[논문 리뷰] Higher-degree supersingular group actions

Mathilde Chenu, Benjamin Smith|arXiv (Cornell University)|2021. 07. 19.

Advanced Algebra and Geometry참고 문헌 38인용 수 4

한 줄 요약

이 논문은 $d > 1$인 경우, $\FF_{p^2}$ 위의 초특이 타원곡선에 대해 그 갈루아 수반이나와의 $d$-이소지니를 지닌 $(d,\epsilon)$-구조를 도입한다. 이는 CSIDH에서 사용된 $\FF_p$-부그래프를 일반화한 것으로, 이상군의 자유이고 전순적인 작용을 증명하여 새로운 이소지니 기반 암호 체계를 가능하게 하고 Delfs–Galbraith 알고리즘을 일반화한다. 주요 기여는 $d=1$을 초월하는 안전하고 효율적인 이소지니 기반 암호 체계를 설계할 수 있는 프레임워크를 제공하는 것으로, 키 교환 최적화 및 암호 분석에 잠재적인 응용이 있다.

ABSTRACT

We investigate the isogeny graphs of supersingular elliptic curves over $\mathbb{F}_{p^2}$ equipped with a $d$-isogeny to their Galois conjugate. These curves are interesting because they are, in a sense, a generalization of curves defined over $\mathbb{F}_p$, and there is an action of the ideal class group of $\mathbb{Q}(\sqrt{-dp})$ on the isogeny graphs. We investigate constructive and destructive aspects of these graphs in isogeny-based cryptography, including generalizations of the CSIDH cryptosystem and the Delfs-Galbraith algorithm.

연구 동기 및 목표

• 초특이 이소지니 그래프의 $\FF_p$-부그래프를 $d > 1$에 대해 고차수 $d$-이소지니 구조로 일반화하여, CSIDH의 기초를 확장한다.
• 갈루아 수반과의 $d$-이소지니를 가진 곡선으로 정의된 초특이 이소지니 그래프의 부분그래프의 존재성과 구조를 조사한다.
• 이상군 $\QQ(\sqrt{-dp})$의 이상군이 $(d,\epsilon)$-구조 집합에 자유롭고 전순적인 작용을 함을 증명하여 새로운 암호 설계를 가능하게 한다.
• Delfs–Galbraith 이소지니 찾기 알고리즘을 여러 $d$ 값으로 일반화하여, 이소지니 그래프 내 경로 탐색의 효율성을 높인다.
• 일반화된 CSIDH 유사 체계의 실현 가능성과 보안성을 분석하고, 이러한 부분그래프로의 무작위 보행 기반 공격에 대한 저항력을 평가한다.

제안 방법

• $d$는 제곱강한이고 $\gcd(d,p)=1$일 때, $\FF_{p^2}$ 위의 초특이 타원곡선에 갈루아 수반과의 $d$-이소지니를 지닌 $(d,\epsilon)$-구조를 정의한다.
• 이러한 곡선은 $j$-좌표를 $\FF_p$에 포함하며, 모듈러 다항식을 사용하여 $d=2$ 및 $d=3$에 대해 명시적인 매개변수화를 제공한다.
• 오리엔테이션 이론과 엔도모르피즘 링 이론을 활용하여, $\QQ(\sqrt{-dp})$의 이상군이 $(d,\epsilon)$-구조 집합에 자유롭고 전순한 작용을 함을 증명한다.
• 각 $d$에 대해, 정점이 $(d,\epsilon)$-구조이고 간선이 갈루아 수반과의 $d$-이소지니와 호환되는 이소지니 그래프 $\Gamma(\mathcal{D}_{d,\epsilon}(p))$를 구성한다.
• 작은 서로소 $d$에 대해 $\sqcup_{d \in D} \mathcal{D}_{d,\epsilon}(p)$의 부분그래프 합집합으로의 무작위 보행을 수행함으로써 Delfs–Galbraith 알고리즘을 일반화하여, 단계 1의 기대 경로 길이를 감소시킨다.
• 짧은 보행(단계 1)과 더 비싼 이소지니 단계(단계 2) 사이의 트레이드오프를 분석하고, $d=5$와 같은 작은 $d$ 값이 멤버십 테스트가 효율적일 경우 속도 향상을 가져올 수 있음을 보여준다.

실험 결과

연구 질문

• RQ1 $\FF_p$-부그래프를 $d > 1$에 대해 고차수 $d$-이소지니 구조로 일반화할 수 있으며, 이때 그룹 작용이 유지되는가?
• RQ2 갈루아 수반과의 $d$-이소지니를 가진 $\FF_{p^2}$ 위의 초특이 곡선의 부분그래프의 구조와 크기는 어떠한가?
• RQ3 이상군 $\QQ(\sqrt{-dp})$는 이러한 $(d,\epsilon)$-구조에 어떻게 작용하며, 이를 새로운 이소지니 기반 암호 체계 설계에 활용할 수 있는가?
• RQ4 Delfs–Galbraith 이소지니 찾기 알고리즘을 여러 $d$ 값으로 일반화할 수 있으며, 짧은 보행과 더 비싼 이소지니 단계 사이의 성능 트레이드오프는 어떠한가?
• RQ5 무작위 보행이 전체 초특이 이소지니 그래프에서 $(d,\epsilon)$-구조에 도달하는 확률와 기대 단계 수는 얼마이며, 이는 $d$에 따라 어떻게 달라지는가?

주요 결과

• $(d,\epsilon)$-구조의 부분그래프는 $\operatorname{Cl}(\mathcal{O}_{-dp})$-집합으로서 자유롭고 전순적이며, CSIDH의 이상군 작용을 일반화한다.
• $d=2$ 및 $d=3$에 대해, 모듈러 다항식을 사용하여 $(d,\epsilon)$-구조의 명시적 매개변수화를 유도하여 효율적인 구축을 가능하게 한다.
• $\mathcal{D}_{d,\epsilon}(p)$의 크기는 渐近적으로 $O(\sqrt{d} \sqrt{p})$이며, 큰 $d$에 대해 $\kappa(d,p) \approx \sqrt{d}$이지만, 작은 $d$인 $d=5$에 대해서는 $p = 2^{52} \cdot 3^{33} - 1$일 때 $\kappa(5,p) \approx 4.916$로 나타나 $\sqrt{d}$와의 상당한 이격을 보인다.
• 멤버십 테스트가 효율적일 경우 일반화된 Delfs–Galbraith 공격이 더 빠를 수 있다: $p = 2^{52} \cdot 3^{33} - 1$일 때, 갈루아 수반과의 5-이소지니 테스트는 여섯 개의 2-이소지니 계산보다 빠를 수 있으며, 이는 단계 1 보행을 더 빠르게 만들 수 있다.
• SIKEp434의 2-이소지니 그래프는 $\Gamma_2(\mathcal{D}_{17,\epsilon}(p))$와 $\Gamma_2(\mathcal{D}_{41,\epsilon}(p))$를 통과하는 경로를 포함하며, 이러한 경로를 효율적으로 찾을 수 있다면 소수의 키에 대해 암호 분석적 단서가 존재할 수 있음을 시사한다.