知识分享会：密码学中的椭圆曲线

(2023.4) 计划增加一些新内容（但可能没时间了…）

椭圆曲线密码学实际上涉及到不少高深的数学知识。2022年10月在Nepnep战队做了一次线上分享，听众还有其他对密码学感兴趣的朋友以及geek学院的朋友等。主要内容是代数学基础回顾、射影几何基础以及GTM 106前三章的部分内容。

勘误和补充

观看视频时请打开弹幕，其中提示了一些错误

$E/K$和$E(K)$的定义，以及两者之间的区别：
- $E/K$：一种简写，表明$E$是定义在域$K$上的椭圆曲线，即曲线方程的系数属于$K$. 注意曲线 $E$ 的点为 $\mathbb{P}^2=\mathbb{P}^2(\overline{K})$中所有满足方程的点，因此其坐标分量不必属于$K$
- $E(K)$：椭圆曲线$E$的所有$K-$有理点，即坐标分量均属于$K$的那些点，是一个群。
自然地，$E=E(\overline{K})$.
注意扭点群的定义、Weil对的反对称性等

群环域回顾和一点概形的精神
射影空间基础
椭圆曲线的方程、椭圆曲线点群公式、代数曲线上的有理函数域、曲线间的态射、二次孪生曲线(quadratic twist)、阶数、映射度、分歧指数、非零有理函数零极点的重数之和相等。
除子、主除子、黎曼罗赫定理及其推论、Picard群（特别是Jacobian）、椭圆曲线点群与它的Jacobian同构、双线性对及其应用

椭圆曲线的黎曼面视角与代数曲线视角
同源基本概念：同源的定义、映射度、扭点与核、映射度与核的关系
Velu公式及其优化，以及其他的计算同源的算法
对偶同源（黎曼面视角和除子视角）
同构及其概念问题（所在的域，映射度）
Weil猜想和Sato-Tate定理
子群与同源的对应
超奇异椭圆曲线：几种等价定义、自同态环的结构
同源图，特别是超奇异椭圆曲线同源图，以及Richelot同源和超特殊主极化阿贝尔面同源图(isogeny graph of superspecial principally polarized abelian surfaces over $\overline{\mathbb{F}_p}$)等等
“Kani wreck SIKE” (i.e. Kani’s “reducibility criterion” and Castryck-Decru attack and maybe more)
除子的推前拉回、函数的推前拉回、主除子度数为0的一个代数证明
除子定义的Weil对、函数定义的Weil对、Tate对、Ate对等等及相关的计算算法
除子的几何对应——线丛
~~线性系统(linear system)、充沛除子(ample divisor)、充沛线丛(very ample line bundle)~~
曲线的点数

上述条目的2/3可以在黎曼面相关的书籍中学到（书籍见后）

Elliptic Curves Notes

可以看下Weil对和Tate对是怎么用除子定义的。
Paper from JoC 2004: The Weil Pairing, and Its Efficient Calculation

JoC，密码界最强顶刊，其含金量甚至大于顶会。干脆来看这篇学Weil对
Elliptic Curves Number Theory and Cryptography

前言中说明了适用于密码学的学习章节，不过isogeny那章也可以看一看，是椭圆曲线同源密码的那个同源。
基于椭圆曲线中配对的密码学研究综述（综述论文）
安全的椭圆曲线

安全性问题比如Ladder, Twist，MOV攻击，FR约化攻击… Weil Descent Attack就很难了，我到现在都感觉自己还差不少才能看懂。GTM106也只讲到2-descent。Milne的Elliptic Curves讲义可能有Weil restriction。
椭圆与超椭圆曲线公钥密码的理论和实现

难得的一本中文书，各种高级的攻击在里面都有写…
双线性对的应用，如：双线性对的三方一轮密钥协商，各种IBE、ABE方案… 双线性对曾经是密码学中最强大的数学工具，用它可以实现一些功能非常强大的、让人意想不到的密码学功能。
Mathematics of Isogeny Based Cryptography

关注同源，谢谢！

Fulton的代数曲线

入门古典代数几何用，有配套讲义。
Elliptic Curves Number Theory and Cryptography

比GTM106简单些。
GTM 106 The Arithmetic of Elliptic Curves

后半要会一些代数数论才能看，有网上课程
Algebraic Curves and Riemann Surfaces by Rick Miranda

如果想绕过代数几何直观地搞懂视频中的一些结论，应该看这个紧黎曼面的内容。非常友好的书，稍微学一些点集拓扑、基本群、微分流形，再看一个基础的单变量复变函数课就可以读的很顺畅。Geek学院的Ultra做过一次紧黎曼面的沙龙，推荐看视频配着书，把握住重点。
椭圆与超椭圆曲线公钥密码的理论和实现

感受一下椭圆曲线密码学攻击中的各种数学吧，你能看到De Rham上同调，同调群，Brauer群、Weil restriction等等…

不过有些地方作者似乎试图写得初等一点可能乍一看看不出来，例如Smart Attack实际上用到GTM 106第五章的一些知识（这还被写在了“一些初等的攻击”那一章…）。

感谢@朱子阳的热心解惑。

另外这次分享中有几次挂黑板，也有很多很多没讲到位的地方。感谢各位听众的理解与支持！