24、扭曲爱德华兹形式椭圆曲线上的配对计算

扭曲爱德华兹形式椭圆曲线上的配对计算

1. 引言

曲线配对在密码学协议中有着广泛的应用，如一轮三方密钥交换、基于身份的加密等。为了实现这些协议，拥有配对友好的曲线和高效的配对算法至关重要。目前，所有的配对算法都使用更为人熟知的魏尔斯特拉斯（Weierstraß）形式的椭圆曲线。

爱德华兹（Edwards）引入了一种新的椭圆曲线形式，并给出了优雅的加法规则。伯恩斯坦（Bernstein）和兰格（Lange）展示了爱德华兹形式椭圆曲线在密码学中的实用性，它具有完整统一的加法公式，能有效抵抗侧信道攻击，并且他们还开发了使用射影和倒易坐标进行加倍、加法和混合加法的高效显式公式。

然而，基于配对的密码学协议需要同时进行标量乘法和配对计算。虽然爱德华兹形式曲线在标量乘法上有优势，但配对计算仍是问题。这就引发了一系列问题：能否直接在爱德华兹形式上进行配对计算？与转换为魏尔斯特拉斯形式后再计算配对相比，成本如何？直接在爱德华兹形式上计算配对是否有优势？

2. 预备知识和符号

• 符号说明 ：本文中，$p$ 表示大于 3 的素数，$q$ 表示奇素数幂，基数为 $q$ 的有限域记为 $F_q$。
• 椭圆曲线形式
  • 魏尔斯特拉斯形式 ：椭圆曲线方程为 $y^2 = x^3 + a_2x^2 + a_4x + a_6$，其中 $a_2, a_4, a_6 \in F_q$。
  • 爱德华兹形式 ：椭圆曲线方程为 $x^2 + y