33、配对计算中避免全扩展域算术

配对计算中避免全扩展域算术

1. 引言

本世纪初，基于配对的密码学在第一个实用的基于身份的加密方案出现后变得极为流行。此后，人们对高效计算配对的需求不断增加。早期，泰特（Tate）配对被证明比韦伊（Weil）配对更高效，因为泰特配对的最终指数运算能简化米勒（Miller）迭代。随着安全要求的不断提高，构建适合配对的曲线成为研究热点，密码学家现在有多种曲线可供选择。后来，出现了 ate 配对，它的循环长度更短，通常比泰特配对更快。

近期，研究人员通过推导米勒迭代特定阶段的快速显式公式，进一步加快了配对计算。然而，这些改进在应用于泰特配对时效果不佳，因为节省的操作发生在基域 (F_p) 中，随着嵌入度 (k) 的增大，全扩展域 (F_{p^k}) 操作的复杂度会主导基域操作的复杂度。在 ate 配对中，虽然快速显式公式能节省子域 (F_{p^{k/d}}) 的操作，但全扩展域操作仍然占据主导地位。

之前有研究尝试避免全扩展域算术，如 Eisentr¨ager 等人将两个线性米勒函数组合成一个二次函数，但该算法应用有限；Blake 等人提出的方法也不适用于现代米勒算法的实现。本文提出了一种名为 Miller 2n - tuple - and - add 的新方法，将连续 (n) 次米勒双加迭代的显式公式组合成一个更复杂的显式公式，能显著减少全扩展域操作，在大多数情况下可将配对计算速度提高 5% 到 30%。该方法具有以下优点：
- 适用于 (n \geq 1) 的一般情况，之前的工作大多使用 (n = 1)。
- 处理加法步骤的方式与循环参数的 (2n) 进制表示无关，避免了随着 (n) 值增大而增加加法复杂度的问题。
- 使用射影坐标推导显式公式，消除了