Vorlesungen „Kryptographie I und II” Bei Prof. Dr ... - Schnorr, C.P.

1.4. ELLIPTISCHE KURVEN 15
(2) Das EC-Kryptosystem bietet Effizienzvorteile gegenüber dem RSA-Verfahren:
Während RSA modulare Arithmetik mit 1024-Bit-Zahlen verwendet, genügen
für EC-Verfahren 163-Bit-Zahlen. Zwar ist die Arithmetik auf elitischen Kurven
aufwendiger als die in primen Restklassengruppen, doch das wird durch die
geringere Länge der verwendeten Zahlen kompensiert. Dadurch ist es z.B. möglich,
EC-Kryptographie auf Smartcards ohne Co-Prozessor zu implementieren,
was billiger als eine Lösung mit Co-Prozessor ist. [Beutelspacher et al. 2001,
Kapitel 12.2]
Sei � ⊂ � Körper und A,B ∈ �. Die Gleichung
y 2 z = x 3 + Axz 2 + Bz 3
hat die Diskriminante Δ = −16 � 4A 3 + 27B 2� .
DEFINITION 1.4.1. Zwei Lösungen (x,y,z) und (x ′ ,y ′ ,z ′ ) aus � 3 heissen äquivalent, wenn
gilt
∃c ∈ � ∗ : c(x,y,z) = � x ′ ,y ′ ,z ′� .
Wir betrachten nur Lösungen (x,y,z) �= (0,0,0). Dabei ist (x : y : z) eine Äquivalenzklasse
von (x,y,z).
DEFINITION 1.4.2. Die elliptische Kurve E A,B (�) besteht aus allen Punkten P = (x : y : z)
mit x,y,z ∈ �, die die Gleichung (∗) oben lösen.
Dabei gilt:
(1) Es gibt genau ein (x : y : z) ∈ E A,B (�) mit z = 0, nämlich (0 : 1 : 0). (z = 0 ⇒
x = 0)
(2) Jeder Punkt (x : y : z) mit z �= 0 ist von der Form (x ′ ,y ′ ,1) mit x ′ = x/z und
y ′ = y/z. Dabei sind x ′ ,y ′ normierte Koordinaten und x,y,z homogene Koordinaten.
(3) Die Punkte (x : y : 1) ∈ E A,B (�) lösen die Gleichung y 2 = x 3 + Ax + B.
Die Gruppenstruktur einer elliptischen Kurve E A,B (�) ist wie folgt definiert:
(1) Das neutrale Element ist (0 : 1 : 0) =: O mit P + O = O + P = P.
(2) (x : y : z) + (x : −y : z) = O.
(3) Seien Pi = (xi : yi : 1) für i = 1,2 mit y1 �= y2 , dann gilt
� �
P1 + P2 = x3 : y : 1
3
mit x3 = λ 2 − x1 − x2 und y3 = λ � �
x1 − x3 − y1 . Also ist
⎧
y ⎨ 2−y1 , falls P1 �= P2 λ =
⎩
x 2 −x 1
3x 2 1 +A
2y 1
(∗)
, falls P 1 = P 2
PROPOSITION 1.4.3. E A,B (�) mit + ist eine abelsche Gruppe.
COROLLARY 1.4.4. Die Addition in E A,B (�) geht mit O(1) Additionen/Multiplikationen
im Koeffizientenkörper � ⊂ �. Die Berechnung von P 1 + P 2 in homogenen Koordinaten
geht ohne Division.
.