Алгоритм Шуфа

Алгоритм Шуфа — эффективный алгоритм подсчёта числа точек на эллиптической кривой над конечным полем. Алгоритм имеет приложения в эллиптической криптографии, где важно знать число точек, чтобы судить о трудности решения задачи дискретного логарифмирования на группе точек на эллиптической кривой.

Алгоритм опубликовал в 1985 Рене Шуф и это был теоретический прорыв, поскольку это был первый детерминированный алгоритм полиномиального времени для подсчёта точек на эллиптической кривой. До алгоритма Шуфа подходы к подсчёту точек на эллиптических кривых, каким был бесхитростный алгоритм малых и больших шагов, были по большей части трудоёмкими и требовали экспоненционального времени работы.

Данная статья объясняет подход Шуфа, делая упор на математические идеи, лежащие в основе алгоритма.

Введение

Пусть $E$ — эллиптическая кривая, определённая над конечным полем $\mathbb {F} _{q}$, где $q=p^{n}$ для простого $p$ и целого $n\geq 1$. Над полем с характеристикой $\neq 2,3$ эллиптическая кривая может быть задана (коротко) уравнением Вейерштрасса

$y^{2}=x^{3}+Ax+B$

с $A,B\in \mathbb {F} _{q}$. Множество точек, определённых над $\mathbb {F} _{q}$, состоит из решений $(a,b)\in \mathbb {F} _{q}^{2}$, удовлетворяющих уравнению кривой, и бесконечно удалённой точки $O$. Если использовать групповой закон на эллиптических кривых на этом множестве, можно видеть, что это множество $E(\mathbb {F} _{q})$ образует абелеву группу, в которой $O$ действует как нулевой элемент. Чтобы посчитать точки на эллиптической кривой, мы подсчитываем мощность множества $E(\mathbb {F} _{q})$. В подходе Шуфа для подсчёта мощности $\sharp E(\mathbb {F} _{q})$ используется теорема Хассе об эллиптических кривых вместе с китайской теоремой об остатках и многочленами деления.

Теорема Хассе

Основная статья: Теорема Хассе

Теорема Хассе утверждает, что если $E/\mathbb {F} _{q}$ является эллиптической кривой над конечным полем $\mathbb {F} _{q}$, то $\sharp E(\mathbb {F} _{q})$ удовлетворяет неравенству

$\mid q+1-\sharp E(\mathbb {F} _{q})\mid \leq 2{\sqrt {q}}.$

Этот сильный результат, полученный Хассе в 1934, упрощает нашу задачу путём сужения $\sharp E(\mathbb {F} _{q})$ к конечному (хотя и большому) множеству возможностей. Если определить $t$ как $q+1-\sharp E(\mathbb {F} _{q})$ и использовать этот результат, мы получим, что вычисление мощности $t$ по модулю $N$, где $N>4{\sqrt {q}}$, достаточно для вычисления $t$, а потому и для получения $\sharp E(\mathbb {F} _{q})$. Хотя нет эффективного пути вычисления $t{\pmod {N}}$ прямо для чисел $N$ общего вида, можно вычислить $t{\pmod {l}}$ для малого простого числа $l$ довольно эффективно. Мы выбираем $S=\{l_{1},l_{2},...,l_{r}\}$ в качестве множества различных простых чисел, таких, что $\prod l_{i}=N>4{\sqrt {q}}$. Если задано $t{\pmod {l_{i}}}$ для всех $l_{i}\in S$, китайская теорема об остатках позволяет вычислить $t{\pmod {N}}$.

Чтобы вычислить $t{\pmod {l}}$ для простого $l\neq p$, мы используем теорию эндоморфизма Фробениуса $\phi$ и многочлены деления. Заметим, что рассмотрение простых чисел $l\neq p$ не приводит к проблемам, поскольку мы всегда можем выбрать большее простое число, чтобы обеспечить, чтобы произведение было достаточно велико. В любом случае алгоритм Шуфа наиболее часто используется для случая $q=p$, поскольку имеются более эффективные, так называемые $p$-адичные алгоритмы, для полей с малой характеристикой.

Эндоморфизм Фробениуса

Если задана эллиптическая кривая $E$, определённая над $\mathbb {F} _{q}$, мы рассматриваем точки на $E$ над ${\bar {\mathbb {F} }}_{q}$, алгебраическим замыканием поля $\mathbb {F} _{q}$. То есть мы разрешаем точкам иметь координаты в ${\bar {\mathbb {F} }}_{q}$. Эндоморфизм Фробениуса ${\bar {\mathbb {F} }}_{q}$ над $\mathbb {F} _{q}$ расширяет эллиптическую кривую отображением $\phi :(x,y)\mapsto (x^{q},y^{q})$.

Это отображение тождественно на $E(\mathbb {F} _{q})$ и можно расширить его точкой на бесконечности $O$, что делает его морфизмом группы из$E({\bar {\mathbb {F} _{q}}})$ на себя.

Эндоморфизм Фробениуса удовлетворяет квадратному уравнению, связанному с мощностью $E(\mathbb {F} _{q})$ по следующей теореме:

Теорема: Эндоморфизм Фробениуса, заданный отображением $\phi$, удовлетворяет характеристическому уравнению

$\phi ^{2}-t\phi +q=0$, где $t=q+1-\sharp E(\mathbb {F} _{q})$

Тогда для всех $P=(x,y)\in E$ имеем $(x^{q^{2}},y^{q^{2}})+q(x,y)=t(x^{q},y^{q})$, где + означает сложение эллиптической кривой, а $q(x,y)$ и $t(x^{q},y^{q})$ означают скалярное произведение точки $(x,y)$ на $q$ и точки $(x^{q},y^{q})$ на $t$.

Можно попытаться в символьном виде вычислить эти точки $(x^{q^{2}},y^{q^{2}})$, $(x^{q},y^{q})$ и $q(x,y)$ как функции на координатном кольце $\mathbb {F} _{q}[x,y]/(y^{2}-x^{3}-Ax-B)$ на кривой $E$, а затем искать значение $t$, которое удовлетворяет уравнению. Однако степени получаются очень большими и такой подход практического значения не имеет.

Идея Шуфа заключалась в выполнении таких вычислений, ограничиваясь точками порядка $l$ для различных малых простых чисел $l$. Фиксируя нечётное простое число $l$ мы переходим к решению задачи определения $t_{l}$, определённого как $t{\pmod {l}}$, для заданного простого $l\neq 2,p$. Если точка $(x,y)$ находится в подгруппе $l$-кручения $E[l]=\{P\in E({\bar {\mathbb {F} _{q}}})\mid lP=O\}$, то $qP={\bar {q}}P$, где ${\bar {q}}$ является единственным целым числом, таким, что $q\equiv {\bar {q}}{\pmod {l}}$ и $\mid {\bar {q}}\mid <l/2$. Заметим, что $\phi (O)=O$ и что для любого целого $r$ мы имеем $r\phi (P)=\phi (rP)$. Таким образом, $\phi (P)$ имеет тот же порядок, что и $P$. Тогда для $(x,y)$, принадлежащего $E[l]$, мы имеем также $t(x^{q},y^{q})={\bar {t}}(x^{q},y^{q})$, если $t\equiv {\bar {t}}{\pmod {l}}$. Следовательно, мы свели нашу задачу к решению уравнения

$(x^{q^{2}},y^{q^{2}})+{\bar {q}}(x,y)\equiv {\bar {t}}(x^{q},y^{q}),$

где ${\bar {t}}$ и ${\bar {q}}$ лежат в интервале $[-(l-1)/2,(l-1)/2]$.

Вычисления по простому модулю

Многочлен деления с номером l — это такой многочлен, что его корни являются в точности x координатами точек порядка l. Тогда ограничение вычисления $(x^{q^{2}},y^{q^{2}})+{\bar {q}}(x,y)$ на точки l-кручения означает вычисление этих выражений как функций координатного кольца E и модуля l-го многочлена деления. То есть мы работаем в $\mathbb {F} _{q}[x,y]/(y^{2}-x^{3}-Ax-B,\psi _{l})$. Это, в частности, означает, что степень X и Y, определяемых через $(X(x,y),Y(x,y)):=(x^{q^{2}},y^{q^{2}})+{\bar {q}}(x,y)$ не превышают 1 по переменной y и $(l^{2}-3)/2$ по переменной x.

Скалярное произведение ${\bar {q}}(x,y)$ может быть осуществлено методом удвоить-и-сложить, либо с помощью ${\bar {q}}$-го многочлена деления. Второй подход даёт:

${\bar {q}}(x,y)=(x_{\bar {q}},y_{\bar {q}})=\left(x-{\frac {\psi _{{\bar {q}}-1}\psi _{{\bar {q}}+1}}{\psi _{\bar {q}}^{2}}},{\frac {\psi _{2{\bar {q}}}}{2\psi _{\bar {q}}^{4}}}\right)$,

где $\psi _{n}$ — n-й многочлен деления. Заметим, что $y_{\bar {q}}/y$ является функцией только от x, обозначим эту функцию через $\theta (x)$.

Мы должны разбить задачу на два случая: случай, в котором $(x^{q^{2}},y^{q^{2}})\neq \pm {\bar {q}}(x,y)$, и случай, в котором $(x^{q^{2}},y^{q^{2}})=\pm {\bar {q}}(x,y)$.

Случай 1: $(x^{q^{2}},y^{q^{2}})\neq \pm {\bar {q}}(x,y)$

Используя формулу сложения для группы $E(\mathbb {F} _{q})$, мы получим:

$X(x,y)=\left({\frac {y^{q^{2}}-y_{\bar {q}}}{x^{q^{2}}-x_{\bar {q}}}}\right)^{2}-x^{q^{2}}-x_{\bar {q}}.$

Заметим, что это вычисление невозможно, если предположение о неравенстве не выполняется.

Мы теперь можем сузить выбор координаты x для ${\bar {t}}$ до двух возможностей, а именно — положительного и отрицательного случаев. Используя координату y, определяем, который из двух случаев имеет место.

Сначала мы покажем, что X является функцией только от x. Рассмотрим $(y^{q^{2}}-y_{\bar {q}})^{2}=y^{2}(y^{q^{2}-1}-y_{\bar {q}}/y)^{2}$. Поскольку $q^{2}-1$ чётно, заменив $y^{2}$ на $x^{3}+Ax+B$, мы переписываем выражение как

$(x^{3}+Ax+B)((x^{3}+Ax+B)^{\frac {q^{2}-1}{2}}-\theta (x))$

и имеем

$X(x)\equiv (x^{3}+Ax+B)((x^{3}+Ax+B)^{\frac {q^{2}-1}{2}}-\theta (x)){\bmod {\psi }}_{l}(x).$

Теперь, если $X\equiv x_{\bar {t}}^{q}{\bmod {\psi }}_{l}(x)$ для ${\bar {t}}\in [0,(l-1)/2]$, то для ${\bar {t}}$ верно равенство

$\phi ^{2}(P)\mp {\bar {t}}\phi (P)+{\bar {q}}P=O$

для всех точек P l-кручения.

Как было упомянуто ранее, используя Y и $y_{\bar {t}}^{q}$, мы можем теперь определить, какое из двух значений ${\bar {t}}$ (${\bar {t}}$ или $-{\bar {t}}$) работает. Это даёт значение $t\equiv {\bar {t}}{\pmod {l}}$. Алгоритм Шуфа запоминает значения ${\bar {t}}{\pmod {l}}$ в переменной $t_{l}$ для каждого рассматриваемого простого l.

Случай 2: $(x^{q^{2}},y^{q^{2}})=\pm {\bar {q}}(x,y)$

Предположим, что $(x^{q^{2}},y^{q^{2}})={\bar {q}}(x,y)$. Поскольку l является нечётным простым числом, невозможно, чтобы ${\bar {q}}(x,y)=-{\bar {q}}(x,y)$, а следовательно, ${\bar {t}}\neq 0$. Из характеристического уравнения следует, что ${\bar {t}}\phi (P)=2{\bar {q}}P$, а следовательно, что ${\bar {t}}^{2}{\bar {q}}\equiv (2q)^{2}{\pmod {l}}$. Из этого следует, что q является квадратом по модулю l. Пусть $q\equiv w^{2}{\pmod {l}}$. Вычислим $w\phi (x,y)$ в $\mathbb {F} _{q}[x,y]/(y^{2}-x^{3}-Ax-B,\psi _{l})$ и проверим, выполняется ли ${\bar {q}}(x,y)=w\phi (x,y)$. Если так, то $t_{l}$ является $\pm 2w{\pmod {l}}$, в зависимости от координаты y.

Если q окажется не равным квадрату по модулю l или если равенство не выполняется для некоторого w и $-w$, наше предположение, что $(x^{q^{2}},y^{q^{2}})=+{\bar {q}}(x,y)$ неверно, так что $(x^{q^{2}},y^{q^{2}})=-{\bar {q}}(x,y)$. Характеристическое уравнение даёт $t_{l}=0$.

Дополнительный случай $l=2$

Если вспомнить, наши начальные соглашения не рассматривают случая $l=2$. Поскольку мы предположили, что q нечётно, $q+1-t\equiv t{\pmod {2}}$ и, в частности, $t_{2}\equiv 0{\pmod {2}}$ тогда и только тогда, когда $E(\mathbb {F} _{q})$ имеет элемент порядка 2. По определению сложения в группе любой элемент порядка 2 должен иметь вид $(x_{0},0)$. Таким образом $t_{2}\equiv 0{\pmod {2}}$ тогда и только тогда, когда многочлен $x^{3}+Ax+B$ имеет корень в $\mathbb {F} _{q}$, тогда и только тогда, когда НОД$(x^{q}-x,x^{3}+Ax+B)\neq 1$.

Алгоритм

    Ввод:
        1. Эллиптическая кривая $E=y^{2}-x^{3}-Ax-B$.
        2. Целое число q для конечного поля $F_{q}$ с $q=p^{b},b\geq 1$.
    Вывод:
        Число точек E над $F_{q}$.
    Выбираем множество нечётных простых чисел S, не содержащее p, такое, что  $N=\prod _{l\in S}l>4{\sqrt {q}}.$
    Примем $t_{2}=0$, если НОД$(x^{q}-x,x^{3}+Ax+B)\neq 1$, иначе принимаем $t_{2}=1$.
    Вычисляем многочлен деления $\psi _{l}$. 
    Все вычисления в цикле ниже осуществляются в кольце $\mathbb {F} _{q}[x,y]/(y^{2}-x^{3}-Ax-B,\psi _{l}).$
    Для $l\in S$ выполняем:
        Пусть ${\bar {q}}$ — единственное целое  такое, что $q\equiv {\bar {q}}{\pmod {l}}$ и $\mid {\bar {q}}\mid <l/2$.
        Вычисляем $(x^{q},y^{q})$, $(x^{q^{2}},y^{q^{2}})$ и $(x_{\bar {q}},y_{\bar {q}})$.   
        Если $x^{q^{2}}\neq x_{\bar {q}}$  то
            Вычисляем $(X,Y)$.
            для $1\leq {\bar {t}}\leq (l-1)/2$ выполняем:
                если $X=x_{\bar {t}}^{q}$ то
                    если $Y=y_{\bar {t}}^{q}$ то
                        $t_{l}={\bar {t}}$;
                    иначе
                        $t_{l}=-{\bar {t}}$.
        иначе если q является квадратом по модулю l  то 
            вычисляем w с $q\equiv w^{2}{\pmod {l}}$
             вычисляем $w(x^{q},y^{q})$
            если $w(x^{q},y^{q})=(x^{q^{2}},y^{q^{2}})$  то
                $t_{l}=2w$
            иначе если $w(x^{q},y^{q})=(x^{q^{2}},-y^{q^{2}})$ то
                $t_{l}=-2w$
            иначе
                $t_{l}=0$
        иначе
            $t_{l}=0$
    Используем китайскую теорему об остатках для вычисления t по модулю N из уравнения $x\equiv t_{l}{\pmod {l}}$, где $l\in S$.
    Выводим $q+1-t$.

Сложность

Большинство вычислений заключаются в вычислении $\phi (P)$ и $\phi ^{2}(P)$, для каждого простого числа $l$, то есть вычислении $x^{q}$, $y^{q}$, $x^{q^{2}}$, $y^{q^{2}}$ для каждого простого числа $l$. Вычисления включают возведение в степень в кольце $R=\mathbb {F} _{q}[x,y]/(y^{2}-x^{3}-Ax-B,\psi _{l})$ и требуют $O(\log q)$ умножений. Поскольку степень $\psi _{l}$ равна ${\frac {l^{2}-1}{2}}$, каждый элемент в кольце является многочленом степени $O(l^{2})$. По теореме о распределении простых чисел имеется около $O(\log q)$ простых чисел размера $O(\log q)$, что даёт для $l$ значение $O(\log q)$, и мы получаем $O(l^{2})=O(\log ^{2}q)$. Таким образом, каждое умножение в кольце $R$ требует $O(\log ^{4}q)$ умножений в $\mathbb {F} _{q}$, что, в свою очередь, требует, $O(\log ^{2}q)$ битовых операций. В общей сложности число битовых операций для каждого простого числа $l$ равно $O(\log ^{7}q)$. Если принять, что это вычисление требуется провести для каждого из $O(\log q)$ простых чисел, полная сложность алгоритма Шуфа становится $O(\log ^{8}q)$. Использование быстрых операций с многочленами и целочисленной арифметики сокращает это время до ${\tilde {O}}(\log ^{5}q)$.

Улучшения алгоритма Шуфа

Основная статья: Алгоритм Шуфа — Элкиса — Аткина

В 1990-х годах Ноам Элкис, а затем А. О. Л. Аткин придумали улучшения базового алгоритма Шуфа путём ограничения множества простых чисел $S=\{l_{1},\ldots ,l_{s}\}$ до чисел определённого вида. Эти числа стали называться простыми Элкиса и простыми Аткина соответственно. Простое число $l$ называется простым Элкиса, если характеристическое равенство $\phi ^{2}-t\phi +q=0$ разложим над $\mathbb {F} _{l}$, а простые Аткина — это простые, не являющиеся простыми Элкиса. Аткин показал как комбинировать информацию, полученную из простых Аткина, с информацией, полученной из простых Элкиса, чтобы получить эффективный алгоритм, который получил название «Алгоритм Шуфа — Элкиса — Аткина». Первая задача — определить, данное простое является простым Элкиса, или Аткина. Чтобы это получить, используем модулярные многочлены, которые возникают при изучении модулярных форм и интерпретации эллиптических кривых над полем комплексных чисел как решёток. Как только мы определим, какой случай мы имеем, вместо использования многочленов деления мы можем работать с многочленами, имеющими меньшие степени по сравнению с многочленами деления: $O(l)$ вместо $O(l^{2})$. Для эффективной имплементации используются вероятностные алгоритмы поиска корней, что делает алгоритм алгоритмом Лас-Вегаса, а не детерминированным алгоритмом. При эвристическом предположении, что примерно половина простых чисел, не превосходящих $O(\log q)$, являются простыми Элкиса, это даёт алгоритм, который эффективнее алгоритма Шуфа, и ожидаемое время работы этого алгоритма равно $O(\log ^{6}q)$, если использовать обычную арифметику, и ${\tilde {O}}(\log ^{4}q)$, если использовать быструю арифметику. Следует заметить, что это эвристическое предположение верно для большинства эллиптических кривых, но не известно для общего случая, даже при верности обобщённой гипотезы Римана.

Имплементации

Некоторые алгоритмы были имплементированы на C++ Майком Скоттом и доступны в исходном коде. Имплементация абсолютно свободная (никаких условий, никаких ограничений), но использует библиотеку MIRACL, которая распространяется под лицензией AGPLv3.

• Алгоритм Шуфа с имплементацией для $E(\mathbb {F} _{p})$ с простым $p$.
• Алгоритм Шуфа с имплементацией для $E(\mathbb {F} _{2^{m}})$.

См. также

• Эллиптическая криптография
• Подсчёт точек на эллиптической кривой
• многочлены деления
• Эндоморфизм Фробениуса