[论文解读] Pairings on hyperelliptic curves

Jennifer S. Balakrishnan, Juliana Belding+4 more|arXiv (Cornell University)|Aug 26, 2009

Cryptography and Residue Arithmetic参考文献 63被引用 4

一句话总结

本文对密码学中的超椭圆曲线对偶进行了全面综述并提出了统一框架，重点关注二型曲率的超椭圆曲线。论文回顾了配对友好超椭圆曲线的构造方法，对现有配对（包括 Ate、R-ate 及 Hess-Vercauteren 变体）进行了分类，并优化了其计算过程，表明在特定场景下，超椭圆曲线对偶可与椭圆曲线对偶相媲美，尤其在减少 Miller 循环长度且某些情况下无需最终指数运算时表现更优。

ABSTRACT

We assemble and reorganize the recent work in the area of hyperelliptic pairings: We survey the research on constructing hyperelliptic curves suitable for pairing-based cryptography. We also showcase the hyperelliptic pairings proposed to date, and develop a unifying framework. We discuss the techniques used to optimize the pairing computation on hyperelliptic curves, and present many directions for further research.

研究动机与目标

• 对适合配对密码学的超椭圆曲线近期研究进行综述与重新组织，尤其关注普通情况。
• 提出超椭圆曲线对偶的统一框架，涵盖 Ate、R-ate 与 Hess-Vercauteren 系列。
• 分析并优化在二型超椭圆曲线上计算对偶的技术。
• 识别超椭圆曲线对偶在效率与应用方面的开放问题与未来研究方向。

提出的方法

• 作者基于 Hess 与 Vercauteren 的工作，发展出一种适用于超椭圆曲线的广义对偶框架，将椭圆曲线框架扩展至超椭圆曲线。
• 利用除子理论与曲线上的函数取值，分析该框架内对偶的双线性性与非退化性。
• 论文采用文献中已有的显式公式与优化方法（如 [50, 73]）以提升二型雅可比簇上的算术效率。
• 通过分析函数取值与除子上乘积计算的复杂度，比较不同对偶的计算成本。
• 研究扭子群结构与嵌入度，以识别具有低全嵌入度的曲线。
• 探讨实模型超椭圆曲线的使用及其在高效对偶计算中的潜力。

实验结果

研究问题

• RQ1 能否建立一个统一的超椭圆曲线对偶框架，以推广椭圆曲线 Ate 对偶框架？
• RQ2 超椭圆曲线对偶的性能特征是什么，尤其在 Miller 循环长度与最终指数运算需求方面？
• RQ3 能否构造出具有更小 ρ 值的配对友好超椭圆曲线，特别是 ρ < 2 的情况？
• RQ4 是否存在需要使用二型或更高阶雅可比簇的密码学应用，而无法通过椭圆曲线实现？
• RQ5 能否在实模型超椭圆曲线上实现高效的对偶计算？与虚模型相比表现如何？

主要发现

• 超椭圆 Ate 对偶无需最终指数运算，相较于其椭圆曲线对应物具有计算优势。
• 超椭圆 Ate 对偶的 Miller 循环长度约为 Tate 对偶的一半，显著提升了效率。
• 对于二型曲率，目前已知具有小嵌入度的普通曲线的最小 ρ 值约为 20/9，尚未达到理想的 ρ < 2。
• Hess-Vercauteren（HV）对偶框架推广了 Ate 与 R-ate 对偶，其变体可能因嵌入度不同而具有更短的循环。
• 论文指出，由于除子上函数取值的复杂性，超椭圆曲线上的对偶计算成本仍高于椭圆曲线。
• 尚未发现任何已知密码学应用必须使用二型或更高阶雅可比簇，而无法通过椭圆曲线实现。