Høyder på elliptiske kurver og faktorisering. Kristian Gjøsteen, NTNU Oppdatert 1. november 2002

Transkript

1 Høyder på elliptiske kurver og faktorisering Kristian Gjøsteen, NTNU Oppdatert 1. november 2002

2 2 Lenstras faktoriseringsalgoritme Faktoriseringsproblemet: n = p α 1 1 pα K K skal faktoriseres. Lenstras faktoriseringsalgoritme: Velg en elliptisk kurve E definert over Z n og et punkt P n E(Z n ). Formlene for addisjonen på elliptiske kurver kan anvendes i E(Z n ), og denne operasjonen er kompatibel med reduksjon modulo p i. Det Kinesiske restteoremet anvendt koordinatvis gir en gruppeisomorfi E(Z n ) E(F p1 ) E(F pk ) hvis alle α i = 1, ellers blir gruppene på høyresiden litt mer komplisert.

3 3 Velg et tall m som består av et produkt av potenser av små primtall. Hvis minst én ord P pi går opp i m, og minst én ord P pj ikke gjør det, vil mp pi = O mens mp pj O. Når mp pi = [0, 1, 0] og mp pj = [x mod p j, y mod p j, 1] kombineres via det Kinesiske restteoremet til mp n = [x, y, z], går p i opp i z og en faktor i n er funnet. For hver kurve man forsøker vil sannsynligheten for å lykkes være omtrent den samme som at et tilfeldig heltall mellom p i p i og p i p i, der p i er minste faktor i n, bare har små primtallsfaktorer. Dette gir algoritmen subeksponetiell forventet kjøretid. Tiden det tar å finne en komplett faktorisering av n avhenger bare av størrelsen på nest største faktor i n.

4 4 Varianter over Lenstra Nå er ord P n = lcm({ord P pi }). Med stor sannsynlighet vil det finnes en potens l a av et lite primtall som deler ord P n, men som ikke deler minst én ord P pj. Vi skriver ord P n = N r i=1 l i og N k = N k i=1 l i (l i ikke nødvendigvis distinkte). Ved å regne ut N k P n, k = 1,..., r finner vi en faktor i n. Det å finne orden til et punkt i E(Z n ) er altså ekvivalent med å finne en faktor i n. Hvis vi kjenner #E(Z n ) = #E(F pi ) = N vet vi at ord P pi N. Med stor sannsynlighet er N ord P et lite tall, altså vil overstående algoritme fungere også her. n Det å telle punktene i E(Z n ) er også ekvivalent med å finne en faktor i n.

5 5 Orden og diskrete logaritmer La E være en elliptisk kurve over Z n, P n et punkt i E(Z n ). Det diskrete logaritmeproblemet log Pn Q n er å finne m slik at Q n = mp n. Vi vet at #E(Z n ) n 4 n, sånn circa. Regn ut Q n = (n+5 n )P n E(Z n ). Da er log Pn Q n n + 5 n (mod ord(pn )), og man kjenner et multiplum av ord(p n ). Som vi har sett kan vi da med stor sannsynlighet finne en faktor i n. Altså kan man faktorisere n hvis man kan finne diskrete logaritmer på E(Z n ). Merk: Det å kunne faktorisere n lar en ikke finne diskrete logaritmer på E(Z n ).

6 6 Index-calculus Den naturlige generaliseringen av Index-calculus til en elliptisk kurver E p /F p med ECDLP T p = ms p er som følger: 1. Velg en kurve E/Q som går til E p modulo p, og som har rimelig mange uavhengige rasjonale punkter P 1,..., P r. (E(Q) har rang r) 2. Løft multipler l j S p til S lj på E/Q og skriv S lj = r i=1 m ij P i. 3. Løs ligningene l j r i=1 m ij log Sp (P i,p ) (mod ord(s p )) for log Sp (P i,p ). 4. Løft T p + ls p til T l på E/Q og skriv T l = r i=1 m i P i. 5. Løs logaritmeproblemet ved log Sp (T p )+l r i=1 m i log Sp (P i,p ) (mod ord(s)).

7 7 En faktoriseringsalgoritme E : y 2 z = x 3 + axz 2 + bz 3 er en elliptisk kurve definert over Q av rang 1. P er en generator for den torsjonsfrie delen av E(Q). La E n = E mod n, N = #E(Z n ), P n = P mod n og m = n + 5 n. Regn ut Q n = mp n. Finn et løft Q E(Q) av Q n. Vi vet da at log P Q log Qn P n (mod N). Vi finner log P Q f.eks. ved å redusere modulo små primtall l, som gir oss kongruensene log P Q log Pl Q l (mod #E l (F l )).

8 8 Løfting av punkter Hvis Q n = [x Qn, y Qn, z Qn ], så er ethvert løft Q = [x Q, y Q, z Q ] av Q n på formen x Q = ux Qn + rn, y Q = uy Qn + sn, z Q = uz Qn + tn, gcd(u, n) = 1. Setter vi dette inn i E får vi (uy Qn +sn) 2 (uz Qn +tn) = (ux Qn +rn) 3 +a(ux Qn +rn)(uz Qn +tn) 2 +b(uz Qn +tn) 3. Dette er en kubisk form i r, s, t og u definert over Q, altså en kubisk flate C(E, Q n ). Hvis vi kan finne et Q-rasjonalt punkt [r, s, t, u ] med gcd(u, n) = 1 på flaten C(E, Q n ) har vi altså en faktorisering av n.

9 9 Høydefunksjoner Den logaritmiske høyden h(p) til et punkt P = (a/b, c/d) E(Q) er definert som log max( a, b ). I praksis kan man tenke på dette som antall bits man trenger for å skrive ned punktet. Vi ønsker å finne et punkt Q = mp på E(Q), der m = O( n). Det kan vises at h(mp) øker proposjonalt med m 2. Så intuitivt vil vi vente at kurven C ikke har rasjonale punkter av høyde mindre enn O(m 2 ) = O(n). Vi må altså gjøre som i index-calculus og finne en kurve av høy rang.

10 10 Index-calculus som faktorisering 1. Velg en kurve E/Q som har god reduksjon modulo n, og som har rimelig mange uavhengige rasjonale punkter P 1,..., P r. (E(Q) har rang r) La P i,n = P i mod n. 2. Løft multipler l j P i,n til S lj på E/Q og skriv S lj = r i=1 m ij P i. 3. Vi får ligninger r i=1 m ij P i = l j P i + Q j, der Q j E 1 (Q). 4. Når vi har tilstrekkelig mange lineært uavhengige ligninger vil vi kunne finne en relasjon lp i E 1 (Q), altså har vi funnet et multiplum av ordenen til P i,n, altså har vi med stor sannsynlighet funnet en faktor i n. Vi har strengt tatt ikke funnet diskrete logaritmer (men nå kan vi finne diskrete logaritmer på E(Z n )).

11 11 Men... index-calculus virker ikke fordi 1. Det er vanskelig å finne kurver E/Q med høy rang. I tillegg vokser koeffisientene eksponentielt med rangen, så rangen kan ikke velges for stor. 2. Ethvert løft av punkter i E(Z n ) eller E(F p ) vil ha stor høyde medmindre rangen er stor. 3. Det er generelt vanskelig å løfte punkter til E/Q. Punkt 1 (og dermed 2) blir enklere i en faktoriseringsalgoritme, mens punkt 3 forblir vanskelig. Spørsmål: Finnes det kurver over E slik at store tall kan faktoriseres? Kan man finne kurver over F p som ser trygge ut, men der ECDLP faktisk er lett?