La Criptografía Basada en la Identidad hace uso de curvas elípticas que satisfacen ciertas condiciones (pairingfriendly curves), en particular, el grado de inmersión de dichas curvas debe ser pequeño. En este trabajo se obtienen familias explicitas de curvas elípticas idóneas para este escenario. Dicha criptografía está basada en el cálculo de emparejamientos sobre curvas, cálculo factible gracias al algoritmo de Miller. Proponemos una versión más eficiente que la clásica de este algoritmo usando la representación de un número en forma no adyacente (NAF).Este trabajo ha sido financiado por el Ministerio de Economía y Competitividad con los proyectos MTM2010-21580-C02-01/02 y MTM2010-16051

Miret Biosca, Josep M.

Sadornil, Daniel

Tena, Juan G.

Familias de curvas elípticas adecuadas para Criptografía Basada en la Identidad

Repositorio Institucional de la Universidad de Alicante

RECSI 2014, Alicante, 2-5 septiembre 2014Familias de curvas elı´pticas adecuadas paraCriptografı´a Basada en la IdentidadJosep M. MiretDepartament deMatema`ticaUniversitat de LleidaEmail: miret@matematica.udl.catDaniel SadornilDepartamento deMatema´ticas,Estadı´stica y Computacio´nUniversidad de CantabriaEmail: sadornild@unican.esJuan G. TenaDepartamento deAlgebra, Ana´lisis matema´ticoy Geometrı´a y Topologı´aUniversidad de ValladolidEmail: tena@agt.uva.esResumen—La Criptografı´a Basada en la Identidad hace usode curvas elı´pticas que satisfacen ciertas condiciones (pairing-friendly curves), en particular, el grado de inmersio´n de dichascurvas debe ser pequen˜o. En este trabajo se obtienen familiasexplı´citas de curvas elı´pticas ido´neas para este escenario. Dichacriptografı´a esta´ basada en el ca´lculo de emparejamientos sobrecurvas, ca´lculo factible gracias al algoritmo de Miller. Propone-mos una versio´n ma´s eficiente que la cla´sica de este algoritmousando la representacio´n de un nu´mero en forma no adyacente(NAF).Palabras clave—Algoritmo de Miller (Miller’s Algorithm);Criptografı´a Basada en la Identidad (Identity Based Encryption);Curvas elı´pticas (Elliptic curves); emparejamientos (pairings);Forma No Adyacente (NAF); grado de inmersio´n (embeddingdegree).I. INTRODUCCIO´NPara evitar los problemas de la autentificacio´n de las cla-ves pu´blicas (certificados y autoridades de certificacio´n) queplanteaba la Criptografı´a de Clave Pu´blica cla´sica, Shamiren 1984 [12] propuso un nuevo paradigma: la Criptografı´aBasada en la Identidad, en la cual la clave pu´blica de unusuario es su propio nombre o cualquier otro atributo ligado almismo. Una de las formas en que es posible realizar la idea deShamir es utilizando emparejamientos (pairings) sobre curvaselı´pticas ([5]) (otras aproximaciones basadas en el problemade la residuosidad cuadra´tica han sido desarrolladas por Cooks[1] o por Boneh [4]).En lo que sigue, E representara´ una curva elı´ptica definidasobre un cuerpo finito con q elementos Fq , q = pm, p primo,p ≥ 5, con ecuacio´n en la forma cano´nica de Weierstrass y2 =x3 + Ax + B; A,B ∈ Fq . Recordemos ([9]) que el conjuntoE(Fq) de puntos de esta curva sobre Fq tiene cardinal N =q + 1− t, con |t| ≤ 2√q y E(Fq) admite una estructura degrupo abeliano.Los emparejamientos, Weil, Tate, etc, ([3]) sobre la curva Eson aplicaciones bilineales con valores en un cuerpo extensio´nFqk . El nu´mero k grado de inmersio´n, viene dado por lasiguiente,Definicio´n 1: Sea ` un divisor de N = ]E(Fq) (habitual-mente ` primo). Se denomina grado de inmersio´n de E/Fqrespecto de ` al mı´nimo entero positivo k verificando lascondiciones equivalentes:i) ` | (qk − 1).ii) F∗qk contiene un subgrupo cı´clico de orden `.Si ` es el mayor divisor primo de N , k se denomina simple-mente grado de inmersio´n de E/Fq .Por razones computacionales, la Criptografı´a Basada en laIdentidad requiere curvas con grado de inmersio´n pequen˜o. Enparticular, las denominadas curvas supersingulares (aquellaspara las que p|t) son ido´neas para este propo´sito ya que estascurvas tienen siempre k ≤ 6 ([9]). Por contra, las curvaselı´pticas ordinarias (aquellas no supersingulares) con grado deinmersio´n pequen˜o son una minorı´a en el conjunto de todas lascurvas posibles y su caracterizacio´n es complicada (ver [7]).Un ca´lculo efectivo de los emparejamientos se puede realizarusando el algoritmo de Miller ([10]).En el presente artı´culo consideramos la familia de curvaselı´pticas con ecuacio´n de Weierstrass y2 = x3 + Ax cuyaspropiedades han sido estudiadas ampliamente, en particular lacaracterizacio´n de sus clases de isomorfı´a ([11]). Esta familiaproporciona ejemplos de curvas tanto supersingulares comoordinarias. En la seccio´n II se estudiara´ el grado de inmersio´nde curvas en esta familia, en el caso supersingular, su gradode inmersio´n puede ser obtenido fa´cilmente y para el casoordinario proponemos un me´todo para determinar las curvascon un grado de inmersio´n pequen˜o y prefijado.En la seccio´n III presentamos una variante del algoritmode Miller basada en la expresio´n en forma no adyacente deun nu´mero natural. En la seccio´n IV se presentan ejemplosnume´ricos y tiempos de ejecucio´n de la implementacio´nrealizada del algoritmo de Miller y las variantes propuestas.Finalmente, en la seccio´n V se detallan las conclusionesobtenidas en la presente comunicacio´n.II. CURVAS CON GRADO DE INMERSIO´N PEQUEN˜OEn [11] se caracterizan todas las clases de isomorfı´a decurvas elı´pticas con ecuacio´n de Weierstrass del tipo y2 =x3 +Ax.Proposicio´n 2: El nu´mero de clases de isomorfı´a de curvaselı´pticas de la familia mencionada sobre Fq , q = pm vienedado por:ISBN: 978-84-9717-323-036 J.M. Miret, D. Sadornil, J G. Tenai) Si q ≡ 1 mo´d 4 entonces existen cuatro clases conrepresentantesEi : y2 = x3 + ωix, 0 ≤ i ≤ 3,donde ω es un generador de F∗q . Para p ≡ 3 mo´d 4, (portanto m par), e´stas son supersingulares. E1, E3 tienencardinal q+1 mientras que E0 tiene cardinal q+1±2√qy el cardinal de E2 es q+1∓2√q (el signo correspondea m ≡ 2, 0 mo´d 4).Si p ≡ 1 mo´d 4 las cuatro curvas son ordinarias.i) Si q ≡ 3 mo´d 4 (p ≡ 3 mo´d 4 y m impar) entoncesexisten dos clases con representantesE′1 : y2 = x3 + x, E′−1 : y2 = x3 − x.Ambas curvas son supersingulares con cardinal q + 1.En el caso supersingular, el grado de inmersio´n k de lascurvas anteriores se deduce fa´cilmente a partir de su cardinal(ver [9]). Explı´citamente, dicho grado se muestra en la tablaI.Tabla IGRADO DE INMERSIO´N DE CURVAS SUPERSINGULARESCurva kE0, E2 1E1, E3 2E′1, E′−1 2En lo que sigue consideraremos u´nicamente las curvasordinarias, es decir las curvas Ei sobre Fq , q ≡ 1 mo´d 4.Para caracterizar su grado de inmersio´n respecto de ` sera´ u´tilel resultado siguiente ([6]).Lema 3: Una curva elı´ptica E tiene grado de inmersio´n kcon respecto de ` si y so´lo si t ≡ 1 + ζk mo´d `, con ζk unaraı´z de orden k de la unidad mo´dulo `.Por ejemplo, si k = 1 se tiene que t ≡ 2 mo´d ` y si k = 2se tiene que t ≡ 0 mo´d `. Por otra parte, ` debe dividir tantoa q+ 1− t como a qk − 1. Fijado el grado de inmersio´n, paracada primo `, se pueden obtener condiciones para entero q(primo o potencia de un primo).En particular para k = 1 y 2 hemos demostrado que:Teorema 4: Una de las cuatro curvas Ei tiene grado deinmersio´n 1 con respecto de ` si y so´lo siq = (x2 + y2)`2 + 2x`+ 1, x, y ∈ Z, x ≡ y mo´d 2.Teorema 5: Una de las cuatro curvas Ei tiene grado deinmersio´n 2 con respecto de ` si y so´lo siq = x2`2 + y`− 1, x ≡ y mo´d 2 y y`− 1 es un cuadrado.No´tese que tal q debe ser primo o potencia de primo.La curva concreta puede obtenerse teniendo en cuenta laProposicio´n 3.5 de [11].Ejemplos concretos para algunos valores de los para´metrosx, y pueden verse en la tabla II.Tabla IICURVAS ELI´PTICAS CON GRADO DE INMERSIO´N 1 O´ 2` x, y q Curva k73 0,2 4`2 + 1 = 21317 E0 141 2,2 8`2 + 4`+ 1 = 13613 E2 179 1,1 2`2 + 2`+ 1 = 12641 E1 (E3) 1101 1,1 `2 + `+ 1 = 10301 E0 2101 3,1 9`2 + `− 1 = 91909 E2 21013 2,2 4`2 + 2`− 1 = 4106701 E1 (E3) 2III. ALGORITMO DE MILLER CON FORMAS NOADYACENTESComo se ha dicho en la introduccio´n, un emparejamientode orden `, e`, para una curva elı´ptica E sobre el cuerpo finitoFq (usualmente ` primo y divisor del cardinal de la curva) esuna aplicacio´n bilineal que asigna a un par de puntos P,Qde la curva una raı´z de orden ` de la unidad. Supondremosque estas raı´ces se encuentran inmersas en Fqk siendo k elgrado de inmersio´n de la curva (ver definicio´n 1). En el casoparticular del emparejamiento de Weil, los puntos P,Q sonambos de `-torsio´n (designaremos por E(Fqk)[`], el subgrupode puntos de `-torsio´n de E). No´tese que un punto de `-torsio´nno necesariamente esta´ definido en el cuerpo base pero si enFqk ([2]).Para los puntos P,Q, el valor del emparejamiento e` secalcula como el cocientee`(P,Q) =f`,P (Q+R)f`,Q(S)f`,P (R)f`,Q(P + S), (1)donde R,S son puntos auxiliares de la curva y las funcionesf`,P , f`,Q son cociente de dos polinomios en dos variables(para ma´s detalles ver [9]). La dificultad de este ca´lculo resideen la construccio´n de estas funciones. El algoritmo de Miller([10]) permite realizar dicha construccio´n de forma eficiente.Las funciones f`,T para un punto cualquiera T , se obtienende forma recursiva a partir de las siguientes identidades:f0,T = f1,T = 1fm+n,T = fm,T fn,T gmT,nT(2)donde gU,V =LU,VL(U+V ),−(U+V )y LU,V = 0 es la ecuacio´n de larecta que pasa por los dos puntos U y V , o la recta tangentesi U = V . No´tese que L(U+V,−(U+V ) es la recta vertical quepasa por el punto U+V y por tanto so´lo depende de su abscisa.Por tanto, dado un entero ` y un punto T de orden `, elca´lculo de la funcio´n f`,T se realiza de la siguiente forma:Algoritmo 6:Input: T ∈ E(Fqk)[`],` = (`r−1, `r−2, . . . , `0)2 (representacio´n binaria de `)Output: f`,Tf ← 1, W ← P .for i from r − 2 to 0 dof ← f2 LL′(L recta tangente en W , L′ recta vertical por 2W )Familias de curvas elı´pticas adecuadas para Criptografı´a Basada en la Identidad 37W ← 2Wif `i = 1 thenf ← f LL′(L recta que pasa por T y W , L′ recta vertical porT +W )W ← T +Wend ifend forRETURN fEl algoritmo anterior se basa en una estrategia de cuadradosrepetidos (doblado y suma) en la que se hace uso de laexpresio´n binaria del entero `. Es claro que el nu´mero deiteraciones en el algoritmo anterior es log2(`) y el nu´mero deoperaciones (ca´lculo de rectas) a realizar depende del peso deHamming de `. Por tanto, el algoritmo sera´ ma´s ra´pido cuantomenor sea tal peso.Los algoritmos que se basan en este tipo de estrategiapueden adaptarse para usar, en lugar de la representacio´nbinaria, cualquier otra cadena de adicio´n-sustraccio´n. En par-ticular, es posible minimizar el nu´mero de bits no nulos enla representacio´n binaria de un nu´mero usando el siguienteconcepto en el que se permiten restas (hay que tener en cuentaque la resta de puntos de una curva elı´ptica se puede hacercon el mismo coste que una suma).Definicio´n 7 ([8]): Dado un entero n, se define la forma noadyacente de n (NAF (n)) como una representacio´n dada porn =∑r−1i=0 ki2i donde ki ∈ {0,±1}, kr−1 6= 0 y para todo1 ≤ i ≤ r − 1, ki−1ki = 0.A partir de las formas recurrentes dadas en (2), teniendoen cuenta que f0,T = f1,T f−1,T gT,−T , es posible determinarlos pasos a an˜adir en el Algoritmo 6 cuando se cambia larepresentacio´n binaria del entero ` por su representacio´n enforma no adyacente. Ma´s concretamente, habrı´a que an˜adirlas o´rdenes siguientes:if `i = −1 thenf ← f LL1L′(L1 recta vertical por T , L recta que pasa por −T y W ,L′ recta vertical por W − T )W ←W − Tend ifSin embargo, existe otra forma de obtener la funcio´n f`,T apartir de la representacio´n NAF de `. Para ello, se sustituirı´anlas instrucciones anteriores por las siguientes:if `i = −1 thenf ← f L′L(L′ recta vertical por W y L la recta que pasa por lospuntos T y −W )W ←W − Tend ifTe´ngase en cuenta que en este caso cuando `i = −1, secalculan dos rectas mientras que en la versio´n anterior sonnecesarias tres rectas. Aunque la forma natural de trasladarel algoritmo cla´sico de Miller a su versio´n usando la repre-sentacio´n NAF es la propuesta primera, la bu´squeda de unasolucio´n computacionalmente ma´s eficiente nos ha llevado aesta segunda forma.Tenemos entonces, tres formas diferentes para el ca´lculo dela funcio´n f`,T : me´todo binario usando el algoritmo originalde Miller y dos versiones NAF I y NAF II utilizando larepresentacio´n en forma no adyacente. En realidad, la funcio´nobtenida en cada caso es diferente, sin embargo, al calcularel emparejamiento con la fo´rmula (1), el resultado obtenidocon cualquiera de las tres funciones es el mismo, ya que dichovalor e`(P,Q) es independiente del camino seguido ([3]).IV. EJEMPLOS NUME´RICOSSe han implementado las diferentes versiones mostradas delalgoritmo de Miller para el ca´lculo de la funcio´n f`,T usandoMaple v.13 en un ordenador con un procesador Intel Core 2Duo de 2.13 GHz y 2 GB de memoria RAM.En la tabla III se muestran los tiempos de ejecucio´n (en me-dia) de los tres algoritmos: es decir, usando la representacio´nbinaria de ` en el primer caso, y en los otros dos tomando laforma no adyacente de `.Se han calculado previamente curvas elı´pticas con grado deinmersio´n 1 respecto a algu´n primo ` de taman˜o 20, 40, 60 y100 bits (con sus correspondientes puntos de orden `) para lasdos primeras familias de curvas elı´pticas ordinarias mostradasen la Tabla II.El primo ` se ha escogido de dos formas distintas. En elprimer caso no se ha considerado ninguna restriccio´n sobree´l mientras que en el segundo caso, se han escogido primos` cuya representacio´n en forma no adyacente tiene peso deHamming pequen˜o. Para cada tipo se han tomado 500 de estosprimos para cada longitud (100 cuando ` tiene 100 bits).Tabla IIITIEMPOS DE EJECUCIO´N DEL ALGORITMO DE MILLER (MS)Curva/primo No de bits ` Binario NAF I NAF IIE0, p = 4`2 + 120 4.1 3.8 3.840 12.1 10.6 10.660 23.5 21.9 20.7100 61.4 56.3 54.1E0, p = 4`2 + 1wNAF (`) ≤ 720 3.7 3.4 3.240 10.4 8.7 8.760 21.8 17.6 17100 56.3 44.9 43.6E2,p = 8`2 + 4`+ 120 6.3 6 5.940 11.2 10.1 9.860 33.8 30.7 28.2100 65.6 58.8 56.4E2,p = 8`2 + 4`+ 1wNAF (`) ≤ 820 5.5 5.1 440 13.8 12.3 11.260 29.4 23.8 22.5100 80.9 60.2 59.9Tal como era de esperar, en ambos casos las versionesbasadas en formas no adyacentes son ma´s eficientes y, engeneral, la versio´n NAF II es mucho ma´s ra´pida.38 J.M. Miret, D. Sadornil, J G. TenaEl mayor descenso en tiempo de ejecucio´n se encontrarı´acuando ` es un primo de Mersenne, 2p−1, cuya representacio´nbinaria es 1111 . . . 111, mientras que su expresio´n en formano adyacente es 1000 . . . 000-1.Finalmente, hemos considerado la curva elı´ptica E0 sobreFq , con q = 4`2 + 1 siendo ` = 2258 + 2242 − 1. Este primo` es un ejemplo de los denominados primos de Solinas, reco-mendados para su uso en criptografı´a elı´ptica. Las expresionesbinaria y NAF de este primo ` son:10000000000000000242bits︷ ︸︸ ︷111 . . . 111000000000000000 1000 . . . 0-1︸ ︷︷ ︸243bitsLos tiempos de ejecucio´n de las tres versiones del algoritmode Miller para este ejemplo son 468 ms para el caso binario,234 ms para NAF I y 218 ms para NAF II.V. CONCLUSIO´NPartiendo de las curvas con el denominado j-invariante iguala 1728, o lo que es lo mismo las curvas con ecuacio´n y2 =x3 +Ax, hemos obtenido condiciones que permiten asegurarque dichas curvas son buenas para su empleo en Criptografı´aBasada en la Identidad. En particular, hemos proporcionadoejemplos concretos de curvas elı´pticas con grado de inmersio´n1 y 2.La herramienta principal utilizada en Criptografı´a Basadaen la Identidad son los emparejamientos. Nos hemos ocupadotambie´n de la implementacio´n del algoritmo de Miller quees el algoritmo ba´sico en el ca´lculo de los emparejamientos,tanto en su versio´n original como en variantes propuestas en eltrabajo basadas en la forma no adyacente del primo `. De estaforma, se observa que las variantes propuestas, permiten unahorro significativo en los tiempos de ejecucio´n del algoritmode Miller.AGRADECIMIENTOSEste trabajo ha sido financiado por el Ministerio de Eco-nomı´a y Competitividad con los proyectos MTM2010-21580-C02-01/02 y MTM2010-16051.REFERENCIAS[1] C. Cocks, “An identity based encryption scheme based on quadraticresidues“, Proceedings of the 8th IMA Int. Conf. on Cryptology andCoding, Springer LNCS 2260, pp. 360–363, 2001.[2] R. Balasubramanian, N. Koblitz “The improbability that an elliptic curvehas subexponential discrete log problem under the Menezes-Okamoto-Vanstone algorithm”,Journal of Cryptology vol 11 (2), pp. 141–145,1998.[3] I. Blake, G. Seroussi, N. Smart, “Advances in Elliptic Curve Crypto-graphy”. London Mathematical Society, LNS 371. Cambdridge Univer-sity Press, 2005.[4] D. Boneh, C. Gentry, M. Hamburg. “Space-Efficient Identity BasedEncryption without Pairings“ FOCS’07: Proceedings of the 48th AnnualIEEE Symposium on Foundations of Computer Science, pp. 647-657,2007.[5] D. Boneh, M. Franklin “Identity based Encryption from the WeilPairing” Advances in Cryptology - CRYPTO 2001 , Springer LNCS2139, pp. 213–229, 2001.[6] F. Brezing, A. Weng, ”Elliptic curves suitable for pairings based cry-ptography“, Designs, Codes and Cryptography 37, pp. 133–141, 2005.[7] D. Freeman, M. Scott, E. Teske, “A taxonomy of pairing-friendly ellipticcurves”, Journal of Cryptology, vol 23(2), pp. 224–280, 2010.[8] D. Hankerson, A. Menezes, S. Vanstone, “Guide to Elliptic CurveCryptography”, Springer, 2004.[9] A. Menezes, “Elliptic Curves Public Key Cryptography” , Kluwer, 1993.[10] V. Miller “The Weil Pairing, and its Efficient Calculation” Journal ofCryptology , vol. 17, pp. 235–261, 2004.[11] C. Munuera, J. Tena, “An algorithm to compute the number of pointson elliptic curves of j-invariant 0 or 1728 over a finite field”, Rendicontidel Circolo Matematico di Palermo, Serie 2, tomo XLII, pp. 106–116,1993.[12] A. Shamir, “Identity-based cryptosystems and signature schemes“, Ad-vances in cryptology - CRYPTO 1984, Springer LNCS196, pp. 47–53,1985.

Familias de curvas elípticas adecuadas para Criptografía Basada en la Identidad

Abstract

Similar works

Full text

Available Versions

RUA

Repositorio Institucional de la Universidad de Alicante