[论文解读] Computing endomorphism rings of elliptic curves under the GRH

Gaetan Bisson|IACR Cryptology ePrint Archive|Jan 22, 2011

Cryptography and Residue Arithmetic参考文献 18被引用 13

一句话总结

该论文在广义黎曼猜想（GRH）下，首次提出了一个确定性亚指数时间算法，用于计算有限域上普通椭圆曲线的自同态环。该算法通过引入一种更快的等源计算模块和一种基于类群结构的格上升过程，改进了以往基于启发式的亚指数方法，实现了 $ L(q)^{1+o(1)} + L(q)^{1/\sqrt{2}+o(1)} $ 的运行时间，其中 $ L(x) = \exp(\sqrt{\log x \log \log x}) $。

ABSTRACT

We design a probabilistic algorithm for computing endomorphism rings of ordinary elliptic curves defined over finite fields that we prove has a subexponential runtime in the size of the base field, assuming solely the generalized Riemann hypothesis. Additionally, we improve the asymptotic complexity of previously known, heuristic, subexponential methods by describing a faster isogeny-computing routine.

研究动机与目标

• 设计一个概率算法，用于在广义黎曼猜想（GRH）下，以确定性亚指数时间计算有限域上普通椭圆曲线的自同态环。
• 通过引入一种更快的等源计算模块，改进现有启发式亚指数方法的渐近时间复杂度。
• 设计一种格上升过程，高效遍历复乘数域中所有阶的层级结构，避免指数级搜索。
• 通过其类群结构表征阶，实现对给定阶是否包含于真实自同态环的高效检测。
• 通过局部导子检查，解决在类群数据不足以区分阶时，2 和 3 处的局部歧义，确保算法正确性。

提出的方法

• 该算法采用格上升策略，从复乘数域 $ K = \mathbb{Q}(\pi) $ 中的最小阶 $ \mathbb{Z}[\pi] $ 出发，逐步向最大阶 $ \mathcal{O}_K $ 上升，逐个测试候选阶是否属于 $ \operatorname{End}\mathcal{E} $。
• 通过比较候选阶 $ \mathcal{O} $ 与 $ \operatorname{End}\mathcal{E} $ 的类群结构，判断是否满足 $ \mathcal{O} \subseteq \operatorname{End}\mathcal{E} $，利用类群中的短关系检测包含关系。
• 采用一种新颖、直接且更快的等源计算模块，用于评估与短关系相关的等源，相比以往方法显著降低了整体运行时间。
• 该方法依赖于由 Jao、Miller 和 Venkatesan 推导并适配的、基于 GRH 的类群关系的紧致界，以确保亚指数时间复杂度。
• 在 2 和 3 处通过 Kohel 的“攀登山脉”技术进行局部检查，以解决类群数据无法区分具有相同类群的阶的情况。
• 该算法将上述各模块整合为一个主流程，在 GRH 假设下以高概率输出 $ \operatorname{End}\mathcal{E} $ 的完整结构。

实验结果

研究问题

• RQ1 在广义黎曼猜想（GRH）下，能否以确定性亚指数时间计算有限域上普通椭圆曲线的自同态环？
• RQ2 如何在保持正确性的前提下，改进现有启发式亚指数方法在自同态环计算中的渐近时间复杂度？
• RQ3 一个阶的类群结构在多大程度上能表征其是否包含于给定椭圆曲线的自同态环？
• RQ4 在哪些必要且充分条件下，可以区分具有相同类群的两个阶，特别是对小素数的情形？
• RQ5 能否设计一种格上升算法，高效遍历数域设定下阶的格结构，且可推广至高维阿贝尔簇？

主要发现

• 所提出的算法在广义黎曼猜想（GRH）下，以确定性概率亚指数时间计算 $ \mathbb{F}_q $ 上普通椭圆曲线的自同态环，运行时间为 $ L(q)^{1+o(1)} + L(q)^{1/\sqrt{2}+o(1)} $，其中 $ L(x) = \exp(\sqrt{\log x \log \log x}) $。
• 该算法通过引入更快的等源计算模块，改进了以往启发式亚指数方法，将复杂度中的指数从 $ \sqrt{3}/2 $ 降低至 $ 1/\sqrt{2} $。
• 基于类群关系的阶检测过程在 GRH 下被证明正确，失败概率为 $ o(1/\log^2 q) $，确保了高度可靠性。
• 格上升方法通过仅测试多项式数量的候选阶，避免了对所有阶的指数级搜索，充分利用了类群结构与等源关系的特性。
• 在 2 和 3 处的局部检查对解决类群数据无法区分阶的唯一已知例外至关重要，如命题 7.2 所形式化。
• 该算法的核心组件——类群测试、快速等源评估与格上升——均在 GRH 下被证明正确，使其成为首个在该假设下具备完整复杂度保证的此类方法。