[论文解读] Discrete Logarithms in Generalized Jacobians

Steven D. Galbraith⋆, Benjamin Smith|ArXiv.org|Oct 2, 2006

Cryptography and Residue Arithmetic参考文献 5被引用 5

一句话总结

本文分析了Déchène提出的广义雅可比簇——作为离散对数问题（DLP）密码学的替代群结构——并证明其在安全性与效率方面均不优于标准椭圆曲线或乘法群。作者证明，在此类广义雅可比簇中求解DLP可归约为在底层椭圆曲线与乘法群中并行求解DLP，这意味着安全性不会强于两个分量中更难的一个，同时却需要更高的计算与存储开销。

ABSTRACT

Déchène has proposed generalized Jacobians as a source of groups for public-key cryptosystems based on the hardness of the Discrete Logarithm Problem (DLP). Her specific proposal gives rise to a group isomorphic to the semidirect product of an elliptic curve and a multiplicative group of a finite field. We explain why her proposal has no advantages over simply taking the direct product of groups. We then argue that generalized Jacobians offer poorer security and efficiency than standard Jacobians.

研究动机与目标

• 评估Déchène为DLP密码系统提出的广义雅可比簇的密码学适用性。
• 分析所提出的群结构是否相较于现有替代方案提供更强的安全性或更高的效率。
• 确定广义雅可比簇中的半直积结构是否相较于标准群的直积具有任何优势。
• 评估嵌入度与配对友好曲线对广义雅可比簇安全性的影响。

提出的方法

• 使用Pohlig-Hellman约化方法分析广义雅可比簇中素数阶子群内的DLP安全性。
• 应用代数群的精确序列理论，将广义雅可比簇建模为椭圆曲线对乘法群的扩张。
• 证明广义雅可比簇中任意素数阶子群的DLP可约化为在椭圆曲线与乘法群分量中求解DLP。
• 分析由上链 $ c_{\mathfrak{m}}(P,Q) = f_{P,Q}(M)/f_{P,Q}(N) $ 定义的广义雅可比簇的群法则，其中 $ f_{P,Q} $ 是一个满足 $ \operatorname{div}(f_{P,Q}) = (P+Q)+(O)-(P)-(Q) $ 的有理函数。
• 将广义雅可比簇的计算成本与存储需求与直积 $ \mathcal{E}(k) \times \mathbb{G}_m(k) $ 进行比较。
• 评估配对友好曲线与嵌入度对所提构造的可行性与安全性的影响。

实验结果

研究问题

• RQ1 Déchène提出的广义雅可比簇构造是否比标准椭圆曲线或乘法群提供更强的安全性？
• RQ2 在广义雅可比簇中求解DLP是否比在其分量群中更高效？
• RQ3 与相同群的直积相比，使用半直积结构是否具有任何密码学优势？
• RQ4 底层椭圆曲线的嵌入度如何影响广义雅可比簇的安全性与效率？
• RQ5 广义雅可比簇的群法则是否能支持新型密码协议或改进现有协议？

主要发现

• 广义雅可比簇中任意素数阶子群的DLP可约化为在椭圆曲线或乘法群中求解DLP，这意味着安全性不会强于两个分量中更难的一个。
• 广义雅可比簇群同构于直积 $ \mathcal{E}(k) \times \mathbb{G}_m(k) $，因此在安全性与效率方面均不优于这一更简单的构造。
• 在广义雅可比簇中计算所需存储空间与时间均多于分别计算其分量群，因此无性能优势。
• 使用配对友好曲线以在两个分量中实现大素数阶子群，会导致因嵌入度增长而使计算成本呈指数级上升。
• 广义雅可比簇的群法则与Tate配对计算中使用的方法等价，表明其并非新颖或更安全的原 primitive。
• 广义雅可比簇无法支持比椭圆曲线或乘法群中已存在的更大的素数阶子群，因此无法提升安全性。