Volcans d'isogènies de corbes el·líptique : aplicacions criptogràfiques en targetes intel·ligents

Abstract

D. Kohel, i més endavant M. Fouquet i F. Morain, van estudiar l’estructura dels volcans de ℓ–isogènies d’una corba el·líptica sobre un cos finit, sent ℓ un primer qualsevol, i van donar algorismes per anar des del terra fins al cràter del volcà. Seguint aquests treballs, en aquesta tesi estudiem noves propietats dels volcans de ℓ–isogènies. Així, caracteritzem l’altura d’un volcà de ℓ–isogènies d’una corba el·líptica sobre un cos finit Fq a partir de les valoracions ℓ–àdiques del cardinal de la corba i de q − 1, i analitzem detalladament el cas ℓ = 3. D’altra banda, per a volcans anomenats regulars donem, segons l’estructura del subgrup de ℓ–Sylow de la corba, el nivell on està ubicada dins del volcà. Utilitzant aquest estudi, hem dissenyat un algorisme que genera, a partir d’una corba donada, un llistat de corbes isògenes a la corba inicial de forma ordenada segons el grau ℓ de la isogènia. Amb aquest objectiu, introduïm el concepte ℓ–cordillera, estructura formada per tots els ℓ–volcans sobre un mateix cos, per a un primer ℓ. Així, per recórrer tota una ℓ–cordillera saltarem d’un ℓ–volcà a un altre considerant isogènies de grau un primer ℓ′, diferent de ℓ. En un vessant més pràctic, hem treballat en l’ús de la criptografia el·líptica en dispositius com les targetes intel·ligents. Més concretament, ens hem centrat en els atacs que pateixen aquests dispositius, com els Zero-Value Points (ZVP), presentats per L. Goubin i ampliats per T. Akishita i T. Takagi. En aquesta tesi, proposem una contramesura a aquests atacs, seguint la línia de la proposada per N. Smart. La contramesura està basada en l’ús d’una variant de l’algorisme esmentat anteriorment que busca corbes resistents recorrent les ℓ–cordilleres de la corba inicial. Finalment, estudiem el comportament d’aquests atacs considerant corbes el·líptiques donades en el model d’Edwards. A diferència de les corbes el·líptiques expressades mitjançant l’equació de Weierstraß, les corbes d’Edwards no són vulnerables als atacs ZVP.

D. Kohel, y más adelante M. Fouquet y F. Morain, estudiaron la estructura de los volcanes de ℓ–isogenias de una curva elíptica sobre un cuerpo finito, siendo ℓ un primo cualquiera, y propusieron algoritmos para ir desde el suelo hasta el cráter del volcán. Siguiendo estos trabajos, en esta tesis, estudiamos propiedades de los volcanes de ℓ–isogenias. Así, caracterizamos la altura de un volcán de ℓ–isogenias de una curva elíptica sobre un cuerpo finito Fq a partir de las valoraciones ℓ–ádicas del cardinal de la curva y de q − 1, analizando en detalle el caso ℓ = 3. Por otro lado, para los volcanes llamados regulares damos, según la estructura del subgrupo de ℓ–Sylow de la curva, el nivel donde está ubicada dentro del volcán. Utilizando este estudio, hemos diseñado un algoritmo que genera, a partir de una curva dada, un listado de curvas isógenas a la curva inicial de forma ordenada según el grado ℓ de la isogenia. Con este objetivo, introducimos el concepto de ℓ–cordillera, estructura formada por todos los ℓ–volcanes sobre un mismo cuerpo, para un primo ℓ dado. Así, para recorrer toda una ℓ–cordillera, saltaremos de un ℓ–volcán a otro, considerando isogenias de grado un primo ℓ′, diferente de ℓ. En una vertiente más práctica, hemos trabajado en el uso de la criptografía elíptica en dispositivos como las tarjetas inteligentes. Más concretamente, nos hemos centrado en los ataques que sufren estos dispositivos, como los ataques Zero-Value Points (ZVP), presentados por L. Goubin y ampliados por T. Akishita y T. Takagi. En esta tesis, proponemos una contramedida a estos ataques, siguiendo la línea de la propuesta por N. Smart. La contramedida está basada en el uso de una variante del algoritmo mencionado anteriormente que busca curvas resistentes recorriendo las ℓ–cordilleras de la curva inicial. Finalmente, estudiamos el comportamiento de estos ataques considerando curvas elípticas dadas en el modelo de Edwards. A diferencia de las curvas elípticas expresadas mediante la ecuación deWeierstraß, las curvas de Edwards no son vulnerables a los ataques ZVP.

D. Kohel and later M. Fouquet and F. Morain studied the structure of volcanoes of ℓ–isogenies of an elliptic curve over a finite field, being ℓ any prime number. They also proposed algorithms to go from the floor to the crater of a volcano. Following these works, in this thesis we studied some properties of the ℓ–isogeny volcanoes. Thus, we characterized the height of an ℓ–isogeny volcano of an elliptic curve over a finite field Fq from the ℓ–adic valuations of the cardinality of the curve and q − 1, analyzing the case ℓ = 3 in detail. On the other hand, for the so-called regular volcanoes, we give the level where a curve is located inside the volcano, according to the structure of its ℓ–Sylow subgroup. From this study, we have designed an algorithm that generates, from a given curve, a list of curves isogenous to the initial one, in an organized manner, according to the degree ℓ of the isogeny. With this objective, we introduce the concept of ℓ–cordillera, a structure consisting of all the ℓ–volcanoes over a field, for a given prime ℓ. Thus, in order to explore a whole ℓ–cordillera, we jump from an ℓ–volcano to another, considering isogenies of degree a prime ℓ′ different from ℓ. In a more practical aspect, we worked on the use of elliptic curve cryptography on devices such as smart cards. More specifically, we focused on the attacks suffered by these devices, such as the Zero-Value Point (ZVP) attacks, which were presented by L. Goubin and extended by T. Akishita and T. Takagi. In this thesis, we propose a countermeasure to these attacks, along the lines of the one proposed by N. Smart. The countermeasure is based on the use of a variant of the algorithm mentioned above, that searches for strong curves exploring the ℓ–cordilleras of the initial curve. Finally, we studied the behavior of these attacks considering elliptic curves given in the Edwards model. Unlike elliptic curves expressed by the Weierstraß equation, Edwards curves are not vulnerable to ZVP attacks.