[논문 리뷰] Computing isogenies between supersingular elliptic curves over F_p

Christina Delfs, Steven D. Galbraith⋆|arXiv (Cornell University)|2013. 10. 29.

Cryptography and Residue Arithmetic참고 문헌 10인용 수 4

한 줄 요약

이 논문은 $ℝ_p$에서 정의된 초특이 타원곡선 사이의 이소지니를 계산하기 위한 새로운 알고리즘을 제안하며, $ℝ_p$ 상의 이소지니 그래프의 구조를 활용함으로써 전체 $ℝ_{p^2}$-기반 그래프를 사용하는 것보다 $Ϫ(p^{1/4})$ 비트 연산을 달성한다. 이 방법은 랜덤 워크를 통해 먼저 $ℝ_p$ 상의 곡선으로 축소한 후, 새로운 이소지니 구축 기법을 적용함으로써 일반 초특이 이소지니 문제에 대해 더 빠르고 메모리 소모가 적은 해결책을 제공하며, 이는 이전의 미트인더미들 접근법보다 크게 슈퍼어리어한다.

ABSTRACT

Let p>3 be a prime and let E, E' be supersingular elliptic curves over F_p. We want to construct an isogeny phi: E --> E'. The currently fastest algorithm for finding isogenies between supersingular elliptic curves solves this problem by performing a "meet-in-the-middle" breadth-first search in the full supersingular 2-isogeny graph over F_{p^2}. In this paper we consider the structure of the isogeny graph of supersingular elliptic curves over F_p. We give an algorithm to construct isogenies between such supersingular elliptic curves that works faster than the usual algorithm. We then discuss how this results can be used to obtain an improved algorithm for the general supersingular isogeny problem.

연구 동기 및 목표

• 초특이 타원곡선이 $ℝ_p$에서 정의된 경우, 전체 $ℝ_{p^2}$-기반 그래프보다 더 제약이 많지만 더 빠를 수 있는 설정에서 이소지니를 효율적으로 계산하는 데 도전하는 것.
• 기존 알고리즘의 $Ϫ(p^{1/2})$ 시간 및 공간 요구 조건을 초월하기 위해, $ℝ_p$ 상의 초특이 곡선 하위그래프의 구조를 활용하는 것.
• 전체 이소지니 그래프에서의 랜덤 워크와 $ℝ_p$ 상에서의 빠른 이소지니 구축을 조합하여 일반 초특이 이소지니 문제에 대해 실용적이고 저메모리이며 병렬 처리가 가능한 알고리즘을 개발하는 것.
• 작은 소수로 정의된 이소지니를 사용할 때, $ℝ_p$ 내의 초특이 $j$-불변량 하위그래프가 경로 탐색에 충분히 연결되어 있음을 입증하여 더 빠른 이소지니 계산을 가능하게 하는 것.

제안 방법

• 알고리즘은 $ℝ_p$의 $j$-불변량에 국한된 이소지니 그래프의 구조를 분석하여, $ℝ_p$ 상의 초특이 타원곡선 사이의 이소지니를 구축한다. 이 하위그래프의 크기는 $Ϫ(p^{1/2})$이지만, 효율적인 탐색에 더 유리하다.
• 소수 $\ell$의 집합을 사용하며, $\left(\frac{-p}{\ell}\right) = 1$를 만족함으로써, $ℝ_p$ 상의 곡선 간 $φ_\ell$-이소지니가 여전히 $ℝ_p$ 상에서 정의됨을 보장한다.
• 핵심 알고리즘은 $L$이 이러한 소수들의 집합인 제한된 그래프 $X(\u211d_p, L)$에서 이중 방향 탐색을 수행하여, 전체 그래프 대비 탐색 공간과 경로 길이를 줄인다.
• 이소지니 그래프의 확산 성질을 활용하여, 어떤 출발 곡선에서 시작해도 높은 확률로 $ℝ_p$의 $j$-불변량 하위집합에 빠르게 도달할 수 있음을 보장한다.
• 일般的한 이소지니 문제에 대한 이중 단계 접근법에 통합된다: 먼저 자기 회피 랜덤 워크를 사용해 $ℝ_p$ 상의 곡선으로 도달하고, 그 후 새로운 이소지니 구축 기법을 적용하여 $Ϫ(p^{1/4})$ 시간 내에 이소지니를 찾는다.
• 복잡한 상태 없는 폴드 스타일 워크를 피하고, 간단하고 분산형이며 자기 회피 워크를 사용함으로써, 더 쉽게 구현하고 병렬화할 수 있다.

실험 결과

연구 질문

• RQ1 전체 $ℝ_{p^2}$-기반 그래프보다 $ℝ_p$ 상의 초특이 타원곡선 사이의 이소지니를 더 효율적으로 계산할 수 있는가?
• RQ2 초특이 곡선의 하위그래프가 연결되도록 하기 위한 최소한의 소수 차수 $\ell$의 집합은 무엇인가?
• RQ3 초기 곡선을 $ℝ_p$ 상으로 축소한 후, 일반 초특이 이소지니 문제에 대해 저메모리이며 병렬 처리가 가능한 알고리즘을 구성할 수 있는가?
• RQ4 제한된 그래프 $X(\u211d_p, L)$에서의 경로 길이 및 계산 비용은 전체 그래프 $X(\u211d_{p^2}, 2)$와 비교해 어떻게 되는가?

주요 결과

• 제안된 알고리즘은 $ℝ_p$ 상의 초특이 타원곡선 사이의 이소지니를 $Ϫ(p^{1/4})$ 비트 연산 내에 계산하며, 표준 미트인더미들 접근법의 $Ϫ(p^{1/2})$ 복잡도에 비해 상당한 향상이다.
• 제한된 그래프 $X(\u211d_p, L)$에서의 평균 경로 길이는 극적으로 감소한다 — 예를 들어 32비트 소수에서는 53,118에서 235로 줄어든다.
• 32비트 소수에 대해 신규 알고리즘은 평균 0.720초 내에 실행되며, 전체 그래프 방법 대비 325.852초로 400배 이상의 속도 향상을 보였다.
• 자기 회피 랜덤 워크와 새로운 이소지니 구축 기법을 조합함으로써, 일반 초특이 이소지니 문제에 대해 더 단순하고 저메모리이며 쉽게 병렬화 가능한 해결책을 제공한다.
• 알고리즘이 효과적인 이유는 $ℝ_p$ 내의 $j$-불변량 하위그래프가 충분히 연결되어 있고 확산 성질을 띠기 때문이며, 이는 빠른 혼합과 짧은 경로를 보장한다.