[论文解读] Notes on summation polynomials

Michiel Kosters, Sze Ling Yeo|arXiv (Cornell University)|Mar 27, 2015

Cryptography and Residue Arithmetic参考文献 6被引用 8

一句话总结

本文在某些假设下证明了检查一个r阶求和多项式是否为零是NP完全问题，突显了使用此类多项式求解椭圆曲线离散对数问题（ECDLP）的根本局限性。此外，本文表明，对于特征为2的域上的普通椭圆曲线，S₃求和多项式的Weil下降由于迹同态的存在，其首次下降度为2，这挑战了格罗布纳基算法中关于正则度的启发式假设。

ABSTRACT

In these short notes, we will show the following. Let F_q be a finite field and let E/\F_q be an elliptic curve. Let S_r be the rth summation/Semaev polynomial for E. Under an assumption, we show that it is NP-complete to check if S_r evaluates to zero on some input. Unconditionally, we prove a similar result for summation polynomials over singular curves. This suggests limitations in the usage of summation polynomials in for example algorithms to solve the elliptic curve discrete logarithm problem. Assume that q is a power of 2. We show that the Weil descent to F_2 of S_3 for ordinary curves in general has first fall degree 2, which is much lower than expected. The reason is the existence of a group morphism to F_2 which gives a linear polynomial after Weil descent. We want to raise awareness of its existence and raise doubt on certain Groebner basis heuristics which claim that the first fall degree is close to the degree of regularity. Furthermore, this morphism can be used to speed up the relation generation to solve the elliptic curve discrete logarithm problem.

研究动机与目标

• 研究确定给定输入下求和多项式是否为零的计算复杂度。
• 评估关于Weil下降中格罗布纳基计算正则度的启发式假设的有效性。
• 探讨迹同态对特征2下普通曲线第三阶求和多项式Weil下降系统首次下降度的影响。
• 挑战首次下降度可预测格罗布纳基算法中正则度的假设。

提出的方法

• 将3-SAT问题归约至子集和问题，再归约至求和多项式求值问题，以证明NP完全性。
• 为奇异椭圆曲线定义求和多项式，并在无附加假设下证明其NP完全性。
• 识别出从E(F_{2^n})到F₂的满射群同态，通过x坐标迹函数实现，从而简化S₃的Weil下降。
• 在F₂ⁿ上对S₃执行Weil下降并计算首次下降度，证明其为2，原因在于该同态的存在。
• 对n≤40的格罗布纳基计算进行了广泛实验，测量内存使用量和步骤度数。
• 使用分裂技巧将高次求和多项式求值问题转化为三次和线性方程组，从而支持Weil下降分析。

实验结果

研究问题

• RQ1 对于较大的r，检查r阶求和多项式在给定输入下是否为零的问题是否为NP完全？
• RQ2 在F₂ⁿ上，S₃的Weil下降系统的首次下降度是否保持有界，还是随n增长？
• RQ3 是否存在一个到F₂的迹同态，可解释特征2下普通曲线S₃的Weil下降中出人意料的低首次下降度？
• RQ4 在ECDLP算法中，启发式假设（即正则度接近首次下降度）在多大程度上在实践中成立？
• RQ5 能否利用迹同态加速ECDLP求解中的格罗布纳基计算？

主要发现

• 在标准假设下，检查r阶求和多项式是否为零是NP完全问题；对于奇异曲线，该问题无附加假设下亦为NP完全。
• 对于F₂ⁿ上满足a₁≠0的普通椭圆曲线，S₃的Weil下降首次下降度为2，远低于预期。
• 该低首次下降度源于由Tr((x(P)+a₂)/a₁²)定义的群同态E(F₂ⁿ)→F₂，该同态在Weil下降后诱导出线性方程。
• 实验结果表明，正则度随n增加而增长，与Petit和Quisquater（2012）的假设（即正则度保持有界）相矛盾。
• 当n=40时，正则度至少为5，且内存使用量超过38 GB，表明复杂度呈指数级增长。
• 迹同态可用于加速ECDLP的格罗布纳基计算，尽管此前在实践中尚未被利用。