[논문 리뷰] Discrete Logarithms in Generalized Jacobians

Steven D. Galbraith⋆, Benjamin Smith|ArXiv.org|2006. 10. 02.

Cryptography and Residue Arithmetic참고 문헌 5인용 수 5

한 줄 요약

이 논문은 DLP 기반 암호화에 대한 대안으로 제안된 Déchène에 의한 일반화된 잰비안을 분석하며, 표준 타원곡선이나 곱셈군과 비교해 보안 또는 효율성 면에서 우월한 점이 없음을 입증한다. 저자들은 이러한 일반화된 잠비안에서 DLP를 푸는 것이 기반 타원곡선과 곱셈군에서 동시에 DLP를 푸는 것으로 감소함을 증명하며, 이는 보안이 두 성분 중 더 강한 성분에 의해 결정되며, 계산 및 저장 부담이 더 크다는 것을 의미한다.

ABSTRACT

Déchène has proposed generalized Jacobians as a source of groups for public-key cryptosystems based on the hardness of the Discrete Logarithm Problem (DLP). Her specific proposal gives rise to a group isomorphic to the semidirect product of an elliptic curve and a multiplicative group of a finite field. We explain why her proposal has no advantages over simply taking the direct product of groups. We then argue that generalized Jacobians offer poorer security and efficiency than standard Jacobians.

연구 동기 및 목표

• Déchène가 제안한 일반화된 잠비안이 DLP 기반 시스템에 적합한 암호화 기법인지 평가하기.
• 제안된 군 구조가 기존 대안보다 더 강한 보안 또는 더 뛰어난 효율성을 제공하는지 분석하기.
• 일반화된 잠비안에서의 반직접곱 구조가 동일한 군들의 직접곱보다 어떤 이점도 제공하는지 판단하기.
• 임bedding degree와 페어링 友好的 곡선이 일반화된 잠비안의 보안에 미치는 영향 평가하기.

제안 방법

• 일반화된 잠비안 내 소군에서 DLP 보안을 분석하기 위해 Pohlig-Hellman 감소법을 사용하기.
• 대수적 군의 정확한 수열 이론을 적용하여 일반화된 잠비안을 타원곡선에 의한 곱셈군의 확장으로 모델링하기.
• 일반화된 잠비안의 임의의 소수 순서 부분군에서 DLP가 타원곡선 성분과 곱셈군 성분에서의 DLP 해결으로 감소됨을 증명하기.
• 군 법칙이 코호몰로지 함수 $ c_{\mathfrak{m}}(P,Q) = f_{P,Q}(M)/f_{P,Q}(N) $ 로 정의된 일반화된 잠비안을 분석하기, 여기서 $ f_{P,Q} $ 는 (P+Q)+(O)-(P)-(Q) 를 인수로 가지는 유리 함수이다.
• 일반화된 잠비안의 계산 비용과 저장 요구사항을 직접곱 $ \mathcal{E}(k) \times \mathbb{G}_m(k) $ 와 비교하기.
• 페어링 友好的 곡선과 임베딩 도수의 영향이 제안된 구조의 실현 가능성과 보안에 미치는 영향 평가하기.

실험 결과

연구 질문

• RQ1 Déchène가 제안한 일반화된 잠비안 구조가 표준 타원곡선이나 곱셈군보다 더 강한 보안을 제공하는가?
• RQ2 일반화된 잠비안에서 DLP를 그 성분 군들보다 더 효율적으로 풀 수 있는가?
• RQ3 동일한 군들의 반직접곱 구조를 사용하는 것이 직접곱보다 암호학적 이점이 있는가?
• RQ4 기반 타원곡선의 임베딩 도수가 일반화된 잠비안의 보안과 효율성에 어떤 영향을 미치는가?
• RQ5 일반화된 잠비안의 군 법칙이 새로운 암호 프rotocol를 가능하게 하거나 기존 프로토콜를 향상시키는가?

주요 결과

• 일반화된 잠비안의 임의의 소수 순서 부분군에서 DLP는 타원곡선 또는 곱셈군에서의 DLP 해결으로 감소하므로, 보안은 두 성분 중 더 강한 성분에 의해 결정되며, 더 이상 강하지 않다.
• 일반화된 잠비안 군은 직접곱 $ \mathcal{E}(k) \times \mathbb{G}_m(k) $ 와 동형이므로, 더 단순한 이 구조보다 보안이나 효율성 면에서 이점이 없다.
• 일반화된 잠비안에서의 계산은 성분 군들을 별도로 계산하는 것보다 더 많은 저장 공간과 시간을 요구하므로 성능상의 이점이 없다.
• 두 성분 모두에서 큰 소수 순서 부분군을 확보하기 위해 페어링 友好的 곡선을 사용할 경우, 증가하는 임베딩 도수로 인해 계산 비용이 지수적으로 증가한다.
• 일반화된 잠비안의 군 법칙은 테이트 페어링 계산에 사용되는 방법과 동일하므로, 새로운 또는 더 안전한 기초 원리가 아니라는 것을 시사한다.
• 일반화된 잠비안은 타원곡선이나 곱셈군에 이미 존재하는 것보다 더 큰 소수 순서 부분군을 지원하지 않으며, 따라서 보안을 높이지 못한다.