Transcript Power Point
仙台数論小研究集会2000
東北大学
2000年12月1日(金)
代数体上で定義された楕円曲線の
素因数分解への応用
(株)富士通研究所
セキュアコンピューティング研究部
伊豆 哲也
概要
楕円曲線法の効率化手法
ある代数体上でねじれ部分群が既知な楕円曲線を構成し、
その曲線を楕円曲線法へ適用する。
•
•
•
•
素因数分解と楕円曲線法
Z/4Z×Z/4Z に同型なねじれ部分群を持つ楕円曲線の構成
Z/6Z×Z/6Z に同型なねじれ部分群を持つ楕円曲線の構成
楕円曲線法への適用
素因数分解
素因数分解問題:
入力された合成数の(素)因数を見つける問題
主な素因数分解法と分解記録
二次篩
QS
C129(P64) 1994年4月
RSA129
一般数体篩
GNFS
C155(P78) 1999年8月
RSA155
特殊数体篩 SNFS
楕円曲線法
ECM
C233(P93) 2000年11月 2773+1
(P54)
1999年12月
(643-1)42-1
公開鍵暗号
公開鍵暗号の原理
公開鍵から簡単に計算できる
平文
落とし戸付き
一方向性関数
暗号文
公開鍵を知っていても簡単には計算できない
(秘密鍵を知らなければ計算できない)
関数の例:素因数分解問題・離散対数問題
公開鍵暗号の例
素因数分解問題型
•RSA暗号
•EPOC
•その他
n pq
n p2 q
n pd q
n pqr
離散対数問題型
•楕円曲線暗号
etc…
CRYPTORECプロジェクト
http://www.ipa.go.jp/security/enc/CRYPTREC/index.html
楕円曲線法 (ECM)
アルゴリズムの概要
Input : 合成数
(1)
E : Fp
n
Output : 素因数
p
で定義される楕円曲線
P に対し # E P O
M P O
(3) # Eの倍数 M に対し
(4) Fp のかわりに Z / nZ で考える
途中で計算不能になったときに pが現れる
(2) 任意の点
p-1 法の拡張として Lenstra Jr. により提案(1987年)
ECMによる計算例 (1)
フェルマー数 F7 2 1 (39桁)
27
E : y x ax b
a 275021727037939021929966331368637745912
2
M
3
e
p
p: prim e, p e 25000 p e1
p 59649589127497217 (17桁)
# E( Fp ) 212 3137 739 827 57977
ECMによる計算例 (2)
n (87541 1) / 35333198 (114桁)
E : y x ax b
2
M
3
a 6025.... (114桁)
e
p
p: prim e, p e 100000
p e1
p 946245326997772574146543757184
074761849292544326417 (51桁)
# E( Fp ) 26 32 55 2083 7307 9479121493163847
195497 224813 550177 7569839
2000年5月14日発見 (Izu, ECMによる発見記録の第5位)
パラメータの設定
ECMが素因数を見つける条件は?
# EFp M
M の設定(多くの約数を持って欲しい)
M
e
p
pe LIMIT pe1
pLIMIT
E の設定
# EFp
は smooth であって欲しい
楕円曲線の生成
どのように楕円曲線を生成するか?
# EFp
はランダムに動くので制御が難しい
d |# EFp
となる曲線を使用すればランダムに
ふるまう部分は
1/d になる
ci
P(d )
e log p
pow d ,
log
P(1)
log LIMITi
i 1,2 log LIMITi
d 12,16
となる生成法が良く用いられている
ねじれ部分群の構造
定理(Mazur)
Z / Z ( 1,2,...,10,12)
E(Q)tor
Z / 2Z Z / 2Z ( 1,2,3,4)
定理(Kamienny-Kenku-Momose)
Z / Z ( 1,2,...,16,18)
Z / 2Z Z / 2Z ( 1,2,3,4,5,6)
E Q m tor
Z / 3Z Z / 3Z ( 1,2)
Z / 4Z Z / 4Z
ねじれ部分群
E(K )tor Z / d1Z Z / d2 Z
2
3
4
5
6
7
8
9
10 11 12 13 14 15 16 18
1
2
3
4
5
6
7
8
9
10 11 12 13 14 15 16 18
2
4
3
4
8
9
12
16
20
24
18
16
E4 Q 1
E6 K tor Z / 6Z Z / 6Z
tor
Z / 4Z Z / 4Z
楕円曲線の構成
E(K )tor Z / d1Z Z / d2 Z
Kubert-form elliptic curve
Eb,c : y (1 c) xy by x bx
2
3
2
P (0,0) 2P (b, bc) 3P (c, b c)
4P (r (r 1), r 2 (c r 1)) b cr
m
E( K ) Z / mZ Z / mZ
K 上で m が完全分解される
Division polynomial
d=16 となる曲線の構成
命題
(Izu)
8
4
12
8
4
s
14
s
1
s
33
s
33
s
1
2
3
E4 : y x
x
48
864
は
上で Z / 4Z Z / 4Z に同型なねじれ部分群
Q 1
を持つ
s 4 5 3s 4 3
P1
,
16
12
s 4 6s 2 1 6s(s 2 1) 1 s(s 2 1) s 1 2
P2
,
12
4
d=18 となる曲線の構成
定理(Yoshimura)
y 2 x3 2160 上の無限位数の点 P (16,44) について
mP ( xm , ym ) とする。
3
t xm / 12, r (t 8) / 9 とおけば
1
2
3
3
2
Et : y x 3r 2 3r 6r 12r 8 x
3
2
2
4
2
3r 12r 8 9r 24r 24r 8
27
は Q 3 上で Z / 3Z Z / 6Z に同型なねじれ部分群
を持つ。
命題 (Izu)
命題
(Izu)
(1) Et Q は
Z / 6Z に同型なねじれ部分群を持つ。
t 6 16t 3 44 4t 6 28t 3 32
Q1
,
81
81
(2)
は Z / 3Z Z / 6Z に同型なねじれ部分群
Et Q 3
を持つ。
t 6t 4t 18t 12t 4 6t 18t 12t
Q
,
81
81
6t 7 18t 5 24t 4 36t 2 24t 2t 7 6t 5 8t 4 36t 3 12t 2 8t
243
243
6
'
1
4
3
2
4
2
d=36 となる曲線の構成
命題(Izu)
t (t 3 8)
とすると,
3,
9
Z / 6Z Z / 6Z
Et Q ,
に同型なねじれ部分群を持つ。
t 6 16t 3 44 4t 6 28t 3 32
Q1
,
81
81
は
d=36 となる曲線の構成
t 6 3t 5 3t 4 22t 3 24t 2 24t 4
Q2
81
t 5 t 4 8t 2 8t
t 3 3t 2 6t 2
t 3 3t 2 2
,
27
9
9
t 8 5t 7 16t 5 44t 4 64t 2 32t
81
t 8 5t 7 18t 6 16t 5 44t 4 144t 3 64t 2 32t
243
t 6 3t 5 22t 3 24t 2 4
t 6 3t 5 22t 3 24t 2 36t 4
27
81
ECMへの適用
E4 の適用
E4 (Fp ) Z / 4Z Z / 4Z p 1 (mod4)
16にならない
従来の d 16 なる曲線の方が効果的
1/2 の確率でしか d
E6 の適用
E6 ( Fp ) Z / 6Z Z / 6Z
t (t 3 8)
1
p 1 (mod6) and
p
1/4 の確率でしか d 36にならない
FUJITSU logo
All Rights Reserved, Copyright (C) FUJITSU 2000