BRPI1006832B1

BRPI1006832B1 - métodos de executar uma computação criptográfica em um componente eletrônico, método de autenticação por pelo menos uma senha, método de criptografar um dado, método de compressão de dados, e dispositivos eletrônicos

Info

Publication number: BRPI1006832B1
Application number: BRPI1006832-5A
Authority: BR
Inventors: Thomas Icart
Original assignee: Morpho
Priority date: 2009-01-14
Filing date: 2010-01-08
Publication date: 2021-01-19
Also published as: FR2941115A1; KR101602361B1; EP2377268A1; RU2011134050A; RU2533693C2; FR2941115B1; EP2377268B1; HK1163957A1; CN102318264A; JP2012515489A; KR20110136787A; WO2010081980A1; BRPI1006832A2; US8666066B2; US20110274269A1; CN102318264B

Abstract

CODIFICAÇÃO DE PONTOS DE UMA CURVA ELÍPTICA. A presente invenção se refere a um método que compreende, em um componente eletrônico, realizar um cálculo criptográfico que inclui a etapa de obter pontos P em uma curva elíptica seguindo a equação Y2 + a1XY + a3Y = X3 + a2X2 + a4 + x+ a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos; onde A é um anel de números inteiros modulares Z/qZ onde q é um número inteiro positivo que resulta a partir de um número I de números primos diferentes estritamente maiores do que 3, sendo I um número inteiro maior ou igual a 2, onde A é um corpo finito Fq com q a potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A. O método compreende determinar um diâmetro (11), e obter as coordenadas X e Y de um ponto P (13) ao aplicar uma função (12) ao referido parâmetro. A função de Euler (Fi) de A corresponde a uma equação (Fi) (A) mod 3 = 1. A função é uma função reversível e determinística expressa pela fração racional em a1, a2, a3, a4 e a6 e no referido (...).

Description

[001] A presente invenção se refere a criptografia de mensagem com base no uso de pontos de uma curva elíptica, e mais particularmente a referida criptografia em um modo determinístico.

[002] De modo a aplicar uma computação criptográfica a uma mensagem, algoritmos para a inserção de valores arbitrários dentro de estruturas matemáticas são convencionalmente implementados. Para este fim, curvas elípticas são estruturas matemáticas que tornam possível facilitar a implementação das referidas computações criptográficas e para economizar espaço de memória com relação à implementação de outras computações criptográficas.

[003] Entretanto, algoritmos eficientes para a inserção de valores arbitrários usando curvas elípticas são probabilísticos. Conseqüentemente, o tempo de implementação dos referidos algoritmos não é constante, o mesmo é dependente da mensagem a ser codificada. Assim, se um atacante determina vários tempos de implementação do algoritmo aplicado, ele pode obter informação sobre a mensagem codificada.

[004] De modo a mascarar o tempo usado por um algoritmo de inserção probabilísti- co, se deve providenciar a adição de etapas inúteis ao referido algoritmo de modo que a sua aplicação seja sempre disseminada por um período de tempo de idêntico comprimento, qualquer que seja a mensagem processada.

[005] Entretanto, o referido processamento é de difícil maneio e consome uma grande quantidade de tempo.

[006] A presente invenção tem o objetivo de aprimorar a situação.

[007] Um primeiro aspecto da presente invenção propõe um método de executar uma computação criptográfica em um componente eletrônico compreendendo uma etapa de obter pontos P em uma curva elíptica que satisfaça a equação a seguir: Y2 + a1XY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos, onde A é um anel dos números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, I sendo um número inteiro maior do que ou igual a 2, ou A é um campo finito Fq com q uma potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A,

[008] o referido método compreendendo as etapas a seguir: /a/ determinar um parâmetro (11); /b/ obter coordenadas X e Y de um ponto P (13) ao aplicar uma função (12) ao referido parâmetro;

[009] a função de Euler Φ de A que satisfaz a equação: Φ (A) mod 3 = 1, a função sendo uma função inversível e determinística expressa pela fração racional em a1, a2, a3, a4 e a6 e no referido parâmetro dentro de A, e alcançando pelo menos um número q/41 de pontos P, com I igual a 1 para um campo finito Fq; /c/ usar o referido ponto P em uma criptografia criptográfica ou interferência ou assi-natura ou autenticação ou aplicativo de identificação.

[010] Os termos 'alcançar pelo menos um determinado número de pontos' pretende significar o fato de que a função considerada é adaptada para proporcionar em saída pelo menos o referido determinado número de diferentes pontos.

[011] Em virtude das referidas provisões, é possível se realizar, em um componente eletrônico, uma computação criptográfica que seja com base em pontos de uma curva elíptica, mas sem proporcionar informação a um potencial atacante, e ainda manter um alto nível de eficiência de implementação. De fato, uma função que torna possível se obter um ponto na curva elíptica sendo uma fração racional, é portanto uma função determinística em vez de uma função probabilística; o tempo que se leva para computar a mesma é constante qualquer que seja o parâmetro de entrada. Sob as referidas condições, a obtenção de pontos na curva elíptica é eficiente e o tempo de computação não mais depende da mensagem a ser codificada, distintamente diferente da técnica anterior.

[012] O anel A pode ser um anel RSA (para 'Rivest Shamir Adleman'). Neste caso, o referido anel pode ser escrito Z/qZ, com q igual ao produto de dois números primos, para o qual o produto Φ (A) é difícil de computar.

[013] É observado que a função de Euler Φ sobre um anel A é a função que proporciona o número de elementos inversíveis no referido anel A. No caso onde A é um campo finito Fq, nós temos: Φ (A) = q-1 Ao considerar um anel de números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, I sendo um número inteiro maior do que ou igual a 2, nós temos: Φ (A) = 1cm(pi - 1, p2 - 1,..., pi - 1) onde 1cm significa mínimo múltiplo comum e o pi sendo os I números primos.

[014] Considerando que uma função determinística de acordo com uma modalidade da presente invenção é expressa na forma de frações racionais, a aplicação das mesmas sempre adota o mesmo tempo qualquer que seja a mensagem, ou os dados, aos quais a mesma é aplicada.

[015] De fato, no conjunto A, as funções para elevar para a potência 3 e 1/3 são bi- jectivas. Conseqüentemente, as mesmas podem ser escritas na forma de frações racionais e, portanto, a função determinística f pode ser escrita na forma de frações racionais. No conjunto A, a computação da potência 1/3 é a mesma que a computação da potência (2Φ (a)+1)/3. A última é um número inteiro uma vez que Φ (A) mod 3 = 1. A equação a seguir é satisfeita em A: x0(A)= 1

[016] A partir da referida equação é deduzida a equação a seguir: Conseqüentemen- te, é possível se escrever: (x3)(20(A)+1)/3 = x3(20(A)+1)/3 = x(20(A)+1 = x Conseqüentemente, é possível se escrever: (x3)(20(A)+1)/3 = x1/3

[017] Agora, a função f que torna possível se obter um ponto P da curva elíptica compreende a referida elevação para a potência 1/3.

[018] Assim, em virtude do fato de que a função para elevar para a potência 1/3 é computada em tempo constante qualquer que seja o elemento de A, é possível se obter pontos de uma curva elíptica sem ter que lidar com probabilidades. Conseqüentemente, o tempo de execução para a computação criptográfica não depende da mensagem na qual a referida computação é realizada, como é o caso para a implementação da referida computação em um modo probabilístico tal como realizado na técnica anterior.

[019] Ademais, no contexto onde A corresponde ao campo finito Fq, a função deter- minística f pode proporcionar pelo menos q/4 pontos P da curva elíptica. No contexto onde A corresponde a um anel de números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, I sendo um número inteiro maior do que ou igual a 2, a função determinística f pode proporcionar pelo menos q/4I pontos P da curva elíptica.

[020] O referido número de pontos, obtidos deste modo em um modo determinístico, na curva elíptica permite numerosas aplicações criptográficas com um alto nível de segurança contra ataques potenciais.

[021] Em uma modalidade da presente invenção, a curva elíptica usada é uma curva do tipo de Weierstrass, ou de outro modo denominada uma curva de característica p. Aqui, é considerado que q é diferente de 2n.

[022] A Equação (1) pode ser escrita: Y2 = X3 + aX + b, com a = a2 e b = a6.

[023] A função determinística proporciona as coordenadas de um ponto de uma curva elíptica de acordo com as respectivas equações a seguir:

e Y = ux + v (5) onde u é o parâmetro determinado na etapa /a/, e onde v = (3a - u4)/(6u)

[024] Em outra modalidade, a presente invenção é aplicada a uma curva elíptica de características 2.

[025] Neste caso, q satisfaz a equação: q = 2n; onde n é um número ímpar inteiro, equação (1) pode ser escrita: Y2 + XY = X3 + aX2 + b, com a = a2 e b = a6; e

[026] a função determinística proporciona as coordenadas de um ponto da curva elíptica de acordo com as respectivas equações a seguir:

Y = uX +w2 onde u é o parâmetro determinado na etapa /a/, e onde w = a+u2+u.

[027] Em um caso particular vantajoso, n é um número primo inteiro ímpar. De fato, o referido n torna possível limitar determinados ataques.

[028] Nesse contexto, a função determinística pode vantajosamente proporciona pelo menos 2n-2 pontos P da curva elíptica.

[029] É vantajosamente possível se aplicar a referida função a curvas elípticas do tipo de Koblitz, um caso particular de curvas elípticas de características 2 nas quais b é igual a 1 e a pertence a F2. De fato, ao se usar a curva elíptica de Koblitz, é possível se imple- mentar computações criptográficas em de modos mais rápidos.

[030] Se deve providenciar aplicar a referida função determinística a um resultado de uma função de interferência. Assim, na etapa /a/, o parâmetro u pode ser obtido ao aplicar a função de interferência h.

[031] Em uma modalidade, a função de interferência é uma função de uma via. A re-ferida propriedade é preservada: a função que surge a partir de combinar a função determinística e a função de interferência exibe a referida propriedade de ser de uma via.

[032] Aqui, uma função sobre uma curva elíptica que é de uma via, tal como a função de interferência, é então por fim obtidos. A referida função é adicionalmente resistente a colisões.

[033] Deve também ser proporcionada a aplicação da referida função determinística de tal modo que a mesma exiba a característica de não ser diferenciável (ou a característica de ser "indiferenciável") a partir de uma função aleatória a qual seria aplicada a uma curva elíptica. A referida característica exibe vantagens, especialmente quando a referida função é aplicada em um esquema criptográfico que é provada como sendo segura em um modelo onde as funções de interferência são assumidas serem aleatórias. De fato, na medida em que a função determinística exibe uma característica de ser não-diferenciável a partir de uma função aleatória, um esquema criptográfico seguro é obtido ao aplicar a referida função no mesmo tipo de esquema criptográfico.

[034] Na etapa /a/, o parâmetro u pode ser obtido ao aplicar a primeira função de in-terferência h e a segunda função de interferência h'. O gerador de um grupo de pontos de uma curva elíptica é denotado G. A computação criptográfica pode compreender a aplicação da função a seguir: f (h) + h’.G onde f é a função determinística, e onde G é um gerador de um grupo de pontos de uma curva elíptica.

[035] O referido grupo de pontos de uma curva elíptica pode corresponder aos pon tos que são usados pela computação criptográfica de acordo com uma modalidade da pre-sente invenção.

[036] Um segundo aspecto da presente invenção é um método de autenticação de pelo menos uma senha implementando um método de executar uma computação criptográfica de acordo com o primeiro aspecto da presente invenção, no qual na etapa /a/ o parâmetro é determinado como uma função da senha, a referida senha sendo incluída no parâmetro, e no qual uma etapa de autenticação é realizada com base do ponto P.

[037] Um terceiro aspecto da presente invenção propõe um método de criptografar dados, a referida criptografia sendo com base na identidade Boneh-Franklin em uma curva elíptica admitindo uma operação de acoplamento; onde a identidade é um valor numérico identificando uma entidade, o referido método compreendendo as etapas a seguir: /a/ obter um ponto ao aplicar à identidade um método de executar a computação crip-tográfica de acordo com o reivindicado na reivindicação 6; /b/ obter um dado criptografado ao combinar o referido ponto, a parâmetros aleatórios e o dado.

[038] Aqui, o termo 'combinar' pretende significar o fato de aplicar a combinação do acoplamento, operações de interferência, um 'exclusivo ou' operação e uma multiplicação escalar.

[039] Um quarto aspecto da presente invenção propõe um método de executar uma computação criptográfica em um componente eletrônico compreendendo uma etapa de obter pontos P em uma curva elíptica que satisfaça a equação a seguir: Y2 + a1XY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos, onde A é um anel dos números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, I sendo um número inteiro maior do que ou igual a 2, ou A é um campo finito Fq com q uma potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A,

[040] o referido método compreendendo as etapas a seguir: /a/ determinar um ponto P com coordenadas X e Y na curva elíptica; /b/ obter um parâmetro ao aplicar uma função ao ponto P; a função de Euler Φ de A que satisfaz a equação: Φ (A) mod 3 = 1, a função sendo a função inversa à função determinística expressa pela fração racional em ai, a2, a3, a4 e a6 e no referido parâmetro dentro de A, e alcançando pelo menos um número q/4I de pontos P, com I igual a 1 para um campo finito Fq; /c/ usar o referido parâmetro em uma criptografia criptográfica ou interferência ou as-sinatura ou autenticação ou aplicativo de identificação.

[041] Aqui, deve ser observado que a função determinística tal como determinado no primeiro aspecto da presente invenção é uma função inversível. A mesma pode, portanto, ser vantajosamente usada na direção inversa, o inverso do uso que é feito da mesma no referido primeiro aspecto da presente invenção. De fato, pode ser útil no domínio criptográfico se iniciar a partir de pontos da curva elíptica obtendo o parâmetro que corresponde aos mesmos via a função inversa à função determinada no primeiro aspecto, especialmente para a aplicação de compressão de dados.

[042] Assim, um quinto aspecto da presente invenção propõe um método de compressão de dados no qual os dados a serem comprimidos correspondem respectivamente a pares de dados X e Y que correspondem a coordenadas de pontos P de uma curva elíptica que satisfaz a equação a seguir: Y2 + aiXY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos, onde A é um anel dos números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, I sendo um número inteiro maior do que ou igual a 2, ou A é um campo finito Fq com q uma potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A, no qual as etapas /a/ a /c/ de um método de executar a computação criptográfica de acordo com o quarto aspecto da presente invenção são aplicados a cada um dos referidos pares de dados, e no qual os referidos pares de dados são representados pelos parâmetros respectivamente obtidos na etapa /c/.

[043] Um sexto aspecto da presente invenção propõe um dispositivo eletrônico com-preendendo meios adaptada para a implementação de um método de executar a computação criptográfica de acordo com o primeiro aspecto da presente invenção.

[044] Um sétimo aspecto da presente invenção propõe um dispositivo eletrônico compreendendo meios adaptados para a implementação de um método de executar a com-putação criptográfica de acordo com o quarto aspecto da presente invenção.

[045] Um oitavo aspecto da presente invenção propõe um chip compreendendo um dispositivo eletrônico de acordo com o sexto ou sétimo aspecto da presente invenção.

[046] Outros aspectos, objetivos e vantagens da presente invenção se tornarão aparentes com a leitura da descrição de uma de suas modalidades.

[047] A presente invenção será também melhor entendida com a ajuda da Figura 1 a qual ilustra as etapas principais de uma computação criptográfica de acordo com uma modalidade da presente invenção.

[048] Qualquer curva elíptica sobre A satisfaz a equação a seguir: Y2 + aiXY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de A, onde X e Y são elementos do conjunto A.

[049] Se a equação a seguir for satisfeita: Φ (A) = 1 mod 3 (2) com Φ a função de Euler aplicada a A, então a função para elevar para a potência 3 e a função para elevar para a potência 1/3 são funções que podem ser computadas de modo eficiente em tempo constante quaisquer que sejam os valores nos quais os mesmos são computados. A referida característica torna possível se obter em uma determinada maneira um ponto P da curva elíptica como uma função de um parâmetro, o tempo de computação sendo independente do parâmetro ao qual a referida função determinística f é aplicada.

[050] A referida função f é subseqüentemente também denotada fa,b ou mesmo fa dependendo do tipo das equações de curva elíptica considerada.

[051] A figura 1 ilustra, em uma etapa 11, a determinação de um parâmetro u, um elemento do campo finito Fq considerado. Em seguida, a função determinística f é aplicada ao referido parâmetro em uma etapa 12 de modo a, por fim, se obter um ponto P da curva elíptica, em um modo determinístico. Todas as referidas etapas são realizadas em um anel A, que satisfaz a equação (2).

[052] As seções a seguir apresentam a aplicação das referidas características em casos particulares de equações de curva elíptica. Uma modalidade da presente invenção pode ser aplicada a uma curva elíptica do tipo de Weierstrass, quer dizer dotada da característica p com p > 3, e a curvas elípticas dotadas das características 2.

[053] Nas seções a seguir, a curva elíptica considerada é do tipo de Weierstrass sobre um campo Fq.

[054] Nesse contexto, a cardinal q do campo Galois finito considerado é igual a pn, para p um número primo diferente dos valores 2 e 3. A Equação (1) pode ser escrita de acordo com a equação de Weierstrass a seguir: Y2 = X3 + aX + b (3) onde a e b são parâmetros da curva elíptica denotada Ea,b.

[055] No campo finito A=Fq compreendendo um número q de elementos, onde q satisfaz equação (2), a função f para elevar para a potência 3 e a função para elevar para a potência 1/3 são bijeções que podem ser computadas de modo eficiente em tempo constan- te quaisquer que sejam os valores nos quais os mesmos são computados.

[056] Sob as referidas condições, as coordenadas X e Y de um ponto P da curva elíptica satisfazem as respectivas equações a seguir:

) e Y = uX + v (5) onde v = (3a - u4)/(6u) (6) onde u é um parâmetro de acordo com uma modalidade da presente invenção, u per-tencendo ao campo finito Fq*

[057] É observado que, no campo finito Fq, elevando para a potência ((2Φ (A)+1)/3) corresponde a elevação para a potência 1/3.

[058] Assim, no caso onde a curva elíptica usada para a implementação da computação criptográfica é do tipo de Weierstrass, é vantajosamente possível se obter pontos P da curva elíptica como uma função do parâmetro u, de acordo com as equações (4) e (5), em um modo determinístico com tempo constante de computação com relação ao parâmetro u.

[059] De fato, um ponto P dotado das coordenadas que satisfaz as equações (4) e (5) corresponde a um ponto único da curva elíptica de acordo com a equação (3) uma vez que a interseção da linha reta de acordo com equação (5) com a curva elíptica considerada (3) satisfaz o sistema de equações a seguir: Y2 = X3 + aX + b (7) e Y = uX + v (5)

[060] o referido sistema de equação pode ser escrito como a seguir: X3-u2X2+(a-2uv)X+b-v2 =0 (8) e Y = uX + v (6)

[061] As últimas equações podem ser adicionalmente simplificadas como a seguir:

e Y = uX + v (6)

[062] Assim, o referido sistema de equações pode finalmente ser escrito:

3 27 e Y = uX + v (6)

[063] A Equação (10) que corresponde à equação (4), é deduzida a partir da mesma que P é um ponto da curva elíptica considerada.

[064] Conseqüentemente, um ponto P cujas coordenadas X e Y satisfazem as equações (4) e (5) é um ponto da curva elíptica de acordo com a equação (3).

[065] Daqui adiante, denotamos por: - fa,b uma função que mapeia um elemento de Fq* a um ponto da curva elíptica (3); 0 pode não ser uma entrada de fa,b de outro modo uma divisão por 0 ocorreria. No entanto, uma vez que o elemento neutro do grupo de pontos da curva elíptica pode não ser obtido por fa,b, definimos 0 sob fa,b para corresponder ao elemento neutro do ponto grupo.

[066] A função fa,b é uma função determinística quando a função para elevar para a potência 3, ou outra elevação para a potência 1/3, é uma função bijectiva no campo de Galois finito considerado. Pode ser observado que o custo de aplicar a referida função fa,b sob as referidas condições corresponde aproximadamente a uma elevação a uma potência no referido campo finito Fq.

[067] De modo a decodificar a mensagem a qual foi codificada de acordo com a computação executada em uma modalidade da presente invenção, é tomada providencia no sentido de determinar um ou mais valores de parâmetro u que tornaram possível se obter um determinado ponto P da curva elíptica.

[068] Para este fim, as seções a seguir indicam como se computar a função inversa a uma função f a,b .

[069] Considerando u1 e u2 como sendo dois elementos de Fq*, cada um sendo u4 - 6u2x + 6uy - 3a = 0 (11) onde a, x e y são elementos de Fq. Considerando que b satisfaça a equação a seguir: b = y2 - x3 - ax

[070] Sob as referidas condições, a equação a seguir é então satisfeita:

[071] De fato, primeiramente, todos os três dos pontos P1 com coordenadas (x1, y1), P2 com coordenadas (x2,y2) e P com coordenadas (x,y) são pontos da curva elíptica Ea,b .

[072] Ademais, de acordo com equação (11), os pontos P e P1 são situados em uma linha reta com a equação a seguir:

[073] Agora, como demonstrado aqui acima, uma vez que q satisfaz a equação (2), a curva elíptica (3) e a linha reta (13) aqui acima cortam uma a outra em um único ponto. Assim, os pontos P e P1 correspondem a um único ponto único.

[074] Ao aplicar o mesmo raciocínio aos pontos P e P2, é da mesma forma deduzido a partir da mesma que P e P2 correspondem a um único ponto também. Conseqüentemen- te, P, P1 e P2 correspondem ao mesmo ponto da curva elíptica.

[075] Assim, existe um parâmetro u de modo que: fa,b(u) = (x, y) se e apenas se o parâmetro u é a solução de equação (11).

[076] Assim, solucionando a equação (11) se torna possível determinar um parâmetro u como uma função de que é obtido um ponto P da curva elíptica de acordo com a equação a seguir: fa,b(u) = P

[077] A equação (11) pode ser solucionada pelos algoritmos padrão tal como algoritmo de Berlekamp [Shoup, Journal of Symbolic Computation Vol 20:p363 - 397, 1995]. Em virtude da referida equação (11), é portanto possível se facilmente inverter a função fa,b de modo a recuperar o parâmetro u que corresponde a um ponto P da curva elíptica.

[078] A referida propriedade também torna possível se ligar o número de pontos al-cançados por fa,b. Considerando Im(fa,b) ser o conjunto de pontos de imagem da função fa,b. O conjunto de imagem Im(fa,b) é dotado de um cardinal menor do que q, uma vez que q é o cardinal de Fq. Ademais, a equação (11) torna possível demonstrar que para cada ponto de imagem, há um máximo de 4 antecedentes. De fato, o cardinal de Fq é no máximo igual a 4 vezes o cardinal de Im(fa,b). A desigualdade a seguir é portanto obtida: q/4 < # Im (fa,b) < q

[079] É também possível se proporcionar um resultado heurístico no cardinal de Im(fa,b). A equação (11) é uma equação de grau 4 no campo finito Fq. Em um campo finito Fq, há uma probabilidade de 2/5 de que qualquer polinómio arbitrário de grau 4 não tenha raiz. É portanto possível se considerar que 3/5 dos pontos da curva elíptica estão no conjunto dos pontos de imagem Im(fa,b) e portanto que os mesmos podem ser usados na computação criptográfica de acordo com uma modalidade da presente invenção.

[080] Em uma modalidade da presente invenção, é possível se usar curvas elípticas sobre um anel Z/qZ onde q é o produto de I números primos p1,..., pI. O teorema restante Chinese, um resultado da aritmética modular que lida com a solução de sistemas de congruências, afirma que Z/qZ é isomórfico para Z/p1Z x ... x Z/pIZ. Portanto, é equivalente se estudar as curvas elípticas sobre cada um de Z/piZ. Agora, uma vez que cada pi é um número primo, Z/piZ é de fato um campo que pode ser denotado Fpi. Ademais, na medida em que cada pi é estritamente maior do que 3, a equação de uma curva elíptica sobre Fpi é do tipo de Weierstrass.

[081] Assim as equações (4) e (5) sendo demonstradas para cada um de Fpi, as mesmas são também verdade para Fp1 x . . . x FpI = Z/qZ.

[082] Ademais, para cada um de Fpi, nós temos pi/4 < # Im (fa,b) < pi

[083] Isto portanto torna possível provar que, sobre Z/qZ, nós temos Pi/4 x... x pi/4 = q/41 < #lm( fa,b) < pi x ... x pFq

[084] Em uma modalidade da presente invenção, é também possível se usar curvas elípticas de características 2 que satisfaçam a equação a seguir: Y2 + XY = X3 + aX2 + b (15) onde a e b são elementos do campo Galois finito A = F2n.

[085] O número n pode ser um número primo ímpar de modo a limitar possíveis ataques. Aqui nós temos: 2n mod 3 = 2

[086] A função para elevar para a potência 3, e a função para elevar para a potência 1/3, é aqui também uma bijeção computável em tempo constante quaisquer que sejam os valores aos quais a mesma é aplicada no referido campo finito de Galois.

[087] Denotamos que por u e w os parâmetros que são os elementos de F2n que sa-tisfazem a equação a seguir: w = a+u2+u

[088] Os pontos P com coordenadas X e Y que satisfazem respectivamente as equações a seguir estão na curva elíptica (15):

[089] Assim, no caso onde a curva elíptica usada para a implementação de uma computação criptográfica é de característica 2, é vantajosamente possível se obter pontos P da curva elíptica como uma função do parâmetro u, de acordo com as equações (16) e (16'), em um modo determinístico.

[090] De fato, um ponto P dotado das coordenadas que satisfazem as equações (16) e (16') corresponde a um ponto único da curva elíptica de acordo com equação (15) uma vez que a interseção da linha reta de acordo com equação (16') com a curva elíptica considerada (15) satisfaz o sistema de equações a seguir: Y2 + XY = X3 + aX2 + b (15) e Y = uX + w2 (16')

[091] o referido sistema de equação pode ser escrito como a seguir: X3 + (a + u + u2)X2 + w2X + b + w4 = 0 (17) e Y = uX + w2 (16')

[092] as últimas equações podem ser adicionalmente simplificadas como a seguir: X3 + wX2 + w2X +b + w4= 0 (18) e Y = uX + w2 (16')

[093] Assim, o referido sistema de equações pode por fim ser escrito: (X + w) 3 + b + w3 + w4 = 0 (19) e Y = uX + w2 (16')

[094] A Equação (19) que corresponde à equação (16), é deduzida a partir da mesma que P é um ponto da curva elíptica considerada.

[095] Conseqüentemente, um ponto P cujas coordenadas X e Y satisfazem as equações (16) e (16') é um ponto da curva elíptica de acordo com equação (15).

[096] Como no caso das curvas elípticas do tipo de Weierstrass, aqui também é possível se ligar o número de pontos incluído na imagem Im(fa) de fa. O referido conjunto Im(fa) compreende no máximo 2n elementos uma vez que este é o número de elementos do conjunto de partida F2n.

[097] A Equação (16') pode ser escrita: 0 = Y + a + uX + u2 + u4 (17)

[098] Para um valor de u que solucione a equação acima, nós temos: fa (u) = (x, y)

[099] a Equação (17) é de grau 4. Conseqüentemente, pelo menos 4 diferentes valores do parâmetro u solucionam a referida equação. Assim, há pelo menos 2n/4 = 2n-2 pontos de imagem de fa. Há portanto pelo menos 2n-2 elementos no conjunto de pontos de imagem Im(fa) .

[0100] Em virtude das características da presente invenção, a função determinística f é tornada disponível, denotado fa,b ou fa de acordo com os tipos de curvas elípticas consi deradas, cujo conjunto de imagens é um conjunto de pontos em uma curva elíptica, o número dos referidos pontos sendo alto, uma vez que está em um mínimo igual a um quarto do número q (cardinal do campo finito considerada) no caso de curvas elípticas do tipo de Weierstrass, ou em um mínimo igual a 2n-2 no caso de curvas elípticas de características 2. A referida função determinística f é com base na característica bijetiva da função de potência 3 (e potência 1/3) no campo de Galois finito considerado ao qual a mesma é aplicada.

[0101] Daqui adiante, a função determinística tal como de acordo com uma modalidade da presente invenção é usada para a implementação da função de interferência sobre uma curva elíptica.

[0102] Ao aplicar uma função fa,b de acordo com uma modalidade da presente invenção a uma seqüência de bits resultando a partir de uma função de interferência h, a função de interferência é obtida como a seguir: fa,b (h) (18)

[0103] A referida função (18) em uma curva elíptica vantajosamente exibe as carac-terísticas a seguir: - A mesma é de uma via quando a função de interferência h é de uma via; e 1. A mesma é resistente a colisões.

[0104] A referida função encontra aplicação em numerosas computações criptográficas.

[0105] Em uma modalidade da presente invenção, se deve providenciar combinar uma função fa,b de acordo com uma modalidade da presente invenção com duas funções de interferência para se obter a função de interferência sobre uma curva elíptica que não é diferenciável a partir da função aleatória aplicada a uma curva elíptica.

[0106] Considerando duas funções aleatórias de interferência h e h'. A função de in-terferência h é aplicada no conjunto {0,1}* em direção de A. A função h' é aplicada no conjunto {0,1}* em direção do campo finito FN onde N é a ordem do grupo de pontos da curva que é usada.

[0107] Sob as referidas condições, a função a seguir é a função de interferência sobre uma curva elíptica que não é diferenciável a partir da função aleatória sobre uma curva elíptica: f.tm + h'.G (19)

[0108] A função fa,b de acordo com uma modalidade da presente invenção é usada para determinar um ponto na curva elíptica. G, um ponto de geração do grupo de pontos usado, quer dizer pontos de imagem de fa,b no contexto da implementação da presente invenção, é usada para garantir uma distribuição uniforme dos pontos determinado.

[0109] A presente invenção pode vantajosamente ser implementada em qualquer tipo de computação criptográfica usando curvas elípticas. Pode especialmente ser vantajoso dentro de protocolos de autenticação com base em senha, tal como PACE (for 'Password Authenticated Connection Establishment'). Neste caso, o mesmo permite um aprimoramento no desempenho através do uso de uma função (18), e ainda não permitindo qualquer ataque relacionado ao tempo de execução de uma computação criptográfica.

[0110] A presente invenção pode também ser vantajosamente aplicada no contexto de protocolos que respeitam a privacidade, tal como aqueles que são usados para a verificação de documentos de identidade eletrônica, tal como passaportes eletrônicos.

[0111] De fato, ao relacionar os referidos protocolos, é possível se determinar os pa-râmetros das curvas elípticas usadas, como é descrito no documento 'Why public elliptic curve parameters are public' disponível em http://www.larc.usp.br/~pbarreto/tales1.html.

[0112] Agora, os referidos parâmetros tornam possível se determinar a nacionalidade das pessoas que possuem os referidos documentos eletrônicos.

[0113] Ao se usar a função (19), que pode ser aplicável em um modo não diferenciável com a função aleatória, é possível se obter uma representação dos pontos que é independente dos parâmetros públicos da curva elíptica.

[0114] No contexto esquemas de criptografia com base em identidade, a presente invenção pode também ser vantajosamente aplicada. O esquema de criptografia de Boneh- Franklin (Dan Boneh e Matthew K. Franklin, Proceedings of the Crypto 2001 conference) é um exemplo de usar a referida construção. De fato, para ser capaz de ser usada sob condições seguras, o referido esquema necessita uma curva elíptica sobre a qual a função aleatória existe. A presente invenção proporciona uma construção a qual, com base em uma função aleatória convencional, retorna a função aleatória sobre a curva elíptica. No entanto, as curvas elípticas que são apropriadas para uma criptografia de acordo com Boneh- Franklin requerem uma função particular: uma função de acoplamento de pontos. Uma função de acoplamento é uma função ê que adota dois pontos como entrada e retorna um valor sobre um campo finito. O referido acoplamento é interessante uma vez que o mesmo é dotado de propriedades matemáticas notáveis. A equação a seguir é satisfeita: ê (cG,dG) = gcd onde g é um gerador do campo finito mapeado; onde c e d são os logaritmos distintos de cG e dG para a base G; e onde G é um gerador do grupo de pontos usado.

[0115] Os autores do esquema de Boneh-Franklin propuseram apenas um único tipo de curva elíptica para o esquema. A presente invenção torna possível se aumentar o número de curvas elípticas com o que o esquema de criptografia dos mesmos pode ser implementado. De fato, em virtude da presente invenção, o referido esquema de criptografia pode ser implementado em todas as curvas onde um acoplamento é computável de modo eficiente e onde a equação (2) seja satisfeita.

[0116] Em uma modalidade da presente invenção, é vantajosamente possível se realizar a compressão de coordenadas de pontos. De fato, a presente invenção torna possível se representar as coordenadas X e Y de um ponto P por um parâmetro u. Conseqüentemente, é possível se usar o parâmetro u para realizar a compressão uma vez que u então representa um ponto P (X,Y) com mais da metade da informação.

Claims

1. Método de executar uma computação criptográfica em um componente eletrônico, que compreende uma etapa de obtenção de pontos P em uma curva elíptica CARACTERIZADO pelo fato de que a curva elíptica satisfaz a equação a seguir: Y2 + a1XY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos, onde A é um anel dos números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, sendo I um número inteiro maior ou igual a 2, ou A é um campo finito Fq com q uma potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A, o referido método compreendendo as etapas a seguir: /a/ determinar um parâmetro (11); /b/ obter coordenadas X e Y de um ponto P (13) ao aplicar uma função (12) ao referido parâmetro; a função de Euler Φ de A satisfaz a equação: Φ (A) mod 3 = 1, a função sendo uma função inversível e determinística expressa pela fração racional em a1, a2, a3, a4 e a6 e no referido parâmetro dentro de A, e alcançando pelo menos um número q/4I de pontos P, com I igual a 1 para um campo finito Fq; /c/ usar o referido ponto P em uma criptografia criptográfica ou interferência ou assi-natura ou autenticação ou aplicativo de identificação.

2. Método de executar uma computação criptográfica, de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que A é diferente a partir de F2n, sendo a equação (1) escrita: Y2 = X3 + aX + b, e onde a = a2 e b = a6; em que a função determinística proporciona as coordenadas de um ponto da curva elíptica de acordo com as respectivas equações a seguir: 6 2

TI 3 e Y = ux + v (5) onde u é o parâmetro determinado na etapa /a/, e onde v = (3a - u4)/(6u) (6)

3. Método de executar uma computação criptográfica, de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que q satisfaz a equação: q = 2n; onde n é um número ímpar inteiro, sendo a equação (1) escrita: Y2 + XY = X3 + aX2 + b onde a = a2 e b = ae; em que a função determinística proporciona as coordenadas de um ponto da curva elíptica de acordo com as respectivas equações a seguir: X = (w4 + w3 + b)(20(A)+1)/3 + w (16) Y = uX +w2 onde u é o parâmetro determinado na etapa /a/, e onde w = a+u2+u.

4. Método de executar uma computação criptográfica, de acordo com qualquer uma das reivindicações 1 a 3, CARACTERIZADO pelo fato de que, na etapa /a/, o parâmetro é obtido ao aplicar a função de interferência.

5. Método de executar uma computação criptográfica, de acordo com a reivindicação 4, CARACTERIZADO pelo fato de que a função de interferência é de uma via.

6. Método de executar uma computação criptográfica, de acordo com o reivindicado em qualquer uma das reivindicações 1 a 5, CARACTERIZADO pelo fato de que, na etapa /a/, o parâmetro é obtido ao aplicar a primeira função de interferência h e a segunda função de interferência h', a referida computação criptográfica compreendendo a aplicação da função a seguir: f(h) + h'.G onde f é a função determinística, e onde G é um gerador de um grupo de pontos da curva elíptica.

7. Método de autenticação por pelo menos uma senha, implementando um método de executar a computação criptográfica conforme definido em qualquer uma das reivindicações 1 a 6, CARACTERIZADO pelo fato de que, na etapa /a/, o parâmetro é determinado como uma função da senha, sendo a referida senha incluída no parâmetro, e no qual uma etapa de autenticação é realizada com base do ponto P.

8. Método de criptografar um dado CARACTERIZADO pelo fato de que a referida criptografia é baseada na identidade Boneh-Franklin em uma curva elíptica admitindo uma operação de acoplamento; onde a identidade é um valor numérico identificando uma entidade, o referido método compreendendo as etapas a seguir: /a/ obter um ponto ao aplicar à identidade um método de executar uma computação criptográfica conforme definido na reivindicação 6; /b/ obter um dado criptografado ao combinar o referido ponto, os parâmetros aleatórios e o dado.

9. Método de executar uma computação criptográfica em um componente eletrônico, que compreende uma etapa de obter pontos P em uma curva elíptica CARACTERIZADO pelo fato de que a curva elíptica satisfaz a equação a seguir: Y2 + a1XY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos, onde A é um anel dos números inteiros modulares Z/qZ, onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, sendo I um número inteiro maior do que ou igual a 2, ou A é um campo finito Fq com q uma potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A, o referido método compreendendo as etapas a seguir: /a/ determinar um ponto P com coordenadas X e Y na curva elíptica; /b/ obter um parâmetro ao aplicar uma função ao ponto P; a função de Euler Φ de A que satisfaz a equação: Φ (A) mod 3 = 1, a função sendo a função inversa a uma função inversível e determinística expressa por uma fração racional em ai, a2, a3, a4 e a6 e no referido parâmetro dentro de A, e alcançando pelo menos um número q/41 de pontos P, com I igual a 1 para um campo finito Fq; /c/ usar o referido parâmetro em uma criptografia criptográfica ou interferência ou as-sinatura ou autenticação ou aplicativo de identificação.

10. Método de compressão de dados CARACTERIZADO pelo fato de que os dados a serem comprimidos correspondem respectivamente a pares de dados X e Y que correspondem às coordenadas de pontos P de uma curva elíptica que satisfaça a equação a seguir: Y2 + aiXY + a3Y = X3 + a2X2 + a4 + X + a6 (1) onde a1, a2, a3, a4 e a6 são elementos de um conjunto A de elementos, onde A é um anel dos números inteiros modulares Z/qZ onde q é um produto inteiro positivo de um número I de números primos diferentes que são estritamente maiores do que 3, I sendo um número inteiro maior do que ou igual a 2, ou A é um campo finito Fq com q uma potência de um número inteiro primo; onde X e Y são as coordenadas dos pontos P e são elementos de A, no qual etapas /a/ a /c/ do método de executar a computação criptográfica, conforme definido na reivindicação 9, são aplicadas a cada um dos referidos pares de dados, e no qual os referidos pares de dados são representados pelos parâmetros respecti- vamente obtidos na etapa /c/.

11. Dispositivo eletrônico, CARACTERIZADO por compreender meios adaptados para a implementação do método de executar uma computação criptográfica conforme definido em qualquer uma das reivindicações 1 a 6.

12. Dispositivo eletrônico, CARACTERIZADO por compreender meios adaptados para a implementação do método de executar uma computação criptográfica conforme definido na reivindicação 9.