[论文解读] Faster computation of the Tate pairing

Christophe Arène, Tanja Lange+2 more|arXiv (Cornell University)|Apr 6, 2009

Cryptography and Residue Arithmetic参考文献 22被引用 6

一句话总结

本文提出了用于在 Weierstrass 形式和 Edwards 形式椭圆曲线上计算 Tate 配对的新显式公式，通过扭曲 Edwards 曲线群运算的几何解释推导出更快的算术运算。所提出的公式在性能上与目前已知最快的 Weierstrass 曲线实现相当，显著优于先前的 Edwards 曲线方法，同时实现了对嵌入度为 6 至 22 的普通配对友好 Edwards 曲线的高效配对计算。

ABSTRACT

This paper proposes new explicit formulas for the doubling and addition step in Miller's algorithm to compute the Tate pairing. For Edwards curves the formulas come from a new way of seeing the arithmetic. We state the first geometric interpretation of the group law on Edwards curves by presenting the functions which arise in the addition and doubling. Computing the coefficients of the functions and the sum or double of the points is faster than with all previously proposed formulas for pairings on Edwards curves. They are even competitive with all published formulas for pairing computation on Weierstrass curves. We also speed up pairing computation on Weierstrass curves in Jacobian coordinates. Finally, we present several examples of pairing-friendly Edwards curves.

研究动机与目标

• 为缩小 Edwards 曲线与 Weierstrass 曲线在配对计算性能上的差距，此前该差距被认为源于缺乏高效的配对公式。
• 首次提供扭曲 Edwards 曲线加法与加倍运算的几何解释，从而推导出高效的 Miller 函数公式。
• 开发显式且优化的 Edwards 曲线 Tate 配对公式，其性能达到或超过目前已知最快的 Weierstrass 曲线公式。
• 构建并展示多个安全级别（112 至 256 位）的普通配对友好 Edwards 曲线实例，嵌入度 $k$ 范围为 6 到 22。

提出的方法

• 通过分析加法与加倍运算中出现的函数，利用代数几何建模割线与切线过程，推导出扭曲 Edwards 曲线群运算的几何解释。
• 通过将所需有理函数表示为曲线坐标与域运算的组合，构建 Edwards 曲线上 Miller 算法步骤（加倍与加法）的显式公式。
• 通过最小化乘法（M）、平方（S）以及扩展域中的乘法（m, s）操作次数，对域运算计数进行优化，尤其针对 Jaccobi 和射影坐标。
• 利用 Edwards 曲线与 Weierstrass 曲线之间的双有理等价性作为参考以验证和比较性能，但避免映射到 Weierstrass 曲线以防止性能损失。
• 通过为 $a_4 = -3$ 和 $a_4 = 0$ 的曲线推导新的显式公式，改进现有的 Weierstrass 曲线公式，尤其针对完整加法与加倍步骤。
• 通过选择具有所需嵌入度 $k$ 和迹 $h$ 的参数，构建配对友好 Edwards 曲线，确保 $n \mid \#E(F_q)$ 且 $\rho \approx 1.4$ 到 $1.5$，以实现最优的安全性与效率。

实验结果

研究问题

• RQ1 能否建立扭曲 Edwards 曲线群运算的几何解释，以实现高效的配对计算？
• RQ2 能否推导出显式且针对域运算优化的 Edwards 曲线 Tate 配对公式，其性能达到或超过目前已知最快的 Weierstrass 曲线公式？
• RQ3 能否构建嵌入度 $k$ 在 6 到 22 之间、安全级别为 112 至 256 位的配对友好 Edwards 曲线？
• RQ4 与 Das 和 Sarkar 或 Ionica 和 Joux 等先前方法相比，新公式的性能如何？
• RQ5 在配对协议中使用非仿射基点时，Edwards 曲线的最小性能损失是多少？

主要发现

• Edwards 曲线上的加倍步骤需要 $1\mathbf{M}+1\mathbf{S}+(k+6)\mathbf{m}+5\mathbf{s}$，在 Jaccobi 坐标下与目前已知最快的 Weierstrass 曲线公式（如 Barreto-Naehrig 曲线）性能相当。
• 混合加法在 Edwards 曲线上成本为 $1\mathbf{M}+(k+12)\mathbf{m}$，完整加法成本为 $1\mathbf{M}+(k+14)\mathbf{m}$，两者均与顶级 Weierstrass 曲线公式具有竞争力。
• 对于 $a_4 = -3$ 的 Weierstrass 曲线，加倍成本为 $1\mathbf{M}+1\mathbf{S}+(k+6)\mathbf{m}+5\mathbf{s}$，完整加法成本为 $1\mathbf{M}+(k+9)\mathbf{m}+6\mathbf{s}$，优于先前工作。
• 对于 $a_4 = 0$ 的 Weierstrass 曲线，加倍成本为 $1\mathbf{M}+1\mathbf{S}+(k+3)\mathbf{m}+8\mathbf{s}$，完整加法成本为 $1\mathbf{M}+(k+9)\mathbf{m}+6\mathbf{s}$，显示出显著优化。
• 新公式对非仿射基点的性能损失最小，使得在配对协议中常用射影坐标设置下，Edwards 曲线优于 Weierstrass 曲线。
• 本文构建并列出了 6 个普通配对友好 Edwards 曲线实例，安全级别为 112 至 256 位，嵌入度 $k=8, 10, 22$，且 $\rho$ 值介于 1.39 到 1.50 之间。