[논문 리뷰] Counting Points on Genus 2 Curves with Real Multiplication

Pierrick Gaudry, David Kohel외 1명|arXiv (Cornell University)|2011. 06. 03.

Cryptography and Residue Arithmetic참고 문헌 13인용 수 12

한 줄 요약

이 논문은 실수 곱셈(RM)이 효율적으로 계산 가능한 종수 2 곡선의 점 수를 세는 데 최적화된 숏프 유형 알고리즘을 제시한다. 복잡도를 $\tilde{O}(\text{log}^8 q)$ 에서 $\tilde{O}(\text{log}^5 q)$ 로 감소시켰다. 이 방법은 RM 준동형을 활용해 점 수 계산을 가속화하며, 256비트 및 1024비트 체에서 소수 차수의 저자기군을 계산할 수 있도록 하였고, 1024비트 예시는 단일 코어에서 80일 만에 완료되었다.

ABSTRACT

We present an accelerated Schoof-type point-counting algorithm for curves of genus 2 equipped with an efficiently computable real multiplication endomorphism. Our new algorithm reduces the complexity of genus 2 point counting over a finite field (\F_{q}) of large characteristic from (\widetilde{O}(\log^8 q)) to (\widetilde{O}(\log^5 q)). Using our algorithm we compute a 256-bit prime-order Jacobian, suitable for cryptographic applications, and also the order of a 1024-bit Jacobian.

연구 동기 및 목표

• 암호학적 응용에서 타원곡선과 종수 2 곡선의 점 수 계산 간의 계산 비용 격차를 해결하기 위해.
• 실수 곱셈을 활용해 큰 소수 체에서 종수 2 곡선의 점 수 계산 복잡도를 $\tilde{O}(\text{log}^8 q)$ 에서 $\tilde{O}(\text{log}^5 q)$ 로 감소시키기 위해.
• 현대 암호학에 적합한 종수 2 곡선의 소수 차수 저자기군을 실용적으로 계산할 수 있도록 하기 위해.
• 실수 곱셈이 있는 1024비트 종수 2 저자기군의 군 차수 계산 가능성을 입증하기 위해.

제안 방법

• 실수 곱셈(RM) 준동형이 효율적으로 계산 가능한 종수 2 곡선에 특화된 수정된 숏프–파일 방법을 사용한다.
• 프로베니우스 준동형이 $\ell$- torsion 점에 작용하는 방식을 이용해 소수 $\tilde{\ell}$ 모듈로에서 프로베니우스의 특성다항식을 계산한다.
• RM 준동형의 구조를 활용해 분할다항식의 차수를 감소시켜 점 평가의 계산 비용을 낮춘다.
• 소수 $\ell$ 가 분해 가능한 소수로 나누어진 모듈로에서의 축소값을 바탕으로 중국인의 나머지 정리를 적용해 전체 특성다항식을 재구성한다.
• 매개변수 $t$ 로 매개변수화된 곡선의 가족 ${\mathcal{C}}_{\mathrm{T}}$ 를 사용해 알려진, 효율적으로 계산 가능한 RM을 갖는 임의의 곡선을 생성한다.
• 비용이 큰 베이비스텝 거대단계(BSGS) 또는 소수 거듭제곱 승격 단계를 피하고, 다항식 시간의 모듈로 계산에 의존한다.

실험 결과

연구 질문

• RQ1 실수 곱셈이 존재하고 효율적으로 계산 가능한 경우 종수 2 곡선의 점 수 계산 복잡도를 크게 감소시킬 수 있는가?
• RQ2 RM 준동형은 종수 2 곡선에서 숏프–파일 알고리즘의 가속화에 얼마나 효과적으로 활용될 수 있는가?
• RQ3 실용적인 알고리즘을 사용해 실수 곱셈이 있는 1024비트 종수 2 저자기군의 군 차수를 계산하는 것이 가능한가?
• RQ4 RM 곡선에서 분할다항식의 차수는 소수 $\ell$ 와 어떻게 변화하는가? 그리고 $O(\ell)$ 유계에서 숨겨진 상수는 얼마인가?

주요 결과

• 알고리즘은 종수 2 곡선의 점 수 계산 복잡도를 $\tilde{O}(\text{log}^8 q)$ 에서 $\tilde{O}(\text{log}^5 q)$ 로 감소시켜 큰 특성 체에서의 성능 향상이 뚜렷하다.
• 256비트 소수 차수 저자기군이 성공적으로 계산되었으며, 256비트 타원곡선과 동일한 보안 수준을 확보하였다.
• 1024비트 저자기군의 차수는 단일 코어 2.83GHz 프로세서에서 약 80일 만에 계산되었으며, 이는 새로운 기록이다.
• RM 곡선의 $\alpha$-분할다항식 $d_2$ 의 차수는 항상 $\ell$ 의 2.2배 이내로 유지되며, 시험한 소수들 평균 비율은 2.05였다.
• 490개의 후보 곡선에서 27개의 소수 차수 저자기군이 성공적으로 계산되었으며, 그 중 하나는 저자기군과 그 트위스트 모두가 소수 차수를 갖는 트위스트 보안 곡선이었다.
• BSGS와 소수 거듭제곱 승격 단계를 피하고, 효율적인 모듈로 계산 및 CRT 재구성에 의존함으로써, RM의 구조 덕분에 실용 가능성이 확보되었다.