DE10329885A1

DE10329885A1 - Verfahren zur Konstruktion elliptischer Kurven über endlichen Körpern

Info

Publication number: DE10329885A1
Application number: DE2003129885
Authority: DE
Inventors: Reinhard Prof. Dr. Schertz; Andreas Dr. Enge; Michael Prof. Dr. Pohst
Original assignee: Universitaet Augsburg
Current assignee: Universitaet Augsburg
Priority date: 2003-07-02
Filing date: 2003-07-02
Publication date: 2005-01-27
Anticipated expiration: 2023-07-03
Also published as: DE10329885B4; DE112004001634D2; WO2005004383A3; WO2005004383A2

Abstract

Die Erfindung betrifft ein Verfahren zur Konstruktion elliptischer Kurven E über endlichen Körpern, ausgehend von der Gleichung M = P + 1 + x (mit DOLLAR I1 2(P)·1/2·; P ist eine Primzahlpotenz und E ist eine elliptische Kurve über dem Körper F¶P¶ mit P Elementen), entsprechend 4P = x·2· + y·2· DOLLAR I2 (mit y epsilon N und der Diskriminante D = f·2·D¶0¶ der Ordnung im Führer f im imaginär-quadratischen Zahlkörper K der Diskriminante D¶0¶), unter Nutzung von Modulfunktionen g zum Gewinnen von Zugang zu großen Diskriminantenbeträgen DOLLAR I3. Erfindungsgemäß ist vorgesehen, dass die Modulfunktionen g die Eigenschaft aufweisen, dass der Grad von g(alpha) ein echter Teiler von h (h ist die Idealklassenzahl der Ordnung von K zur Diskriminante D) ist und die Koeffizienten der zugeordneten Minimalpolynome klein sind.

Description

Die vorliegende Erfindung liegt allgemein auf dem Gebiet sicherer Informations- bzw. Datenübertragung. Insbesondere betrifft die vorliegende Erfindung Kryptographie-Verfahren im Public-Key-Bereich in Gestalt von Algorithmen auf Basis von ECC (Elliptic Curve Cryptography)

Kryptographie nutzt zur Verschlüsselung und Entschlüsselung von Information bzw. Daten einen Kryptographie-Schlüssel. Symmetrische Verschlüsselungsverfahren nutzen auf der Sender- und der Empfängerseite denselben Schlüssel, der deshalb über einen hinreichend sicheren Kanal übertragen werden muss. Das symmetrische Verfahren bedingt, dass für jede mögliche Kombination von Kommunikationspartnern ein separater Schlüssel erzeugt und verwaltet werden muss. In einem Netz mit einer großen Anzahl von Teilnehmern ist diese Prozedur problematisch, weil die Anzahl der Schlüssel quadratisch wächst. Eine Abhilfe dieses Problems stellen sogenannte asymmmetrische Verfahren bzw. Public-Key-Verfahren dar. Bei diesen Algorithmen wird der eigentliche Schlüssel eines Benutzers in zwei Teile aufgespalten, in den öffentlichen Schlüssel (public key), der möglichst allgemein bekannt sein sollte, und in den geheimen Schlüssel (private key), der nur dem rechtmäßigen Besitzer bekannt ist. Beide Schlüsselbestandteile hängen üblicherweise über eine mathematische Beziehung zusammen, die in einer Richtung leicht auswertbar, in der anderen Richtung praktisch jedoch nicht berechenbar ist. Es muss nämlich vermieden werden, dass der private Teil des Schlüssels aus dem Public Key berechnet werden kann. Der Vorteil der asymmetrischen Verfahren ist, dass anstelle eines Schlüssels pro möglicher Verbindung, der bei dem symmetrischen Verfahren benötigt wird, pro Benutzer nur noch ein Schlüsselpaar erforderlich ist. Hierdurch wird die Anzahl von Schlüsselpaaren drastisch reduziert. Der bekannteste Vertreter asymmetrischer Verfahren ist der nach seinen Entdeckern Ron Rivest, Adi Shamir und Leonard Adleman benannte RSA-Algorithmus. Das zugrunde liegende mathematische Problem bei diesem Verfahren ist die Faktorisierung von zusammengesetzten Zahlen So ist aus zwei gegebenen Primzahlen p und q deren Produkt n = p·q leicht zu berechnen; die Umkehrung dieser Prozedur, d. h. die Berechnung von p und q bei gegebenem n, ist jedoch ungleich schwieriger. Um im Fall des RSA-Algorithmus tatsächlich Sicherheit zu gewährleisten, müssen die Werte von p und q im Bereich von jeweils 150 Dezimalstellen Länge gewählt werden. Der Wert von n liegt damit in der Größenordnung von 300 Dezimalstellen, was 1.024 Bit entspricht. Um mit dem RSA-Algorithmus die notwendige Sicherheit zu erzielen, werden größere Ressourcen benötigt (Rechenaufwand, Speicherplatz, Bandbreite usw.).

Eine Alternative zum RSA-Algorithmus stellt Kryptographie auf der Grundlage elliptischer Kurven dar. Dieses Verfahren wird auch als ECC (Elliptic Curve Cryptography) bezeichnet. Diese Verfahren sind dadurch gekennzeichnet, dass die zur Verschlüsselung und Entschlüsselung notwendigen Berechnungen nicht direkt mit Zahlen, sondern mit Punkten auf sogenannten elliptischen Kurven durchgeführt werden. Dadurch, dass in der damit zugrunde liegenden mathematischen Struktur einem potentiellen Angreifer bestimmte Angriffsmethoden nicht zur Verfügung stehen, lassen sich die verwendeten Schlüssel- und Parameterlängen ohne Sicherheitseinbuße deutlich verringern. Dies macht die Algorithmen besonders interessant für einen Einsatz innerhalb von Umgebungen mit beschränkten Rechen- oder Speicherkapazitäten, wie beispielsweise Smartcards.

In der Punktgruppe elliptischer Kurven lässt sich ein Gruppengesetz formulieren, welches es ermöglicht, dass man mit diesen Objekten im Prinzip wie mit normalen Zahlen rechnen kann. Für die auf einem Computer zur Verschlüsselung und Entschlüsselung durchzuführenden Berechnungen wird ein Punkt auf solch einer Kurve durch zwei Werte, die x- und y-Koordinate des Punktes, dargestellt. Die Länge dieser Zahlenwerte hängt von der gewünschten Sicherheit ab. Orientiert man sich dabei beispielsweise an der Sicherheit eines 1024-Bit-RSA-Schlüssels, so sind diese Parameter im Bereich von 160 Bits zu wählen. Diese deutlich kleineren Zahlen sind auch der Grund für den sich einstellenden Leistungsgewinn. Auch wenn die durchzuführenden Berechnungen im Fall elliptischer Kurven etwas komplizierter sind als beim Einsatz von RSA-Algorithmen, zeichnet sich ECC durch deutlich kürzere Rechenzeit als RSA aus. Verfahren auf der Grundlage von ECC bzw. elliptischen Kurven über endlichen Körpern sind also RSA-Verfahren deutlich überlegen und kommen zunehmend in "Embedded Systems" und anderen Umgebungen zum Einsatz, in denen die Ressourcen beschränkt sind, wie etwa bei Chipkarten und in der Mobiltelefonie.

Es besteht aktuell Bedarf an einem Verfahren, kryptographisch geeignete elliptische Kurven schnell zu erzeugen. Der Einsatz mehrerer unterschiedlicher elliptischer Kurven führt dabei zu erhöhter Sicherheit der Kryptosysteme, weil für den Fall, dass sich eine bestimmte elliptische Kurve als unsicher herausstellen sollte, nur diejenigen betroffen sind, die mit dieser speziellen Kurve arbeiten. Gerade in diesem Zusammenhang ist der Aspekt eines schnellen Ablaufs des Verfahrens zur Bestimmung geeigneter elliptischer Kurven von entscheidender Bedeutung. Dieses Ziel soll durch die vorliegende Erfindung erreicht werden.

Ein weiteres Einsatzgebiet elliptischer Kurven betrifft Protokolle zur identitätsbasierten Kryptographie, die auf den Tate- und Weil-Paarungen elliptischer Kurven basieren. Geeignete Kurven lassen sich im wesentlichen nur mit CM-Verfahren (CM steht für "komplexe Multiplikation, der Theorie der singulären Werte von elliptischen Funktionen und Modulfunktionen) bestimmen. Schließlich besteht ein Einsatzgebiet elliptischer Kurven in Primzahltests.

Im folgenden soll näher auf den Stand der Technik bezüglich elliptischer Kurven über endlichen Körpern eingegangen werden. Seien P eine Primzahlpotenz und E eine elliptische Kurve über dem Körper F_P mit P Elementen. Dann ist die Anzahl M der Punkte auf der Kurve von der Form M = P + 1 + x mit |x| ≤ 2√P. (1)

Es gibt eine Darstellung der Form 4P = x2 + y2|D| (2)mit y ∈ N und der Diskriminante D = f²D₀ der Ordnung zum Führer f im imaginär-quadratischen Zahlkörper K der Diskriminante D₀.

Der Schlüssel zur Konstruktion aller gewöhnlichen elliptischen Kurven über endlichen Körpern ist die j-Invariante der Ordnung zur Diskriminante D,

Sie ist Nullstelle der sog. Klassengleichung

in der [A,B,C] ein Vertretersystem von Klassen primitiver quadratischer Formen der Diskriminante D durchläuft. Die Klassengleichung hat Koeffizienten in Z und zerfällt im vorliegenden Fall in F_P[X] in ein Produkt von Linearfaktoren,

wobei h die Idealklassenzahl der Ordnung von K zur Diskriminante D bezeichnet. Die hierin auftretenden Elemente j_v ∈ F_P sind dann j-Invarianten elliptischer Kurven über F_P, deren Elementzahl gegebenenfalls nach einem einfachen quadratischen Twist gleich M ist.

Das Problem, das diesen Zugang bei großen Diskriminantenbeträgen |D| völlig unpraktikabel macht, ist die Tatsache, dass die Koeffizienten von J_D(X) astronomisch groß sind. Die bisherigen Methoden bewältigen dieses Problem durch die Verwendung geeigneter Modulfunktionen g höherer Stufe mit der Eigenschaft, dass j eine rationale Funktion von g ist, j = R(g).

Der sogenannte singuläre Wert g(α) ist bei den bisher verwendeten Funktionen ganz algebraisch von einem

Die Konjugierten von g(α) liefern in den Fällen, in denen sie bekannt sind, explizit die Minimalgleichung m_g(α)(X) von g(α) über Q, die in der Regel wesentlich kleinere Koeffizienten hat als die Klassengleichung. In einem Erweiterungskörper von F_P zerfällt dann m_g(α)(X) in ein Produkt von Linearfaktoren X – g_v, und aus den Nullstellen g_v gewinnt man dann vermöge j_v = R(g_v) die gesuchten j-Invarianten elliptischer Kurven über F_P.

Die vorstehenden Verfahren sind jedoch mit den folgenden drei Problemen behaftet:

a) Bei allen bisherigen Verfahren ist der Grad von g(α) im günstigsten Fall gleich h, in der Regel aber ein ganzzahliges Vielfaches von h. Hierzu ist zunächst festzustellen, dass mit dem Grad von g(α) das Faktorisierungsproblem aufwendiger wird. Weiterhin wächst mit dem Grad auch die Größe der Koeffizienten, was wiederum eine höhere Fließkommagenauigkeit bei der Berechnung von m_g(α) erfordert. Insbesondere, wenn M prim ist, was für einige Anwendungen von Vorteil ist, liefern alle bekannten Funktionen bei ungeradem P Polynome, deren Grad höher als h ist oder die sehr große Koeffizienten haben. Die bisherigen Verfahren zur Bestimmung elliptischer Kurven sind also durch eine verlängerte Rechenzeit gekennzeichnet.
b) Wenn g(α) nicht in dem von j(α) erzeugten Körper liegt (Grad g(α) > h), zerfällt m_g(α)(X) erst über einer endlichen Erweiterung von F_P in Linearfaktoren, wodurch eine Verlängerung der Rechenzeit entsteht.
c) Für die Berechnung der Konjugierten ist nur in wenigen Fällen, wie etwa für die Weber-Funktionen, ein effizientes Verfahren vorhanden.

Eine Aufgabe der vorliegenden Erfindung besteht deshalb darin, ein Verfahren zur beschleunigten Konstruktion elliptischer Kurven über endlichen Körpern zu schaffen.

Gelöst wird diese Aufgabe durch die Merkmale des Anspruchs 1. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen angegeben.

Demnach sieht die Erfindung zur Konstruktion elliptischer Kurven über endlichen Körpern vor, dass die Modulfunktionen g die Eigenschaften aufweisen, dass der Grad von g(α) ein echter Teiler von h (h ist die Ordnung der Idealklassengruppe der Ordnung von K zur Diskriminante D) ist und die Koeffizienten der zugeordneten Minimalpolynome klein sind. Der erfindungsgemäße Lösungsansatz erlaubt also die Konstruktion neuer Funktionen g derart, dass die vorstehend unter a) und b) beschriebenen Rechenzeiten deutlich verkürzt werden.

Der erfindungsgemäße Lösungsansatz beinhaltet auch die Bereitstellung einer effektiven Technik zur Berechnung der Konjugierten der später definierten singulären Werte

als Elemente des Ringklassenkörpers modulo f.

Die erfindungsgemäße Lösung der Aufgabe ist im folgenden unter Darstellung sämtlicher Rechenschritte, ausgehend vom Stand der Technik, näher erläutert.
Mit Hilfe der η-Funktion
werden Quotienten der Form
mit einer natürlichen Zahl p und hiermit die für die Lösung der Aufgabe benutzten Funktionen
mit zwei natürlichen Zahlen p,q definiert. Die so definierten Funktionen haben einmal den Vorteil kleiner w-Entwicklungskoeffizienten, was sich in der Kleinheit der Koeffizienten der Minimalgleichungen ihrer singulären Werte auswirkt. Zum anderen wird durch die zweifache Quotientenbildung erreicht, dass der Grad dieser Minimalgleichungen unterhalb der Klassenzahl h liegt. Dieses Verfahren kann man natürlich fortsetzen, etwa durch
mit drei natürlichen Zahlen p,q,r. Analog definiert man mit endlich vielen natürlichen Zahlen p₁,...,p_n rekursiv
(Anstelle der Quotientenbildung in (pqr) und (∞) kann man auch mit dem Produkt der Funktionen fortfahren. Der Vorteil bei der Quotientenbildung besteht in der Tatsache, dass die definierten Funktionen dann nicht von der Reihenfolge der Zahlen p, q und r bzw. p₁,...,p_n abhängen.)
Anwendung von (pq) zur Lösung von a):
Es wird angenommen, dass p und q zwei zum Führer f teilerfremde ungerade Primzahlen sind, die in K verzweigt oder zerlegt sind. Es seien weiter p bzw. q über p bzw. q gelegene Primideale der Maximalordnung, so dass p zu q, dem zu q konjugierten Ideal, teilerfremd ist. Dann kann man B* so wählen, dass das zu pq gehörige Ideal der Ordnung zum Führer f gegeben ist durch
Wenn weiter noch (p – 1)(q – 1) ≡ 0 (mod 24)ist, so ist ε_pq(α) nach [5] ganz algebraisch vom Grad ≤ h. Um einen Grad zu erhalten, der echt kleiner als h ist, wird weiter vorausgesetzt, dass p und q verschieden und in K verzweigt sind, d. h. die Diskriminante D₀ von der Form D0 = –pqm, m ∈ N,ist, und dass (pq)_f kein Hauptideal ist. Wie in [3] gezeigt, ist dann ε_pq(α) ganz algebraisch vom Grad
Das Minimalpolynom von ε_pq(α) über K hat Koeffizienten in Z und zerfällt über F_P in Linearfaktoren X – (ε_pq)_v. Um hieraus die gesuchten j-Invarianten elliptischer Kurven über F_P zu bestimmen. verwendet man die zwischen ε_pq und j bestehende Modulargleichung (vgl. [1,2]) Φ(εpq,j) = 0vom Grad
Einsetzen von (ε_pq)_v in die Gleichung Φ = 0 liefert dann eine algebraische Gleichung für die gesuchten j_v vom Grade
mit Hilfe derer man die j_v leicht bestimmen kann.
Anwendung von (pqr) und (∞) zur Lösung von a):
Die Anwendung der Funktionen (pqr) und (∞) erfolgt ganz analog. Für (pqr) betrachtet man Diskriminanten D₀ von der Form D0 = –pqrm, m ∈ N,mit drei verschiedenen zu f teilerfremden ungeraden Primzahlen p,q,r mit darüber liegenden Primidealen p,q,r. Dann ist das zu pqr gehörige Ideal der Ordnung zum Führer f gegeben durch (pqr)f = Zpqr + Zαmit B* = D. Unter der Voraussetzung (p – 1)(q – 1)(r – 1) ≡ 0 mod 3
Natürlich kann man das Verfahren auf beliebig viele paarweise verschiedene ungerade Primzahlen p₁,...,p_n analog verallgemeinern und erhält so unter der Voraussetzung (p1 – 1)·...·(pn – 1) ≡ 0 mod 3einen singulären Wert
vom Grad
Durch Faktorisieren seiner Minimalgleichung gewinnt man dann über eine entsprechende Modulargleichung die gesuchten Invarianten elliptischer Kurven über F_P.
Angabe eines effizienten Verfahrens zur Berechnung der Konjugierten für die singulären Werte der Funktionen
zur Lösung des vorstehend genannten Problems c):
Die betrachteten singulären Werte von ε_pq (und ε_pqr sowie der verallgemeinerten Funktionen) liegen in Ω_f, dem Ringklassenkörper modulo f von K. Zur Bestimmung der Konjugierten müssen daher die Bilder von ε_pq(α) unter den verschiedenen Automorphismen von Ω_f/K berechnet werden. Setzt man N = pq (bzw. N = pqr bzw. N = p₁...p_n), so sind diese Bilder nach dem Theorem 4 in [4] gegeben durch
wobei die F_i ≔ [A_i,B_i,C_i] ein sogenanntes N-System durchlaufen. Hierbei handelt es sich um ein Vertretersystem quadratischer Formen der Diskriminante D, das die Bedingungen ggT(Ai,N) = 1, Ai > 0, Bi ≡ B* (mod 2N)erfüllt. Ein solches Vertretersystem gewinnt man leicht aus einem reduzierten System quadratischer Formen der Diskriminante D, wenn man die Vertreter in geeigneter Weise (vgl. [4]) durch Stürzen und Translatieren verändert.
Man betrachte nun die über p und q gelegenen eigentlichen Ideale p, q der Ordnung zum Führer f, wähle dann eine zur Idealklasse von pq gehörige quadratische Form F und bezeichne mit ≡ die übliche Aquivalenz quadratischer Formen. Die Berechnung der Konjugierten wird dann dadurch weiter vereinfacht, dass für F_i ≡ F –1 / jF die zugehörigen singulären Werte zueinander konjugiert-komplex sind, so dass es genügt, einen der zugehörigen singulären Werte zu berechnen. Ein entsprechendes Ergebnis gilt für (pqr) und (∞).
Wenn p und q in K verzweigt sind, liegt, wie bemerkt, der singuläre Wert ε_pq(α) genauer in dem zu pq im Sinne der Klassenkörpertheorie gehörigen Teilkörper L von Ω_f vom Relativgrad [Ω_f : L] = 2, so dass es genügt, die Wirkung der Automorphismen von L/K auf ε_pq(α) zu berechnen. Dazu bestimme man in dem pq-System ein Vertretersystem bezüglich der Äquivalenzrelation Fi ~ Fj: ⇔ (Fi ≡ Fj ∨ Fi ≡ FjF).
Die mit einem solchen Vertretersystem gebildeten Konjugierten sind dann die Bilder von ε_pq(α) unter den verschiedenen Automorphismen von L/K. Weiterhin erhält man in diesem Fall für F_i ≡ F –1 / j zueinander konjugiert-komplexe singuläre Werte.
Für die Funktionen vom Typ (pqr) benutze man entsprechend ein Vertretersystem bzgl: Fi ~ Fj: ⇔ (Fi ≡ Fj ∨ Fi ≡ FjF ∨ Fi ≡ FjG ∨ Fi ≡ FjFG),wobei F und G quadratische Formen bedeuten, die, wie oben beschrieben, mit den über pq bzw. pr gelegenen primitiven Idealen der Ordnung zum Führer f zusammenhängen.
Für (∞) wird das Verfahren analog fortgesetzt.
Im folgenden werden Anwendungsbeispiele für das erfindungsgemäße Verfahren dargestellt.
1. Anwendungsbeispiel zur Berechnung des Minimalpolynoms mittels eines N-Systems.
Als Diskriminante wird D = D₀ = –2555 = –5·7·73 gewählt. Die Klassenzahl beträgt h = 12, ein Vertretersystem reduzierter quadratischer Formen ist wie folgt gegeben:
F₁ = [1,1,639]
F₂ = [3,1,213]
F₃ = [3,–1,213]
F₄ = [5,5,129]
F₅ = [7,7,93]
F₆ = [9,1,71]
F₇ = [9,–1,71]
F₈ = [15,5,43]
F₉ = [15,–5,43]
F₁₀ = [21,7,31]
F₁₁ = [21,–7,31]
F₁₂ = [27,19,27]
Wir wählen p₁ = 5 und p₂ = 7, die die Bedingung erfüllen, dass (p₁ – 1)(p₂ – 1) durch 24 teilbar ist; also N = 35. Eine Form oberhalb von 35 ist durch [35,–35,27] gegeben, dessen äquivalenter reduzierter Vertreter F = [27,19,27] ist. Äguivalenz von Formen ist im Folgenden durch das Symbol ≡ gekennzeichnet.
Falls F_i ambig ist, also F_i = F –1 / j, ist die zugehörige Konjugierte reell, und dieselbe Konjugierte wird mit F_j(i) ≡ FF_i erhalten. Im Beispiel erhält man als (F_i,F_j(i)) die Paare (F₁,F₁₂) und (F₄,F₅).
Falls F_i ≡ F –1 / j, ist die zugehörige Konjugierte ebenfalls reell, und dieselbe Konjugierte wird für F_j(i) ≡ F –1 / j erhalten. Im Beispiel treten keine solchen Paare auf.
Andernfalls ist die zugehörige Konjugierte komplex. Dieselbe Konjugierte wird für F_j(i) ≡ FF_i erhalten. Die zu F_k(i) ≡ F –1 / j und zu F_l(i) ≡ F –1 / j gehörenden Konjugierten sind identisch und zu den beiden vorgenannten komplex-konjugiert. Im Beispiel werden für (F_i,F_j(i),F_k(i),F_l(i)) die Quadrupel von Formen (F₂,F₆,F₃,F₇) und (F₈,F₁₀,F₉,F₁₁) erhalten.
Aus jedem dieser Tupel bzw. Quadrupel wird je eine Form gewählt, etwa F₁, F₄, F₂ und F₈. Zu den gewählten F_i bestimmt man äquivalente Formen F ' / i, deren erster Eintrag zu 35 teilerfremd und deren zweiter Eintrag kongruent zu B* ≡ 35 modulo 70 ist. Im Beispiel erhält man F ' / 1 = [1,–35,945], F ' / 4 = [129,–1295,3255], F ' / 2 = [3,–35,315] und F ' / 8 = [43,–1295,9765].
Der zu einer Form F ' / i = [A_i,B_i,C_i] gehörige singuläre Wert wird durch Auswerten der Funktion
mit dem Argument
berechnet. Im Beispiel erhält man (mit jeweils 4 signifikanten Dezimalstellen) die reellen Konjugierten g(α₁) = –92.44 und g(α₄) = 0.01082 und die komplexen Konjugierten g(α₂) = 3.360 + 3.438I und g(α₈) = –0.1454 – 0.1488I.
Multiplizieren aller X – g(α_i) für die reellen g(α_i) und
für die komplexen g(α_i), wobei
die komplexe Konjugation bezeichnet, und Runden der erhaltenen Koeffizienten auf ganzrationale Zahlen liefert das Minimalpolynom X6 + 86X5 – 574X4 + 1972X3 + 574X2 + 86X – 1.
Der konventionelle Ansatz mit Hilfe der Weber-Funktion berechnet das folgende Klassenpolynom zur (nicht fundamentalen) Diskriminante 4D = –10220 mit Klassenzahl 3h = 36:
Der größte Koeffizient dieses Polynomes hat 10 Dezimalziffern anstelle von 4 im Falle unseres Ansatzes. Zur Konstruktion einer zugehörigen elliptischen kurve mittels der Weber-Funktion muss eine Nullstelle dieses Polynomes, dessen Grad sechsmal so hoch ist wie in unserem Verfahren, über einer Körpererweiterung von F_P vom Grad 3 anstelle von F_P selbst bestimmt werden.
2. Anwendungsbeispiel zur Bestimmung einer elliptischen Kurve von Primzahlordnung über einem endlichen Körper von kryptographisch sicherer Kardinalität.
Man wählt die Diskriminante D = D₀ = –1170195 = –3·5·13·17·353 mit h = 208, p₁ = 3 und p₂ = 13. Man findet, dass für
die Gleichung 4P = x² + 1170195y² mit ganzen Zahlen lösbar ist und zu einer elliptischen Kurve über F_P führt, deren Kardinalität durch die Primzahl
gegeben ist.
Die folgenden Laufzeiten wurden auf einem Pentium III mit 700 MHz gemessen.
In unserem Verfahren genügt es, mit einer Genauigkeit von 84 Dezimalstellen zu rechnen, um ein Minimalpolynom zu erhalten, dessen größter Koeffizient 79 Dezimalstellen hat; die Laufzeit dieses Schrittes beträgt 0.3 s. Die Nullstelle
dieses Polynomes vom Grad 104 über dem endlichen Körper F_P wird in 6.1 s berechnet.
Die Modulgleichung Φ(ε_3,13,j) = 0 ist durch folgenden Ausdruck für Φ(X,j) definiert:
Einsetzen von (ε_3,13)₁ für X liefert eine quadratische Gleichung für j, deren zwei Nullstellen in F_P,
in 0.01 s bestimmt werden und zwei mögliche j-Invarianten darstellen. Aus der j-Invariante j₁ wird die elliptische Kurve Y² = X³ + aX + b mit
berechnet, die die gesuchte Kardinalität hat.
Im üblichen Verfahren mittels der Weber-Funktionen verwenden wir eine Rechengenauigkeit von 650 Dezimalstellen, um ein Minimalpolynom zu erhalten, dessen größter Koeffizient 643 Dezimalstellen hat. Die Laufzeit hierfür beträgt 14 s. Die anschließende Bestimmung einer Nullstelle dieses Polynomes vom Grad 624 über dem Körper
und derselben Kurve wie oben dauert 382 s.
In diesem Fall mit kryptographisch relevanten Parametern ist demnach das erfindungsgemäße Verfahren um mehr als den Faktor 60 schneller als das bisherige Verfahren.

Claims

Verfahren zur Konstruktion elliptischer Kurven E über endlichen Körpern, ausgehend von der Gleichung M = P + 1 + x (mit |x| ≤ 2√P; P ist eine Primzahlpotenz und E ist eine elliptische Kurve über dem Körper F_P mit P Elementen), entsprechend 4P = x² + y²|D| (mit y ∈ N und der Diskriminante D = f²D₀ der Ordnung zum Führer f im imaginärquadratischen Zahlkörper K der Diskriminante D₀), unter Nutzung von Modulfunktionen g zum Gewinnen von Zugang zu großen Diskriminantenbeträgen |D|, dadurch gekennzeichnet. dass die Modulfunktionen g die Eigenschaft aufweisen, dass der Grad von g(α) ein echter Teiler von h (h ist die Idealklassenzahl der Ordnung von K zur Diskriminante D) ist und die Koeffizienten der zugeordneten Minimalpolynome klein sind.
Verfahren nach Anspruch 1, dadurch gekennzeichnet. dass mit Hilfe der η-Funktion
mit endlich vielen natürlichen Zahlen p₁,...,p_n durch folgende Rekursion
gewonnene Funktionen
herangezogen werden.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die Konjugierten der singulären Werte von
unter den Automorphismen eines Teilkörpers L des Ringlassenkörpers Ω_f/K als
bestimmt werden, wobei die F_i ≔ [A_i,B_i,C_i] quadratische Formen in einem sogenannten N-System durchlaufen.
Asymmetrisches Kryptographieverfahren auf der Basis elliptischer Kurven (ECC-Verfahren) unter Nutzung des Verfahrens nach einem der Ansprüche 1 bis 3 zur Konstruktion elliptischer Kurven über endlichen Körpern.
Kryptographieverfahren nach Anspruch 4, dadurch gekennzeichnet, dass es identitätsbasierend oder basierend auf Paarungen eingesetzt wird.
Verfahren zum Testen von Primzahlen unter Nutzung des Verfahrens nach einem der Ansprüche 1 bis 3 zur Konstruktion elliptischer Kurven über endlichen Körpern.