Montgomery curves 和 Curve25519满足Montgomery curve特征的magma脚本验证

1. 引言

1.1 Weierstrass curve定义

Elliptic curves of Weierstrass form:
$$E:y^2=x^3+Ax+B,其中A和B为常量。$$
Weierstrass curve的j-invariant为：
$$j=j(E)=1728\frac{4A^3}{4A^3+27B^3}$$

1.2 Montgomery curve定义

Montgomery curve为椭圆曲线的一种，基于F_q的仿射方程表示为：
$$E(A;B):B{y}^2=x(x^2+Ax+1)$$
其中参数A和B为在域F_q内的值，同时满足 B != 0, A² != 4。

将上述方程转换为投影坐标系下(X : Y : Z)，其中x = X/Z, y = Y/Z，则对应的投影模型：
$$E(A;B):B{Y}^{2}Z=X(X^2+AXZ+Z^2)\subseteq P^2$$

对于投影模型的表示下，E(A;B) 上有一个无穷远点 O = (0 : 1 : 0)，该点为E(A;B) 上唯一的一个Z=0点。

Montgomery curve E(A;B) 中有A、B两个参数，其中最重要的是参数A，参数A将控制E(A;B)的几何图形。
Montgomery curve E(A;B)的j-invariant为：
$$j(E(A;B))=\frac{256(4A^2-3{)}^3}{A^2-4}$$

所以E(A;B)的$\overline{F_q}$同构类是完全由A²决定的，与B参数无关。

B参数可认为是‘twisting因子’。

1.3 Weierstrass curve与Montgomery curve相互转换

$$E(A;B):B{y}^2=x(x^2+Ax+1)$$

$$E^W:v^2=u^3+(B^2(1-A^2/3))u+B^{3}A/3(2A^2/9-1)$$

相应的转换关系为：
$$(x,y)\mapsto (u,v)=(B(x+A/3),B^{2}y)$$

$$(u,v)\mapsto (x,y)=(u/B-A/3,v/B^2)$$

2. Montgomery curve的特征/条件

• 1）Montgomery curve E(A;B)的order总是能被4整除，即B(A+2)、B(A-2)、A²-4 三者必须有其一为F_q域内的平方值，4 | #E(A;B)(Fq) 且#E(A;B)(Fq) = 4r，r为prime素数；
• 2）Montgomery curve E(A;B)总是存在有理数点，具有order为2，$T:=(0:0:1)\in E(A;B)[2](F_q)$； 由 P to $P⨁T$ 的转换为：${\tau }_T:(x,y)\mapsto (1/x,-y/x^2)$

3. Curve25519 as a Montgomery curve

The Curve25519 function is Fp-restricted x-coordinate scalar multiplication on E(Fp² ), where p is the prime number p = 2²⁵⁵ − 19 and E is the elliptic curve y² = x³ + 486662x² + x.
对应的base point为(9,…)。
The order of the base point is a prime,
namely 2²⁵² + 27742317777372353535851937790883648493.
FieldElement对应的域空间为[0, p-1)，即为[0, 2²⁵⁵-19 - 1)。

针对Montgomery curve的条件1），实际是判断B(A+2)、B(A-2)、A²-4 三者至少有一个是 module q的 quadratic residue。

以上可转换为求Legendre symbol值来判断，若该值为-1，则说明不是quadratic residue，若为1，则是quadratic residue。

magma脚本为：

clear;
q:=2^255-19;
LegendreSymbol(486662^2-4, q); //-1，即A^2-4不是域Fq内的平方值。
LegendreSymbol(486662+2, q); //1，即A+2是域Fq内的平方值。
LegendreSymbol(486662-2, q); //-1，即A-2不是域Fq内的平方值。

对应的运行结果说明A+2为域Fq内的平方值，满足条件1。

-1
1
-1

由此可知，Curve25519为Montgomery curve。

参考资料：
[1] 论文《Montgomery curves and their arithmetic》
[2] 书 《Elliptic Curves Number Theory And Cryptography 2n》
[3] https://asecuritysite.com/comms/plot06
[4] https://www.maths.tcd.ie/pub/Maths/Courseware/NumberTheory/QuadraticResidues.pdf