[論文レビュー] The elliptic curve discrete logarithm problem and equivalent hard problems for elliptic divisibility sequences

Kristin Lauter, Katherine E. Stange|Mar 5, 2008

Cryptography and Residue Arithmetic参考文献 16被引用数 5

ひとこと要約

この論文は、楕円曲線離散対数問題（ECDLP）と、楕円除法列（EDS）における3つの新しい難問、EDS 連結性問題、EDS 残渣問題、幅3 EDS 離散対数問題の等価性を確立する。ECDLP を準指数的時間で解けるならば、これらの問題のいずれかを準指数的時間で解けることと同値であり、ECDLP の安全性が EDS のより深い数論的性質と結びつくことを示し、2次非剰余性と再帰構造を用いた新たな攻撃経路を提供する。

ABSTRACT

We define three hard problems in the theory of elliptic divisibility sequences (EDS Association, EDS Residue and EDS Discrete Log), each of which is solvable in sub-exponential time if and only if the elliptic curve discrete logarithm problem is solvable in sub-exponential time. We also relate the problem of EDS Association to the Tate pairing and the MOV, Frey-Rück and Shipsey EDS attacks on the elliptic curve discrete logarithm problem in the cases where these apply.

研究の動機と目的

• 楕円除法列（EDS）における ECDLP と等価な新たな難問を形式化し、分析すること。
• EDS の再帰構造と構造的視点から、ECDLP と MOV、Frey-Rück、Shipsey の EDS に基づく手法といった既知の攻撃との関係を調査すること。
• EDS 項の2次非剰余性が、Tate ペアリングや同種写像に基づく攻撃が失敗する場合に ECDLP を解くために利用可能かどうかを検討すること。
• 準指数的時間還元の下で、ECDLP と EDS に基づく問題との理論的等価性を確立し、楕円曲線暗号の基礎的困難性仮定を強化すること。

提案手法

• 3つの新たな難問を定義：EDS 連結性問題（Q = [k]P を満たす k に対して WE,P(k) を復元）、EDS 残渣問題（WE,P(k) の2次非剰余性を特定）、幅 s EDS 離散対数問題（連続する項 W(k), ..., W(k+s−1) から k を復元）。
• 楕円ネットの再帰構造と除法多項式を用い、EDS 項を楕円曲線上の群法則に関連づけ、WE,P(k) の計算を O((log q)^3) 時間で行えるようにする。
• Tate ペアリングと同種写像に基づく攻撃枠組み（MOV、Frey-Rück）を用い、EDS に基づく攻撃を解釈し、その限界と関連性を示す。
• 有限体における2次非剰余性の理論を応用し、EDS 項の非剰余性を特定することで ECDLP を還元し、φ(P) を重要な不変量として用いる。
• EDS 問題と ECDLP 間に、ブロック再帰（B(k)）と Z-線形演算を用いた準指数的時間還元を構築し、離散対数アルゴリズムを模倣する。
• 還元の鎖を用いて等価性を証明：ECDLP ⇔ EDS 連結性 ⇔ EDS 残渣 ⇔ 幅3 EDS 離散対数問題（完全周期的系列において）、準指数的時間仮定の下で。

実験結果

リサーチクエスチョン

• RQ1 Q = [k]P を満たす与えられた k に対して、EDS 項 WE,P(k) の値を特定する問題に ECDLP を還元できるか？
• RQ2 EDS 項 WE,P(k) の2次非剰余性は、ECDLP を解くために計算的に有用であり、準指数的時間で利用可能か？
• RQ3 既知の同種写像に基づく攻撃（MOV、Frey-Rück）と EDS に基づく攻撃（Shipsey）は、その数学的構造においてどの程度一致するか？
• RQ4 連続する項から k を復元する EDS 離散対数問題は、準指数的時間で解けるか？また、ECDLP とどのように関係するか？
• RQ5 EDS 連結性、残渣、離散対数問題が、準指数的時間還元の下で ECDLP と計算的困難性において等価か？

主な発見

• ECDLP が準指数的時間で解けるための必要十分条件は、EDS 連結性問題が準指数的時間で解けることである。これにより、きわめてタイトな等価性が確立された。
• EDS 残渣問題（WE,P(k) の2次非剰余性を特定）は、ECDLP と準指数的時間で等価であり、非剰余性解析による新たな攻撃経路を提供する。
• 完全周期的 EDS において、幅3 EDS 離散対数問題は、ECDLP と準指数的時間で等価であり、Baby-Step Giant-Step などの標準的離散対数アルゴリズムの適用が可能になる。
• EDS 残渣問題が時間 O(T(q)) で解けるならば、ECDLP は時間 O((log q)(T(q) + (log q)^3)) で解けることが証明され、このような還元の実用的妥当性が示された。
• ECDLP から EDS 連結性への還元は、再帰関係と除法多項式を用いて WE,P(k) を O((log q)^3) 時間で計算することに依存する。
• P の位数が奇数であり、q−1 と互いに素であるという条件下で、等価性が成立する。この条件により、φ(P) = (−1)^(k mod 2) が正しく定義され、偶奇検出に有用になる。