[論文レビュー] Supersingular Curves With Small Non-integer Endomorphisms

Jonathan Love, Dan Boneh|arXiv (Cornell University)|Oct 8, 2019

Cryptography and Residue Arithmetic参考文献 13被引用数 12

ひとこと要約

本稿では、F_{p^2} 上の M-small 特異楕円曲線を、次数 ≤ M の非整数自己準同型の存在によって定義する。これらの曲線は、基本的判別式によってインデックス付けされた M-連結成分 (T_D) に分割され、同じ成分に属する曲線は小さな次数の準同型によって接続されるが、異なる成分に属する曲線は大きな準同型距離によって分離される。しかし、この状況下でも、空港曲線と滑らかなノルムを持つイデアルを用いた「ハブ・アンド・スポーク」アプローチにより、任意の二つの M-small 特異楕円曲線間の準同型を効率的に計算できる。

ABSTRACT

We introduce a special class of supersingular curves over $\mathbb{F}_{p^2}$, characterized by the existence of non-integer endomorphisms of small degree. A number of properties of this set is proved. Most notably, we show that when this set partitions into subsets in such a way that curves within each subset have small-degree isogenies between them, but curves in distinct subsets have no small-degree isogenies between them. Despite this, we show that isogenies between these curves can be computed efficiently, giving a technique for computing isogenies between certain prescribed curves that cannot be reasonably connected by searching on $\ell$-isogeny graphs.

研究の動機と目的

• 非整数自己準同型の次数が有界 M であるという条件によって定義される新しい特異楕円曲線のクラス—M-small 曲線—を定義し、その特徴づけを行う。
• F_{p^2} 上の M-small 特異楕円曲線の構造、特にその準同型接続性と分離性を分析する。
• 任意の二つの M-small 特異楕円曲線間の準同型を効率的に計算するアルゴリズムを開発する。特に、異なる準同型成分に属する曲線に対しても同様に有効であることを目的とする。
• 従来の ℓ-準同型グラフ探索の制限を克服し、特に CSIDH に類似したプロトコルにおいて実用的な準同型ベース暗号を可能にする。

提案手法

• M-small 曲線を、次数 ≤ M の非整数自己準同型をもつものとして定義し、次数が O(M) の順序のヒルベルト類多項式を用いてその j-不変量を特徴付ける。
• M-small 特異楕円曲線の集合が、p を法として平方でない [−4M, 0) 内の基本的判別式 D によってインデックス付けされた互いに素な部分集合 T_D に分割されることを証明する。
• デューリング対応を用いて自己準同型環と準同型経路を結びつけ、同じ T_D に属する曲線が次数 ≤ (4/π)√M の準同型の鎖によって接続されることを示す。
• 最大順序から j-不変量を効率的に計算するアルゴリズムを用いて、各 T_D に属する「空港」曲線 j_D を、その自己準同型環が既知となるように構成する。
• 滑らかなノルムを持つイデアル（S ≈ 7/2 log p）を活用し、中間の曲線を介して異なる T_D 成分間の長い準同型鎖を構築する。
• 出発曲線およびターゲット曲線からそれらに最も近い空港曲線への経路を組み合わせ、空港間の高次元準同型を合成することで、全準同型を計算する。

実験結果

リサーチクエスチョン

• RQ1 M-small 特異楕円曲線は、準同型接続性と分離性の観点からどのように構造づけられるか？
• RQ2 異なる準同型成分に属する M-small 特異楕円曲線間の準同型は、効率的に計算可能か？
• RQ3 異なる M-small 成分に属する曲線を接続するために必要な最小の準同型次数は何か？
• RQ4 デューリング対応と滑らかなノルムを持つイデアルを用いて、非連結な準同型谷を越えて準同型を構築する方法は何か？
• RQ5 M-small 曲線に対して、F_p 上で効率的な準同型計算が可能か？これは CSIDH プロトコルに関連する。

主な発見

• F_{p^2} 上の M-small 特異楕円曲線の集合は、p を法として平方でない [−4M, 0) 内の基本的判別式 D によってインデックス付けされた O(M) 個の互いに素な部分集合 T_D に分割される。
• 異なる T_D 成分に属する曲線は、少なくとも √p / (2M) の準同型距離によって分離されており、強い成分分離性が保証される。
• 同じ T_D 成分に属する曲線は、次数が最大 (4/π)√M の準同型の鎖によって接続され、鎖の長さは ≤ 3 または素数次数の準同型のみを用いて構築可能である。
• 任意の二つの M-small 特異楕円曲線間の準同型は、空港曲線を用いたハブ・アンド・スポークモデルを用いて、M および log p に関して確率的多項式時間で計算可能である。
• このアルゴリズムにより、非連結な準同型谷を越えての効率的な準同型計算が可能となり、ℓ-準同型グラフ走査の制限を克服する。
• j-不変量が F_p に属する場合、自己準同型環からの F_p-定義準同型の回復に関する並列研究を応用することで、この手法を F_p-定義準同型の計算に拡張可能である。