Courbe de Montgomery

Une courbe de Montgomery sur un corps K de caractéristique différente de 2 est définie par l'équation

${\displaystyle M_{A,B}:By^{2}=x^{3}+Ax^{2}+x}$

pour certain A ∈ K ∖ {−2, 2}, B ∈ K ∖ {0}, avec B(A² − 4) ≠ 0. Si les corps finis sont le lieu naturel des applications cryptographiques, la même équation est utilisée pour l'algorithme de Lenstra sur l'anneau ${\displaystyle \mathbb {Z} /(n)}$, et on peut également considérer la courbe sur le corps des rationnels ${\displaystyle \mathbb {Q} }$.

L'introduction des courbes de Montgomery est motivée par l'existence d'un algorithme d'addition de points plus efficace que sur une courbe elliptique générale. Cet algorithme, découvert par Montgomery et qui porte aujourd'hui son nom, peut être vu comme un cas particulier d'addition sur la surface de Kummer correspondante.

On se place déjà en coordonnées projectives : ${\displaystyle \mathbb {P} ^{2}K=\{(X:Y:Z)\mid (X,Y,Z)\in K\setminus (0,0,0)\}/\sim }$ avec ${\displaystyle (X:Y:Z)\sim (X':Y':Z')}$ si et seulement s'il existe ${\displaystyle \lambda \in K^{\times }}$ tel que ${\displaystyle X'=\lambda X,Y'=\lambda Y,Z'=\lambda Z}$ . L'idée de Montgomery et d'ensuite oublier la coordonnée ${\displaystyle Y}$, et d'écrire la loi de groupe uniquement en termes de ${\displaystyle X}$ et ${\displaystyle Z}$^{[note 1]}.

Dans les applications où seule la coordonnée ${\displaystyle x=X/Z}$ est utilisée, telle que l'échange de clé de Diffie-Hellman sur courbes elliptiques, cette information est suffisante : c'est pourquoi une courbe de Montgomery telle que Curve25519 peut tout à fait être utilisée dans ce contexte.

Supposons que ${\displaystyle P_{n}=[n]P=(X_{n}:Z_{n})}$et ${\displaystyle P_{m}=[m]P=(X_{m}:Z_{m})}$avec ${\displaystyle n\neq m}$, alors on a directement

${\displaystyle {\begin{aligned}X_{m+n}&=Z_{m-n}((X_{m}-Z_{m})(X_{n}+Z_{n})+(X_{m}+Z_{m})(X_{n}-Z_{n}))^{2}\\Z_{m+n}&=X_{m-n}((X_{m}-Z_{m})(X_{n}+Z_{n})-(X_{m}+Z_{m})(X_{n}-Z_{n}))^{2}\end{aligned}}}$

c'est-à-dire trois multiplications et deux mises au carré dans ${\displaystyle K}$, les opérations d'addition et soustraction d'éléments de corps étant négligeables. Une formule pour le doublement (correspondant à ${\displaystyle m=n}$) est également aisément obtenue :

${\displaystyle {\begin{aligned}X_{2n}&=(X_{n}+Z_{n})^{2}(X_{n}-Z_{n})^{2}\\Z_{2n}&=(4X_{n}Z_{n})((X_{n}-Z_{n})^{2}+((A+2)/4)(4X_{n}Z_{n}))\end{aligned}}}$

où on a préalablement calculé ${\displaystyle 4X_{n}Z_{n}=(X_{n}+Z_{n})^{2}-(X_{n}-Z_{n})^{2}}$

• (en) Peter L. Montgomery, « Speeding the Pollard and Elliptic Curve Methods of Factorization », Mathematics of Computation, vol. 48, n^o 177,‎ 1987, p. 243–264 (DOI 10.2307/2007888, JSTOR 2007888)
• Daniel J. Bernstein, Peter Birkner, Marc Joye, Tanja Lange et Christiane Peters, Twisted Edwards Curves, Springer-Verlag Berlin Heidelberg, 2008, 414 p. (ISBN 978-3-540-68159-5, lire en ligne)
• Wouter Castryck, Steven Galbraith et Reza Rezaeian Farashahi, « Efficient Arithmetic on Elliptic Curves using a Mixed Edwards-Montgomery Representation », IACR Cryptology, vol. 2008,‎ 2008 (lire en ligne)

• Portail des mathématiques
• Portail de la cryptologie