[论文解读] Explicit formulas for efficient multiplication in F_{3^{6m}}

Elisa Gorla, Christoph Puttmann+1 more|ArXiv.org|Aug 22, 2007

Coding theory and cryptography参考文献 15被引用 23

一句话总结

该论文提出了一种在有限域 𝔽₃⁶ᵐ 中实现高效乘法的新方法，通过使用基于四次单位根的拉格朗日插值改进快速傅里叶变换（FFT），将所需的 𝔽₃ᵐ 乘法次数从 18 次减少至 15 次。该方法利用 𝔽₃²ᵐ 上的多项式表示，并通过利用求值点的对称性来最小化乘法复杂度，在软件基准测试中实现了 10% 的性能提升。

ABSTRACT

Efficient computation of the Tate pairing is an important part of pairing-based cryptography. Recently with the introduction of the Duursma-Lee method special attention has been given to the fields of characteristic 3. Especially multiplication in F_{3^{6m}}, where m is prime, is an important operation in the above method. In this paper we propose a new method to reduce the number of F_{3^m} multiplications for multiplication in F_{3^{6m}} from 18 in recent implementations to 15. The method is based on the fast Fourier tranmsform and explicit formulas are given. The execution times of our software implementations for F_{3^{6m}} show the efficiency of our results.

研究动机与目标

• 将 𝔽₃⁶ᵐ 中乘法所需的 𝔽₃ᵐ 乘法次数减少至最低，这是 Tate 配对计算中的关键操作。
• 开发显式且高效的 𝔽₃⁶ᵐ 算术公式，其乘法复杂度优于现有方法。
• 将 FFT 技术适配至特征为 3 的有限域，特别是利用四次单位根，因为缺乏合适的五次单位根。
• 针对 m > 90 的密码学应用进行优化，此时乘法占主导计算成本。
• 提供可实现的公式，以最小化软件实现中的乘法和加法次数。

提出的方法

• 该方法将 𝔽₃⁶ᵐ 中的元素表示为 𝔽₃²ᵐ 上的次数不超过 2 的多项式，从而通过求值-插值法实现多项式乘法。
• 使用基于本原四次单位根的拉格朗日插值，该单位根存在于 𝔽₃²ᵐ 中，从而将所需的 𝔽₃²ᵐ 乘法次数减少至五次。
• 插值过程采用由基-2 FFT 技术导出的 4×4 DFT 矩阵，以最小化额外的加法和标量运算。
• 引入一个额外的求值点，以计算乘积的第五个系数，从而弥补有限域中缺乏五次单位根的缺陷。
• 通过系数的对称组合推导出显式公式，中间乘积 P₀ 到 P₁₄ 由输入系数的和与差计算得出。
• 乘积的最终系数 c₀ 到 c₅ 通过 Pᵢ 项的线性组合重建，其符号和系数由逆 DFT 矩阵导出。

实验结果

研究问题

• RQ1 能否将 𝔽₃⁶ᵐ 中乘法所需的 𝔽₃ᵐ 乘法次数减少至当前标准 18 次以下？
• RQ2 是否可能将在 FFT 基础上实现的乘法技术应用于特征为 3 的有限域，特别是在高阶单位根不可用的情况下？
• RQ3 如何将拉格朗日插值与基于 DFT 的求值方法适配至五次单位根不存在的有限域？
• RQ4 降低乘法复杂度在密码学软件实现中的性能提升程度如何，特别是在 m > 90 的场景下？
• RQ5 是否能够优化乘法与加法之间的权衡，使得整体计算成本降低，尤其在大扩展度 m 的情况下？

主要发现

• 所提方法将 𝔽₃⁶ᵐ 中乘法所需的 𝔽₃ᵐ 乘法次数从 18 次减少至 15 次，乘法复杂度降低 16.7%。
• 该方法仅使用五次 𝔽₃²ᵐ 乘法，每次 𝔽₃²ᵐ 乘法需三次 𝔽₃ᵐ 乘法，总计 15 次 𝔾₃ᵐ 乘法。
• 软件实现显示性能较现有方法至少提升 10%，尤其在 m > 90 时，乘法成本远高于加法成本，优势更为显著。
• 使用四次单位根可实现高效的 FFT 基础求值与插值，即使在 𝔽₃²ᵐ 中五次单位根不可用（尤其当 m 为奇数时）也能有效工作。
• 提供了乘积所有系数的显式公式，涉及 14 个中间乘积 P₀ 到 P₁₄ 及带符号系数的线性组合。
• 通过利用 DFT 矩阵的对称性与基-2 FFT 分解，该方法保持了较低的加法成本，使其在大扩展度下具有实际应用价值。