equivalent `a un unique diviseur, dit r´eduit, de la forme (P
1) +· · ·+ (P
r)−r(O
H) avec r minimal.
On a n´ecessairement P
i6= ι(P
j) pour tout i 6= j, sinon on pourrait simplifier l’´ecriture de D en
utilisant la fonction x−x
Pide diviseur (P
i) + (ι(P
i))−2(O
H). On associe alors `aDles polynˆomes
u(x) =Q
(x−x
Pi) etv(x) tel quev(x
Pi) =y
Pipour toutide 1 `a r, degv < retu|(v
2+vh
0−h
1).
SiP
i6=P
jpour touti6=j,v(x) s’obtient directement par interpolation de Lagrange ; la condition
de divisibilit´e sert juste `a d´eterminer v dans le cas o`uu a des racines multiples.
Proposition 5.1.4. L’ensemble des pointsk-rationnels de la jacobienne de Hest en bijection avec
les paires de polynˆomes (u, v)∈k[x]
2tels queu est unitaire,deg(v)<deg(u)≤g, et u|(v
2+vh
0−
h
1).
5.2 Arithm´etique des courbes elliptiques et hyperelliptiques
On explicite dans cette section les lois de composition interne d´efinies sur les courbes elliptiques
et les jacobiennes de courbes hyperelliptiques. On d´etaille aussi la structure du groupe des points
F
q-rationnels pour une courbe d´efinie sur un corps fini.
5.2.1 Genre 1
SoitE une courbe elliptique d’´equation de Weierstrassy
2+a
1xy+a
3y=x
3+a
2x
2+a
4x+a
6.
Pour d´eterminer la loi de groupe sur E= Jac
E, on consid`ere les diviseurs associ´es `a des ´equations
de droites.
1. Si f = x−c, la droite verticale d’´equation f = 0 coupe E en deux points (compt´es avec
multiplicit´e), et on a div (f) = (P
1)+(P
2)−2(O). En particulier, (P
2)−(O)∼ −((P
1)−(O)).
2. Si f = y −(λx+µ), la droite d’´equation f = 0 coupe E en trois points (compt´es avec
multiplicit´e), et on a div (f) = (P
1) + (P
2) + (P
3)−3(O). En particulier, ((P
1)−(O)) +
((P
2)−(O))∼ −((P
3)−(O)).
On rappelle que E est isomorphe `a Jac
E' Pic
0(E) via l’identification ψ
O: P 7→ (P)−(O). On
d´eduit de ce qui pr´ec`ede les formules suivantes : pourP
1= (x
1, y
1) et P
2= (x
2, y
2), on a
−P
1= (x
1,−y
1−a
1x
1−a
3) et P
1+P
2= (x
3, y
3) o`u
(
x
3=λ
2+a
1λ−a
2−x
1−x
2y
3=λ(x
1−x
3)−y
1−a
1x
3−a
3avec λ=
y
2−y
1x
2−x
1six
16=x
2,
3x
21+ 2a
2x
1+a
4−a
1y
12y
1+a
1x
1+a
3siP
1=P
2.
P•
Q
•
−(P+Q)•
P+Q•
Figure5.1 – Exemple d’addition de points sur une courbe elliptique.
En pratique, on travaille avec des ´equations r´eduites o`u les coefficients a
isont tous nuls sauf
un ou deux, ce qui simplifie ces formules. Il existe de nombreuses m´ethodes pour acc´el´erer ces
calculs en utilisant le moins possible de multiplications et surtout d’inversions, comme par exemple
l’utilisation de coordonn´ees projectives, jacobiennes, de Chudnovsky, mixtes, d’Edwards... (voir la
base de donn´ees disponible surhttp://hyperelliptic.org/EFD/ pour plus de d´etails).
Soient E
1et E
2deux courbes elliptiques. Une isog´enie ϕ de E
1dans E
2est un morphisme
(i.e. une application rationnelle r´eguli`ere) tel queϕ(O
1) =O
2o`u O
1etO
2sont les points `a l’infini
deE
1etE
2respectivement. Une propri´et´e fondamentale est qu’une isog´enie est aussi un morphisme
de groupes :
ϕ(P+Q) =ϕ(P) +ϕ(Q), ∀P, Q∈E
1.
Cela d´ecoule directement de la commutativit´e du diagramme suivant :
E
1 ϕ//
o ψO1E
2 o ψO2Pic
0(E
1)
ϕ∗//Pic
0(E
2)
Une isog´enie φ : E → E est appel´ee endomorphisme. En it´erant la loi de groupe, on d´efinit
l’application de multiplication par un scalairem∈Z, que l’on note habituellement [m] :P 7→[m]P;
c’est un endomorphisme de E de degr´e m
2. On appelle point de m-torsion un ´el´ement du noyau
de [m], et on note leur ensemble E[m] ={P ∈E : [m]P =O}; on note aussi E(k)[m] l’ensemble
des points k-rationnels de m-torsion. Soit p = char(K) la caract´eristique du corps ; le fait que
la multiplication par m soit de degr´e m
2permet de montrer que E[m] ' (Z/mZ)
2si p = 0 ou
m∧p= 1, et queE[p
α]'Z/p
αZou {O}si p6= 0.
Si E est d´efinie sur un corps fini F
q, l’ensemble de ses points rationnels forme un groupe
commutatif fini E(F
q) ; en particulier tous ses ´el´ements sont de torsion. En utilisant le th´eor`eme
de structure des groupes commutatifs finis ainsi que la forme des groupes de torsion, on obtient un
isomorphisme
E(F
q)'Z/n
1Z×Z/n
2Z, avec n
1|n
2etp-n
1.
On peut de plus montrer `a l’aide du couplage de Weil (voir section 5.3.1) quen
1|(q−1).
5.2.2 Genre sup´erieur
SoitHune courbe hyperelliptique de genreg admettant un mod`ele imaginaire de la formey
2+
h
0(x)y=h
1(x), avec deg(h
1) = 2g+1 et deg(h
0)≤g. On rappelle le principe de la repr´esentation de
Mumford : `a tout diviseurD∈Div
0(H) de la forme (P
1)+. . .+(P
r)−r(O
H) tel queι(P
i)6=P
jpour
tout i6=j, on associe l’unique couple de polynˆomes (u, v) tels que u =Q
(x−x
Pi),v(x
Pi) = y
Pi,
degv < degu et u|(v
2+vh
0−h
1) ; cette repr´esentation est valable y compris pour des diviseurs
qui ne sont pas minimaux. Avec cette repr´esentation, on peut d´ecrire l’algorithme d’addition dans
Jac
Hdˆu `a Cantor [Can87], qui reprend des techniques de composition et r´eduction de formes
quadratiques remontant `a Gauss et Lagrange.
Soient D
1= (u
1, v
1) et D
2= (u
2, v
2) deux diviseurs r´eduits sous forme de Mumford ; pour
simplifier, on va supposer que u
1∧u
2= 1. La premi`ere ´etape consiste `a trouver la repr´esentation
de Mumford (u
3, v
3) de D
3=D
1+D
2. Clairement, on a u
3= u
1u
2; pour trouver v
3, on calcule
avec l’algorithme d’Euclide ´etendu les polynˆomes a
1et a
2tels que a
1u
1+a
2u
2= 1 et on pose
v
3=a
1u
1v
2+a
2u
2v
1mod u
3. La deuxi`eme ´etape consiste `a r´eduire le diviseur D
3= (P
1) +· · ·+
(P
m)−m(O
H) sim > g. L’id´ee est d’utiliser pour cela le diviseur principal associ´e `ay−v
3, de la
forme (P
1)+· · ·+(P
m)+(Q
1)+· · ·+(Q
`)−(m+`)(O
H) avec` < m, pour remplacerD
3par le diviseur
lin´eairement ´equivalentD
4= (ιQ
1)+· · ·+(ιQ
`)−`(O
H). Pour trouver la repr´esentation de Mumford
de D
4, on constate que (y−v
3)(y+h
0+v
3) =h
1−v
3h
0−v
32=Q
mi=1
(x−x
Pi) Q
`i=1
(x−x
Qi) =
u
3Q
`i=1
(x−x
ι(Qi)). On a doncu
4= (h
1−v
3h
0−v
23)/u
3etv
4=−v
3−h
0mod u
4. On recommence
ce processus avecD
4jusqu’`a obtenir un diviseur r´eduit. On donne en algorithme 20 le pseudo-code
de cette m´ethode d’addition, en prenant en compte le cas o`u u
1et u
2ne sont pas premiers entre
eux.
Algorithme 20:Algorithme de Cantor
Entr´ees: Deux diviseurs sous forme de MumfordD
1= (u
1, v
1) et D
2= (u
2, v
2),
les polynˆomesh
0eth
1d´efinissant la courbeH:y
2+h
0y=h
1.
Sortie :D
3= (u
3, v
3) diviseur r´eduit lin´eairement ´equivalent `a D
1+D
21.
Calculer avec Euclide ´etendua
1, a
2, a
3, dtels que
d=u
1∧u
2∧(v
1+v
2+h
0) =a
1u
1+a
2u
2+a
3(v
1+v
2+h
0);
2.
u
3←u
1u
2/d
2;
3.
v
3←(a
1u
1v
2+a
2u
2v
1+a
3(v
1v
2+h
1))/d modu
3;
4.
tant quedegu
3> g faire
5.
u
3←(h
1−v
3h
0−v
32)/u
3;
6.
v
3← −v
3−h
0mod u
3;
P
1•
P
2•
P
3•
P
4•
Q
1•
ι(Q
1)
•
Q
2•
ι(Q
2)
•
Figure 5.2 – Exemple d’addition de points sur une courbe hyperelliptique de genre 2.
On montre qu’en utilisant des techniques classiques pour la multiplication et le pgcd de
po-lynˆomes, la complexit´e du calcul de la loi de groupe est enO(g
2) op´erations dans le corps de base
F
q. Il existe un certain nombre d’am´eliorations `a l’algorithme de Cantor. On peut simplifier son
d´eroulement pour certaines entr´ees sp´ecifiques, typiquement lorsqueD
1=D
2o`u les calculs de pgcd
sont facilit´es. Quand le genre est grand, on peut jouer sur la phase de r´eduction pour l’acc´el´erer,
et on peut utiliser des algorithmes de calcul du produit et du pgcd de deux polynˆomes `a base de
transform´ee de Fourier rapide, pour une complexit´e asymptotique enO(glog
2glog logg) op´erations
dans F
q. Il existe aussi des optimisations sp´ecifiques aux genres 2 et 3, et pour certains types de
courbes ; on renvoie `a [BSS05, chapitre VII] pour plus de d´etails.
Similairement au cas elliptique, si H est une courbe hyperelliptique de genre g d´efinie sur
F
q, l’ensemble des points F
q-rationnels de sa jacobienne forme un groupe commutatif fini dont la
structure est
Jac
H(F
q)'Z/n
1Z× · · · ×Z/n
2gZ,
o`u n
i|n
i+1pour 1≤i <2g etn
i|(q−1) pouri≤g.
Dans le document
Attaques algébriques du problème du logarithme discret sur courbes elliptiques
(Page 108-111)