20、基于库默尔曲面密码系统的零值点攻击

基于库默尔曲面密码系统的零值点攻击

1. 引言

椭圆曲线密码系统（ECC）因密钥短，在内存受限设备的加密应用中比其他公钥变体更具优势。超椭圆曲线密码系统（HECC）是ECC的推广，其基于超椭圆曲线雅可比簇实现离散对数加密算法和协议。超椭圆曲线代数结构丰富，在较小域上就能实现与椭圆曲线相同的安全级别。在加密应用中，标量乘法至关重要，其计算效率决定了ECC或HECC的性能。

对于属为2的超椭圆曲线，存在从雅可比簇到库默尔曲面的映射，该映射虽不是群同态，但赋予了库默尔曲面伪群结构，可借助蒙哥马利阶梯定义标量乘法，从而实现基于库默尔曲面的密码系统。

然而，由于密钥短和运算快，ECC、HECC和基于库默尔曲面的密码系统易受侧信道攻击，尤其是功耗分析。侧信道攻击通过分析设备的瞬时功耗来获取存储的秘密信息，功耗分析从时序攻击、简单功耗分析（SPA）发展到差分功耗分析（DPA）和零值点攻击（ZVP）等。

2. 库默尔曲面上的标量乘法

设曲线(C: y^2 + h(x)y = f(x))是定义在域(F)上的属为2的曲线，(J)是(C)的雅可比簇，与之关联的(P^3)中的超曲面(K)称为库默尔曲面。

若(char(F) \neq 2)，曲线(C)有简化形式(C: y^2 = f(x))；若(char(F) = 2)，一般形式可简化。基于代数(\theta)函数理论，有库默尔曲面算术的公式。

给定属为2的曲线(C)，通过映射(J(C) \to K)得到库默尔曲面，该映射将雅可比簇中的两个相反点（除2 - 挠点外）映射到库默尔曲面上的一个点。借助蒙哥马利阶梯，可在库默尔曲面上定义标量乘法，且库默尔曲面上的离散对数问题与对