[論文レビュー] More constructing pairing-friendly elliptic curves for cryptography

Satoru Tanaka, Ken Nakamula|ArXiv.org|Nov 13, 2007

Cryptography and Residue Arithmetic参考文献 12被引用数 8

ひとこと要約

本稿では、不定係数法を用いた多項式パラメータ化により、埋め込み次数8および複素乗乗法（CM）判別式D=1を有するペアリングフレンドリーな楕円曲線を構築する修正アルゴリズムを提案する。ρ値が約1.54に近い新たな曲線族を生成し、224ビット、230ビット、256ビットの素数位数を持つ具体的な数値例を提示。実用的なペアリング計算に適した効率的構築と低ハミング重みを示している。

ABSTRACT

The problem of constructing elliptic curves suitable for pairing applications has received a lot of attention. To solve this, we propose a variant algorithm of a known method by Brezing and Weng. We produce new families of parameters using our algorithm for pairing-friendly elliptic curves of embedding degree 8, and we actually compute some explicit curves as numerical examples.

研究の動機と目的

• 暗号応用のため、特定の埋め込み次数とCM判別式を有する効率的なペアリングフレンドリーな楕円曲線の構築課題に取り組む。
• 多項式パラメータ化を用いて体系的に新たな曲線族を生成することで、既存手法を改善する。
• 望ましいセキュリティパラメータ（例：224〜256ビットの素数位数）を有するペアリングフレンドリー曲線の具体的な数値例を生成する。
• ρ値の最小化とトレースtのハミング重みの最適化により、実用的効率を確保し、Ateペアリング性能に有益である。
• 不定係数法を用いた一般化可能性を示すことにより、k=8およびD=1の特定ケースにとどまらず、他のkおよびD値への応用可能性を拡張する。

提案手法

• Brezing-Weng法を修正し、Q(ζ₈)の有限部分集合を用いて、多項式族t(x)、r(x)、q(x)を体系的に定義する。
• 不定係数法を用いてr(x)を構築し、r(x)がq(x)+1−t(x)およびΦ₈(t(x)−1)の両方を割り切ることを保証する。ここでΦ₈は8番目の円分多項式である。
• CM方程式4q(x)−t(x)² = D y²が無限個の整数解を持つことを保証し、CM法による曲線存在条件を満たす。
• q(x)とr(x)が素数であることを強制するために、xをq(x)が素数かつr(x)が素数となるように選ぶ。これにより候補探索空間を削減するため、合同制約（例：x ≡ 14,24 mod 30）を用いる。
• 整数x₀を満たすように解き、q(x₀)とr(x₀)がともに素数である場合に、曲線パラメータaをCM法によりY² = X³ + aX形式の曲線に対して計算する。
• 同じ多項式構成技術を用いて、kおよびDの他の値に対しても一般化可能であり、広範な応用可能性を示している。

実験結果

リサーチクエスチョン

• RQ1 埋め込み次数k=8およびCM判別式D=1を有するペアリングフレンドリーな楕円曲線の新たな曲線族を体系的に生成する手法を開発可能か？
• RQ2 q(x)+1−t(x)およびΦ₈(t(x)−1)との可除性条件を満たすr(x)を多項式としてどのように構築できるか？
• RQ3 q(x)とr(x)が同時に素数となるようなxの制約は何か？ これにより実際に曲線を構築可能となる。
• RQ4 得られた曲線族のρ値は何か？ そして、最適効率のρ=1にどれほど近いか？
• RQ5 同じ多項式パラメータ化フレームワークを用いて、他の埋め込み次数および判別式に対しても一般化可能か？

主な発見

• 本稿では、埋め込み次数k=8およびCM判別式D=1を有するペアリングフレンドリーな楕円曲線の新たな曲線族を、多項式t(x)、r(x)、q(x)で明示的にパラメータ化して構築した。
• x₀ = 104の場合、r(x₀) = 9714910817（224ビット素数）およびq(x₀) = 490506332802458249（345ビット素数）を生成し、ρ(E) ≈ 1.54を達成した。
• 例1ではx₀ ≈ 2^54.4を用い、224ビット素数位数rと345ビット素数体qを達成し、ρ(E) ≈ 1.54を実現した。
• 例2ではx₀ ≈ 2^62.4を用い、256ビット素数位数rと393ビット体qを達成し、再びρ(E) ≈ 1.54を達成した。
• 例3ではx₀ ≈ 2^56.0を用い、230.4ビット素数位数rと354.5ビット体qを達成し、ρ(E) ≈ 1.54を維持した。
• トレースtのハミング重みは45、rのハミング重みは72であり、これは効率的なAteペアリング計算に有利である。