[論文レビュー] Computing endomorphism rings of elliptic curves under the GRH

Gaetan Bisson|IACR Cryptology ePrint Archive|Jan 22, 2011

Cryptography and Residue Arithmetic参考文献 18被引用数 13

ひとこと要約

本稿では、一般化されたリーマン予想（GRH）の下で、有限体上の通常型楕円曲線の自己準同型環を、証明可能な部分指数的時間で計算する確率的アルゴリズムを提示する。従来のヒューリスティックな部分指数的手法に比べ、より高速な同種写像計算ルーチンと、類群構造を用いて次数をテストするラティス上昇手順を導入することで、$ L(q)^{1+o(1)} + L(q)^{1/\sqrt{2}+o(1)} $ の実行時間に改善された。ここで $ L(x) = \exp(\sqrt{\log x \log \log x}) $ である。

ABSTRACT

We design a probabilistic algorithm for computing endomorphism rings of ordinary elliptic curves defined over finite fields that we prove has a subexponential runtime in the size of the base field, assuming solely the generalized Riemann hypothesis. Additionally, we improve the asymptotic complexity of previously known, heuristic, subexponential methods by describing a faster isogeny-computing routine.

研究の動機と目的

• 有限体上の通常型楕円曲線の自己準同型環を、GRHの下で証明可能な部分指数的実行時間で計算する確率的アルゴリズムの設計。
• 従来のヒューリスティックな部分指数的手法の漸近的複雑度を、より高速な同種写像計算ルーチンの導入により改善すること。
• CM体における次数の階層を効率的に探索するラティス上昇手順の開発。指数的探索を回避する。
• 類群構造による次数の特徴付けを用い、与えられた次数が真の自己準同型環に含まれるかどうかを効率的にテスト可能にする。
• 類群データだけでは不十分な場合に、素数2および3における局所的導分チェックを用いて、局所的な曖昧さを解消すること。

提案手法

• アルゴリズムは、CM体 $ K = \mathbb{Q}(\pi) $ における次数の有限ラティスを、最小次数 $ \mathbb{Z}[\pi] $ から出発し、最大次数 $ \mathcal{O}_K $ へと上昇させるラティス上昇戦略を用いる。候補となる次数 $ \mathcal{O} $ が $ \operatorname{End}\mathcal{E} $ に含まれるかをテストする。
• 候補次数 $ \mathcal{O} $ が $ \mathcal{O} \subseteq \operatorname{End}\mathcal{E} $ を満たすかを、$ \mathcal{O} $ の類群構造と $ \operatorname{End}\mathcal{E} $ の類群構造を比較することでテストする。類群内の短い関係を用いて包含関係を検出する。
• 同種写像関係に付随する同種写像を評価する、新規で直接的かつ高速な同種写像計算ルーチンを採用し、従来の手法と比較して全体的な実行時間を短縮する。
• Jao, Miller, Venkatesan が導出した、GRHに基づく類群関係の鋭い上限を、部分指数的実行時間の保証に適応する。
• 素数2および3における局所的チェックは、Kohelの「ボルケーノの登り方」技術を用いて実施され、類群が同一の次数を区別できない場合に備える。
• これらの要素を統合したメイン手順により、GRHの下で高確率で $ \operatorname{End}\mathcal{E} $ の完全な構造を出力する。

実験結果

リサーチクエスチョン

• RQ1 有限体上の通常型楕円曲線の自己準同型環は、GRHの下で、証明可能な部分指数的時間で計算可能か？
• RQ2 自己準同型環計算のヒューリスティックな部分指数的手法の漸近的複雑度を、正しさを保ちつつどのように改善できるか？
• RQ3 次数の類群構造が、その次数が与えられた楕円曲線の自己準同型環に含まれるかどうかをどの程度特徴づけられるか？
• RQ4 類群が同一の2つの次数を、特に小さな素数において区別するための必要十分条件は何か？
• RQ5 高次元のアーベル多様体に適用可能な、数体における次数ラティスを効率的に探索するラティス上昇アルゴリズムを設計可能か？

主な発見

• 提案されたアルゴリズムは、$ \mathbb{F}_q $ 上の通常型楕円曲線の自己準同型環を、GRHの下で確率的かつ証明可能な部分指数的時間で計算可能であり、実行時間は $ L(q)^{1+o(1)} + L(q)^{1/\sqrt{2}+o(1)} $ である。ここで $ L(x) = \exp(\sqrt{\log x \log \log x}) $ である。
• 従来のヒューリスティックな部分指数的手法に比べ、より高速な同種写像計算ルーチンを導入することで、複雑度の指数を $ \sqrt{3}/2 $ から $ 1/\sqrt{2} $ に改善した。
• 類群関係に基づく次数テスト手順は、GRHの下で正しく証明されており、失敗確率は $ o(1/\log^2 q) $ であるため、高い信頼性を有する。
• ラティス上昇法により、すべての次数に対する指数的探索を回避し、多項式個の候補のみをテストすることで、類群構造と同種写像関係の構造を活用する。
• 素数2および3における局所的チェックは、類群データが次数を区別できない唯一の既知の例外を解消するために不可欠であり、これは命題7.2で形式化されている。
• アルゴリズムの核心的要素である、類群テスト、高速な同種写像評価、ラティス上昇は、すべてGRHの下で証明されており、この仮定の下で完全な複雑度保証を持つ最初の手法である。