Математические основы защиты информации. Ишмухаметов Ш.Т - 112 стр.

Спаривание Вейля-Тейта                                                 113

      Отображение Вейля представляет собой билинейное отображение

      e : E[n] ⊕ E[n] → µn ,                                         (6.76)

обладающее следующими свойствами:

   • (билинейность) e(A + B, C) = e(A, C) + e(B, C),
     e(A, B + C) = e(A, B) + e(A, C),

   • e(P, P ) = 1 для любого P ∈ E[n],

   • (невырожденность) (∃P, Q ∈ E[n]) e(P, Q) ̸= 1,

   • (вычислимость) e(X, Y ) может быть эффективно вычислено.

      Если степень вложения k принимает небольшие значения (до
k = 6), то для поиска ключа шифрования вместо решения задачи ДЛЭК
можно решать более легкую задачу вычисления дискретного логарифма
в конечном поле размерности q k . Таким образом, эллиптические кривые,
допускающие вложение в конечные поля с небольшой степенью k , не могут
быть использованы в криптографии. Таковыми, например, являются все
суперсингулярные кривые, имеющие степень вложения k ∈ {1, 2, 3, 4, 5, 6}.
      Кривая E     = EC(GFpr ) называется суперсингулярной, если ее
мощность #E = pr + 1 − t, и p | t.
      Примером суперсингулярной кривой может служить кривая E : y 2 =
x3 + 1 (mod p), если характеристика поля p ≡ 2 (mod3), тогда E содержит
p + 1 элемент, t = 0 и E имеет степень вложения, равную 2.
      Способ вычисления дискретного логарифма на ЭК, использующий
сведение Вейля, получил называние MOV-атаки (MOV-attack) по заглавным
буквам фамилий изобретателей
      Многие протоколы, использующие шифрование и электронные
цифровые подписи на эллиптических кривых, специально запрещают
использование суперсингулярных кривых. Таким образом, суперсингулярные
кривые были изъяты из криптографии.
      Однако в 2002 году А.Джоукс [22] нашел неожиданное применение
спариванию    Вейля    и   суперсингулярным    кривым    для   построения