Τέλος, θέλω να πω ένα μεγάλο ευχαριστώ στους γονείς μου που πάντα στηρίζουν τις αποφάσεις μου και με βοηθάνε να κατακτάω καινούριες κορυφές.

Transcript

1 Η µέθοδος του Schoof στην µέτρηση σηµείω ων Ελλειπτικών Καµπυλών Κοσίδου Κύρα Μ. Π. Σ. : ΜΑΘΗΜΑΤΙΚΗ ΜΟΝΤΕΛΟΠΟΙΗΣΗ ΣΤΙΣ ΦΥΣΙΚΕΣ ΕΠΙΣΤΗΜΕΣ ΚΑΙ ΣΤΙΣ ΣΥΓΧΡΟΝΕΣ ΤΕΧΝΟΛΟΓΙΕΣ Επιβλέπων: Κοντογεώργης Αριστείδης Μέλη Τριµελούς Επιτροπής: Ν. Καραχάλ λιος, Π. Νάστου Σάµος 2011

2 Στους γονείς μου 1

3 Θέλω να ευχαριστήσω θερμά τον καθηγητή μου, κ. Αριστείδη Κοντογεώργη, για τη βοήθεια και τη στήριξη που μου παρείχε για τη συγγραφή αυτής της εργασίας. Που στάθηκε δίπλα μου μέχρι το τέλος παρά τις όποιες δυσκολίες. Επίσης, θέλω να ευχαριστήσω μέσα από την καρδιά μου την φίλη μου και αδερφή μου, Παπανδρέου Παναγιώτα, χωρίς την οποία δύσκολα θα έβρισκα το κουράγιο να συνεχίσω. Τέλος, θέλω να πω ένα μεγάλο ευχαριστώ στους γονείς μου που πάντα στηρίζουν τις αποφάσεις μου και με βοηθάνε να κατακτάω καινούριες κορυφές. 2

4 Εισαγωγή Μαθηµατικό Υπόβαθρο Στοιχεία Θεωρίας Σωµάτων Επεκτάσεις Σωµάτων Το Σώµα Σώµα Galois Galois Field H Οµάδα Galois Στοιχεία Θεωρίας Ελλειπτικών Καµπυλών Γενικά Πρόσθεση Σηµείων Ελλειπτικής Καµπύλης Πολλαπλασιασµός Σηµείου Ελλειπτικής Καµπύλης Με Εναν Ακέραιο Αριθµό Ελλειπτικές Καµπύλες Στο Πεπερασµένο Σώµα Πολυώνυµα Διαίρεσης Το Κρυπτοσύστηµα ElGamal Γενική Ιδέα Aσφάλεια Του ElGamal ElGamal Σε Ελλειπτικές Καµπύλες Το Πρόβληµα Διακριτού Λογαρίθµου Στις Ελλειπτικές Καµπύλες Kαι H Aσφάλεια Tων Eλλειπτικών Kαµπυλών Ο Αλγόριθµος Του Schoof Περιγραφή Αλγορίθµου...32 Βιβλιογραφία

5 4

6 Οι ελλειπτικές καμπύλες είναι ένα εργαλείο που έχει τις ρίζες του στην προσπάθεια υπολογισμού των ελλειπτικών ολοκληρωμάτων, κλάδος στον οποίο είχαν συνεισφορά μεγάλοι αναλυστές όπως ο Abel, ο Weierstrass και ο Jacobi. Σήμερα, οι ελλειπτικές καμπύλες έχουν πολλές εφαρμογές στα ίδια τα θεωρητικά μαθηματικά και κυριώς στην θεωρία αριθμών (Η απόδειξη του Wiles σχετικά με την αλήθεια του τελευταίου θεωρήματος του Fermat βασίστηκε στην θεωρία των ελλειπτικών καμπύλων) αλλά και στις πρακτικές εφαρμογές, κυρίως στην κρυπτογραφία. Η κρυπτογραφία ελλειπτικών καμπυλών είναι ένας σχετικά νέος κλάδος ο οποίος συμβάλει στην προσπάθεια για παγκόσμια ασφάλεια. Τα κρυπτοσυστήματα που είναι βασισμένα στις ελλειπτικές καμπύλες προτάθηκαν από τον Neal Koblitz και τον Victor Miller, ανεξάρτητα. Αυτά τα κρυπτοσυστήματα βασίζονται στο πρόβλημα του διακριτού λογάριθμου 1, το οποίο εκμεταλλεύτηκε ο El Gamal για να δημιουργήσει το κρυπτοσύστημα του. Έχει άμμεση σχέση με την "συμβατική" κρυπτογραφία. Η διαφορά της βρίσκεται στο γεγονός ότι αντικαθιστούμε την πολλαπλασιαστική υποομάδα του με την ομάδα μιας ελλειπτικής καμπύλης ορισμένης πάνω σε ένα πεπερασμένο σώμα, και το ενδιαφέρον μας στρέφεται στις ελλειπτικές καμπύλες που είναι ορισμένες πάνω σε ένα σώμα της μορφής. Υπάρχουν πολυάριθμοι λόγοι για τους οποίους οι ελλειπτικές καμπύλες είναι ενδιαφέρον εργαλείο στα χέρια των κρυπτογράφων. Τα κρυπτοσυστήματα που βασίζονται στις ελλειπτικές καμπύλες είναι ασφαλέστερα από τα αντίστοιχα συμβατικά για το ίδιο μέγεθος κλειδιού. Το σημαντικό εδώ είναι ότι δεν υπάρχει καμία γνωστή και αποδοτική μέθοδος επίθεσης. Αυτό έχει ως αποτέλεσμα να εξασφαλίζεται με την χρήση των ελλειπτικών καμπυλών το ίδιο επίπεδο ασφάλειας χρησιμοποιώντας σώματα αρκετά μικρότερα σε σχέση με τα σώματα που χρησιμοποιούμε στα "συμβατικά" κρυπτοσυστήματα. Έχει προταθεί ότι για να είναι το κρυπτοσύστημα του El Gamal (βασισμένο σε ελλειπτικές καμπύλες) ασφαλές μέχρι το 2020 θα πρέπει τα σώματα της μορφής που χρησιμοποιούνται να έχουν P > ενώ το "συμβατικό" El Gamal θα πρέπει το 2020 να χρησιμοποιεί σώματα με P > για να εξασφαλίσει την ασφάλεια που χρειάζεται. Αυτή η τελευταία υπόθεση είναι η αιτία που οι ελλειπτικές καμπύλες έχουν γίνει τόσο δημοφιλείς για τις πρακτικές εφαρμογές τους στον τομέα της κρυπτογραφίας, ειδικά για τις εφαρμογές σε περιορισμένες πλατφόρμες, 1 Για το πρόβλημα του διακριτού λογαρίθμου δίνεται ορισμός στο κεφάλαιο 3.4 5

7 όπως οι έξυπνες κάρτες, όπου η διαθέσιμη μνήμη είναι αρκετά μικρή. Στις περιορισμένες πλατφόρμες συγκαταλέγονται και οι ασύρματες συσκευές, όπως τα PDA, τα τηλέφωνα που υποστηρίζουν εφαρμογές multimedia, τα έξυπνα κινητά κτλ. Τέτοιου είδους συσκευές χρησιμοποιούν δημόσια κανάλια επικοινωνίας. Η επικοινωνία μέσω δημόσιων καναλιών κάνει την ανάγκη για χρήση της κρυπτογραφίας επιτακτική. Το πρόβλημα όμως που δημιουργείται είναι ότι όλες οι περιορισμένες πλατφόρμες υστερούν στην υπολογιστική ισχύ τους και αδυνατούν στην επεξεργασία πολύπλοκων αλγορίθμων λόγω ανεπαρκούς μνήμης, με αποτέλεσμα οι αλγόριθμοι των "συμβατικών" κρυπτοσυστημάτων να είναι αδύνατον να πραγματοποιηθούν. Αντίθετα για να πραγματοποιηθούν οι αλγόριθμοι που χρησιμοποιούν οι ελλειπτικές καμπύλες, χρειάζονται αρκετά μικρότερη μνήμη- γιατί τα κλειδιά που χρησιμοποιούνται είναι αρκετά μικρότερα- και μικρότερη υπολογιστική ισχύ- γιατί οι πράξεις που γίνονται είναι υπολογιστικά ευκολότερες- για να πραγματοποιηθούν. Η ασφάλεια των ψηφιακών υπογραφών, των αλγορίθμων ασφαλούς ανταλλαγής κλειδιών και τα κρυπτοσυστήματα δημόσιου κλειδιού μέσω ελλειπτικών καμπυλών βασίζονται στην δυσκολία εύρεσης του διακριτού λογάριθμου, που είναι εκτελέσιμος σε υποεκθετικό χρόνο. Συνεπώς μπορούν να επιλεχθούν αρκετά μικρότερες παράμετροι για τα κρυπτοσυστήματα ελλειπτικών καμπυλών από ότι στα συνήθη κρυπτοσυστήματα διακριτού λογαρίθμου ή για το RSΑ, πετυχαίνοντας το ίδιο επίπεδο ασφάλειας. Μικρότερες παράμετροι μπορούν ενδεχομένως να οδηγήσουν σε σημαντικά οφέλη, ειδικά για υψηλότερα επίπεδα ασφάλειας. Ένα από τα θεμελιώδη προβλήματα των ελλειπτικών καμπυλών είναι ο υπολογισμός του πλήθους των ρητών σημείων τους πάνω σε ένα δοσμένο, πεπερασμένο σώμα q. Στην παρούσα διπλωματική εργασία θα ασχοληθούμε συγκεκριμένα με τον αλγόριθμο του Schoof, πάνω στη δουλειά του οποίου βασίζεται η γέννηση άλλων αποδοτικών αλγορίθμων που καταμετρούν τα ρητά σημεία των ελλειπτικών καμπυλών. Επίσης θα μιλήσουμε για το κρυπτοσύστημα του ElGamal στις ελλειπτικές καμύλες και θα περιγράψουμε τη λειτουργία του. 6

8 1.1 Στοιχεία Θεωρίας Σωµάτων Ορισµός Mια ομάδα είναι ένα αλγεβρικό σύστημα αποτελούμενο από ένα σύνολο G και μια πράξη στο G τέτοια, ώστε για όλα τα στοιχεία a, b και c στο G να ικανοποιούνται οι ακόλουθες συνθήκες: Προσεταιριστική ιδιότητα (Associativity): a (b c) = (a b) c Κλειστότητα (Closure): το (a b) πρέπει να ανήκει στο G για κάθε a, b G Ουδέτερο στοιχείο: Υπάρχει e G ώστε για κάθε a G να ισχύει: a e = e a = a Αντίστροφο στοιχείο: Για κάθε a G υπάρχει a' G ώστε: a a' = a' a = e Αντιμεταθετικότητα (Commutativity): a b = b a (Αβελιανή ομάδα - Abelian Group) Παραδείγµατα: Πρόσθεση:, e = 0, a' = -a 7

9 Πολλαπλασιασμός: {0}, e = 1, a' = a -1 Ορισµός Ένας δακτύλιος R,, είναι ένα σύνολο R μαζί με δύο διμελείς πράξεις και, τις οποίες αποκαλούμε πρόσθεση και πολλαπλασιασμό, ορισμένες στο έτσι, ώστε να ικανοποιούνται τα ακόλουθα αξιώματα: R, είναι μια αβελιανή ομάδα Ο πολλαπλασιασμός είναι προσεταιριστικός Για κάθε a, b, c R, ισχύουν: a(b+c)=(ab)+(ac) και (a+b)c=(ac)+bc Ορισµός Αν R,, δακτύλιος και R{0}, είναι πολλαπλασιαστική ομάδα, τότε το R λέγεται σώμα. Ορισµός Ο δακτύλιος R έχει χαρακτηριστική n, n0 αν n είναι ο ελάχιστος θετικός ακέραιος για τον οποίο ισχύει n1r0 Απόδειξη: Βλέπε [1] σελ 96. Ορισµός Ένα πεπερασμένο σώμα (finite field) είναι ένα αλγεβρικό σύστημα που αποτελείται από ένα πεπερασμένο σύνολο μαζί με δύο δυαδικές πράξεις και, ορισμένες στο, και ικανοποιεί τα ακόλουθα αξιώματα : Το είναι μια αβελιανή ομάδα με την πράξη Το * είναι μια αβελιανή ομάδα με την πράξη Και ισχύει η επιμεριστική ιδιότητα: a bc ac bc και ca b ca cb για κάθε a, b, c. 8

10 Ένα πεπερασμένο σώμα με q στοιχεία το συμβολίζουμε με q ή Gq. Θεώρηµα Έστω ένα πεπερασμένο σώμα. Τότε το έχει χαρακτηριστική p0, όπου p πρώτος και το πλήθος των στοιχείων του είναι p n, όπου n είναι ο βαθμός του επί του πρώτου υποσώματός του. Απόδειξη: Βλέπε [7] σελ 227. Θεώρηµα Ένα πεπερασμένο σώμα έχει qp n στοιχεία, όπου p είναι πρώτος αριθμός και ο n θετικός ακέραιος. Για κάθε τέτοιο q υπάρχει ακριβώς ένα σώμα, ορισμένο ως προς ισομορφισμό, με q στοιχεία. Αυτό είναι το σώμα ριζών του επί του /. Απόδειξη: Βλέπε [7] σελ 228. Ορισµός Ενδομορφισμός είναι ένας ομομορφισμός από ένα μαθηματικό αντικείμενο στον εαυτό του. Έστω Α, μια αβελιανή ομάδα. Τα στοιχεία του δακτυλίου των ενδομορφισμών της Α είναι η ομάδα ομομορφισμών ΑΑ. Έστω f, g δύο ενδομορφισμοί της Α. Οι ενδομορφισμοί της Α αποτελούν δακτύλιο με πράξεις: :,, Έχουμε λοιπόν πως το σύνολο όλων των ενδομορφισμών της Α με πράξεις τις, ικανοποιεί τον ορισμό του δακτυλίου. Συνεπώς, αυτός είναι ο δακτύλιος ενδομορφισμών της Α. 9

11 1.2 Eπεκτάσεις Σωµάτων Για την εύρεση ριζών πολυωνύμου p πάνω σε σώμα Κ είναι πολλές φορές αναγκαίο να περνούμε σε ένα μεγαλύτερο σώμα L το οποίο περιέχει το Κ. Υπό αυτές τις συνθήκες το L καλείται σώμα επέκτασης του Κ. Η επέκταση του L στο Κ συμβολίζεται με: L : K Αν το L : K είναι μια επέκταση, τότε το L έχει δομή δινυσματικού χώρου επί του Κ. Η διάσταση αυτού του διανυσματικού χώρου καλείται βαθμός της επέκτασης, ή ο βαθμός επέκτασης του L επί του K και γράφεται: L : K. Ορισµός Eάν έχουμε μία επέκταση L : K κι ένα στοιχείο α L, τότε είτε υπάρχει είτε όχι πολυώνυμο pk t τέτοιο ώστε pα 0. Εάν δεν υπάρχει, τότε το α καλείται υπερβατικό επί του Κ. Εάν υπάρχει, τότε το α καλείται αλγεβρικό επί του Κ. Ορισµός Εάν το α είναι αλγεβρικό επί του Κ, τότε υπάρχει μοναδικό πολυώνυμο q ελαχίστου βαθμού με qα 0. Το q καλείται ελάχιστο πολυώνυμο του α επί του Κ. Το ελάχιστο πολυώνυμο του α είναι ανάγωγο επί του Κ. Εάν α1, α2,...,αn L, τότε γράφουμε: K α1, α2,...,αn Το οποίο είναι το ελάχιστο υπόσωμα του L το οποίο περιέχει το Κ και τα στοιχεία α1, α2,...,αn. 10

12 1.3 Το Σώµα Σώµα Galois Galois Field Το σώμα P m αποτελεί επέκταση του σώματος P και ο βαθμός της επέκτασης P m : είναι m. Τα σώματα της μορφής P m, με p1 και m0, ονομάζονται και σώματα Galois (Galois Fields). Κάθε στοιχείο s του P m αναπαρίσταται ως εξής: όπου P. Η πρόσθεση (αφαίρεση) δύο στοιχείων s και q του P m πραγματοποιείται με την πρόσθεση (αφαίρεση) των συντελεστών των αντίστοιχων πολυωνύμων στο Ρ (δηλαδή modulo p). Πιο απλά: όπου και είναι συντελεστές των πολυωνύμων s και q αντίστοιχα. Για τον υπολογισμό του πολλαπλασιασμού δύο στοιχείων του P m χρειάζεται να οριστεί ένα πολυώνυμο αναγωγής (reduction polynomial) βαθμού m. Το πολυώνυμο αυτό πρέπει να είναι ανάγωγo στο P. Έστω λοιπόν s,q P. Το γινόμενό τους us q υπολογίζεται σε δύο βήματα: 1 Πολυωνυμικός πολλαπλασιασμός 2 Αναγωγή στο P m. 11

13 Το πολυώνυμο u που προκύπτει στο πρώτο βήμα έχει βαθμό 2m2. Το τελικό αποτέλεσμα όμως του πολλαπλασιασμού των στοιχείων s και q πρέπει να ανήκει στο P m, δηλαδή να είναι ένα πολυώνυμο βαθμού m1. Γι αυτόν το σκοπό χρειάζεται αναγωγή στο P m με χρήση του πολυωνύμου αναγωγής. Έστω ότι το πολυώνυμο αυτό είναι το px. Επομένως: Συνήθως ως πολυώνυμο αναγωγής χρησιμοποιείται κάποιο της μορφής, που είναι το ελάχιστο (όπου ω ένα τυχαίο στοιχείο του σώματος P) γιατί έτσι η αναγωγή γίνεται πιο αποδοτικά. Η πράξη της αντιστροφής ενός στοιχείου στο P m είναι πολύ πιο χρονοβόρα και πολύπλοκη από αυτήν του πολλαπλασιασμού και θα πρέπει όσο γίνεται να αποφεύγεται όταν χρησιμοποιείται το σώμα επέκτασης P m. 12

14 1.4 H Οµάδα Galois Έστω Κ μία επέκταση ενός σώματος. Οι αυτομορφισμοί (automorphisms) του Κ υπέρ του είναι οι συναρτήσεις που διατηρούν τις πράξεις της πρόσθεσης και του πολλαπλασιασμού: και Για παράδειγμα, η μιγαδική συζυγία είναι αυτομορφισμός του σώματος των μιγαδικών αριθμών. Έστω ο μιγαδικός συζυγής του με α, b. Τότε: Το σύνολο των αυτομορφισμών σ του Κ υπέρ του, που επιπλέον δίνουν την ταυτοτική απεικόνιση, για κάθε z στο ονομάζεται ομάδα Galois (Galois group) της επέκτασης Κ και θα συμβολίζεται με GalK/. Με άλλα λόγια, κάθε στοιχείο της ομάδας Galois μιας επέκτασης είναι ένας αυτομορφισμός που κρατάει σταθερό το κάτω σώμα. Για παράδειγμα, η ομάδα Galois της επέκτασης i πάνω στο είναι τάξης δύο, και τα δύο της στοιχεία είναι η ταυτοτική απεικόνιση και η μιγαδική συζυγία. Αν το σώμα που αποτελείται από τα στοιχεία τα οποία μένουν σταθερά από την ομάδα Galois K/ είναι ακριβώς ίσο με το, τότε η απεικόνιση ονομάζεται επέκταση Galois (Galois extention). 13

15 2.1 Γενικά Μία γενική εξίσωση μιας ελλειπτικής καμπύλης σ ένα σώμα Κ χαρακτηριστικής 2 δίνεται από τη σχέση: 0 1 όπου A, B,..., αποτελούν στοιχεία του Κ. Αν το σώμα Κ έχει χαρακτηριστική 3, τότε με τον κατάλληλο μετασχηματισμό η παραπάνω εξίσωση μπορεί να απλοποιηθεί σε: 2 (ο όρος δεν μπορεί να εξαλειφθεί). Μια γενική μορφή στην οποία μπορεί να μετατραπεί κάθε κυβική καμπύλη που έχει ένα ρητό σημείο στο σώμα K, μετά από εφαρμογή κατάλληλων αμφίρητων μετασχηματισμών, ονομάζεται μορφή Weierstrass, και δίνεται από τον τύπο: y 2 αy x 3 bx 2 cxy dx e 3 Όπου a, b, c, d και είναι στοιχεία του K. Και όταν η χαρακτηριστική του σώματος είναι 2, 3 τότε η εξίσωση της ελλειπτικής καμπύλης με κατάλληλους μετασχηματισμούς παίρνει τη μορφή: 4 για σταθερές α και b, όπου το δεξί μέλος της 4 δεν έχει επαναλαμβανόμενες μεταβλητές και η εξίσωση είναι δευτεροβάθμια ως προς y αλλά τριτοβάθμια ως προς x. Στην περίπτωση αυτή λέμε ότι η ελλειπτική καμπύλη 14

16 αναπαρίσταται από μια βραχεία, κανονική μορφή Weierstrass (short, normal Weierstrass form). Αν για κάποιον συνδυασμό των α και b, η εξίσωση της ελλειπτικής καμπύλης δεν έχει τρείς διαφορετικές ρίζες (για y0), τότε η καμπύλη αυτή ονομάζεται ιδιάζουσα (singular). Αυτό συμβαίνει όταν: Δ Γενικότερα, μια ελλειπτική καμπύλη σε ένα σώμα K είναι μια μη ιδιάζουσα κυβική καμπύλη δύο μεταβλητών, 0, με Κ ρητό σημείο μαζί με ένα σημείο στο άπειρο. Το σώμα K στο οποίο μπορούν να οριστούν οι ελλειπτικές καμπύλες μπορεί να είναι το σώμα των πραγματικών αριθμών, το των μιγαδικών, το των ρητών κλπ. Ειδικότερα στην κρυπτογραφία, οι ελλειπτικές καμπύλες ορίζονται σε πεπερασμένα σώματα. Παρακάτω απεικονίζονται ελλειπτικές καμπύλες για διάφορες τιμές των και. Μια ελλειπτική καμπύλη της μορφής: y 2 x 3 n, με n ακέραιο είναι γνωστή ως καμπύλη Mordell. Ενώ οι κωνικές τομές μπορούν να παραμετρικοποιηθούν από τις ρητές συναρτήσεις, οι ελλειπτικές καμπύλες δεν μπορούν. Οι απλούστερες συναρτήσεις παραμετρικοποίησης είναι ελλειπτικές συναρτήσεις. 15

17 Αν το βασικό σώμα μιας ελλειπτικής καμπύλης είναι αλγεβρικά κλειστό, τότε μια ευθεία γραμμή τέμνει την ελλειπτική καμπύλη σε τρία σημεία (καταμέτρησηη πολλαπλών ριζών στα σημεία επαφής). Αν τα δύο από αυτά είναι γνωστά,, τότε μπορούμε να υπολογίσουμε και το τρίτο. Αν δύο από τα σημεία τομής είναι ρητά στο K, τότε και το τρίτο σημείο θα είναι ρητό στο K Πρόσθεση Σηµείων Ελλειπτικής Καµπύλης Η πρόσθεση βασίζεται στο γεγονός ότι μια ευθεία μπορεί να τέμνει μια ελλειπτική καμπύλη σε τρία σημεία. Αν εξετάσουμε μια ελλειπτική καμπύλη θα διαπιστώσουμε ότι αυτή είναι συμμετρική ως προς τον άξονα x. Έτσι μπορούμε να ορίσουμε το αντίθετο σημείο (Ρ) ενός σημείου (Ρ) της καμπύλης όπως φαίνεται στο παρακάτω σχήμα. 16

18 Παρατηρούμε ότι αν P(x, y), τότε Ρ(x, y). Γεωμετρικά αυτό περιγράφεται ως εξής: Υπολογίζουμε την ευθεία που διέρχεται από το σημείο Ρ και το σημείο Ο ( κατακόρυφη ). Το τρίτο σημείο της καμπύλης είναι το Ρ. Το σημείο στο άπειρο είναι το σημείο εκείνο στο οποίο τέμνονται όλες οι παράλληλες με τον άξονα των y. Θα δούμε στη συνέχεια ότι μπορούμε να ορίσουμε στην ελλειπτική καμπύλη δομή ομάδας με Ο το ουδέτερο σημείο. Επομένως, για το σημείο Ο ισχύει ότι: P Ο Ο PP, και PP Ο. Έστω τα σημεία Ρ και Q της ελλειπτικής καμπύλης (παρακάτω σχήμα). Η ευθεία η οποία διέρχεται από τα Ρ και Q, τέμνει την καμπύλη στο τρίτο σημείο, το οποίο είναι το (PQ). Το σημείο (PQ) θα είναι το συμμετρικό του (PQ) ως προς τον άξονα x. Στην περίπτωση που PQ, θεωρούμε ότι τα δύο από τα τρία σημεία που τέμνουν την καμπύλη συμπίπτουν. Η ευθεία που ορίζεται είναι η εφαπτομένη στο σημείο Ρ. 17

19 Στη συνέχεια θα περιγράψουμε την πράξη της πρόσθεσης σημείων ελλειπτικής καμπύλης αλγεβρικά. Όπως είδαμε κατά τον γραφικό υπολογισμό, τα δύο σημεία καθώς και το αντίθετο του αθροίσματος αυτών βρίσκονται στην ίδια ευθεία. Έστω τα δύο σημεία Ρ(x 1,y 1 ) και Q(x 2,y 2 ). Τότε η ευθεία: yλxc η οποία διέρχεται από τα σημεία αυτά θα έχει κλίση ίση με:. Αν στην εξίσωση της ελλειπτικής καμπύλης θέσουμε όπου y την εξίσωση ευθείας, οι συντεταγμένες του σημείου P+Q(x 3,y 3 ) είναι: x3 x1x2 y3λx1x3y1 Oι παραπάνω σχέσεις προέκυψαν για διαφορετικά σημεία P και Q. Στην περίπτωση όπου QPx1,y1, η κλίση γίνεται άπειρη, γεγονός που μας οδηγεί στο σημείο Ο. Τέλος, στην περίπτωση όπου PQ, η πρόσθεση αντιστοιχεί με το διπλασιασμό του σημείου Ρ. Η κλίση υπολογίζεται από την παραγώγιση της εξίσωσης της ελλειπτικής καμπύλης και είναι ίση με:, 18

20 Ενώ οι συντεταγμένες ορίζονται από τις σχέσεις που υπολογίσθηκαν για διαφορετικά P και Q. Συνοψίζοντας, αν Px1, y2 και Qx2, y2 τότε: PQx3, y3 με x3λ 2 λx1x2α y3λx1x2x3y1 όπου. 2.3 Πολλαπλασιασµός Σηµείου Ελλειπτικής Καµπύλης Με Εναν Ακέραιο Αριθµό Έστω k ένας ακέραιος και Ρ ένα σημείο σε μια ελλειπτική καμπύλη. Τότε, ο πολλαπλασιασμός του ακεραίου k με το σημείο Ρ ορίζεται ως εξής: Το αποτέλεσμα δηλαδή του πολλαπλασιασμού είναι ένα άλλο σημείο στην ελλειπτική καμπύλη. Ορισµός Αν υπάρχει ένας αριθμός n0 για τον οποίο np Ο, τότε το n καλείται τάξη (order) του Ρ. Αν για κάποιο σημείο Ρ δεν υπάρχει τέτοιος αριθμός, το σημείο έχει άπειρη τάξη. 19

21 Ο αριθμός n δεν μπορεί να είναι μεγαλύτερος από την τάξη m #EK της ελλειπτικής καμπύλης και για όλα τα σημεία της ισχύει ότι mp Ο. To παρακάτω θεώρημα του Langrange συνδέει την τάξη της ελλειπτικής καμπύλης με την τάξη των σημείων της. Θεώρηµα Έστω ΕΚ μια ελλειπτική καμπύλη με τάξη m#ek και Ρ ένα σημείο της. Τότε η τάξη n του σημείου Ρ διαιρεί την τάξη της ελλειπτικής καμπύλης m. Απόδειξη: Βλέπε [7] Ο πιο απλός αλγόριθμος υπολογισμού του πολλαπλασιασμού ενός σημείου με έναν ακέραιο k, βασίζεται στη δυαδική αναπαράσταση του k και έχει πολυπλοκότητα log. Μέθοδος υπολογισμού του πολλαπλασιασμού ενός σημείου με έναν ακέραιο Είσοδος: Ένα σημείο Ρ και ένας θετικός ακέραιος k Έξοδος: To σημείο QkP Q Ο While k 0 If k mod 21 Q Q P P P P k k/2 Ο αριθμός των προσθέσεων της συγκεκριμένης μεθόδου πολλαπλασιασμού μπορεί να μειωθεί κι άλλο με τη χρήση ενός τεχνάσματος ( Koblitz s trick). Βλέπε [5] Υπάρχουν επίσης πολλές αποδοτικές μέθοδοι για τον υπολογισμό του πολλαπλασιασμού, όπως οι μέθοδοι παραθύρου ή μέθοδοι που βασίζονται σε διάφορες αναπαραστάσεις του ακεραίου k. Βλέπε [9] 20

22 2.4 Ελλειπτικές Καµπύλες Στο Πεπερασµένο Σώµα Οι ελλειπτικές καμπύλες που ορίζονται στο σώμα p, όπου p3 είναι πρώτος αριθμός, αναπαρίστανται πάντα από μια βραχεία, κανονική μορφή Weierstrass. Η τάξη αυτών των ελλειπτικών καμπυλών είναι πεπερασμένη και ίση με: # 1 Ο φυσικός αριθμός t ονομάζεται ίχνος του Frobenius, και σύμφωνα με το θεώρημα του Hasse: Για το ίχνος του Frobenius t ισχύει ο περιορισμός 2 Βλέπε [4] Αν το ίχνος του Frobenius είναι 1 για μια ελλειπτική καμπύλη, τότε αυτή καλείται μη ομαλή (anomalous). Υπεριδιάζουσα (supersingular) ελλειπτική καμπύλη είναι μια καμπύλη για την οποία ο πρώτος αριθμός p διαιρεί το ίχνος του Frobenius t. Ισοδύναμα, μια ελλειπτική καμπύλη είναι υπερδιάζουσα αν και μόνον αν p{2,3} και j(e)=0, ή p5 και t=0. Ορισµός Όταν Δ0, η j-invariant της καμπύλης ορίζεται να είναι: Λήµµα 2.4.1: Δύο ελλειπτικές καμπύλες οι οποίες είναι ισόμορφες επί του Κ, έχουν την ίδια j invariant. Αντίστροφα, δύο καμπύλες με την ίδια j invariant είναι ισόμορφες επί του Απόδειξη: Βλέπε [9] σελ.31 Οι ελλειπτικές καμπύλες που εμπίπτουν στις δύο αυτές κατηγορίες, των μη ομαλών και των υπεριδιαζουσών καμπυλών, αποφεύγονται στις κρυπτογραφικές εφαρμογές γιατί είναι πολύ ευάλωτες σε επιθέσεις. 21

23 2.5 Πολυώνυµα Διαίρεσης Τα πολυώνυμα διαίρεσης είναι θεμελιώδους σημασίας στον αλγόριθμο του Schoof για τον υπολογισμό του αριθμού των σημείων μιας ελλειπτικής καμπύλης σε πεπερασμένο σώμα. Με μια προσεκτική ματια παρατηρούμε ότι οι συντεταγμένες του αθροίσματος δύο σημείων Ρ1Ρ2 της καμπύλης είναι ρητές συναρτήσεις των συντεταγμένων των Ρ1, Ρ2. Με επαναληπτική διαδικασία η απεικόνιση x, y mx, y Μπορεί να εκφραστεί με όρους ρητών συναρτήσεων x, y. Πιο συγκεκριμένα, έχουμε: Λήµµα 2.5.1: Έστω Ε µια ελλειπτική καμπύλη ορισμένη στο σώμα Κ και έστω m ένας θετικός ακέραιος. Τότε υπάρχουν πολυώνυμα ψm, θm, ωm τέτοια ώστε για Ρx, yek με mp0 έχουμε,,,,, 6 Απόδειξη: Βλέπε [9] σελ.39 Το πολυώνυμο ψmx, y ονομάζεται το m οστό πολυώνυμο διαίρεσης της καμπύλης Ε. Όπως θα φανεί παρακάτω, τα θm, ωm εκφράζονται με παραστάσεις του ψm. Πρακάτω παρουσιάζουμε τους αναδρομικούς ορισμούς των ψm, θm, ωm. Ορισµός 2.5.1: Έστω η εξίσωση Y 2 a1xya3yx 3 a2x 2 a4xa6 του Weierstrass της ελλειπτικής καμπύλης Ε επί του Κ, και έστω ότι: 4, 2, 4, 4, 24,

24 τότε το m-οστό πολυώνυμο διαίρεσης ψmx, y) ορίζεται με τον παρακάτω αναδρομικό τύπο: Οπότε για το θm έχουμε, 2, 2, 1 Κι όταν η χαρακτηριστική του σώματος Κ δίνονται από τη σχέση: είναι 2 τα πολυώνυμα ωm 2, 1 Ορισµός 2.5.2: Όταν το Κ είναι πεπερασμένο σώμα q, το Ε είναι torsion ομάδα. Δηλαδή κάθε σημείο Ρ της καμπύλης Ε έχει πεπερασμένη τάξη. Για κάποιον θετικό ακέραιο m το σύνολο των m-torsion σημείων της Ε, το οποίο το συμβολίζουμε με Εm, ορίζεται ως: Ορισµός 2.5.3: Γνωρίζουμε ότι Εm Ε. Ακόμη, εξ ορισμού έχουμε ότι Ο Εm. Το m οστό πολυώνυμο διαίρεσης ψm χαρακτηρίζει τα υπόλοιπα m torsion σημεία της Ε, σύμφωνα με το παρακάτω θεώρημα: 23

25 Θεώρηµα 2.5.1: Έστω Ρ σημείο στο Ε\Ο κι έστω m1. Τότε Ρ Εm αν και μόνον αν ψmρ0. Απόδειξη: Βλέπε [9] σελ.40 Παρατηρούμε ότι για τον υπολογισμό των m torsion σημείων μπορούμε να χρησιμοποιήσουμε πολυώνυμα μιας μεταβλητής, αντί των πολυωνύμων ψm τα οποία έχουν δύο μεταβλητές x, y. Ορισµός 2.5.4:, 2 1,, 2, Παρατηρώντας ότι το y χρησιμοποιείται στον αναδρομικό ορισμό του ψm μόνο μέσω του πολυωνύμου ψ2 και ότι το ψ δεν εξαρτάται από το y, προκύπτει ότι το είναι ένα πολυώνυμο το οποίο εξαρτάται μόνον από το x. Ο βαθμός του είναι το πολύ εάν ο m είναι περιττός και το πολύ εάν ο m είναι άρτιος (οι βαθμοί είναι ακριβώς ίδιοι εάν η χαρακτηριστική του Κ δεν διαιρεί τον m, για m περιττό, ή τον, για m άρτιο). Το θεώρημα1 μπορεί να αναδιατυπωθεί τώρα σύμφωνα με τον ορισμό του ως εξής: Λήµµα 2.5.2: Έστω Ρx, y σημείο στο Ε\Ο τέτοιο ώστε 2ΡΟ κι έστω m2. Τότε ΡΕm εάν και μόνον εάν x0. Απόδειξη: Βλέπε [9] σελ.41 Το παραπάνω λήμμα δεν συμπεριλαμβάνει τα 2 torsion σημεία. Αυτά τα σημεία ικανοποιούν την ψ2ρ0, το μέρος δηλαδή το οποίο διαιρείται με τον ψm για να πάρουμε το, όταν το m είναι άρτιος. Έστω Fx4x 3 b2x 2 2b4xb6. Tα πολυώνυμα ικανοποιούν την παρακάτω αναδρομική σχέση: 24

26 0, 1,, /,3,21,, 2, 2,, 2 Σε σώµατα µε χαρακτηριστική p3 H εξίσωση της ελλειπτικής καμπύλης υποθέτουμε ότι είναι της μορφής:,, οπότε σύμφωνα με τον ορισμό και λαμβάνοντας υπόψιν ότι: 0,,, 0, 2, 4, εχουμε: Ορισµός 2.5.5: , 2 25

27 2, 2 Για έναν ακέραιο m2 και ένα σημείο Ρx, y Ε\ Εm το λήμμα1 γράφεται στη μορφή:, 4 όπου ψmψmx, y. O ορισμός εύκολα μετατρέπεται σε αναδρομική σχέση για τα σύμφωνα με τον Ορισµός 2.5.6:, 2 1,, 2, 2 Θέτουμε 4 (το οποίο είναι ίσο με 4 modulo την εξίσωση της καμπύλης), οπότε η αναδρομική σχέση είναι ίδια με εκείνη της γενικής περίπτωσης. Σε σώµατα µε χαρακτηριστική p2 Ενδιαφερόμαστε μόνο για τις non-supersingular καμπύλες οι οποίες ορίζονται από την εξίσωση της μορφής: οπότε σύμφωνα με τον ορισμό και λαμβάνοντας υπόψιν ότι: έχουμε:

28 Ορισµός 2.5.7: 0 1, 2, 2 Παρατηρούμε ότι σε αυτήν την αναδρομική σχέση όλα τα ψm είναι πολυώνυμα μόνο του x. Θα σταθούμε στο γεγονός αυτό ορίζοντας σε αυτήν την περίπτωση το: Ορισµός 2.5.8:, Οπότε για έναν ακέραιο m2 και ένα σημείο Ρx, y Ε\Em, το λήμμα γράφεται στη μορφή:, O ορισμός εύκολα μετατρέπεται σε αναδρομική σχέση για τα σύμφωνα με τον Ορισµός 2.5.9:, 2 1,, 2, Γενικά τα πολυώνυμα ψm καλούνται πολυώνυμα διαίρεσης. Σε αρκετές περιπτώσεις όμως πολυώνυμα διαίρεσης καλούνται και τα. 27

29 3.1 Γενική Ιδέα Η ασφάλεια του κρυπτοσυστήματος ElGamal βασίζεται στο πρόβλημα του Διακριτού Λογαρίθμου. Ορισµός 3.1.1: Έστω p ένας πρώτος. Το κρυπτοσύστημα το οποίο ορίζεται από:,,,, :, όπου, είναι γεννήτορας του, ορίζει το κρυπτοσύστημα ElGamal με πράξη κρυπτογράφησης: Όπου τυχαίος ακέραιος, και,,,. H πράξη αποκρυπτογράφισης ορίζεται για,,, :,. To δημόσιο κλειδί του κρυπτοσυστήματος είναι τα,,, ενώ το ιδιωτικό κλειδί είναι το α. Η αποκρυπτογράφιση είναι δυνατή διότι:,. 28

30 3.2 Aσφάλεια Του ElGamal O αντίπαλος που θα επιχειρήσει επίθεση στο κρυπτοσύστημα, θα πρέπει να ανακτήσει το ιδιωτικό κλειδί α, από τη σχέση:, γνωρίζοντας τα,,. Θα πρέπει δηλαδή να λύσει το διακριτό λογάριθμο με βάση s. Ωστόσο, θεωρούμε ότι η ασφάλεια του κρυπτοσυστήματος ElGamal βασίζεται στο διακριτό λογάριθμο, διότι η λύση του διακριτού λογαρίθμου μπορεί να καθιστά το κρυπτοσύστημα ανασφαλές, αλλά δεν έχει αποδεχτεί το αντίστροφο, ότι δηλαδή η ασφάλεια του κρυπτοσυστήματος στηρίζεται αποκλειστικά στο πρόβλημα του διακριτού λογαρίθμου. Η ύπαρξη του τυχαίου αριθμού r, έχει ως αποτέλεσμα τη δυνατότητα αντιστοίχισης του απλού κειμένου σε p1 κρυπτοκείµενα. Η διαδικασία όπου το απλό κείμενο αναμειγνύεται με μια τυχαία μεταβλητή, ονομάζεται διαδικασία δημιουργίας συνθηκών τυχαιότητας (randomization process). To βήμα αυτό καθιστά το κρυπτοσύστημα ElGamal ανθεκτικότερο σε επιθέσεις. Βέβαια, η χρήση του τυχαίου αριθμού εισάγει έναν επιπλέον κίνδυνο που οδηγεί σε μια πρόσθετη απαίτηση. Για κάθε μήνυμα που κρυπτογραφείται, θα πρέπει να επιλέγεται διαφορετικός τυχαίος r. Στην περίπτωση που δύο μηνύματα m και m κρυπτογραφηθούν με τον ίδιο r, τότε για τα αντίστοιχα κρυπτοκείμενα που θα προκύψουν, και,, η γνώση του ενός μηνύματος επιτρέπει την ανάκτηση του άλλου από τον λόγο:. Τέλος, όσον αφορά το μέγεθος του p, το κατώτερο όριο που προτείνεται είναι 1024 bits. Γενικά, κατά την κρυπτογράφηση με το κρυπτοσύστημα ElGamal, το μέγεθος των παραμέτρων αποτελεί σημαντικό κριτήριο υλοποίησης, λόγω του αυξημένου χρόνου που απαιτείται για την κρυπτογράφηση (δύο πράξεις ύψωσης σε δύναμη), και λόγω της διαστολής του κρυπτοκειμένου. Τα μειονεκτήματα αυτά έχουν σαν αποτέλεσμα να προτιμάται μειωμένο μέγεθος του modulus. 29

31 3.3 ElGamal Σε Ελλειπτικές Καµπύλες Tο κρυπτοσύστημα ElGamal που είναι βασισμένο στις ελλειπτικές καμπύλες, αντί ομάδων της μορφής χρησιμοποιεί την ομάδα των σημείων μιας ελλειπτικής καμπύλης πάνω από ένα πεπερασμένο σώμα που έχει τάξη κάποιον πρώτο αριθμο. Έτσι, ένα απλό κείμενο μπορεί να αντιστοιχιθεί σε σημεία ελλειπτικής καμπύλης, δηλαδή να εκφραστεί με τις συντεταγμένες ενός σημείου:, Για να το περιγράψουμε, θεωρούμε ως μοντέλο επικοινωνίας την Αλίκη, η οποία θέλει να στείλει εμπιστευτικά ένα μήνυμα στον Βύρωνα. Για να γίνει αυτό απαιτείται μια αναφορική ποσότητα από την οποία θα προκύψουν το δημόσιο και ιδιωτικό κλειδί. Στις ελλειπτικές καμπύλες, η ποσότητα αυτή θα είναι ένα σημείο της ελλειπτικής καμπύλης. Έστω, το σημείο αυτό. Ο Βύρων επιλέγει έναν ακέραιο, ο οποίος αποτελεί το ιδιωτικό του κλειδί. Το δημόσιο κλειδί είναι το,, όπου:. Η Αλίκη γνωρίζοντας το δημόσιο κλειδί του Βύρωνα, επιλέγει έναν ακέραιο, και κρυπτογραφεί το μήνυμα σύμφωνα με την κρυπτογραφική πράξη:,. Παρατηρούμε από την παραπάνω πράξη ότι το κρυπτοσύστημα αποτελείται από δύο σημεία. Η αποκρυπτογράφιση εκτελείται από τον Βύρωνα ως εξής: Για το ζεύγος σημείων που ορίζουν το κρυπτοκείμενο, πολλαπλασιάζει το πρώτο σημείο με το ιδιωτικό του κλειδί, και το αποτέλεσμα που προκύπτει αφαιρείται από το δεύτερο σημείο:. Παράδειγµα: Θεωρούμε ένα κρυπτοσύστημα ElGamal επί της ελλειπτικής καμπύλης : Ο Βύρων δημοσιοποιεί τον 71 και ένα σημείο 25, 33 της καμπύλης, καθώς και το δημόσιο κλειδί 33, 39 για το ιδιωτικό του κλειδί 43. Για να κρυπτογραφήσει το μήνυμα, 22, 44, η Αλίκη επιλέγει τυχαία τον μυστικό της ακέραιο, ο οποίος ας υποθέσουμε ότι είναι ο 29. Στη συνέχεια βρίσκει δύο σημεία 33, 32 και 25, 38. Tο μήνυμα κρυπτογραφείται 30

32 χρησιμοποιώντας τις συντεταγμένες του σημείου ώστε και Το κρυπτοκείμενο, 53, 39 αποστέλλεται στον Βύρωνα. Ο Βύρων ανακατασκευάζει το σημείο, χρησιμοποιώντας τον μυστικό του ακέραιο ως 25, 38, υπολογίζει και Προφανώς είναι και Το Πρόβληµα Διακριτού Λογαρίθµου Στις Ελλειπτικές Καµπύλες Kαι H Aσφάλεια Tων Eλλειπτικών Kαµπυλών. Ορισµός Έστω μια ελλειπτική καμπύλη ορισμένη στο. Εστω ένα σημείο Ρ της καμπύλης και ένα σημείο Q το οποίο αποτελεί βαθμωτό γινόμενο του Ρ. Το πρόβλημα του διακριτού λογαρίθμου στην ελλειπτική καμπύλη είναι ο καθορισμός της λύσης, για την οποία είναι: P Q Είναι φανερό ότι η ασφάλεια του κρυπτοσυστήματος ElGamal βασίζεται στο πρόβλημα του διακριτού λογαρίθμου, όπως αυτός ορίζεται στις ελλειπτικές καμπύλες. Ο αντίπαλος έχει γνώση των,, και από αυτά καλείται να ανακαλύψει το που συνδέει τα και. Έχει αποδειχτεί ότι η πολυπλοκότητα των μεθόδων που επιχειρούν να λύσουν το πρόβλημα του διακριτού λογαρίθμου στις ελλειπτικές καμπύλες είναι της μορφής, 0. Είναι δηλαδή εκθετικά πιο αργοί από την (λογαριθμική) πολυπλοκότητα του υπολογισμού βαθμωτών γινομένων του Ρ. Ένα άλλο κριτήριο ασφάλειας των ελλειπτικών καμπυλών είναι το πλήθος των σημείων μιας ελλειπτικής καμπύλης. Όσο μεγαλύτερος είναι ο αριθμός των σημείων μιας καμπύλης, τόσο μεγαλύτερη θα είναι και η εξαντλητική αναζήτηση. 31

33 Η γέννηση αποδοτικών αλγορίθμων που καταμετρούν τα ρητά σημεία των ελλειπτικών καμπυλών βασίζεται στη δουλειά του Schoof. Ο Schoof, πραγματοποιώντας τεράστια πρόοδο, κατάφερε να μειώσει την πολυπλοκότητα των μεθόδων απο Ο για κάθε ε0, σε Ο. O αλγόριθμος του Schoof αναπτύσσει τις βάσεις όλων των επίκαιρων, αποδοτικών γραφικών περιγραμμάτων για την καταμέτρηση των σημείων. 4.1 Περιγραφή Αλγορίθµου Από το θεώρημα του Hasse έχουμε ότι: #Eqq1t, όπου 2. Δηλαδή, ότι το πλήθος των σημείων μιας ελλειπτικής καμπύλης πάνω σε πεπερασμένο σώμα q, όπου q, : πρώτος3, ισούται με: q1t, όπου 2. Η κύρια ιδέα του αλγορίθμου του Schoof είναι ο καθορισμός των αριθμών modulo, με, όπου είναι ο ελάχιστος πρώτος τέτοιος, ώστε: 4. :ώ Από το Κινέζικο Θεώρημα Υπολοίπων (Chinese Remainder Theorem) 2, η τιμή του αριθμού t μπορεί να υπολογιστεί με μοναδικό τρόπο και να αποκομιστεί η τάξη της ομάδας. 2 Το Κινέζικο Θεώρημα Υπολοίπων περιγράφεται σε ένα κινέζικο βιβλίο του τρίτου μ.χ. αιώνα, σύμφωνα με το οποίο: έστω n 1, n 2,, n k οι οποίοι είναι ανα δύο σχετικά πρώτοι. Tότε για α 1, α 2,..., α k υπάρχει x τέτοιος ώστε το σύστημα... να έχει λύση. 32

34 Από το θεώρημα των πρώτων αριθμών αμέσως προκύπτει ότι το πλήθος των πρώτων που χρειάζονται είναι τάξης Ο και ότι το μέγεθος του είναι Οlogq. Παρατηρούμε ότι κάποιος εύκολα μπορεί να προσδιορίσει το mod για 2 και στα σώματα με χαρακτηριστική 2 και στα σώματα με μεγάλους πρώτους τάξης p. Στην περίπτωση περιττής χαρακτηριστικής, έχουμε ότι #Εqmod2, οπότε εύκολα προκύπτει ότι: #Eq1mod2 αν και μόνο αν το είναι ανάγωγο επί του q µ.κ.δ., 1. Για σώματα χαρακτηριστικής 2, από τη στιγμή που η καμπύλη δεν είναι υπερδιάζουσα, έχουμε ότι 1mod2. Έστω πρώτος με 2. O ενδομορφισμός φ του Frobenius για την καμπύλη δίνεται απο: E φ:, x,y Και για κάθε PE ικανοποιείται η εξίσωση:. Την παραπάνω εξίσωση θα την χρησιµοποιήσουµε για τα σηµεία στο Ε E\. Έστω q mod και mod, όπου και οι ελάχιστοι μη αρνητικοί αντιπρόσωποι της συνταυτισμένης κλάσης. Αν βρεθεί μια τιμή τ 0,1,..., 1 τέτοια, ώστε Px,y Ε και να έχουμε, x,y τ, (5) τότε προκύπτει ότι τ. Το στον τύπο δηλώνει το άθροισμα των σημείων πάνω στην καμπύλη. Η τιμή τ που ικανοποιεί την εξίσωση 5 είναι μοναδική διότι ο είναι πρώτος και Ρ. 33

35 Για να καθοριστεί μια τέτοια τιμή τ, υποθέτουμε ότι όλες οι τιμές τ 0,1,..., 1 έχουν δοκιμαστεί με τη σειρά. Πρώτα, οι x συντεταγμένες και στα δύο μέλη της εξίσωσης 5 έχουν λογαριαστεί. Oι x συντεταγμένες του σημείου πολλαπλασιασμένες με x,y και τ,, για δοσμένο πρώτο και την τιμή τ το οποίο εξετάζουμε, είναι ρητές συναρτήσεις των x και y, οι οποίες περιέχουν τα πολυώνυμα διαίρεσης. Ο τύπος για την πρόθεση των σημείων χρησιμοποιείται για τον τυπικό υπολογισμό της x συντεταγμένης του, x, y. Με την απαλοιφή των παρανομαστών και, αν χρειάζεται, και την απαλοιφή των δυνάμεων του y μεγαλύτερων της μονάδας modulo την εξίσωση της καμπύλης προκύπτει μια εξίσωση της μορφής αxybx0 ή yαx/bx. Εναλλακτικά, το yαx/bx μπορεί να αντικατασταθεί μέσα στην εξίσωση για να απαλοίψει το y και να δώσει εξίσωση της μορφής hxx0. Δηλαδή η εξίσωση της καμπύλης με βάση την παραπάνω εξίσωση, έχει σαν μεταβλητή πλέον μόνο το x. Mια κρίσιμη παρατήρηση στον καθορισμό της πολυπλοκότητας της διαδικασίας είναι ότι αφού το δεδομένο σημείο Ρ, το οποίο ικανοποιεί την εξίσωση 5 ανήκει στο Ε, όλοι οι πολυωνυμικοί υπολογισμοί γίνονται modulo το πολυώνυμο διαίρεσης, το οποίο είναι τάξης Ο. Ιδιαίτερα, τα πολυώνυμα,,, ανάγονται χρησιμοποιώντας το και την εξίσωση της ελλειπτικής καμπύλης, από βαθμό εκθετικό ως προς το logq, σε βαθμό πολυωνυμικό. Συνεπώς ο βαθμός του hxx είναι Ο. Για να ελέγξουμε αν το hxx0 έχει λύση για την x συντεταγμένη του σημείου που ανήκει στο Ε, υπολογίζουμε τον µ.κ.δ. hx,. Εαν μ.κ.δ. hx, 1, τότε δεν υπάρχει λύση στο Ε η οποία να ικανοποιεί την εξίσωση 5, οπότε δοκιμάζουμε την επόμενη τιμή του τ. Εαν όμως ο μ.κ.δ. είναι μη τετριμμένος, τότε υπάρχει σημείο στο Ε τέτοιο, ώστε, x,y τ, 5.1 Η προσθαφαίρεση του σημείου στο δεξί μέλος της εξίσωσης δεν είναι καθορισμένη, διότι η x-συντεταγμένη είναι ίδια και για τα δύο πρόσημα. Για να καθορίσουμε το πρόσημο, υποθέτουμε αρχικά ότι βάζουμε το στην εξίσωση 5.1. Υπολογίζουμε την y συντεταγμένηκαι στα δύο μέλη της 34

36 εξίσωσης, όπου όπως και με τη x συντεταγμένη, μετά από την απαλοιφή των παρανομαστών και την αντικατάσταση της y μεταβλητής, προκύπτει μια εξίσωση της μορφής hyx0, όπου το hy έχει αναχθεί στον βαθμό Ο. Και πάλι, αν ο μ.κ.δ. hy, 1, τότε υπάρχει σημείο που ικανοποιεί την εξίσωση και το σωστό πρόσημο είναι το (συν), σε αντίθετη περίπτωση το πρόσημο είναι το (μείον). Παρατηρούμε ότι για δεδομένο τ, η διαδικασία ουσιαστικά εξετάζει το τ και έτσι είναι απαραίτητο το τ να δοκιμαστεί μόνο για 0 τ 1/2 ( η περίπτωση του τ0 απαιτεί ειδικό χειρισμό, ο οποίος θα συζητηθεί παρακάτω). Γενικά, τα σημεία του E έχουν συνταταγμένες στο επεκτεταμμένο σώμα q. Ο ακριβής υπολογισμός των σημείων αυτών, που γενικά θα ήταν αρκετά δύσκολος, αποφεύγεται με τον υπολογισμό του μ.κ.δ.. Για να εξετάσουμε την πολυπλοκότητα του αλγορίθμου, παρατηρούμε ότι το κυριότερο τμήμα του αλγορίθμου ασχολείται με τον υπολογισμό των,,, modulo, ένα πολυώνυμο τάξης Ο. Στην περίπτωση των και, αυτές είναι εκθετικές διεργασίες στον δακτύλιο qx/ x, που απαιτούν Οlogq πολλαπλασιασμούς στον δακτύλιο. Το ακέραιο υπόλοιπο είναι τάξης Ο Οlοg. Γι αυτόν το λόγο, αν υποθέσουμε οτι δεν χρησιμοποιείται κανένας τρόπος γρήγορων υπολογισμών των πολλαπλασιασμών, κάθε τέτοιος πολλαπλασιασμός δακτυλίου απαιτεί Οlοg πολλαπλασιασμούς στοιχείων του q, όπου ο καθένας με τη σειρά του απαιτεί διεργασίες τάξης το λιγότερο Οlοg. Η πολυπλοκότητα του υπολογισμού των και είναι παρόμοια, και περιέχει επίσης απλοποίηση modulo την εξίσωση της καμπύλης, το οποίο δεν επηρεάζει την πολυπλοκότητα. Παρατηρούμε ότι οι,,, έχουν υπολογιστεί μια φορά για κάθε πρώτο και έχουν χρησιμοποιηθεί για όλες τις τιμές τ που δοκιμάστηκαν γι αυτον τον πρώτο. Γι αυτό, ο αριθμός των ελαχίστων διεργασιών που χρειάζεται για να καταφέρουμε να ανακαλύψουμε modulo έναν απλό πρώτο είναι Οlοg. 35

37 Ο ΒΑΣΙΚΟΣ ΑΛΓΟΡΙΘΜΟΣ ΤΟΥ SCHOOF ΣΥΝΟΨΙΖΕΤΑΙ ΠΑΡΑΚΑΤΩ: ΕΙΣΟΔΟΣ: Μια ελλειπτική καµπύλη Ε πάνω στο σώµα q. ΕΞΟΔΟΣ: Η τάξη της Εq. 1. M2, 3 και S tmod2,2. 2. While M4 do: 3. For τ 0,..., 1/2 do: 4. Χρησιµοποιώντας τον παραπάνω τύπο ελέγχουµε αν, για Ρ E P Ρ Ακριβώς ένα τέτοιο τ θα ικανοποιήσει αυτήν την εξίσωση. 5. SSτ, ή SSτ,, 6. ΜΜ 7. nextprime 8. Ανακτούµε το t χρησιµοποιώντας το σύνολο S και το κινεζικό θεώρηµα. 9. Εµφανίζει το q1t. Στον παραπάνω αλγόριθμο το nextprimel είναι μια συνάρτηση που επιστρέφει τον μικρότερο πρώτο αριθμό που είναι μεγαλύτερος του l. Οι υπολογισμοί που αναφέρονται παραπάνω θα μελετηθούν τώρα με λίγο μεγαλύτερη λεπτομέρεια για να διευκρινιστεί η απώτερη τεχνική. Επικεντρώνουμε την προσοχή μας στην περίπτωση της χαρακτηριστικής 2, σαν φόρμουλα για διαίρεση πολυωνύμων fmx και πολλαπλασιασμούς σημείων που βασίζονται σ αυτά μπορούν να χρησιμοποιηθούν χωρίς την ανάγκη να επεξεργαστούμε την περίπτωση της μεταβαλλόμενης ισότητας. Θα δείξουμε τους υπολογισμούς μόνο της x συντεταγμένης διότι οι υπολογισμοί της y συντεταγμένης είναι παρόμοιοι. 36

38 Υποθέτουμε πρώτα ότι για κανένα σημείο Ρ Ε δεν αληθεύει οτι P P. Aναζητάμε το τ τέοιο, ώστε φ PΡ 1 τ 1/2, q2. Οι x συντεταγμένες των δύο μελών της εξίσωσης, στην περίπτωση της χαρακτηριστικής 2, μπορούν να υπολογιστούν με τη χρήση των τύπων της πρόσθεσης και του πολλαπλασιασμού των σημείων. Οι x συντεταγμένες είναι, αντίστοιχα, ΡΧ, και Ρ lpχ x λ λ, όπου λ, το X στο κάτω μέρος της παρένθεσης υποδηλώνει τις x συντεταγμένες και το x είναι το υποθετικό όρισμα του μεταβαλλόμενου πολυωνύμου fm. Προσέξτε ότι από τη στιγμή που τελικά έχουμε συντελεστή στο q, έχουμε ότι fm fm. Η περίπτωση του 1 μπορεί να μετασχηματιστεί ξεχωριστά, από τη στιγμή που η παραπάνω έκφραση για το λ περιέχει το, το οποίο δεν έχει προσδιοριστεί για 1. Η υπόθεση αναμειγνύει την πρόθεση των σημείων, και x, y που είναι πολύ ακριβής. Οι δυνάμεις του y στην εξίσωση έχουν ελαττωθεί modulo την εξίσωση της καμπύλης 60, σε παράγωγα πολυώνυμα το πολύ 2 ου βαθμού ως προς y. Και τα δυο μέλη της παράστασης έχουν πολλαπλασιαστεί με το Ε.Κ.Π. των πολυωνύμων που βρίσκονται στον παρανομαστή για να δώσουν μια σχέση της μορφής axybx0, όπου για τον προσδιορισμό των ax και bx, πολυωνυμικοί υπολογισμοί έχουν γίνει modulo x. Για την ακρίβεια, η απλοποίηση modulo και της εξίσωσης της καμπύλης πρέπει να γίνει με διαδοχικό τρόπο, διότι δεν θέλουμε να διαχειριστούμε πολυώνυμα βαθμού υψωμένου στο logq. H σχέση y ax/bx έχει αντικατασταθεί στην εξίσωση της καμπύλης κι έχουμε: hxx

39 Αν ο μ.κ.δ. hx, 1 τότε υπάρχει σημείο ΡΕ * του οποίου η x συντεταγμένη ικανοποιεί την εξίσωση:. Σ αυτήν την περίπτωση οι y συντεταγμένες και των δυο μελών έχουν ελεγχθεί με παρόμοιο τρόπο για τον προσδιορισμό του σωστού προσήμου. Αναφέρουμε εν συντομία την περίπτωση στην οποία υπάρχει σημείο ΡΕ * τέτοιο, ώστε φ P. Αυτή η περίπτωση, που την είχαμε αποκλείσει από την παραπάνω συζήτηση, συμβαίνει όταν: μ.κ.δ. x, 1. Προφανώς, t 0mod l αν και μόνο αν φ P. Αυτή η συνθήκη μπορεί να ελεγχθεί με το να δοκιμάσουμε την y συντεταγμένη, όπως πρίν. Αν η συνθήκη δεν επαληθευτεί, τότε φ P για κάποιο σημείο Ρ, και από τη χαρακτηριστική εξίσωση, x, yτ, έχουμε ότι: 2 PτφΡ ή φρ 2 Ρ. Εφαρμόζοντας τον μορφισμό του Frobenius και στα δυο μέλη της εξίσωσης, και πάλι η ισότητα ικανοποιείται από το Ρ, αυτό συνεπάγεται ότι 4qmod l και επομένως ότι το q έχει τετραγωνική ρίζα modulo l, π.χ. ω. M αυτόν τον τρόπο φρωρ και οι περιπτώσεις ξεχωρίζονται όπως πρίν. Έστω φρωορ, με ωοω,ω. Τότε, θέτουμε 2ωοmod l. Παρατηρούμε ότι σ αυτήν την περίπτωση ο ισομορφισμός του Frobenius μας λέει ότι υπάρχει χαρακτηριστική ρίζα ωο, την οποία συναντήσαμε όταν αντιμετωπίσαμε μια ειδική περίπτωση. Τέτοια χαρακτηριστική ρίζα θα υπάρχει όταν 4 είναι τετράγωνο στο και οδηγούν στην ύπαρξη μιας παραμέτρου βαθμού 1/2 του πολυωνύμου διαίρεσης. Απλοποιώντας τις εξισώσεις αυτού του τμήματος modulo αυτό το πολυώνυμο, θα μας βοηθήσει να γλυτώσουμε ένα μεγάλο μέρος των υπολογισμών. 38

40 1 Σ. Ανδρεαδάκης Εισαγωγή στην Άλγεβρα, Συµµετρία John B. Fraleigh Eισαγωγή στην Αλγεβρα. 3 Β. Α. Κάτος, Γ. Χ. Στεφανίδης Τεχνικές Κρυπτογρφίας και Κρυπτανάλυσης. 4 Joseph H. Silverman The Arithmetic of Elliptic Curves, Springer Verlag M. Rosing Implementing Elliptic Curve Cryptogrphy, Manning Publications, Greenwich, CT, R. Schoof Counting Points On Elliptic Curves Over Finite Fields, Journal de Theone des Nombres de Bordeax , pg I. N. Stewart Galois Theory, Chapman and Hall D. Burton Elementary Number Theory, McGraw Hill 4 th edition I. Blake, G. Serroussi and N. Smart Elliptic Curves in Cryptography, London Mathematical Society, Cambridge University Press Eλισάβετ Κωνσταντίνου Διδακτορική Διατριβή Θεωρία και εφαρµογές κρυπτογραφικών συστηµάτων δηµασίου κλειδιού βασισµένων σε ελλειπτικές καµπύλες. 39