KR20030078350A

KR20030078350A - 타원 곡선 암호에서 단위원의 ｎ-제곱근 함수를 이용한프로베니우스 전개 방법

Info

Publication number: KR20030078350A
Application number: KR1020020017347A
Authority: KR
Inventors: 박근수; 박태준
Original assignee: 박근수; 박태준
Priority date: 2002-03-29
Filing date: 2002-03-29
Publication date: 2003-10-08

Abstract

본 발명은 타원 곡선 암호 알고리즘에 관한 것으로, 특히 프로베니우스 전개를 이용하여 타원 곡선 암호에서 스칼라 곱의 속도를 향상시킬 수 있는 단위원의 n-제곱근 함수를 이용한 프로베니우스 전개 방법을 제공한다. 본 발명의 일 측면에 따르면 타원 곡선 암호에서 스칼라 곱 kP의 계산속도 향상을 위한 프로베니우스 전개 방법에 있어서, φ = a + bλ (λ는 단위원의 4-제곱근 함수) 이고 p ≡ 1 (mod 4) 일 때, (a) s₁에 k, s₂에 0, i에 0을 입력하는 단계; (b) x = {as₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산하고, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력하는 단계; (c) r₁= s₁- at₁+ bt₂와 r₂= s₂- bt₁- at₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂값을 R₂[i]로 입력하는 단계; (d) 상기 t₁및 t₂의 절대값이 2미만인지 확인하는 단계; (e) 상기 (d) 단계의 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력하여 상기 (b)단계로 복귀하는 단계; 및 (f) 상기 (d) 단계의 확인 결과 2미만인 경우 k = (R₁[i] + R₂[i]λ)φⁱ+ (R₁[i-1] + R₂[i-1]λ)φ^i-1+ … + (R₁[0] + R₂[0]λ)를 계산하고 출력하는 단계를 포함하는 것을 특징으로 하는 타원 곡선 암호에서 단위원의 4-제곱근 함수를 이용한 프로베니우스 전개 방법이 제공된다.

Description

타원 곡선 암호에서 단위원의 ｎ-제곱근 함수를 이용한 프로베니우스 전개 방법{Frobenius expansion method using n-th root of unity in Elliptic Curve Cryptosystem}

본 발명은 타원 곡선 암호(Elliptic Curve Cryptosystem) 알고리즘에 관한 것으로, 특히 프로베니우스 전개(Frobenius expansion)를 이용하여 타원 곡선 암호에서 스칼라 곱의 속도를 향상시킬 수 있는 단위원의 n-제곱근 함수를 이용한 프로베니우스 전개 방법에 관한 것이다.

공개키 암호 알고리즘인 타원 곡선 암호는 RSA(Rivest-Shamir-Adleman) 암호에 비해 작은 크기의 키(key)를 사용하면서도 RSA 암호와 동일한 안전도를 갖는다(예를 들면, 키 크기가 1024비트인 RSA 암호와 똑같은 안전성을 실현하는데 타원 곡선 암호는 키 크기가 160비트면 된다). 키 크기는 필요한 메모리 용량과 직결되는 문제이기 때문에, 키 크기가 작은 타원 곡선 암호는 IC카드, 휴대폰처럼 메모리와 계산용량이 적은 곳에서도 사용할 수 있는 장점이 있다.

타원 곡선 암호는 타원 곡선 위의 점 P를 k번 더하는 계산이 주를 이룬다. 따라서, 타원 곡선 암호를 효과적으로 사용하기 위해서는 스칼라 곱 kP의 계산속도를 향상시키는 알고리즘이 필요하다.

표수가 p인 유한체 F_q(q = p^r) 위에 정의된 타원 곡선 y²= x³+ ax + b 의 정수점들은 군 E(F_q)을 이룬다. 이 군의 원소들 사이에서는 덧셈 P + Q 와 스칼라 곱 kP이 정의되는데 타원 곡선 암호는 이를 이용한 것이다.

프로베니우스 사상 φ(x, y) = (x^q, y^q) 은 기본적인 타원 곡선 위의 사상이며 매우 간단하게 계산할 수가 있다. 여기서, 스칼라 곱을 프로베니우스 사상을 이용하여 전개하면 스칼라 곱에 드는 시간과 연산의 수를 줄일 수가 있다. 다시 말해, 정수 계수들 a_n, … , a₀에 대하여 kP = (a_nφⁿ+ a_n-1φ^n-1+ … + a₀)P 의 형태로 만들어 주는 것이다. 이 방법은 코블리츠(N. Koblitz, CM-curves with good cryptographic properties, Crypto 91, pp. 279-287, LNCS 576 1991)가 제안하였다. 이 후 뮐러(V. Muller, Fast multiplication on elliptic curves over small fields of characteristic two, Journal of Cryptology 11, pp. 219-234 1998)는 프로베니우스 전개를 표수가 짝수일 때, 스마트(N.P. Smart, Elliptic curve cryptosystems over small fields of odd characteristic, Journal of Cryptology 12 pp. 141-151 1999)는 표수가 홀수일 때 프로베니우스 전개가 가능하다는 증명을 하였다.

또, 프로베니우스 사상이 아닌 계산이 매우 간단한 특정한 사상 θ들을 찾아서 이용하려는 시도가 갈란트外(R. Gallant, R. Lambert, and S. Vanstone, Fasterpoint multiplication on elliptic curves with efficient endomorphism, Crypto 2001)에 의해 시도되었다. 이런 사상들은 일반적으로 프로베니우스 전개가 가능하지 않다. 그래서, 갈란트外는 kP를 (k₁+ k₂θ)P 의 형태로 바꾸어서 계산을 하였다. 여기서, k₁과 k₂는 k₁+ k₂θ = k 가 되는 것 중 k₁ ²+ k₂ ²이 가장 작은 것들로 선택을 한다.

프로베니우스 전개를 이용한 스칼라 곱을 할 때의 문제점은 표수가 커지면 커질수록 효율적인 계산을 위해 미리 계산해 두어야 할 것(precomputation table)들이 늘어난다는데 있다. 그렇기 때문에 상기 뮐러와 스마트는 프로베니우스 전개를 할 때, 표수가 작은 것으로 하도록 제안하고 있다. 하지만, 타원 곡선 암호의 안전성을 위해서는 표수의 크기가 커야 하므로, 뮐러와 스마트의 방법은 실용화하는데 문제점이 있다.

또한, 프로베니우스 사상은 모든 타원 곡선에 주어진 계산이 매우 간단한 사상인데, 갈란트外의 제안에는 프로베니우스 사상을 이용하지 않았다는 약점이 있다.

상기 문제점을 해결하기 위한 본 발명의 목적은 프로베니우스 전개를 이용하여 타원 곡선 암호에서 스칼라 곱의 속도를 향상시킬 수 있는 단위원의 n-제곱근 함수를 이용한 프로베니우스 전개 방법을 제공하는데 있다.

도 1은 본 발명의 일실시예에 따른 λ = i 일 때 {0, 1, -1, λ, -λ}을 나타낸 도면.

도 2는 본 발명의 제1실시예에 따른 Z[λ]와 (1 - 2λ)Z[λ]을 나타낸 도면.

도 3은 본 발명의 제1실시예에 따른 A(2)를 나타낸 도면.

도 4는 본 발명의 제1실시예에 따른 φ = n + (n + 1)λ이고 p = 2n²+ 2n + 1 일 때, 단위원의 4-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도.

도 5는 본 발명의 제1실시예에 따른 φ = a + bλ이고 p ≡ 1 (mod4) 일 때, 단위원의 4-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도.

도 6은 본 발명의 제2실시예에 따른일 때 {0, 1, -1, ρ, -ρ, ρ², -ρ²}을 나타낸 도면.

도 7은 본 발명의 제2실시예에 따른 Z[ρ]와 (2ρ - 1)Z[ρ]를 나타낸 도면.

도 8은 본 발명의 제2실시예에 따른 B(2)를 나타낸 도면.

도 9는 본 발명의 제2실시예에 따른 φ = n + (2n + 1)ρ이고 p = 3n²+ 3n + 1 일 때, 단위원의 3-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도.

도 10은 본 발명의 제2실시예에 따른 φ = a + bρ이고 p ≡ 1 (mod3) 일 때, 단위원의 3-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도.

상기 목적을 달성하기 위한 본 발명의 일 측면에 따르면 타원 곡선 암호에서 스칼라 곱 kP의 계산속도 향상을 위한 프로베니우스 전개 방법에 있어서, φ = a + bλ (λ는 단위원의 4-제곱근 함수) 이고 p ≡ 1 (mod 4) 일 때, (a) s₁에 k, s₂에 0, i에 0을 입력하는 단계; (b) x = {as₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산하고, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력하는 단계; (c) r₁= s₁- at₁+ bt₂와 r₂= s₂- bt₁- at₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂값을 R₂[i]로 입력하는 단계; (d) 상기 t₁및 t₂의 절대값이 2미만인지 확인하는 단계; (e) 상기 (d) 단계의 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력하여 상기 (b)단계로 복귀하는 단계; 및 (f) 상기 (d) 단계의 확인 결과 2미만인 경우 k = (R₁[i] + R₂[i]λ)φⁱ+ (R₁[i-1] + R₂[i-1]λ)φ^i-1+ … + (R₁[0] + R₂[0]λ)를 계산하고 출력하는 단계를 포함하는 것을 특징으로 하는 타원 곡선 암호에서 단위원의 4-제곱근 함수를 이용한 프로베니우스 전개 방법이 제공된다.

본 발명의 다른 측면에 따르면 타원 곡선 암호에서 스칼라 곱 kP의 계산속도 향상을 위한 프로베니우스 전개 방법에 있어서, φ = a + bρ (ρ는 단위원의 3-제곱근 함수) 이고 p ≡ 1 (mod 3) 일 때, (a) s₁에 k, s₂에 0, i에 0을 입력하는 단계; (b) x = {(a - b)s₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산하고, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력하는 단계; (c) r₁= s₁- at₁+ bt₂와r₂= s₂- bt₁- (a - b)t₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂값을R₂[i]로 입력하는 단계; (d) 상기 t₁및 t₂의 절대값이 2미만인지 확인하는 단계; (e) 상기 (d) 단계의 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력하여 상기 (b)단계로 복귀하는 단계; 및 (f) 상기 (d) 단계의 확인 결과 2미만인 경우 k = (R₁[i] + R₂[i]ρ)φⁱ+ (R₁[i-1] + R₂[i-1]ρ)φ^i-1+ … + (R₁[0] + R₂[0]ρ)를 계산하고 출력하는 단계를 포함하는 것을 특징으로 하는 타원 곡선 암호에서 단위원의 3-제곱근 함수를 이용한 프로베니우스 전개 방법이 제공된다.

본 발명은 타원 곡선 암호에서 기존의 프로베니우스 전개방식에 단위원의 n-제곱근을 함께 이용하여 효율적인 계산을 하고자 한다. 특정 타원 곡선에서는 프로베니우스 사상 외에 계산이 매우 간단한 사상이 존재하고, 노름(Norm)이 1인 경우가 있다. 이런 경우 수학적 이론에 의해 노름이 1인 사상은 1의 제곱근이 됨을 알 수 있고, 또 이차 복소체 위에서는 단위원의 3-제곱근과 단위원의 4-제곱근 밖에는 없다.

본 발명에서는 이 사상과 프로베니우스 사상을 같이 이용하여, 단위원의 n-제곱근을 계수로 가지는 스칼라 곱의 프로베니우스 전개 알고리즘을 제시한다. 이렇게 하면 미리 계산해야할 것(precomputation table)의 개수가 뮐러와 스마트의 방법에 비해 제곱근 개수로 줄어든다. 따라서 뮐러와 스마트가 제안한 표수의 크기보다 제곱 정도 큰 크기의 표수에 대해서도 프로베니우스 전개가 가능해진다.

본 발명은 몇 가지 수학적 이론에 근거한다.

군 E(F_q)에 정의되는 자기준동형사상(endomorphism)들의 집합 End(E)이 환(ring)을 이룬다. k 곱 (P → kP) 사상과 프로베니우스 사상 φ는 End(E)의 원소이다. End(E)은 이차 복소체 Q[φ]의 부분환이 된다. 코헨( H. Cohen, A course in computational algebraic number theory, 1996)에 의하면 계산이 매우 간단한 사상들이 존재한다는 것이다.

본 발명에서 사용하는 사상은 다음과 같다.

( 1 ) p ≡ 1 (mod4) 이고 p가 소수일 때, 유한체 F_p위에 정의된 타원 곡선을

E₁: y²= x³+ ax

이라고 하자. α를 위수(order)가 4 인 F_p의 원소라고 하자. 그러면 λ ∈ End(E₁) 이면서인 사상을 만들어 낼 수 있다. 이 사상은 계산이 매우 간단하다. 또, 추론을 통해 λ²= -1 이라는 사실을 알 수 있다. 따라서, λ는 단위원의 4-제곱근으로 간주할 수 있는 사상이다.

( 2 ) p ≡ 1 (mod3) 이고 p가 소수일 때, 유한체 F_p위에 정의된 타원 곡선을

E₂: y²= x³+ b

이라고 하자. β를 위수(order)가 3 인 F_p의 원소라고 하자. 그러면 ρ ∈ End(E₂) 이면서인 사상을 만들어 낼 수 있다. 이 사상 역시 계산이 매우 간단하다. 추론을 통해 ρ³= 1 이라는 사실을 알 수 있다. 따라서, ρ는 단위원의 3-제곱근으로 간주할 수 있는 사상이다.

이하, 첨부한 도면을 통해 본 발명을 상세히 설명한다.

도 1은 본 발명의 일실시예에 따른 λ = i 일 때 {0, 1, -1, λ, -λ}을 나타낸 도면, 도 2는 본 발명의 제1실시예에 따른 Z[λ]와 (1 - 2λ)Z[λ]을 나타낸 도면, 도 3은 본 발명의 제1실시예에 따른 A(2)를 나타낸 도면, 도 4는 본 발명의 제1실시예에 따른 φ = n + (n + 1)λ이고 p = 2n²+ 2n + 1 일 때, 단위원의 4-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도, 도 5는 본 발명의 제1실시예에 따른 φ = a + bλ이고 p ≡ 1 (mod4) 일 때, 단위원의 4-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도이다.

우선 ( 1 )번을 사용한 본 발명을 설명하겠다.

간단한 경우로 p ≡ 5 인 경우를 설명하고, 그 다음 일반적인 경우를 설명하겠다.

p ≡ 5 인 경우 프로베니우스 사상은 a값에 따라 4 가지 경우가 있다.

a = 1 인 경우 φ²- 2φ + 5 = 0,

a = 2 인 경우 φ²- 4φ + 5 = 0,

a = 3 인 경우 φ²+ 4φ + 5 = 0,

a = 4 인 경우 φ²+ 4φ + 5 = 0.

4 가지 경우 모두 φ는 Z[i]의 원소가 된다는 사실을 수학적 추론을 통해 알 수 있다. 상기 Z[i] = {a + bi : a, b ∈ Z} 이다.

[보조정리 1] 도 1과 도 2를 참조하면, s 가 Z[i]의 원소일 때, r ∈ {0, 1, -1, λ, -λ} 와 t ∈ Z[i] 가 존재하여

s = tφ + r

을 만족한다.

[증명] a = 1 일 때 φ²- 2φ + 5 = 0 이고 λ²+ 1 = 0 이므로 연립해서 계산하면 φ = 2λ + 1 또는 φ = -2λ + 1 임을 알 수 있다. 수학적 계산을 통해 둘 중에 하나를 선택할 수 있고, 여기서는 전자를 택할 수 있다. s = s₁+ s₂i 라고 하면 직접 계산을 통해

임을 알 수 있다(단,는 x의 반올림값이다). 이 값이 {0, 1, -1, λ, -λ} 중에 하나라는 것을 계산을 통해 알 수 있다.

[정리 1]

( 단,이고)

[증명] [보조정리 1]을 이용하여 전개를 한다.

일반적인 경우를 설명하자. 우선, 소수 p = 2n²+ 2n + 1 의 형태에 대해 생각해 보자.

A(1) = {0, 1, -1, λ, -λ} 이라고 정의하자. A(n)은 A(1)의 원소 중에서 중복을 허락하여 n개를 뽑아서 더한 것들의 집합이라고 정의하자. 예를 들어, n = 2 인 경우를 생각하면 도 3과 같이 A(2) = {0, 1, -1, λ, -λ, 2, -2, 2λ, -2λ, 1+λ, 1-λ, -1+λ, -1-λ}이다.

A(n)의 원소의 개수는 2n²+ 2n + 1 이다. 2n²+ 2n + 1 ≡ 1 (mod4) 이지만 모든 n에 대해 소수인 것은 아니다.

소수 p = 2n²+ 2n + 1 의 형태인 경우는 다음과 같다.

[보조정리 2 ] s 가 Z[i]의 원소일 때, r ∈ A(n) 와 t ∈ Z[i] 가 존재하여

s = tφ + r

을 만족한다.

[증명] λ 와 프로베니우스 사상과의 관계는 수학적 추론을 통해 다음 8 가지 중의 하나라는 것을 알 수 있다.

,,,.

설명을 위해 φ = n + (n + 1)λ 라고 가정하자. s = s₁+ s₂λ 를 행렬을 이용하여이라 표기하면는 다음과 같이 구할 수 있다.

우선라고 하면,로 잡는다.

로 정하면 r ∈ A(n)이 된다. 따라서 [보조정리 1]과 같은 관계가 성립함을 알 수 있다.

[정리 2]

( 단,이고)

[증명] [보조정리 2] 를 이용하여 전개를 한다.

[정리 2]를 이용하여 k 의 프로베니우스 전개를 구하는 과정은 도 4에 나타나 있다. 여기에서, r_i는 R₁[i] + R₂[i]λ 로 표시된다.

우선, s₁에 k, s₂에 0, i에 0을 입력하고(S400), x = {ns₁+ (n + 1)s₂}/p 와 y = {-(n + 1)s₁+ ns₂}/p를 계산한 후, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력(S410)한다. 그런 다음 r₁= s₁- nt₁+ (n + 1)t₂와 r₂= s₂- (n + 1)t₁- nt₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂를R₂[i]로 입력(S420)한다. 이 후, 상기 t₁및 t₂의 절대값이 2미만인지 확인(S430)하고, 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력(S450)하여 상기 S410 단계로 복귀하고, 상기 확인결과 2미만인 경우 k = (R₁[i] + R₂[i]λ)φⁱ+ (R₁[i-1] + R₂[i-1]λ)φ^i-1+ … + (R₁[0] + R₂[0]λ)를 계산하고 출력(S440)한다.

A(n)의 원소들은 a + bλ의 형태이고 -n ≤ a,b ≤ n 이므로, 미리 계산해야 할 것(precomputation table)의 크기가정도로 줄어든다. 특수한 예로 p ≡ 5 인 경우에는 -1 ≤ a,b ≤ 1 이므로, 미리 계산할 필요가 없다(즉, precomputation table을 만들 필요가 없다).

여기서, 부가적으로 알 수 있는 사실은 φ 와 λ 의 관계를 알고 있으면 φ 의 대각합(trace)를 쉽게 구해 낼 수 있으며, 하세의 정리(Hasse's theorem)에 의해 E(F_p)의 원소의 개수도 쉽게 계산해 낼 수 있다. 예를 들어, φ = n + (n + 1)λ 라고 가정하면,

φ²- 2nφ + 2n²+ 2n + 1 = 0

을 만족하므로, φ 의 대각합(trace) t 는 2n이 됨을 알 수 있다. 하세의 정리(Hasse's theorem)에 의하면 #E(F_p) = p + 1 - t 이므로, #E(F_p) = 2n²+ 2 임을 알 수 있다.

소수 p ≡ 1 (mod4) 이지만 2n²+ 2n + 1 의 형태가 아닌 경우에도 마찬가지로 할 수 있다. 이 경우에는 φ 와 λ 의 관계를 위 경우처럼 쉽게 알 수는 없으나 φ = a + bλ (a, b ∈ Z) 라는 사실은 수학적 추론에 의해 알 수 있다.

위와 마찬가지로 우선라고 하면,로 잡는다.

로 정하면(이고)이 된다. 여기서도 마찬가지로 프로베니우스 전개를 할 수 있다. 즉, 도 5에 도시된 바와 같이 φ = a + bλ 이고 p ≡ 1 (mod4) 일 때, [정리 2]를 이용하여 k 의 프로베니우스 전개를 할 수 있다.

우선, s₁에 k, s₂에 0, i에 0을 입력하고(S500), x = {as₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산한 후, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력(S510)한다. 그런 다음 r₁= s₁- at₁+ bt₂와 r₂= s₂- bt₁- at₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂를R₂[i]로 입력(S520)한다. 이 후, 상기 t₁및 t₂의 절대값이 2미만인지 확인(S530)하고, 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력(S550)하여 상기 S510 단계로 복귀하고, 상기 확인결과 2미만인 경우 k = (R₁[i] + R₂[i]λ)φⁱ+ (R₁[i-1] + R₂[i-1]λ)φ^i-1+ … + (R₁[0] + R₂[0]λ)를 계산하고 출력(S540)한다.

도 6은 본 발명의 제2실시예에 따른일 때 {0, 1, -1, ρ, -ρ, ρ², -ρ²}을 나타낸 도면, 도 7은 본 발명의 제2실시예에 따른 Z[ρ]와 (2ρ -1)Z[ρ]를 나타낸 도면, 도 8은 본 발명의 제2실시예에 따른 B(2)를 나타낸 도면, 도 9는 본 발명의 제2실시예에 따른 φ = n + (2n + 1)ρ이고 p = 3n²+ 3n + 1 일 때, 단위원의 3-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도, 도 10은 본 발명의 제2실시예에 따른 φ = a + bρ이고 p ≡ 1 (mod3) 일 때, 단위원의 3-제곱근을 이용한 프로베니우스 전개 과정을 나타낸 흐름도이다.

( 2 )번을 사용한 본 발명을 설명하겠다.

간단한 경우로 p ≡ 7 인 경우를 설명하고 그 다음 일반적인 경우를 설명하겠다.

p ≡ 7 인 경우 프로베니우스 사상은 b값에 따라 6 가지 경우가 있다.

b = 1 인 경우 φ²- 4φ + 7 = 0,

b = 2 인 경우 φ²+ φ + 7 = 0,

b = 3 인 경우 φ²+ 5φ + 7 = 0,

b = 4 인 경우 φ²- 5φ + 7 = 0,

b = 5 인 경우 φ²- φ + 7 = 0,

b = 6 인 경우 φ²- 5φ + 7 = 0.

6 가지 경우 모두 φ 는의 원소가 된다는 사실을 수학적 추론을 통해 알 수 있다.

[보조정리 3 ] 도 6와 도 7에 도시된 바와 같이, s 가의 원소일 때, r ∈ {0, 1, -1, ρ, -ρ, ρ², -ρ²} 와 가 존재하여 s = tφ + r 을 만족한다.

[증명]

로 두면 [보조정리 3]을 증명할 수 있다.

[정리 3]

( 단,이고)

[증명] [보조정리 3]을 이용하여 전개한다.

일반적인 경우를 설명하자. 우선 p = 3n²+ 3n + 1 가 소수인 경우

B(1) = {0, 1, -1, ρ, -ρ, ρ², -ρ²}

이라고 정의하자. B(n)은 B(1)의 원소 중에서 중복을 허락하여 n개를 뽑아서 더한 것들의 집합이라고 정의하자. B(n)의 원소의 개수는 도 8에 도시된 바와 같이 3n²+ 3n + 1 이다. 3n²+ 3n + 1 ≡ 1 (mod3) 이지만, 모든 n에 대해 소수인 것은 아니다.

p = 3n²+ 3n + 1 가 소수인 경우는 다음과 같다.

[보조정리 4] s 가의 원소일 때, r ∈ B(n) 과 가 존재하여 s = tφ + r 을 만족한다.

[증명] ρ 와 프로베니우스 사상과의 관계는 수학적 추론을 통해 다음 12 가지중의 하나라는 것을 알 수 있다.

,,,

,,.

계산을 통해 φ 와 ρ 의 관계를 구해낸다. 설명을 위해 φ = n + (2n + 1)ρ 라고 가정하자. s = s₁+ s₂ρ 를 행렬을 이용하여이라 표기하면는 다음과 같이 구할 수 있다.

우선라고 하면,로 잡는다.

로 정하면 r ∈ B(n)이 된다.

[정리 4 ]

( 단,이고이다. )

[증명] [보조정리 4] 이용하여 전개를 한다.

[정리 4]를 이용하여 k 의 프로베니우스 전개를 구하는 과정은 도 9에 나타나 있다. 여기에서, r_i는 R₁[i] + R₂[i]ρ 로 표시된다.

우선, s₁에 k, s₂에 0, i에 0을 입력하고(S900), x = {-(n + 1)s₁+ (2n + 1)s₂}/p 와 y = {-(2n + 1)s₁+ ns₂}/p를 계산한 후, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력(S910)한다. 그런 다음 r₁= s₁- nt₁+ (2n + 1)t₂와 r₂= s₂- (2n + 1)t₁- (n + 1)t₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂를R₂[i]로 입력(S920)한다. 이 후, 상기 t₁및 t₂의 절대값이 2미만인지 확인(S930)하고, 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력(S950)하여 상기 S910 단계로 복귀하고, 상기 확인결과 2미만인 경우 k = (R₁[i] + R₂[i]ρ)φⁱ+ (R₁[i-1] + R₂[i-1]ρ)φ^i-1+ … + (R₁[0] + R₂[0]ρ)를 계산하고 출력(S940)한다.

B(n)의 원소들은 a + bρ의 형태이고 -n ≤ a,b ≤ n 이므로, 미리 계산해야 할 것(precomputation table)의 크기가정도로 줄어든다. 특수한 경우 p ≡ 7 일 때는 미리 계산할 필요가 없다(Precomputation table을 만들 필요가 없다).

여기서, 부가적으로 알 수 있는 사실은 φ = n + (2n + 1)ρ 라고 가정하였을 때,

φ²- φ + 3n²+ 3n + 1 = 0

을 만족하므로, φ 의 대각합(trace) t 는 1이 됨을 알 수 있다. 그리고, #E(F_p) = p + 1 - t 이므로, #E(F_p) = 3n²+ 3n + 1 임을 알 수 있다.

소수 p ≡ 1 (mod3) 가 3n²+ 3n + 1 의 형태가 아닌 경우에도 마찬가지로 할 수 있다. 이 경우에는 φ 와 ρ 의 관계를 위 경우처럼 쉽게 알 수는 없으나 φ = a + bρ (a, b ∈ Z) 라는 사실은 수학적 추론에 의해 알 수 있다.

위와 마찬가지로 우선라고 하면,로 잡는다.

로 정하면(이고)이 된다. 여기서도 마찬가지로 프로베니우스 전개를 할 수 있다. 즉, 도 10에 도시된 바와 같이 φ = a + bρ 이고 p ≡ 1 (mod3) 일 때, [정리 4]를 이용하여 k 의 프로베니우스 전개를 할 수 있다.

우선, s₁에 k, s₂에 0, i에 0을 입력하고(S100), x = {(a - b)s₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산한 후, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력(S110)한다. 그런 다음 r₁= s₁- at₁+ bt₂와 r₂= s₂- bt₁- (a - b)t₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂를R₂[i]로 입력(S120)한다. 이 후, 상기 t₁및t₂의 절대값이 2미만인지 확인(S130)하고, 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력(S150)하여 상기 S110 단계로 복귀하고, 상기 확인결과 2미만인 경우 k = (R₁[i] + R₂[i]ρ)φⁱ+ (R₁[i-1] + R₂[i-1]ρ)φ^i-1+ … + (R₁[0] + R₂[0]ρ)를 계산하고 출력(S140)한다.

상술한 바와 같이 본 발명에 의하면 타원 곡선 암호에서 단위원의 n-제곱근을 계수로 가지는 스칼라 곱의 프로베니우스 전개 알고리즘을 이용함으로써, 종래의 프로베니우스 전개를 이용한 타원 곡선 알고리즘에 비해 미리 계산해야 할 것(precomputation table)의 개수가 제곱근 개수로 줄어들게 된다. 따라서, 종래의 프로베니우스 전개를 이용한 타원 곡선 알고리즘에서 제안한 표수의 크기보다 제곱 정도 큰 크기의 표수에 대해서도 프로베니우스 전개가 가능해져, 스칼라 곱의 계산속도를 향상시키면서도 높은 안전도를 갖는 타원곡선 암호를 구현할 수 있다.

Claims

타원 곡선 암호에서 스칼라 곱 kP의 계산속도 향상을 위한 프로베니우스 전개 방법에 있어서,

φ = a + bλ (λ는 단위원의 4-제곱근 함수) 이고 p ≡ 1 (mod 4) 일 때,

(a) s₁에 k, s₂에 0, i에 0을 입력하는 단계;

(b) x = {as₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산하고, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력하는 단계;

(c) r₁= s₁- at₁+ bt₂와 r₂= s₂- bt₁- at₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂값을 R₂[i]로 입력하는 단계;

(d) 상기 t₁및 t₂의 절대값이 2미만인지 확인하는 단계;

(e) 상기 (d) 단계의 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력하여 상기 (b)단계로 복귀하는 단계; 및

(f) 상기 (d) 단계의 확인 결과 2미만인 경우 k = (R₁[i] + R₂[i]λ)φⁱ+ (R₁[i-1] + R₂[i-1]λ)φ^i-1+ … + (R₁[0] + R₂[0]λ)를 계산하고 출력하는 단계를 포함하는 것을 특징으로 하는 타원 곡선 암호에서 단위원의 4-제곱근 함수를 이용한 프로베니우스 전개 방법.
타원 곡선 암호에서 스칼라 곱 kP의 계산속도 향상을 위한 프로베니우스 전개 방법에 있어서,

φ = a + bρ (ρ는 단위원의 3-제곱근 함수) 이고 p ≡ 1 (mod 3) 일 때,

(a) s₁에 k, s₂에 0, i에 0을 입력하는 단계;

(b) x = {(a - b)s₁+ bs₂}/p 와 y = {-bs₁+ as₂}/p를 계산하고, 상기 x의 반올림 값을 t₁, 상기 y의 반올림 값을 t₂로 입력하는 단계;

(c) r₁= s₁- at₁+ bt₂와 r₂= s₂- bt₁- (a - b)t₂를 계산하고, 상기 r₁값을 R₁[i], 상기 r₂값을R₂[i]로 입력하는 단계;

(d) 상기 t₁및 t₂의 절대값이 2미만인지 확인하는 단계;

(e) 상기 (d) 단계의 확인 결과 2이상일 경우 s₁에 t₁, s₂에 t₂, i에 i+1을 입력하여 상기 (b)단계로 복귀하는 단계; 및

(f) 상기 (d) 단계의 확인 결과 2미만인 경우 k = (R₁[i] + R₂[i]ρ)φⁱ+ (R₁[i-1] + R₂[i-1]ρ)φ^i-1+ … + (R₁[0] + R₂[0]ρ)를 계산하고 출력하는 단계를 포함하는 것을 특징으로 하는 타원 곡선 암호에서 단위원의 3-제곱근 함수를 이용한 프로베니우스 전개 방법.