴリズムを用い、高価な完全な群演算を回避し、本質的に定常時間実行を実現する。
• Kummer 面上の事前乗算済み点のルックアップテーブルを構築するための事前計算を適用し、効率的な多重指数演算を実現する。
• 擬似乗算の後処理として、効率的な復元および正規化ステップを用いて、ジャコビアン上での正しい符号付き出力を回復する。
• 固定ウィンドウ法および多重指数演算技術を用いたフルスカラー乗算パイプラインにこの手法を統合し、符号のあいまいさに注意深く対処する。
• Gaudry-Schost の genus 2 曲線を用いた実装とベンチマークにより、直接的なジャコビアン算術と比較して乗算および加算の回数が顕著に削減されることを検証する。

実験結果

リサーチクエスチョン

• RQ1 Kummer 面算術を用いて、符号情報の喪失があるにもかかわらず、genus 2 ジャコビアン上で安全かつ効率的なフルスカラー乗算を実装できるか？
• RQ2 既存の Kummer 面における高速な擬似乗算アルゴリズムを、Schnorr 署名のような一般用途暗号方式をサポートするように、最小限のオーバーヘッドでラッピングできるか？
• RQ3 Cantor のアルゴリズムに内在する複雑さを克服し、genus 2 スカラー乗算において定常時間かつ一様な実行を達成できるか？
• RQ4 提案手法の性能は、乗算、平方、モジュラー加算の観点から、直接的なジャコビアン算術と比較してどの程度向上するか？
• RQ5 本手法は、署名検証やエンドモルフィズム加速スカラー乗算の主要な演算である2次元スカラー乗算へと効率的に拡張可能か？

主な発見

• Gaudry-Schost 曲線における提案アルゴリズムを用いた鍵生成では、モジュラー乗算が 8629 から 2654 に、モジュラー加算が 7554 から 8221 に削減されつつ、定常時間セキュリティを維持する。
• 提案手法による署名では、直接的なジャコビアン計算と比較して、モジュラー乗算が 8525 から 2654 に、モジュラー加算が 7454 から 8157 に削減される。
• 2次元スカラー乗算アルゴリズムを用いた検証では、モジュラー乗算が 10813 から 4478 に、モジュラー加算が 8670 から 14272 に削減され、乗算数で 57% の削減を達成する。
• 直接的なジャコビアン算術と比較して、鍵生成および署名における総コスト（乗算と加算の合計）が 70% 削減される。
• 本フレームワークにより、高速な Kummer 算術と効率的な事前・事後処理を活用することで、genus 2 ジャコビアン上で定常時間かつ側面チャネルセキュアなスカラー乗算が実現される。
• 実装により、Schnorr 署名のような、性能が求められ、側面チャネル保護が必須となるアプリケーションにおいて、genus 2 Kummer 面が楕円曲線を上回ることを示している。