[论文解读] Fast, uniform, and compact scalar multiplication for elliptic curves and genus 2 Jacobians with applications to signature schemes

Ping Ngai Chung, Craig Costello+1 more|arXiv (Cornell University)|Oct 12, 2015

Cryptography and Residue Arithmetic参考文献 31被引用 4

一句话总结

本文提出了一种基于 Kummer 曲面和 x-线投影的快速、常数时间且紧凑的椭圆曲线与 genus 2 Jacobian 上的标量乘法框架。通过结合 Kummer 曲面上的快速伪乘法与高效的预处理和后处理以恢复签名群元素，该方法实现了安全且高效的签名方案（如 Schnorr 签名）的实现，相较于传统的 Jacobian 算术，性能显著提升。

ABSTRACT

We give a general framework for uniform, constant-time one-and two-dimensional scalar multiplication algorithms for elliptic curves and Jacobians of genus 2 curves that operate by projecting to the x-line or Kummer surface, where we can exploit faster and more uniform pseudomultiplication, before recovering the proper "signed" output back on the curve or Jacobian. This extends the work of L{ó}pez and Dahab, Okeya and Sakurai, and Brier and Joye to genus 2, and also to two-dimensional scalar multiplication. Our results show that many existing fast pseudomultiplication implementations (hitherto limited to applications in Diffie--Hellman key exchange) can be wrapped with simple and efficient pre-and post-computations to yield competitive full scalar multiplication algorithms, ready for use in more general discrete logarithm-based cryptosystems, including signature schemes. This is especially interesting for genus 2, where Kummer surfaces can outperform comparable elliptic curve systems. As an example, we construct an instance of the Schnorr signature scheme driven by Kummer surface arithmetic.

研究动机与目标

• 解决在 genus 2 Jacobian 上实现标量乘法时存在的性能与侧信道安全差距，因为其速度较慢且难以实现常数时间计算，相较于椭圆曲线。
• 克服长期以来认为 Kummer 曲面（其中元素与其逆元被等同）无法支持通用离散对数密码系统（如签名方案）的观念。
• 通过将元素投影到 Kummer 曲面、执行快速伪乘法并恢复正确的签名输出，实现 genus 2 Jacobian 上高效且抗侧信道的标量乘法。
• 证明基于伪乘法的现有高性能 Diffie-Hellman 实现可被适配用于更广泛的密码系统，包括 Schnorr 签名。
• 表明当正确集成到完整标量乘法流水线中时，genus 2 Kummer 曲面在速度和侧信道抗性方面可优于椭圆曲线。

提出的方法

• 通过 x-线或 Kummer 映射将 Jacobian 上的群元素投影到 Kummer 曲面，使得标量乘法更快且可统一计算。
• 在 Kummer 曲面上使用快速伪乘法算法，避免昂贵的完整群运算，且天然具备常数时间特性。
• 通过预计算构建 Kummer 曲面上预乘点的查找表，以支持高效的多指数运算。
• 在伪乘法后，通过高效的解压缩与归一化步骤，从 Jacobian 上恢复正确的签名输出。
• 使用固定窗口与多指数运算技术，将该方法集成到完整的标量乘法流水线中，并妥善处理符号歧义问题。
• 通过在 Gaudry-Schost genus 2 曲线上实现与基准测试，验证了该方法，结果显示相比直接的 Jacobian 算术，乘法与加法操作显著减少。

实验结果

研究问题

• RQ1 尽管损失了符号信息，Kummer 曲面算术是否可用于在 genus 2 Jacobian 上实现安全且高效的完整标量乘法？
• RQ2 现有的 Kummer 曲面快速伪乘法算法是否可被轻量级封装，以支持通用密码系统（如 Schnorr 签名）？
• RQ3 是否能够实现 genus 2 标量乘法的常数时间与统一执行，从而克服 Cantor 算法固有的复杂性？
• RQ4 与直接的 Jacobian 算术相比，该方法在乘法、平方和模加法方面的性能表现如何？
• RQ5 该方法是否可高效扩展至二维标量乘法，这是签名验证与同态加速标量乘法中的关键操作？

主要发现

• 在 Gaudry-Schost 曲线上使用该算法进行密钥生成，模乘法从 8629 减少至 2654，模加法从 7554 减少至 8221，同时保持常数时间安全性。
• 使用该方法进行签名，模乘法从 8525 减少至 2654，模加法从 7454 减少至 8157，相比直接的 Jacobian 计算。
• 使用二维标量乘法算法进行验证，模乘法从 10813 减少至 4478，模加法从 8670 减少至 14272，乘法操作减少 57%。
• 与直接的 Jacobian 算术相比，该方法在密钥生成与签名操作中，总成本（以乘法与加法计）降低了 70%。
• 该框架通过利用快速 Kummer 算术与高效的预/后处理，实现了 genus 2 Jacobian 上的常数时间、抗侧信道标量乘法。
• 实现结果表明，genus 2 Kummer 曲面在性能关键且需抗侧信道保护的应用（如 Schnorr 签名）中可优于椭圆曲线。