28、寻找亏格为2曲线雅可比矩阵ℓ - 挠子群的生成元

寻找亏格为2曲线雅可比矩阵ℓ - 挠子群的生成元

1. 引言

早期，Koblitz提出使用椭圆曲线构建公钥密码系统，之后为了得到更广泛的曲线类和可能更大的群阶，又提议使用超椭圆曲线的雅可比矩阵。自Boneh和Franklin利用椭圆曲线上的Weil对提出基于身份的密码系统后，配对在密码学中备受关注，研究自然延伸到超椭圆曲线的雅可比矩阵上的配对。

Galbraith等人对超椭圆曲线雅可比矩阵上的配对研究进行了综述，发现对于大多数应用，椭圆曲线能提供更高效的解决方案。不过，若能充分利用超椭圆曲线雅可比矩阵的全挠子群，尤其是在需要三个或更多生成元的配对密码应用中，会使基于超椭圆曲线雅可比矩阵的配对密码学变得有趣。这就引出了如何高效选择特定子群中的点的问题。

之前，Freeman和Lauter描述了一个概率算法来确定雅可比矩阵中阶为ℓ的子群的生成元，但该算法不完整，输出不一定是真正的生成集，即便输出是生成集，也不一定是该子群的基。另外，有一种基于Tate对的算法可确定雅可比矩阵中阶为m（m整除q - 1）的点的子群的基，其关键步骤是对一组随机选择的点进行“对角化”，但这依赖于求解离散对数问题，而在一般情况下，求解雅可比矩阵中阶为m的点的子群中的离散对数问题是不可行的，所以该算法通常不适用。

2. 研究结果

本文将之前基于Tate对的算法推广到素数阶ℓ（ℓ不整除q - 1）的子群。为实现这一推广，需要改变“对角化”步骤。研究发现，雅可比矩阵JC上的q - 幂Frobenius自同态在JC[ℓ]上的矩阵表示可以明确描述，这使得能够明确描述Weil对在JC[ℓ]上的矩阵表示。

Miller曾使用Weil对确定有限域上椭圆曲线E(I