• Aucun résultat trouvé

Caract´ eristique 2

6.2 Technique GHS

6.2.2 Caract´ eristique 2

/Jac

C0

(F

qd

)

TrF qd/Fq

//Jac

C0

(F

q

)

Jac

H

(F

qn

)

π∗

O

O

TrF qn /Fqd

/

/Jac

H

(F

qd

)

π∗

O

O

Dans le cas contraire, le noyau de l’application de transfert ne comprend que des ´el´ements

d’ordre une puissance de 2, et donc ne peut pas contenir un sous-groupe d’ordre premier grand.

Proposition 6.2.3 ([Die03, Hes04]). On suppose que m = m et que σ se prolonge en un

auto-morphisme d’ordre n de F

0

. Si pour tout 1≤ i≤n−1, σ

i

(F

qn

(H)) 6=F

qn

(H), alors le noyau de

l’application conorme-norme est inclus dans Jac

Fqn

(H)[2

m−1

].

Il est `a noter toutefois que mˆeme si H est d´efinie sur un sous-corps, il est possible de faire

fonctionner l’attaque GHS en choisissant pourHune ´equation `a coefficients dans F

qn

et non dans

un sous-corps.

6.2.2 Caract´eristique 2

On commence par donner un encadrement des valeurs possibles du genre de la courbeC

0

obtenue

par l’attaque GHS, montrant que ce genre est n´ecessairement exponentiel en le “nombre magique”

m :

Proposition 6.2.4 ([Hes03, Th. 2]). On suppose que m ≥ 2 et que F

0

admet pour corps de

constantesF

qn

. Alors

2

m−2

g(H) + 1≤g(F

0

)≤n(2

m

−1)g(H).

Afin d’estimer plus pr´ecis´ement le genre de la courbe C

0

obtenue, on va expliciterm (resp.m).

On utilise `a cet effet la th´eorie des extensions d’Artin-Schreier. Quitte `a faire le changement de

variables y7→y/h

0

(x) dans (6.1), on se ram`ene `a une ´equation pourHde la formey

2

+y=h(x),

o`u h∈F

qn

(x).

On note ℘:f 7→f

2

+f l’op´erateur d’Artin-Schreier agissant sur le corps de fonctionsF

qn

(x),

resp. F

q

(x), et on consid`ere le F

2

-espace vectoriel d´efini par P = F

qn

(x)/℘(F

qn

(x)) obtenu en

quotientant le corps des fonctions rationnelles par l’image de ℘, resp. P = F

q

(x)/℘(F

q

(x)). La

th´eorie d’Artin-Schreier permet de montrer (voir [GHS02b, Lemme 6]) que m est la dimension du

F

2

-sous-espace vectorielU ⊂ P engendr´e par les classes dansP deh, h

σ

, . . . , h

σn−1

, resp.mest celle

du sous-espace U ⊂ P correspondant. De plus, il existe une correspondance entre les extensions

interm´ediairesF

qn

(x)⊂H ⊂F

0

avec [H:F

qn

(x)] = 2

d

et lesF

2

-sous-espaces vectorielsU

0

deU de

dimensiond, donn´ee parH =F

qn

(x)(℘

−1

(V

0

)) o`u V

0

est un ensemble de repr´esentants deU

0

dans

F

qn

(x).

Le F

2

-espace vectoriel P, resp. P, poss`ede une structure suppl´ementaire de F

2

[t]-module, o`u

l’action d’un polynˆome de F

2

[t] sur un ´el´ement de P, resp. P, provient de l’action sur F

qn

(x)

donn´ee par (P

a

i

t

i

)·f(x) =P

a

i

f

σi

(x). Il est alors naturel de s’int´eresser `a l’id´eal

I

h

={P ∈F

2

[t] :P·h(x)∈℘(F

qn

(x))}.

Le polynˆome minimalM

h

de cet id´eal est de degr´e exactementmet v´erifieM

h

|(t

n

+ 1) ; de plus, on

a un isomorphisme entreU etF

2

[t]/hM

h

i. Similairement, on trouve quemest le degr´e du polynˆome

M

h

minimal tel que P ·h(x)∈℘(F

q

(x)), etM

h

divise n´ecessairementM

h

.

Proposition 6.2.5 ([GS91]). Sous l’hypoth`ese que F

0

admet pour corps de constantesF

qn

, on a

g(F

0

) =

2m−1

X

i=1

g(F

i

),

o`u les F

i

sont les corps interm´ediaires F

qn

(x)⊂F

i

⊂F

0

tels que [F

i

:F

qn

(x)] = 2.

Par la th´eorie d’Artin-Schreier, les F

i

sont en correspondance avec les ´el´ements non nuls de

U 'F

2

[t]/hM

h

i, et sont tous de la formeF

qn

(x, z) o`uz

2

+z=P·hetP ∈F

2

[t]/hM

h

i. Connaissant

h etm, on peut alors en d´eduire le genre de F

0

.

Le fait queM

h

diviset

n

+1 limite les valeurs possibles dem, et permet dans certains cas d’obtenir

une borne inf´erieure sur le genre deF

0

ne d´ependant que den. Par exemple, pournpremier impair,

en introduisant la d´ecomposition en facteurs irr´eductiblesQ

i

Φ

n,i

dun-i`eme polynˆome cyclotomique

Φ

n

, on a

t

n

+ 1 = (t+ 1)Φ

n

(t) = (t+ 1)Y

i

Φ

n,i

(t).

Soit d

n,i

le degr´e de Φ

n,i

. Siζ est une racine de Φ

n,i

, elle engendre le corps F

2dn,i

surF

2

etd

n,i

est

donc le plus petit entier d tel que σ

2d

(ζ) = ζ

2d

=ζ. Comme ζ est une racine primitive n-i`eme de

l’unit´e, on a ζ

2d

=ζ si et seulement si 2

d

= 1 modn; on obtient ainsi que le degr´e de chacun des

Φ

n,i

est l’ordre de 2 dans (Z/nZ)

∗

, not´e ϕ

2

(n). Si Hn’est pas d´efinie sur F

q

, ceci implique que m

est de la forme kϕ

2

(n) ou kϕ

2

(n) + 1, avec k ∈N

∗

. Or les valeurs de n pour lesquelles ϕ

2

(n) est

petit sont relativement rares (tels les nombres de Mersenne ou les nombres de Fermat qui donnent

la valeur quasi-optimale pour m). En particulier, il n’y a qu’un nombre restreint de valeurs de n

pour lesquelles l’attaque GHS peut ˆetre efficace.

Il reste enfin `a d´eterminer l’´equation de C

0

, autrement dit ˜y tel que F =F

q

(x,y). Ceci impose˜

que F

0

= F

qn

(x, y

0

, . . . , y

m−1

) =F

qn

(x,y) et donc que le polynˆ˜ ome minimal de ˜y sur F

qn

(x) (qui

est aussi le polynˆome minimal de ˜ysurF

q

(x)) soit de degr´e 2

m

. Une possibilit´e est de prendre alors

pour ˜y :

˜

y=

n−1

X

i=0

σ

i

(θ)y

i

, avec{θ, σ(θ), . . . , σ

n−1

(θ)}base normale deF

qn

.

On v´erifie alors sans difficult´e queσ(˜y) = ˜y(donc ˜y∈F). De plus #{τ(˜y) :τ ∈Gal(F

0

/F

qn

(x))}=

2

m

= #Gal(F

0

/F

qn

(x)) ; en effetτ(˜y) =P

n−1

i=0

σ

i

(θ)τ(y

i

) = ˜y+P

n−1

i=0

σ

i

(θ)(τ(y

i

)+y

i

) o`uτ(y

i

)+y

i

∈

F

2

, et τ(˜y) = ˜y si et seulement si τ(y

i

) = y

i

pour tout i, i.e. si et seulement si τ = Id. Le

polynˆome minimal de ˜y sur F

qn

(x) est ainsi ´egal `a Q

τ∈

Gal

(F0/Fqn(x))

(T −τ(˜y)), de degr´e 2

m

, et

fournit une ´equation de la courbe C

0

d´efinie sur F

q

. Pour trouver l’application de recouvrement

π : C

0

(F

qn

) → E(F

qn

), il faut exprimer y = y

0

en fonction de ˜y; cela peut se faire en calculant

la base de Gr¨obner pour un ordre d’´elimination de l’id´eal de F

qn

(x)[y

0

, . . . , y

n

,y] contenant les˜

´

Cas des courbes elliptiques

Soit E une courbe elliptique ordinaire d´efinie sur F

qn

(o`u q = 2

d

), d’´equation y

2

+xy =

x

3

+ax

2

+b. En rempla¸cant y par yx+√b puis en divisant parx

2

, on obtient une ´equation de la

forme Artin-Schreiery

2

+y =x+a+√b/x. Une forme plus g´en´erale est obtenue par un changement

de variablex7→λx,λ∈F

qn

, on a alors

E: y

2

+y=h(x) o`u h(x) =βx+α+γ/x. (6.3)

Un argument simple sur le degr´e montre que si P ∈F

2

[t] est tel queP·h=℘(f) pour un certain

f ∈F

qn

(x) ouF

q

(x), alors n´ecessairementP·β=P·γ = 0. R´eciproquement, si P·β =P ·γ = 0,

alorsP·h=P·α∈℘(F

q

(x)) carP·α∈F

qn

⊂℘(F

q

). On introduit alors les polynˆomes minimaux

M

γ

et M

β

des id´eaux {P : P ·γ = 0} et {P : P ·β = 0} de F

2

[t] ; on vient de montrer que

M

h

=ppcm(M

β

, M

γ

). Pour d´eterminerM

h

, on note que si Tr

Fqn/F2

(α) = 0, alors P·αest toujours

dans℘(F

qn

) ; si Tr

Fqn/F2

(α) = 1, alorsP ·α∈℘(F

qn

) si et seulement si (t+ 1)|P. Par cons´equent,

M

h

=

(

ppcm(M

β

, M

γ

) si Tr

Fqn/F2

(α) = 0,

ppcm(M

β

, M

γ

, t+ 1) sinon.

En particulier, on am=msi et seulement si Tr

Fqn/F2

(α) = 0 ou (t+ 1)|M

h

. Sinest impair, ceci

peut se reformuler en

m=m⇔Tr

Fqn/F2

(α) = 0 ou Tr

Fqn/Fq

(β)6= 0 ou Tr

Fqn/Fq

(γ)6= 0.

Dans la suite, on suppose que m = m. Pour calculer le genre, on applique la Proposition 6.2.5.

Chacun des corpsF

i

apparaissant dans la formule a une ´equation de la forme z

2

+z= (P

i

·β)x+

P

i

·α+ (P

i

·γ)/xo`u P

i

est de degr´e inf´erieur `a celui M

h

. Le genre deF

i

vaut 1 sauf si P

i

·β = 0

ou P

i

·γ = 0, i.e. siM

β

|P

i

ou M

γ

|P

i

(commeM

h

=M

h

=ppcm(M

β

, M

γ

), on ne peut pas avoir les

deux conditions simultan´ement). On trouve alors que le genre de F

0

est

g(F

0

) = 2

m

−1−(2

m−degMβ

−1 + 2

m−degMγ

−1) = 2

m

−2

m−degMβ

−2

m−degMγ

+ 1. (6.4)

Lorsqueγ ∈F

q

ouβ ∈F

q

, il est facile de d´emontrer queC

0

est un recouvrement hyperelliptique.

Supposons par exemple que γ ∈F

q

(le raisonnement est identique lorsque β ∈ F

q

). CommeF

0

=

F

qn

(x, y

0

, . . . , y

m−1

) o`u les fonctions y

i

v´erifient les ´equations suivantes

y

02

+y

0

=βx+α+γ/x

..

.

y

m2−1

+y

m−1

=σ

m−1

(β)x+σ

m−1

(α) +γ/x,

en posant z

i

=y

i

+y

0

, on obtient le syst`eme d’´equations ´equivalent

y

02

+y

0

=βx+α+γ/x

z

12

+z

1

= (β+σ(β))x+α+σ(α)

..

.

z

m2−1

+z

m−1

= (β+σ

m−1

(β))x+α+σ

m−1

(α),

et F

0

= F

qn

(x, z

1

, . . . , z

m−1

)(y

0

). Par cons´equent, F

0

est une extension de degr´e 2 du corps de

fonctions F

qn

(x, z

1

, . . . , z

m−1

) de genre 0 ;F

0

est donc un corps hyperelliptique.

Ainsi en caract´eristique 2, on peut toujours se ramener, quitte `a faire un changement de variable,

`

a un recouvrement hyperelliptique. Mais bien entendu, ce recouvrement ne sera pas n´ecessairement

celui pour lequel la valeur du nombre magique m sera minimal.

Exemple 6.2.6. On consid`ere la courbe elliptique d´efinie sur F

27

'F

2

(θ) o`u θ

7

+θ

6

+ 1 = 0 (de

telle sorte que θ engendre une base normale de F

27

) d’´equation

E: y

2

+xy=x

3

+ (θ

2

+ 1).

En rempla¸cant y par yx+√θ

2

+ 1, on obtient l’´equation sous forme d’Artin-Schreier

E: y

2

+y=x+ (θ+ 1)/x.

La d´ecomposition en facteurs irr´eductibles de X

7

+ 1 est (X + 1)(X

3

+X

2

+ 1)(X

3

+X + 1),

et l’ordre de 2 modulo 7 est ϕ

2

(7) = 3, donc les valeurs possibles pour m sont 3,4,6 ou 7. Les

polynˆomes minimaux de β = 1 et γ = θ + 1 sont alors M

β

= X + 1 et M

γ

= P

6

i=0

X

i

, en

particulier M

h

= X

7

+ 1. Par cons´equent le genre du recouvrement obtenu par la m´ethode GHS

est g = 2

7

−2

6

−2 + 1 = 63. En posant y˜ = θy

0

+θ

2

y

1

+· · ·+θ

64

y

6

, o`u y

i

v´erifie l’´equation

y

i2

+y

i

= x+ (θ

2i

+ 1)/x, on trouve qu’une ´equation de C

0

, donn´ee par le polynˆome minimal

Q

τ∈

Gal

(F0/F27(x))

(T −τ(˜y)), est

x

16

(˜y

128

+ ˜y) =x

80

+x

48

+x

32

+x

24

+x

20

+x

18

+x

17

+x

8

+ 1.

Cependant cette ´equation masque le fait que la courbe C

0

est hyperelliptique puisque β ∈ F

2

. Le

sous-corps L

0

de genre 0 et d’indice 2 de F

0

est F

27

(x, z

1

, . . . , z

6

) o`uz

i

=y

i

+y

0

v´erifie l’´equation

z

i2

+z

i

= (θ

2i

+θ)/x. On montre que L

0

=F

27

(x, w) = F

27

(w) o`u w est une racine du polynˆome

X

64

+X

32

+· · ·+X

2

+X+ 1/x∈F

27

(x)[X], et que F

0

=F

27

(w,y), o`¯ u y¯=y

0

+· · ·+y

6

v´erifie

¯

y

2

+ ¯y=x; une ´equation de C

0

est donc

¯

y

2

+ ¯y =

6

X

i=0

w

2i

!

−1

,

qui se ram`ene `a un changement de variables pr`es `a l’´equation ´equivalente

¯

y

2

+ (

6

X

i=0

w

2i

)¯y=

6

X

i=0

w

2i

.

En rempla¸cantx par (θ

5

+θ

4

)x, on obtient une nouvelle ´equation d’Artin-Schreier pour E :

E: y

2

+y= (θ

5

+θ

4

)x+ (θ

3

+θ

2

)/x.

Pour cette ´equation, les polynˆomes minimaux de β = θ

5

+θ

4

et γ = θ

3

+θ

2

sont M

β

= M

γ

=

X

3

+X+ 1, en particulier M

h

=M

h

=X

3

+X+ 1 (puisque α= 0) etm=m= 3. Pour trouver

l’´equation de la courbe C

0

d´efinie sur F

2

de genre 2

3

−2

0

−2

0

+ 1 = 7qui recouvre E, on consid`ere

encore y˜=θy

0

+θ

2

y

1

+· · ·+θ

64

y

6

; la courbeC

0

(qui n’est pas hyperelliptique) est alors donn´ee par

x

2

(˜y

8

+ ˜y

4

+ ˜y) =x

6

+ 1.

Sur cet exemple, on voit que le choix de l’´equation de E a des grandes r´epercussions sur le type de

revˆetement obtenu.

Télécharger maintenant "Attaques algébriques d..."

Outline

Documents relatifs