[논문 리뷰] Supersingular Curves With Small Non-integer Endomorphisms

Jonathan Love, Dan Boneh|arXiv (Cornell University)|2019. 10. 08.

Cryptography and Residue Arithmetic참고 문헌 13인용 수 12

한 줄 요약

이 논문은 F_{p^2} 상에서 비정수 엔도모르피즘의 차수 ≤ M가 존재하는 것으로 정의되는 M-작은 초특이 타원곡선을 도입한다. 이러한 곡선들이 기본 판별식에 따라 인덱싱된 M-연결 성분(T_D)으로 분할됨을 증명하며, 같은 성분 내의 곡선들은 작은 차수의 이소지니로 연결되지만, 다른 성분에 속한 곡선들은 큰 이소지니 거리로 분리됨을 보인다. 그러나 이러한 분리에도 불구하고, 공항 곡선과 스무스 노름 아이디얼을 사용한 '허브-스포크' 접근법을 통해 어떤 두 M-작은 초특이 곡선 간의 이소지니를 효율적으로 계산할 수 있다.

ABSTRACT

We introduce a special class of supersingular curves over $\mathbb{F}_{p^2}$, characterized by the existence of non-integer endomorphisms of small degree. A number of properties of this set is proved. Most notably, we show that when this set partitions into subsets in such a way that curves within each subset have small-degree isogenies between them, but curves in distinct subsets have no small-degree isogenies between them. Despite this, we show that isogenies between these curves can be computed efficiently, giving a technique for computing isogenies between certain prescribed curves that cannot be reasonably connected by searching on $\ell$-isogeny graphs.

연구 동기 및 목표

• 비정수 엔도모르피즘의 차수가 유계인 M인 M-작은 초특이 타원곡선을 정의하고 특성화한다.
• F_{p^2} 상에서 M-작은 초특이 곡선의 구조를 분석하며, 특히 이소지니 연결성과 분리 성질을 다룬다.
• 서로 다른 M-작은 초특이 곡선 간의 이소지니를 효율적으로 계산하는 알고리즘을 개발한다. 이는 서로 다른 이소지니 성분에 위치해 있을 경우에도 적용 가능하다.
• 기존 ℓ-이소지니 그래프 탐색의 한계를 극복하여 실용적인 이소지니 기반 암호를 가능하게 한다. 특히 CSIDH 유사 프로토콜에 적용 가능하다.

제안 방법

• 비정수 엔도모르피즘의 차수가 ≤ M인 곡선을 M-작은 곡선으로 정의하고, 판별식이 O(M)인 순서의 힐버트 클래스다항식을 통해 j-불변량을 특성화한다.
• M-작은 초특이 곡선의 집합이 기본 판별식 D ∈ [−4M, 0)이며 p 모듈로 제곱이 아닌 것들에 의해 인덱싱된 상호소거되는 부분집합 T_D로 분할됨을 증명한다.
• 데우링 대응을 사용하여 엔도모르피즘 링과 이소지니 경로를 연결하며, 같은 T_D 내의 곡선들이 최대 (4/π)√M의 차수를 가진 이소지니 사슬로 연결됨을 보인다.
• 효율적인 알고리즘을 사용하여 최대 순서에서 j-불변량을 계산함으로써, 각 T_D 내에 알려진 엔도모르피즘 링을 가진 '공항' 곡선 j_D ∈ T_D를 구성한다.
• 스무스 노름 아이디얼(S ≈ 7/2 log p)을 활용하여 중간 곡선을 통해 서로 다른 T_D 성분 간에 장거리 이소지니 사슬을 구성한다.
• 출발점과 목적지 곡선에서 각각 가장 가까운 공항 곡선으로의 경로를 조합하고, 공항 간의 고차수 이소지니를 조합하여 전체 이소지니를 계산한다.

실험 결과

연구 질문

• RQ1 M-작은 초특이 곡선은 이소지니 연결성과 분리 성질 측면에서 어떻게 구조화되어 있는가?
• RQ2 서로 다른 이소지니 성분에 속한 M-작은 초특이 곡선 간의 이소지니도 효율적으로 계산할 수 있는가?
• RQ3 서로 다른 M-작은 성분에 속한 곡선을 연결하기 위해 필요한 최소 이소지니 차수는 얼마인가?
• RQ4 데우링 대응과 스무스 노름 아이디얼을 어떻게 활용하여 분리된 이소지니 계곡 간의 이소지니를 구성할 수 있는가?
• RQ5 M-작은 곡선에 대해 F_p 상에서도 효율적인 이소지니 계산이 가능할 수 있는가? 이는 CSIDH 프로토콜과 관련이 있다.

주요 결과

• F_{p^2} 상의 M-작은 초특이 곡선 집합은 기본 판별식 D ∈ [−4M, 0)이며 p 모듈로 제곱이 아닌 것들에 의해 인덱싱된 O(M)개의 상호소거되는 부분집합 T_D로 분할된다.
• 서로 다른 T_D 성분에 속한 곡선들은 최소 √p / (2M)의 이소지니 거리로 분리되어 강력한 성분 격리가 보장된다.
• 같은 T_D 성분 내의 곡선들은 최대 (4/π)√M의 차수를 가진 이소지니 사슬로 연결되며, 사슬 길이가 ≤ 3이거나 오직 소수 차수의 이소지니만을 사용한다.
• 어느 두 M-작은 초특이 곡선 간의 이소지니도 공항 곡선을 사용한 허브-스포크 모델을 통해 M과 log p에 대해 확률적 다항식 시간 내에 계산 가능하다.
• 이 알고리즘은 이소지니 그래프가 분리되어 있어도 효과적으로 작동하며, 기존 ℓ-이소지니 그래프 탐색의 한계를 극복한다.
• j-불변량이 F_p에 속할 경우, 엔도모르피즘 링에서 F_p-정의 이소지니를 복원하는 동시 작업을 활용하여 이 방법을 확장할 수 있다.