Halo2学习笔记——背景资料之Elliptic curves

Posted 2021-10-07 mutourend

1. 引言

基于有限域构建的椭圆曲线，是另一重要的密码学工具。

采用椭圆曲线，是因为其可提供a cryptographic group，即在group内，DLP（discrete logarithm problem）是困难的。

有多种方式来定义曲线方程$E({\mathbb{F}}_p)$，但是Halo2中，定义的${\mathbb{F}}_p$为255-bit field，满足方程式$y^2=x^3+b$成立的所有解集（${\mathbb{F}}_p$-rational points）$(x,y)$，称为“affine coordinates”。
这些${\mathbb{F}}_p$-rational points 和 “point at infinity” $\mathcal{O}$（作为group identity） 一起，都是group内的元素。传统地，都将elliptic curve groups写成加法态的。

由上图可知：“Three points on a line sum to zero, which is the point at infinity”。

相应的group addition law很简单：若求$P+Q$，则将$P$和$Q$连线，其与曲线上交叉第第三个点为$R$，将$R$的$y$坐标求反，即为$P+Q=(R_x,-R_y)$。
对于$P=Q$的情况，称为point doubling，需特殊处理：即找到该点的切线，然后将该切线与曲线的交叉点$y$坐标求反即为结果。
有$(R_x,-R_y)+(R_x,R_y)=\mathcal{O}$。

The ability to add and double points naturally gives us a way to scale them by integers, called scalars。
曲线上点的个数称为group order。group order为prime $q$，则可将scalars认为是elements of a scalar field ${\mathbb{F}}_q$。

椭圆曲线，如果设计得当的话，具有重要的安全属性：
已知2个random elements $G,H\in E({\mathbb{F}}_p)$，找到$a$使得$[a]G=H$ 被认为是computationally infeasible with classical computers。这也称为是elliptic curve discrete log assumption。

若椭圆曲线group $\mathbb{G}$ 具有prime order $q$（Halo2中使用的曲线满足该要求）则其为finite cyclic group，其为isomorphic to $\mathbb{Z}/q\mathbb{Z}$，或者等价为，isomorphic to the scalar field ${\mathbb{F}}_q$。
每个可能的generator $G$都满足isomorphism，即在scalar 端存在某值，其为precisely the discrete log of the corresponding group element with respect to $G$。对于密码学安全的曲线，the isomorphism is hard to compute in the $\mathbb{G}\to {\mathbb{F}}_q$ direction，因为elliptic curve discrete log problem is hard。

有时，相比于group elements，借助scalars的isomorphism思想更有助于理解group-based cryptographic protocols and algorithms。

2. Curve arithmetic

2.1 Point doubling

详细可参看《Elliptic Curves Number Theory and Cryptography（second edition）》第2.2节可知，有：

对于$y^2=x^3+b$ curve，求$(x_1,y_1)=(x_0,y_0)+(x_0,y_0)$，有：
$\lambda =\frac{dy}{dx}=\frac{3x^2}{2y}$
$y_1=\lambda (x_0-x_1)-y_0$
$x_1={\lambda }^2-2x_0$

2.2 Projective coordinates

2.1节中的point doubling中，存在昂贵的inversion of $2y$。为了避免倒数运算，而且实际并不立即需要单个curve operation的resulting point的actual affine $(x^{\prime },y^{\prime })$坐标。

对于$y^2=x^3+b$ curve，引入第三个坐标系$Z$，扩展为：
$Z^3{y}^2=Z^3{x}^3+Z^{3}b$

当$Z=1$时，对应的就是$y^2=x^3+b$ curve。
令$$

参考资料

[1] Halo2 背景资料之Elliptic curves