[论文解读] Fast Elliptic Curve Arithmetic and Improved Weil Pairing Evaluation

Kirsten Eisenträger, Kristin Lauter+1 more|ArXiv.org|Aug 5, 2002

Cryptography and Residue Arithmetic被引用 48

一句话总结

本文提出了一种针对椭圆曲线上标量乘法的优化算法，通过在仿射坐标下计算 $2P + Q$ 时消除一次域乘法，使标量乘法的性能提升了 3.8% 至 8.5%。该方法进一步通过抛物线插值将 Weil 对和 Tate 对的计算速度提升最高达 7.8%，减少了昂贵的直线计算，并复用了中间结果。

ABSTRACT

We present an algorithm which speeds scalar multiplication on a general elliptic curve by an estimated 3.8 % to 8.5 % over the best known general methods when using affine coordinates. This is achieved by eliminating a field multiplication when we compute 2P+Q from given points P, Q on the curve. We give applications to simultaneous multiple scalar multiplication and to the Elliptic Curve Method of factorization. We show how this improvement together with another idea can speed the computation of the Weil and Tate pairings by up to 7.8 %.

研究动机与目标

• 降低仿射坐标下椭圆曲线上标量乘法的计算成本。
• 在不存储中间结果的前提下，消除 $2P + Q$ 计算中的冗余域乘法。
• 通过优化 Weil 对和 Tate 对的计算，提升基于配对的密码系统的效率。
• 将性能提升扩展至椭圆曲线法（ECM）等整数分解应用。
• 提供一种实用且通用的改进方法，适用于标准标量乘法算法与配对计算。

提出的方法

• 该算法通过 $ (P + Q) + P $ 计算 $2P + Q$，避免存储或计算 $P + Q$ 的 $y$-坐标，从而节省一次域乘法。
• 利用群运算推导出的抛物线插值公式表示配对函数的分子，避免对 $bP + cP$ 显式计算 $y$-坐标。
• 在双倍-加法操作中复用已计算的斜率值 $\lambda_1$ 和 $\lambda_2$，仅通过一次额外乘法即可构造抛物线系数。
• 通过用单个抛物线函数替代四个直线函数的乘积，优化配对计算，避免对 $y$-坐标依赖。
• 通过将配对分子表示为抛物线，该方法适用于 Weil 对和 Tate 对，降低计算成本。
• 附录中提供了用于生产部署的伪代码及边界情况处理（如无穷远点）。

实验结果

研究问题

• RQ1 能否通过避免中间 $y$-坐标存储来降低椭圆曲线上 $2P + Q$ 的计算成本？
• RQ2 在使用从左到右二进制方法的标量乘法中，优化 $2P + Q$ 操作所能带来的节省在多大程度上可被利用？
• RQ3 Weil 对和 Tate 对分子的结构能否通过抛物线重新表达以减少域运算？
• RQ4 在配对计算中，用抛物线评估替代直线乘积时，性能提升的量化程度如何？
• RQ5 在实际实现中，该方法在不同窗口大小和曲线类型下的可扩展性如何？

主要发现

• 所提算法将 $2P + Q$ 的计算成本从 2 次乘法降低至 1 次，平均使标量乘法时间节省 3.8% 至 8.5%。
• 通过用单个抛物线评估替代四个直线评估，该方法在 Weil 对和 Tate 对计算中实现 7.8% 的性能提升，且避免了 $y$-坐标计算。
• 当对固定 $P$ 计算多个配对时，由于抛物线系数可预计算，性能提升提高至 12.5%。
• 该节省效果在不同曲线类型中保持一致，且适用于标准标量乘法方法，包括滑动窗口法和二进制方法。
• 即使在退化情况下，该算法仍保持正确性与高效性，附录中的伪代码与边界情况处理已证明这一点。
• 性能提升以域乘法和除法的数量衡量，其中除法按 5.18 次乘法估算用于成本比较。