四维 Gallant-Lambert-Vanstone 标量乘法

Gallant、Lambert 和 Vanstone 的 GLV 方法（CRYPTO 2001）计算位于具有低次自同态 $\Phi$ 的椭圆曲线（称为 GLV 曲线）上素数阶 $n$ 的点 $P$ 的任意倍数 $kP$，在 $\mathbb{F}_p$ 上表示为 [kP = k_1P + k_2\Phi(P), \quad\text{其中} \max{|k_1|,|k_2|}\leq C_1\sqrt n]，其中 $C_1>0$ 为某个显式常数。最近，Galbraith、Lin 和 Scott（EUROCRYPT 2009）将此方法扩展到 $\mathbb{F}_{p^2}$ 上所有作为定义在 $\mathbb{F}_p$ 上曲线的扭曲的曲线。我们在这项工作中展示了如何融合这两种方法，以便对 $\mathbb{F}_{p^2}$ 上任何 GLV 曲线的扭曲，获得一个四维分解以及 $\mathbb{F}_{p^2}$ 上的快速自同态 $\Phi, \Psi$，它们作用于由素数阶 $n$ 的点 $P$ 生成的群，从而对任意标量 $k\in[1,n]$ 得到一个经证明的分解 $$kP=k_1P+ k_2\Phi(P)+ k_3\Psi(P) + k_4\Psi\Phi(P)\quad \text{其中} \max_i (|k_i|)< C_2\, n^{1/4}$$，其中 $C_2>0$ 为某个显式常数。此外，取最佳的 $C_1, C_2$，我们得到 $C_2/C_1<408$，且与曲线无关，确保了恒定的相对加速。我们还推导出新的 GLV 曲线族，对应于那些具有 3 次自同态的曲线。