Escolha de parˆ ametros - Cifrassinatura sem certificados em curvas supersingulares sobre corpo

Existem diversos fatores a serem considerados na hora de projetar um criptossisstema ba- seado em curvas el´ıpticas. A escolha de parâmetros deve levar em conta não só a seguran¸ca contra ataques de cálculo de ´ındices, como também ataques ao corpo finito resultante da transferência do problema do logaritmo discreto em curvas el´ıpticas através de emparelhamentos bilineares ou outras idéias como por exemplo usando espa¸cos vetorais sobre Fq ou então pela técnica da descida de Weil. Por outro lado, existem circunstâncias que

impõe restri¸cões à escolha de parâmetros, seja por limita¸cões de recursos computacionais, como em arquiteturas embarcadas de pouco poder de processamento e principalmente com pouco poder de armazenamento, seja por peculiaridades da plataforma que per-

mitem otimiza¸cões espec´ıficas para uma determinada escolha de parâmetros, como por exemplo instru¸cões especiais para manipula¸cão de polinômios; ou mesmo por mecanismos de prote¸cão contra ataques de canal lateral, ou qualquer outro mecanismo que permita o uso de parâmetros que em outros sistemas não poderiam ser selecionados.

Existem diversas estruturas algébricas que podem ser usadas juntamente com o problema do logaritmo discreto para projetar criptossistemas, desde corpos finitos até corpos de fun¸cões. Como foi apresentado anteriormente, o PLD em corpos finitos pode ser re- solvido em tempo subexponencial. Outro caso em que temos algoritmos subexponenciais para resolver o PLD são os corpos numéricos, isto é, extensões algébricas dos racionais, como por exemplo o corpos constitu´ıdos de elementos da forma a + b√_{2, para a, b ∈ Q.}

Assim, pode-se usar variedades algébricas, onde não são conhecidos ataques por cálculo de ´ındices em tempo subexponencial. Portanto, podemos escolher uma curva C de genus g, sobre um corpo finito Fq, onde q = pd. O grupo de Picard Pic0C é canonicamente

isomorfo à variedade Jacobiana JC de C, que é uma variedade abeliana. Além disso,

existe um divisor da forma

i=1

Pi− rP∞, para r ≤ g, que representa um elemento de JC.

Em curvas el´ıpticas, que s˜ao variedades alg´ebricas de genus 1, temos que para cada ponto P ∈ E, existe um divisor D ∼ |P | − |∞|.

Mas existem ataques a curvas de genus g = 3 e 4, capazes de resolver o problema do logaritmo discreto em Pic0_C respectivamente em complexidade O(| Pic0_C|0.375_{) e O(| Pic}0

C|0.44).

De forma geral, são utilizadas apenas curvas hiperel´ıpticas de genus g = 1, 2 e 3 e mesmo o caso g = 3 precisa levar em conta o tamanho do grupo para não sofrer ataques de cálculo de ´ındices

Além disso, precisamos tomar cuidado para evitar a transferência do problema do logaritmo discreto. Ou seja, é preciso garantir as seguintes condi¸cões:

1. o grau de imers˜_{ao k grande o suficiente para que o PLD em F}_qk seja dif´ıcil de resolver.

Com isso, evita-se ataques atrav´es de emparelhamentos bilineares;

2. se o corpo finito subjacente ´_{e F}pd, ent˜ao deve-se evitar que d tenha um divisor d₀,

não permitindo o uso do método da descida de Weil. Ou seja, deve-se usar corpos primos, ou então corpos binários e ternários de grau d, que não seja um primo de Mersenne ou de Fermat.

Além de tudo, os parâmetros devem ser escolhidos de modo que as opera¸cões ne- cessárias para executar os protocolos sejam eficientes e exijam pouco espa¸co de armazenamento.

5.2.1 Escolha do corpo finito

Devido a eficiˆencia da aritm´etica, geralmente s˜_{ao utilizados corpos primos F}p, ou cor-

pos bin´_{arios F}2d. Mas existem casos em que corpos de extens˜ao podem oferecer certas

vantagens. Tamb´em existem muitos estudos realizados para corpos tern´arios.

No caso de corpos primos, geralmente s˜ao escolhido primos p com pequeno peso de Hamming, ou seja, p = 2k _{+ c, onde c ´}_{e pequeno, permitindo calcular redu¸c˜}_{oes modu-}

lares eficientemente. A multiplica¸cão pode ser feita usando o método de Karatsuba. A representa¸cão Montgomery também pode representar um ganho de eficiência.

Para corpos bin´_{arios F}2d, ´e importante que d seja um primo grande. O uso de ba-

ses normais convém em casos em que são necessárias mais opera¸cões de quadrado que multiplica¸cão, ou então em casos em que é necessário calcular ra´ız quadrada, pois estas opera¸cões são aplica¸cões do mapa de Fröbenius, que resumem-se a deslocamentos circu- lares.

5.2.2 Escolha da curva el´ıptica

A escolha da curva el´ıptica deve levar em conta a eficiência das principais opera¸cões, como a multiplica¸cão por escalar e portanto a soma e a duplica¸cão. Para isso, sabendo-se pre- viamente qual é o corpo finito subjacente, é poss´ıvel escolher o sistema de coordenadas afins, ou então o sistema de coordenadas projetivas, que podem ter pesos não triviais, como por exemplo em coordenadas jacobianas e López-Dahab. Outro fato a ser conside- rado é se a curva el´ıptica em questão é supersingular ou não-supersingular. Em curvas supersingulares, temos sempre um grau de imersão pequeno, de forma que é preciso tomar cuidado para não ser poss´ıvel transferir o problema do logaritmo discreto através de emparelhamentos bilineares.

Existem também métodos para gerar curvas aleatórias, como por exemplo o método da multiplica¸cão complexa . Uma grande quantidade de curvas el´ıpticas estão descritas detalhadamente nos padrões NIST, SEC-G, FIPS186-2, etc. Estes padrões apresentam todos os parâmetros necessários para implementar um criptossistema de forma segura. Com isso, é poss´ıvel analisar os requisitos de seguran¸ca necessários e os recursos computacionais dispon´ıveis para a melhor escolha de parâmetros.

No documento Cifrassinatura sem certificados em curvas supersingulares sobre corpos binarios (páginas 132-134)