The supersingular Endomorphism Ring and One Endomorphism problems are equivalent
Les problèmes Anneau des endomorphismes et Un endomorphisme supersinguliers sont équivalents
Résumé
The supersingular Endomorphism Ring problem is the following: given a supersingular elliptic curve, compute all of its endomorphisms. The presumed hardness of this problem is foundational for isogeny-based cryptography. The One Endomorphism problem only asks to find a single non-scalar endomorphism. We prove that these two problems are equivalent, under probabilistic polynomial time reductions. We prove a number of consequences. First, assuming the hardness of the endomorphism ring problem, the Charles--Goren--Lauter hash function is collision resistant, and the SQIsign identification protocol is sound. Second, the endomorphism ring problem is equivalent to the problem of computing arbitrary isogenies between supersingular elliptic curves, a result previously known only for isogenies of smooth degree. Third, there exists an unconditional probabilistic algorithm to solve the endomorphism ring problem in time O~(sqrt(p)), a result that previously required to assume the generalized Riemann hypothesis. To prove our main result, we introduce a flexible framework for the study of isogeny graphs with additional information. We prove a general and easy-to-use rapid mixing theorem. The proof of this result goes via an augmented Deuring correspondence and the Jacquet-Langlands correspondence.
Le problème Anneau des endomorphismes supersingulier est le suivant : étant donnée une courbe elliptique supersingulière, calculer tous ses endomorphismes. La difficulté supposée de ce problème est une fondation de la cryptographie à base d'isogénies. Le problème Un endomorphisme demande seulement de trouver un seul endomorphisme non scalaire. Nous prouvons que ces deux problèmes sont équivalents, sous une réduction en temps polynomial probabiliste. Nous prouvons plusieurs conséquences. Premièrement, en supposant le problème Anneau des endomorphismes difficile, la fonction de hachage de Charles--Goren--Lauter résiste aux collisions, et le protocole d'identification SQIsign est sain. Deuxièmement, le problème Anneau des endomorphismes est équivalent au problème de calculer des isogénies arbitraires entre courbes elliptiques supersingulières, un résultat qui était auparavant connu uniquement pour les isogénies de degré friable. Troisièmement, il existe inconditionnellement un algorithme probabiliste résolvant le problème Anneau des endomorphismes en temps O~(sqrt(p)), un résultat qui nécessitait de supposer l'hypothèse de Riemann généralisée avant notre travail. Afin de prouver notre résultat principal, nous introduisons un cadre flexible pour l'étude des graphes d'isogénies avec information supplémentaire. Nous prouvons un théorème de mélange rapide qui est général et facile à utiliser. La preuve de ce résultat passe par une version augmentée de la correspondance de Deuring et la correspondance de Jacquet-Langlands.
| Origine | Fichiers produits par l'(les) auteur(s) |
|---|
