Показано, что стандартное условие MOV-атаки на эллиптические кривые не является достаточным условием для получения нециклической структуры группы точек. Даны рекомендации для доработки условия MOV-атаки в будущих стандарта

Бессалов, Анатолій Володимирович

Borys Grinchenko Kyiv University Institutional repository

УДК 681.3.06                                                                                   О некорректности стандартного условия для MOV-атаки на      эллиптические кривые        Бессалов А.В.  Рассмотрена трансформация канонической формы эллиптической кривой в изоморфную форму Эдвардса. Дан анализ условий существования точек 8-го порядка. Получены оценки для числа изоморфизмов и пар кручения кривых в форме Эдвардса. Розглянуто перетворення канонічної форми еліптичної кривої в ізоморфну форму Едвардсу. Дано аналіз існування точок 8-го порядку. Отримано оцінки кількості ізоморфізмів і пар кру-чення  кривих у формі Едвардсу.  Transformation of a canonical form of an elliptic curve in isomorphiс Edwards's-form is consi-dered. The analysis of existing conditions of points of 8th order is given. Estimations for number of isomorphisms and  torsion-pairs in the Edwards-form are received.   Введение   Широко известная в сфере криптографии работа [1] предложила одну из первых атак изоморфизма на проблему дискретного логарифмирования (DLP)  в группе точек эллиптической кривой. Эта атака, получившая по именам авторов название MOV-атаки, сводится к отображению пары точек кривой E над некоторым расширением Fqk поля Fq в элемент поля расши-рения, что при небольших значениях k катастрофически снижает слож-ность DLP. Из большинства криптоприложений после этой работы были исключены уязвимые к MOV-атаке суперсингулярные кривые, а все поя-вившиеся через десятилетие стандарты (в частности, [2 - 7]) включили обя-зательные тесты на стойкость кривой к MOV-атаке. Автор данной статьи обнаружил, что результат тестирования и действительная уязвимость кри-вой к MOV-атаке могут оказаться далекими друг от друга, в итоге отбра-ковываются достаточно стойкие кривые, но не выдержавшие тест. В статье для убедительности приводится простой пример, иллюстрирующий выше-сказанное. Условия для MOV-атаки и условия тестирования в стандартах Пусть  NE = hn – порядок кривой Е над конечным полем Fq, где n – большое простое число, а кофактор h невелик (обычно h ≤ 4). Криптоси-стема строится на циклической подгруппе точек кривой простого порядка n.  Изоморфное отображение, рассмотренное в  [1], строится как били-нейное спаривание Вейля (или Тейта и др.) двух точек кривой в расшире-нии  Fqk, k = 1, 2, 3,…, в котором возникает нециклическая группа nG×nG точек порядка n,  содержащая n2 точек. Спаривание необходимым образом использует две точки из разных циклических подгрупп порядка n нецикли-ческой группы порядка n2 [9]. Можно, таким образом, утверждать, что дос-таточным условием для MOV-атаки является возникновение нецикличе-ской группы точек порядка n в некотором расширении поля Fq. В принципе нециклическая группа точек может существовать и в поле Fq  (k = 1), если      h = сn, но это не отвечает принятым ограничениям. Для суперсингулярных кривых нециклическая группа образуется уже при k = 2..6, для несуперсин-гулярных – значения k, как правило, достаточно велики и могут оказаться соизмеримыми с порядком поля q. В исключительных случаях  группа nG×nG может возникнуть и при небольших k, что и требует MOV-тестирования всех, в том числе и несуперсингулярных кривых.  Необходимые условия для нециклической структуры группы Eq  фор-мулируются в теореме Кассельса [8, c.85]: группа Eq порядка NE = n1n2 яв-ляется либо циклической, либо представляется прямой суммой двух цик-лических подгрупп порядков n1 и n2 , таких что                       n1n2   и  n1НОД(NE , q – 1)                                   (1) Отсюда, в частности, следует, что порядок NE  содержит квадрат n12. Заме-тим, что выполнение обоих условий (1) еще не гарантирует нециклической структуры группы (хотя, как правило, это так). Многие циклические кри-вые, например, содержат квадраты в порядке кривой [8]. Необходимые и достаточные условия нециклической структуры эллиптической кривой для общего случая пока не определены. Обратимся теперь к известным стандартам [2-7]. Тест на стойкость кривых к MOV-атаке в них состоит в проверке неделимости n ł qk – 1 для всех k = 1..B, с возможно различными значениями верхней границы В. Этот тест, отвечающий лишь второму условию (1) теоремы Кассельса, даже не гарантирует квадрата n2 в порядке кривой в расширении Fqk. Его можно было бы классифицировать как «подозрение на уязвимость к MOV-атаке». Конечно, это не снижает безопасности проектируемых криптосистем, од-нако вряд ли обоснованным (и корректным) является упрощенный тест, отвергающий приемлемые для криптосистем кривые. По-видимому, более целесообразно при доработке стандартов усилить этот тест по меньшей мере дополнительной проверкой на наличие квадрата n2 в порядке кривой над большим полем. Пример. Для иллюстрации примем порядок точки n = 3 и построим несуперсингулярную кривую                          у2 + ху = х3 + ах2 + b,  b ≠ 0                               (2) над полем F22  (q = 22) с неприводимым полиномом P(x) = x2 + x + 1 и его корнем α, для которого α2 + α + 1 = 0. Здесь α – генератор мультипликатив-ной группы поля F22  3-го порядка (α3 = 1) со следом 1. В границах Хассе 2..8 c четными NE нас устраивает лишь кривая с порядком NE = 6  2mod4, поэтому коэффициент а в (2) должен иметь след 1[8]. Примем а = α.  Для точки Q = (x1, y1) 3-го порядка 2Q = – Q нетрудно получить уравнение                              x14 + x13 + b = 0,                                                   (3)  которое в нашем случае (x13= 1) принимает вид  x1 = 1 + b. Значения b ≠ 0, 1 (в последнем случае получим точку 2-го порядка), поэтому примем b = α, тогда кривая у2 + ху = х3 + αх2 + α имеет точки 3-го порядка Q = (α2, α2),                  – Q = (α2, 0), а порядок кривой NE = 6. Так как NE = q + 1 – t1 , то параметр t1 (след уравнения Фробениуса) равен t1=  – 1. Найдем порядки этой кривой над над расширениями Fq2 = F24  и Fq3 = F26. Рекуррентная формула расчета параметра tk имеет вид [8]                      tk+2 = t1 tk+1 – qtk,    k = 0, 1, 2, …,  t0 = 2.  Отсюда  t2 = –7,  NE2 = q2 + 1 – t2  = 24, t3  = 11,   NE3 = q3 + 1 – t3  = 54. Хотя в этом примере n|(q – 1)  и n|(q2 – 1), о билинейном спаривании (или MOV-атаке) речи не идет, поскольку порядки соответствующих кривых 6 и 24 не делятся на 32. И только расширение степени k = 3 с выполнением n|(q3 – 1) дает нециклическую группу типа (2, 3, 32), имеющую ровно 32 точек по-рядка 3. Порядок кривой NE3 = 54 = 2∙33 содержит квадрат 32 и выполняют-ся оба условия теоремы Кассельса (1). Кроме того, кривая действительно содержит 9 точек 3-го порядка (что и является условием нециклической группы точек 3-го порядка). Действительно, уравнение (3)                                            x14 + x13 + 21 = 0,                                    (4) в поле F26 с примитивным элементом , для которого 6 +  + 1 = 0, имеет ровно 4 решения. В уравнении (4)  21 = α – элемент подполя F22 3-го по-рядка. Одно из решений (4) лежит в этом подполе и является тривиальным x1(1) = α2 = 42. Остальные 3 решения принадлежат расширению  F26 и равны         x1(2) = 23 = 101001,      x1(3) = 29 = 111000,      x1(4) = 53 = 101010.   Каждое из решений (4) дает по 2 точки 3-го порядка, в итоге вместе с точ-кой на бесконечности имеем 9 точек 3-го порядка и, следовательно, нецик-лическую структуру группы.  Итак, хотя тест на MOV-атаку в примере отбраковывает все кривые с расширениями степени k = 1, 2, 3, уязвимой к MOV-атаке является лишь кривая над полем Fq3.   В заключение еще раз подчеркнем, что стандартный тест на MOV-атаку стал бы более корректным, если его усилить дополнительной про-веркой: n2 ł NEk, где NEk – порядок кривой Е в расширении Fqk.   Литература   1. Menezes A.J,  Okamoto T., Vanstone S. A. Reducing Elliptic Curve Logarithms to Logarithms in a Finite Field. University of Waterloo, sep. 1990. And //IEEE Transac-tions on Information Theory, V39, 1993. – PP 1639-1646. 2. IEEE P1363-2000. Standard Specifications for Public Key Cryptography. Institute of Electrical and Electronics Engineers, Inc.,2000. 3. ISO/IEC JTC 1/SC 27 n 2303, CD 15946-2. Information Technology- Sequrity Techniques – Cryptographic Techniques based on Elliptic Curves: Part 2- Digital Signatures. 1999 -05-26.. 4. ANSI X9.62-1999. Public Key Cryptography for the Financial Services Industry: The Elliptic Curve Digital Signature Algorithm (ECDSA). 1999. 5. FIPS 186-2. Digital Signature Standard. National Institute of Standard and Tech-nology. 2000. 6. ГОСТ Р 34.10-2001.Информационная технология. Криптографическая защи-та информации. Процедуры формирования и проверки электронной цифро-вой подписи. – М.: Госстандарт России, 2001. – 20c. 7. Державний стандарт України ДСТУ 4145-2002. Інформаційні технології. Криптографічний захист інформації. Цифровий підпис, що ґрунтується на еліптичних кривих. Формування та перевіряння. Київ, Держстандарт Украї-ни, 2003. – 94c. 8. Бессалов А.В., Телиженко А.Б. Криптосистемы на эллиптических кривых: Учеб. Пособие. – К.: ІВЦ «Видавництво «Політехніка»», 2004, 224 с. 9. Markus Jakobsson and Wenbo Mao. Cryptographic Protocols. Prentice-Hall, 2006.    Опубликовано: Прикладная радиоэлектроника, Том 11, №2, 2012. С.238-239 

О некорректности стандартного условия для MOV-атаки на эллиптические кривые

Abstract

Similar works

Full text

Available Versions

Borys Grinchenko Kyiv University Institutional repository