[논문 리뷰] Faster computation of the Tate pairing

Christophe Arène, Tanja Lange외 2명|arXiv (Cornell University)|2009. 04. 06.

Cryptography and Residue Arithmetic참고 문헌 22인용 수 6

한 줄 요약

이 논문은 타이트 페어링을 계산하기 위한 새로운 명시적 공식을 제안하며, 이는 웨이어스트라스 및 에드워즈 곡선 형태의 타이트 페어링에 대해 기하학적 해석을 통해 더 빠른 산술 연산을 가능하게 한다. 제안된 공식은 최고 수준의 웨이어스트라스 곡선 구현 수준의 성능을 달성하며, 이전의 에드워즈 곡선 방법보다는 크게 뛰어나며, 임bedding 차수 6에서 22까지의 일반적인 페어링 友好的 에드워즈 곡선에서 효율적인 페어링 계산을 가능하게 한다.

ABSTRACT

This paper proposes new explicit formulas for the doubling and addition step in Miller's algorithm to compute the Tate pairing. For Edwards curves the formulas come from a new way of seeing the arithmetic. We state the first geometric interpretation of the group law on Edwards curves by presenting the functions which arise in the addition and doubling. Computing the coefficients of the functions and the sum or double of the points is faster than with all previously proposed formulas for pairings on Edwards curves. They are even competitive with all published formulas for pairing computation on Weierstrass curves. We also speed up pairing computation on Weierstrass curves in Jacobian coordinates. Finally, we present several examples of pairing-friendly Edwards curves.

연구 동기 및 목표

• 이전에 효율적인 페어링 공식이 부족하여 더 느리다고 여겨졌던 에드워즈 곡선과 웨이어스트라스 곡선 간의 성능 격차를 해소하기 위해.
• 왜곡된 에드워즈 곡선에서의 덧셈 및 배수 법칙에 대한 최초의 기하학적 해석을 제공하여 효율적인 밀러 함수 공식 유도를 가능하게 하기 위해.
• 가장 빠른 알려진 웨이어스트라스 곡선 공식 수준에 도달하거나 이를 초월하는, 명시적이고 최적화된 에드워즈 곡선에서의 타이트 페어링 공식을 개발하기 위해.
• 보안 수준 112비트에서 256비트까지 다양한 수준에서, 임bedding 차수 6에서 22까지의 일반적인 페어링 친화적 에드워즈 곡선을 구성하고 예시를 제시하기 위해.

제안 방법

• 덧셈 및 배수 연산에서 발생하는 함수를 분석하여, 기하학적 대수학을 활용해 왜곡된 에드워즈 곡선의 군 법칙에 대한 기하학적 해석을 도출한다.
• 필드 연산과 곡선 좌표를 사용하여 필요한 유리 함수를 표현함으로써, 에드워즈 곡선에서 밀러 알고리즘의 단계인 배수 및 덧셈에 대한 명시적 공식을 구성한다.
• 특히 제라미안 및 프로젝티브 좌표에서의 승수(M), 제곱(S), 확장체 내 곱셈(m, s)의 횟수를 최소화하여 필드 연산 횟수를 최적화한다.
• 웨이어스트라스 곡선과의 이sovolumetric 등가성을 참조로 성능를 검증하고 비교하지만, 성능 손실을 방지하기 위해 웨이어스트라스 곡선으로의 매핑을 피한다.
• 특히 $a_4 = -3$ 및 $a_4 = 0$인 곡선에 대해, 전체 덧셈 및 배수 단계에 대한 새로운 명시적 공식을 유도함으로써 기존의 웨이어스트라스 곡선 공식을 향상시킨다.
• 원하는 임bedding 차수 $k$와 트레이스 $h$를 갖는 매개변수를 선택하여 페어링 친화적 에드워즈 곡선을 구성하며, $n \mid \#E(F_q)$ 및 $\rho \approx 1.4$에서 $1.5$ 사이의 값을 확보하여 최적의 보안과 효율성을 확보한다.

실험 결과

연구 질문

• RQ1 왜곡된 에드워즈 곡선 군 법칙에 대한 기하학적 해석을 확립하여 효율적인 페어링 계산을 가능하게 할 수 있는가?
• RQ2 에드워즈 곡선에서 타이트 페어링에 대한 명시적이고 필드 연산 최적화된 공식을 도출할 수 있으며, 이는 최고 수준의 웨이어스트라스 곡선 공식 수준에 도달하거나 이를 초월할 수 있는가?
• RQ3 임bedding 차수 $k$가 6에서 22 사이이고 보안 수준이 112비트에서 256비트 사이인 페어링 친화적 에드워즈 곡선을 구성할 수 있는가?
• RQ4 Das와 Sarkar 또는 Ionica와 Joux의 이전 방법과 비교해, 새로운 공식의 성능은 어떻게 되는가?
• RQ5 페어링 기반 프로토콜에서 비암호화 기반 점을 사용할 경우, 에드워즈 곡선을 사용할 때 최소한의 성능 손실이 발생하는가?

주요 결과

• 에드워즈 곡선에서의 배수 단계는 $1\mathbf{M}+1\mathbf{S}+(k+6)\mathbf{m}+5\mathbf{s}$를 요구하며, 제라미안 좌표에서 가장 빠른 알려진 웨이어스트라스 곡선 공식(예: 바레토-나에히리 곡선)과 동일한 성능을 보인다.
• 혼합 덧셈은 $1\mathbf{M}+(k+12)\mathbf{m}$, 전체 덧셈은 $1\mathbf{M}+(k+14)\mathbf{m}$의 비용을 가지며, 양자급 최고 수준의 웨이어스트라스 곡선 공식과 경쟁 가능하다.
• 웨이어스트라스 곡선에서 $a_4 = -3$인 경우, 배수 비용은 $1\mathbf{M}+1\mathbf{S}+(k+6)\mathbf{m}+5\mathbf{s}$, 전체 덧셈 비용은 $1\mathbf{M}+(k+9)\mathbf{m}+6\mathbf{s}$이며, 이는 이전 작업보다 향상된 성능을 보인다.
• 웨이어스트라스 곡선에서 $a_4 = 0^{\text{인 경우, 배수 비용은 } 1\mathbf{M}+1\mathbf{S}+(k+3)\mathbf{m}+8\mathbf{s}$, 전체 덧셈 비용은 $1\mathbf{M}+(k+9)\mathbf{m}+6\mathbf{s}$이며, 이는 상당한 최적화를 보여준다.
• 새로운 공식은 비암호화 기반 점에 대한 최소한의 성능 손실을 보이며, 페어링 프로토콜에서 일반적으로 사용되는 프로젝티브 좌표 설정에서 에드워즈 곡선이 웨이어스트라스 곡선보다 유리함을 입증한다.
• 논문은 보안 수준 112비트에서 256비트까지의 일반적인 페어링 친화적 에드워즈 곡선 6개를 구성하고 목록화하였으며, 임bedding 차수 $k=8, 10, 22$이며, $\rho$ 값은 1.39에서 1.50 사이이다.