[论文解读] Supersingular Curves With Small Non-integer Endomorphisms

Jonathan Love, Dan Boneh|arXiv (Cornell University)|Oct 8, 2019

Cryptography and Residue Arithmetic参考文献 13被引用 12

一句话总结

本文引入了在 F_{p^2} 上的 M-small 超奇异椭圆曲线，其定义为存在度数 ≤ M 的非整数自同态。证明了这些曲线被划分为 M-连通分量（T_D），由基本判别式索引，同一分量内的曲线通过小度数同源相连，而不同分量间的曲线则由大同源距离隔开。尽管如此，仍可通过以‘枢纽-辐条’方式利用机场曲线和光滑范数理想，高效计算任意两个 M-small 超奇异曲线之间的同源。

ABSTRACT

We introduce a special class of supersingular curves over $\mathbb{F}_{p^2}$, characterized by the existence of non-integer endomorphisms of small degree. A number of properties of this set is proved. Most notably, we show that when this set partitions into subsets in such a way that curves within each subset have small-degree isogenies between them, but curves in distinct subsets have no small-degree isogenies between them. Despite this, we show that isogenies between these curves can be computed efficiently, giving a technique for computing isogenies between certain prescribed curves that cannot be reasonably connected by searching on $\ell$-isogeny graphs.

研究动机与目标

• 定义并表征一类新的超奇异椭圆曲线——M-small 曲线，其定义为存在有界度数 M 的非整数自同态。
• 分析 F_{p^2} 上 M-small 超奇异曲线的结构，特别是其同源连通性与分离性质。
• 开发一种高效算法，用于计算任意两个 M-small 超奇异曲线之间的同源，即使它们位于不同的同源分量中。
• 通过克服传统 ℓ-同源图搜索的局限性，特别是在 CSIDH 类协议中，实现实用的同源基密码学。

提出的方法

• 将 M-small 曲线定义为存在度数 ≤ M 的非整数自同态的曲线，并通过判别式为 O(M) 的阶的希爾伯特类多项式表征其 j-不变量。
• 证明 M-small 超奇异曲线的集合被划分为不相交的子集 T_D，由满足 D ∈ [−4M, 0) 且模 p 不为平方数的基本判别式 D 索引。
• 利用 Deuring 对应关系将自同态环与同源路径联系起来，表明同一 T_D 中的曲线可通过度数 ≤ (4/π)√M 的同源链连接。
• 通过高效算法从最大阶计算 j-不变量，构造属于 T_D 的‘机场’曲线 j_D，其自同态环已知。
• 利用光滑范数理想计算（S ≈ 7/2 log p）构建跨越不同 T_D 分量的长同源链，通过中间曲线实现。
• 将源曲线与目标曲线分别连接至最近的机场曲线，然后组合两段机场间的长同源，以计算完整同源。

实验结果

研究问题

• RQ1 M-small 超奇异曲线在同源连通性与分离性方面如何结构化？
• RQ2 即使位于不同的同源分量中，是否能高效计算 M-small 超奇异曲线之间的同源？
• RQ3 连接不同 M-small 分量中曲线所需的最小同源度数是多少？
• RQ4 如何利用 Deuring 对应关系与光滑范数理想在不连通的同源山谷之间构造同源？
• RQ5 能否在 F_p 上实现 M-small 曲线的高效同源计算，以适用于 CSIDH 协议？

主要发现

• 在 F_{p^2} 上的 M-small 超奇异曲线集合被划分为 O(M) 个不相交子集 T_D，由满足 D ∈ [−4M, 0) 且模 p 不为平方数的基本判别式 D 索引。
• 不同 T_D 分量中的曲线之间存在至少 √p / (2M) 的同源距离，确保了强分量隔离。
• 同一 T_D 分量内的曲线可通过度数最多为 (4/π)√M 的同源链连接，链长 ≤ 3，或仅使用素数度数同源。
• 任意两个 M-small 超奇异曲线之间的同源可在 M 和 log p 的概率多项式时间内计算，采用以机场曲线为枢纽的枢纽-辐条模型。
• 该算法可实现跨不连通同源山谷的高效同源计算，克服了 ℓ-同源图遍历的局限性。
• 对于定义在 F_p 中的 j-不变量，该方法可扩展为使用关于 F_p-同源恢复的最新工作，计算 F_p 定义的同源。