[论文解读] Bilinear Pairings on Elliptic Curves

Andreas Enge|arXiv (Cornell University)|Jan 23, 2013

Cryptography and Data Security参考文献 1被引用 6

一句话总结

本文提供了有限域上椭圆曲线上双线性对的自包含、严格的介绍，重点讨论韦尔对（Weil pairing）与塔特对（Tate pairing）及其通过韦尔互反律实现的等价性，以及高级构造如 ate 对、R-ate 对与最优对。研究表明，通过扭曲变体和多项式族实现的更短评估循环，可将配对计算的复杂度降低 φ(k) 倍，从而在配对密码学中实现显著的性能提升。

ABSTRACT

I denne oppgåva studerer vi bilineære parringer på elliptiske kurver. Først gir vi ein introduksjon til algebraisk geometri og spesielt omgrepet divisorar. Vidare ser vi på elliptiske kurver og deira aritmetikk. Vi ser på to ulike parringer på elliptiske kurver, Weilparringa og Tateparringa. Vi skildrar Weilparringa på to ulike måtar og viser provet for relasjonen mellom dei. Vidare skildrar vi Tateparringa i detalj og syner eigenskapane til begge parringane. Vi syner òg korleis dei kan reknast ut. Til slutt skildrar vi MOV-angrepet og den tredelte nøkkelavtala til Diffie- Hellman som døme på bruk av parringar i kryptografi.

研究动机与目标

• 为有限域上椭圆曲线上的双线性对提供一个数学上严格、自包含的介绍，专为密码学应用而设计。
• 利用韦尔互反律证明三种韦尔对定义的等价性，确保基础理论的一致性。
• 介绍高级配对构造（如 ate 对、R-ate 对与最优对），强调其双线性性、非退化性以及效率提升。
• 分析配对评估中的计算权衡，特别是循环长度减少与函数评估次数之间的平衡。
• 综述近期在构造小嵌入度 k 的椭圆曲线族方面的进展，以及通过多项式参数化实现高效配对计算的技术。

提出的方法

• 利用韦尔互反律证明三种韦尔对定义的等价性，建立坚实的理论基础。
• 应用椭圆曲线上除子与有理函数的理论来定义韦尔对与塔特对，通过直线函数与极点进行显式构造。
• 引入扭曲对（如扭曲 ate 对）以利用弗罗贝尼乌斯自同态的性质，将配对计算中的循环长度减少 φ(k) 倍。
• 采用加法-减法序列与 Z[X] 上的格约化技术，寻找短向量以最小化配对评估中的标量乘法次数。
• 通过多项式族（如 p(X)、r(X)、u(X)）构造最优对，其中 r(X) 为不可约多项式且满足 p(X) ≡ y(X) mod r(X)^2，从而实现常数时间的基函数评估。
• 分析配对函数评估的计算成本，表明尽管循环长度减少了 φ(k) 倍，但若不利用系数结构，评估次数的增加可能抵消性能增益。

实验结果

研究问题

• RQ1 如何利用韦尔互反律证明韦尔对的三种不同定义之间的等价性？
• RQ2 在何种条件下，ate 对、R-ate 对与最优对能实现循环长度减少 φ(k) 倍？
• RQ3 扭曲版 ate 对在椭圆曲线配对计算中如何提升效率？
• RQ4 多项式族形式的椭圆曲线如何实现最小评估成本的最优对？
• RQ5 系数多项式的算术性质（如被 k 的素因子整除）在多大程度上影响配对计算的效率？

主要发现

• 通过韦尔互反律证明了韦尔对的三种定义等价，确保了基础配对理论的一致性。
• ate 对与 R-ate 对相比标准 Miller 循环，将循环长度减少了 φ(k) 倍，显著提升了配对效率。
• ate 对的扭曲变体允许利用弗罗贝尼乌斯映射生成点，从而实现多个配对函数的并行评估，共享同一基点。
• Vercauteren 对 Heß 对的特化（其中 y(X) = p(X)）在 Z[X]-格中产生一个短向量，使得可通过单个基函数 f_{x_0, Q} 高效评估 f_{t_i, Q}。
• 对于 k=10 的族，最优对实现了与 φ(10) = 4 成比例的速度提升，且显式给出了 p(X)、r(X) 与 u(X) 多项式，使得所构造的曲线具有小嵌入度与高效的配对计算。
• 尽管循环长度理论上减少了 φ(k) 倍，但若不利用系数结构，评估次数的增加可能抵消性能增益，而多项式族中具有小而有意义系数的结构可有效避免此问题。