[論文レビュー] Higher-degree supersingular group actions

Mathilde Chenu, Benjamin Smith|arXiv (Cornell University)|Jul 19, 2021

Advanced Algebra and Geometry参考文献 38被引用数 4

ひとこと要約

本稿は、$d > 1$ に対して、$\FF_{p^2}$ 上の supersingular 楕円曲線に、そのガロア共役への中間 $d$-イソogeny を備えた $(d,\epsilon)$-構造を導入する。これは CSIDH で用いられる $\FF_p$-部分グラフの一般化である。本稿では、理想類群がこれらの構造に自由かつ推移的に作用することを確立し、新たなイソogeny基盤暗号方式の構築と Delfs–Galbraith アルゴリズムの一般化を可能にする。主な貢献は、$d=1$ を超える安全で効率的なイソogeny基盤暗号方式を構築するフレームワークを提供することであり、鍵交換の最適化や暗号解析への応用が期待される。

ABSTRACT

We investigate the isogeny graphs of supersingular elliptic curves over $\mathbb{F}_{p^2}$ equipped with a $d$-isogeny to their Galois conjugate. These curves are interesting because they are, in a sense, a generalization of curves defined over $\mathbb{F}_p$, and there is an action of the ideal class group of $\mathbb{Q}(\sqrt{-dp})$ on the isogeny graphs. We investigate constructive and destructive aspects of these graphs in isogeny-based cryptography, including generalizations of the CSIDH cryptosystem and the Delfs-Galbraith algorithm.

研究の動機と目的

• CSIDH の基盤となる $\FF_p$-部分グラフを、$d > 1$ の高次元 $d$-イソogeny 構造へ一般化すること。
• 曲線がそのガロア共役へ $d$-イソogeny を持つような、supersingular イソogeny グラフの部分グラフの存在と構造を調査すること。
• 理想類群 $\QQ(\sqrt{-dp})$ がこれらの $(d,\epsilon)$-構造に自由かつ推移的に作用することを確立し、新たな暗号方式の構築を可能にすること。
• Delfs–Galbraith のイソogeny探索アルゴリズムを複数の $d$ 値へ一般化し、イソogeny グラフ内でのパス探索効率を向上させること。
• 一般化された CSIDH に類似したシステムの実現可能性と安全性を分析し、これらの部分グラフへのランダムウォークに基づく暗号解析攻撃に対する耐性を評価すること。

提案手法

• $(d,\epsilon)$-構造を、$d$ が平方自由で $\gcd(d,p)=1$ である $\FF_{p^2}$ 上の supersingular 楕円曲線に、そのガロア共役への中間 $d$-イソogeny を備えたものとして定義する。
• このような曲線が $j$-不変量を $\FF_p$ に持ち、$d=2$ および $d=3$ に対してモジュラー多項式を用いて明示的なパラメータ化が可能であることを示す。
• 自己準同型環とオリエンテーションの理論を用いて、$\QQ(\sqrt{-dp})$ の理想類群が $(d,\epsilon)$-構造の集合に自由かつ推移的に作用することを確立する。
• 各 $d$ に対して、頂点が $(d,\epsilon)$-構造、辺が共役への $d$-イソogeny と整合するイソogeny グラフ $\Gamma(\mathcal{D}_{d,\epsilon}(p))$ を構築する。
• Delfs–Galbraith アルゴリズムを一般化し、小さな互いに素な $d$ に対して $\sqcup_{d \in D} \mathcal{D}_{d,\epsilon}(p)$ の部分グラフへのランダムウォークを実行することで、フェーズ1における期待パス長を短縮する。
• 短いウォーク（フェーズ1）とより高価なイソogenyステップ（フェーズ2）のトレードオフを分析し、$d=5$ のような小さな $d$ 値が、メンバーシップテストが効率的であれば、高速化をもたらす可能性があることを示す。

実験結果

リサーチクエスチョン

• RQ1 $\FF_p$-部分グラフを $d > 1$ の高次元 $d$-イソogeny 構造へ一般化可能か？ また、その際、群作用が保たれるか？
• RQ2 $\FF_{p^2}$ 上の supersingular 曲線で、そのガロア共役へ $d$-イソogeny を持つ部分グラフの構造とサイズは？
• RQ3 理想類群 $\QQ(\sqrt{-dp})$ はこれらの $(d,\epsilon)$-構造にどのように作用するか？ また、この作用を用いて新たなイソogeny基盤暗号方式を構築可能か？
• RQ4 Delfs–Galbraith のイソogeny探索アルゴリズムを複数の $d$ 値へ一般化可能か？ また、短いウォークと高価なイソogenyステップの性能トレードオフは？
• RQ5 ランダムウォークが完全な supersingular イソogeny グラフ内で $(d,\epsilon)$-構造に到達する確率と期待ステップ数は？ これは $d$ に依存するか？

主な発見

• $(d,\epsilon)$-構造の部分グラフは、$\operatorname{Cl}(\mathcal{O}_{-dp})$-集合として自由かつ推移的であることが保証され、CSIDH の理想類群作用を一般化する。
• $d=2$ および $d=3$ に対して、モジュラー多項式を用いた明示的パラメータ化が得られ、効率的な構築が可能である。
• $\mathcal{D}_{d,\epsilon}(p)$ のサイズは漸近的に $O(\sqrt{d} \sqrt{p})$ であり、$d$ が大きいとき $\kappa(d,p) \approx \sqrt{d}$ となるが、$d=5$ のような小さな $d$ に対しては、$p = 2^{52} \cdot 3^{33} - 1$ のような玩具的素数では $\kappa(5,p) \approx 4.916$ となり、$\sqrt{d}$ からの著しい逸脱が観察される。
• $d$-イソogeny のメンバーシップテストが効率的である場合、一般化された Delfs–Galbraith 攻撃は高速化可能である：$p = 2^{52} \cdot 3^{33} - 1$ の場合、6つの 2-イソogeny を計算するよりも、共役への 5-イソogeny をテストする方が高速であり、フェーズ1のウォークが高速化される。
• SIKEp434 の 2-イソogeny グラフには、$\Gamma_2(\mathcal{D}_{17,\epsilon}(p))$ および $\Gamma_2(\mathcal{D}_{41,\epsilon}(p))$ を通るパスが存在し、これらのパスが効率的に見つけられるならば、一部の鍵に対して暗号解析の短絡的手段が得られる可能性がある。