Algorithmes de comptage de points d'une courbe définie sur un corps fini

HAL Id: hal-00840136

https://hal.inria.fr/hal-00840136

Submitted on 1 Dec 2016

HAL is a multi-disciplinary open access archive for the deposit and dissemination of sci- entific research documents, whether they are pub- lished or not. The documents may come from teaching and research institutions in France or abroad, or from public or private research centers.

L’archive ouverte pluridisciplinaire HAL, est destinée au dépôt et à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d’enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

sur un corps fini

Pierrick Gaudry

To cite this version:

Pierrick Gaudry. Algorithmes de comptage de points d’une courbe définie sur un corps fini. Karim Belabas. Explicit Methods in Number Theory Rational Points and Diophantine Equations, 36, SMF, 2013, Panoramas et synthèses. �hal-00840136�

D´EFINIE SUR UN CORPS FINI par

Pierrick Gaudry

1. Introduction : ´enonc´e du probl`eme

Soit q= pⁿ un puissance d’un nombre premier pet soit F_q le corps fini `a q ´el´ements. Soit C une courbe alg´ebrique projective lisse de genreg d´efinie sur le corpsF_q. La fonction Zˆeta deCest d´efinie par

Z(t) = exp



 X

k>1

Nk

t^k k



,

o`uNk est le nombre de points de C d´efinis sur F<sub>q</sub>k, que l’on notera aussi #C(F<sub>q</sub><sup>k</sup>). Le th´eor`eme de Weil (dont on peut trouver une preuve dans [64] par exemple) affirme queZ(t) est en fait une fraction rationnelle, ce qui signifie entre autres que connaˆıtre les premiers termes de la s´erie suffit pour calculer tous les autres termes. Plus pr´ecis´ement,Z(t) s’´ecrit

Z(t) = L(t) (1−t)(1−qt),

o`uL(t) =a0+a1t+· · ·+a2gt^2g est un polynˆome de degr´e 2gdont les coefficients sont des entiers v´erifiant

a0= 1, a2g=q^g, eta2g−i=q^g−iai, pour 06i6g.

De plus, les inverses des racines deL(t) sont de module √q (c’est l’´equivalent de l’hypoth`ese de Riemann pour les corps de fonctions), ce qui donne la borne|ai|6 ^2g_i

q^i/2, pour les coefficients deL(t).

La jacobienne de la courbeCque l’on notera Jac(C) est une vari´et´e ab´elienne dont les propri´et´es arithm´etiques sont li´ees `a celle de C. En particulier, le num´erateurL(t) deZ(t) est le polynˆome r´eciproque du polynˆome caract´eristique χπ(t) de l’endomorphisme de Frobenius π : x 7→ x<sup>q</sup> agissant sur Jac(C). Par ailleurs, le nombre de pointsF<sub>q</sub> rationnels de Jac(C) est donn´e parχπ(1), si bien que l’ordre du groupe des points rationnels de Jac(C) se d´eduit de Z(t). La r´eciproque est vraie dans le cas du genre 1 ou 2, mais la connaissance de χπ(1) ne suffit plus `a d´eterminer facilementZ(t) lorsquegest sup´erieur ou ´egal `a 3.

Nous nous int´eressons ici au probl`eme de calculerZ(t) ou ´eventuellement seulementχπ(1). Ce type de calcul intervient pour les applications suivantes : en th´eorie des codes correcteurs d’erreurs, pour un genre fix´e, le nombre de points sur une courbe indique la qualit´e du code que l’on peut cr´eer `a partir de celle-ci ; en cryptographie, connaˆıtre l’ordre du groupe des points de la jacobienne est n´ecessaire car si celui-ci est friable, le probl`eme du logarithme discret est facile, et donc aucune s´ecurit´e n’est `a esp´erer. Et bien sˆur, si l’on est capable de calculer efficacement les invariants associ´es `a une courbe, cela ne fait qu’enrichir les logiciels de calcul formel qui sont devenus des calculettes indispensables `a bon nombre de math´ematiciens.

Il existe des algorithmes qui permettent de calculerZ(t) : puisque tous les objets consid´er´es sont finis, il suffit d’´enum´erer. ´Evidemment cela ne suffit pas pour traiter des exemples de grande taille.

Dans nos mesures de complexit´e des algorithmes, la taille que nous prendrons comme r´ef´erence sera le produitnglogp; en effet c’est approximativement le logarithme de l’ordre du groupe consid´er´e.

En ce sens nous sortons du paradigme classique o`u le temps de calcul doit ˆetre ´evalu´e en fonction de la taille de l’objet donn´e en entr´ee, mais nous contournons ainsi une discussion sur le mod`ele de la courbe C. Cela dit, pour certains algorithmes le degr´e de l’´equation qui est fournie pour la courbe est une donn´ee plus cruciale que son genre.

L’objectif ultime est l’obtention d’un algorithme dont le temps de calcul soit born´e par un polynˆome ennglogp. Actuellement des r´esultats partiels vont dans cette direction, mais l’objectif n’est pas encore atteint siget logptendent tous les deux vers l’infini. Dans cet expos´e nous tentons de donner un aper¸cu de la situation d’aujourd’hui.

2. Survol des algorithmes disponibles

2.1. Les algorithmesℓ-adiques. — L’algorithme publi´e par Schoof en 1985 [59] pour compter le nombre de points d’une courbe elliptique sur un corps fini fut le premier algorithme a atteindre une complexit´e polynomiale. Il fut ensuite ´etendu aux vari´et´es ab´eliennes par Pila [54], puis par Adleman et Huang [1] ainsi que Huang et Ierardi [33].

La complexit´e est polynomiale en logq = nlogppour toute famille de courbes. Cette notion de famille, donn´ee par Pila, ne suffit pas pour conclure en toute g´en´eralit´e sur une complexit´e polynomiale ennlogpuniform´ement pour toutes les courbes de genre fix´e. Par exemple, ce r´esultat couvre toutes les courbes hyperelliptiques de genre fix´e.

On peut noter que l’algorithme original de Schoof est d´eterministe. Les extensions ont parfois

´et´e con¸cues en insistant pour conserver cette propri´et´e, au prix de complications importantes. Dans notre expos´e nous omettrons souvent de mentionner le caract`ere probabiliste ou d´eterministe des algorithmes, mˆeme si les avantages d’un algorithme d´eterministe ne sont pas `a n´egliger.

2.2. Les algorithmes sous-exponentiels. — Cette classe d’algorithmes a ´et´e initi´ee en 1994 par Adleman, DeMarrais et Huang [2] dans le cadre des courbes hyperelliptiques. Il s’agissait `a l’origine d’une premi`ere ´etape dans un calcul de logarithmes discrets dans la jacobienne d’une courbe hyperelliptique. La complexit´e, bien qu’heuristique, ´etait sous-exponentielle, sous la condi- tion que le genre croisse suffisamment vite par rapport `a nlogp.

L’algorithme initial a ´et´e ´etendu, am´elior´e, prouv´e dans certains cas par diverses personnes [52, 20, 21, 16] et finalement une version a ´et´e prouv´ee dans un cadre tr`es g´en´eral par Heß [32].

Ce type d’algorithme ne fournit pas toute la fonction Zˆeta, mais seulementχπ(1) et les diviseurs

´el´ementaires du groupe des points de la jacobienne.

Toutefois, tous ces algorithmes requi`erent que le corps fini et donc sa caract´eristique ne soient pas trop grands par rapport au genre de la courbe. Ainsi on entre dans le champ d’applications des algorithmesp-adiques, et d´esormais ces algorithmes sous-exponentiels ne sont plus les plus rapides (du moins asymptotiquement). Toutefois, si l’on est int´eress´e par la structure du groupe ou par des calculs de logarithme discret, cette approche est la bonne.

2.3. Les algorithmesp-adiques utilisant le rel`evement canonique. — En 1999, Satoh [57]

a invent´e une nouvelle m´ethode pour compter les points d’une courbe elliptique. S’appuyant sur le rel`evement p-adique canonique de la courbe, cette m´ethode fonctionne lorsque la caract´eristique du corps de base est petite. `Apfix´e, la complexit´e est meilleure que celle de l’algorithme de Schoof.

De nombreuses am´eliorations et g´en´eralisations ont eu lieu. Finalement, on dispose d’un algo- rithme en temps polynomial en npour calculer la fonction Zˆeta d’une courbe hyperelliptique de genre fix´e surF₂n. Cela ne change rien du point de vue th´eorique : ces cas ´etaient d´ej`a couverts par l’algorithme de Pila. Toutefois, l’algorithme est cette fois-ci tr`es pratique.

2.4. Les algorithmes p-adiques utilisant la cohomologie de Monsky-Washnitzer. — Peu de temps apr`es la publication de l’algorithme de Satoh, Kedlaya [37] a propos´e une autre m´e- thode de comptage de points utilisant un rel`evementp-adique, mais cette fois-ci, le rel`evement est quelconque et la cohomologie de Monsky-Washnitzer est l’outil qui permet de calculer la fonction Zˆeta.

Cet algorithme a une bonne complexit´e `a caract´eristiquepfix´ee. D´ecrit tout d’abord dans le cas des courbes hyperelliptiques sur un corps de caract´eristique impaire, il a ´et´e ´etendu en plusieurs

´etapes `a des classes de courbes de plus en plus larges. Finalement, pour les courbesCab, sur un corps de caract´eristiquepfix´ee, la complexit´e est polynomiale enng.

2.5. Les algorithmesp-adiques utilisant une approche `a la Dwork. — Toujours au d´ebut des ann´ees 2000, Lauder et Wan [42] ont propos´e une autre approche p-adique au probl`eme de comptage de points : leur algorithme suit la preuve de Dwork de la rationalit´e de la fonction Zˆeta. L’avantage de leur m´ethode est qu’elle est extrˆemement g´en´erale : elle permet de compter le nombre de solutions d’une ´equation polynomiale sur un corps fini, avec une complexit´e qui d´epend de mani`ere polynomiale en la taille du corps fini et en le degr´e du polynˆome, et exponentielle en le nombre de variables et en la caract´eristique du corps.

Telle quelle leur m´ethode a une complexit´e moins bonne que l’algorithme de Kedlaya dans les cas o`u ce dernier s’applique. Des am´eliorations ont ´et´e effectu´ees pour des classes particuli`eres de courbes [40, 43, 44], notamment en utilisant la cohomologie de Dwork, ce qui a permis de retrouver la mˆeme complexit´e que l’algorithme de Kedlaya pour les courbes hyperelliptiques.

A notre connaissance, tr`es peu d’exp´eriences pratiques ont ´et´e men´ees sur ce type d’algorithmes.` Vercauteren a effectu´e une implantation pour les courbes d’Artin-Schreier, mais sans que cela batte l’algorithme de Kedlaya.

Une variante plus fructueuse de cette approche est l’utilisation de la th´eorie de la d´eformation.

Lauder [41] a ouvert la voie, et des am´eliorations et extensions successives [35, 34, 36, 11]

ont r´ecemment abouti `a des algorithmes comp´etitifs. On trouvera une br`eve pr´esentation de ces d´eveloppements r´ecents dans le survol [12].

Dans cet expos´e, nous ne parlerons pas plus de cette classe d’algorithmes.

2.6. Les implantations. — Dans le diagramme de la figure 1, nous avons tent´e de r´esumer la situation actuelle pour ce qui est des implantations des algorithmes ci-dessus dans la litt´erature.

La surface dessin´ee est cens´ee repr´esenter la limite de ce que l’on est capable de traiter aujourd’hui, en tenant compte des algorithmes et de la puissance des ordinateurs. Ainsi, pour une courbe dont le triplet (n, g,logp) est sous la surface, on peut en principe calculer la fonction Zˆeta en un temps raisonnable. Nous avons de plus indiqu´e quelques points particuliers num´erot´es, la plupart sur cette surface ; ces points correspondent `a des«records»pour un certain type de courbes, et nous donnons quelques d´etails et les r´ef´erences pour chacun d’eux ci-dessous.

Il convient de noter que le diagramme n’a pas vocation `a ˆetre pr´ecis, par exemple le point 4 correspond en r´ealit´e `a n= 130 020 et le point 3 `a n= 50 021, ce qui n’est manifestement pas `a l’´echelle. Nous avons pr´ef´er´e faire un sch´ema le plus lisible possible et qui permette de situer les diff´erents r´esultats dans la litt´erature les uns par rapport aux autres.

Nous insistons sur le fait que ces calculs n’ont pas ´et´e faits `a la mˆeme date, ni par la mˆeme per- sonne, et donc que certaines de ces lignes peuvent certainement ˆetre pouss´ees plus loin aujourd’hui avec une implantation extrˆemement optimis´ee.

3. Complexit´e des op´erations alg´ebriques ´el´ementaires

Les algorithmes que nous ´etudions font fr´equemment intervenir des objets alg´ebriques de grande taille, tels que de grands entiers, ou des polynˆomes de grand degr´e. Dans ce contexte, il est tout `a fait pertinent d’utiliser des algorithmes asymptotiquement rapides pour les op´erations ´el´ementaires, typiquement `a base de transform´ee de Fourier rapide. La premi`ere op´eration de base que l’on ´etudie est la multiplication. En effet l’addition est typiquement un ordre de grandeur plus rapide que la multiplication et on n´egligera les additions lors de l’analyse d’un algorithme.

Fig. 1. Records de calcul de fonctions Zˆeta de courbes. Afin de rendre le diagramme lisible, celui-ci est uniquement figuratif : les coordonn´ees des points de records ne sont pas les vraies coordonn´ees. Les pointes sur les axes devraient ˆetre beaucoup plus pointues, en particulier pour celle le long de l’axe desn.

g log(p)

n

q1

q

2

q

3

q

4

q 5

q

6

q

7

q

8

q 9

q 10

q

11

q

12

g=1

g=2

g=3 Sch

oof

Kedlaya

Satoh-AGM

Nous utiliserons la mˆeme notationM(n) pour d´esigner l’une des deux notions suivantes : – le nombre d’op´erations ´el´ementaires dans un anneauR n´ecessaires pour multiplier deux po-

lynˆomes deR[x] de degr´e au plusn;

– le nombre d’op´erations bool´eennes n´ecessaires pour multiplier deux entiers d’au plusnchiffres binaires (bits).

Pour la multiplication d’entiers, on a les estimations suivantes pour M(n), selon la m´ethode utilis´ee. L’algorithme na¨ıf donneM(n)∈O(n²). L’algorithme de Karatsuba a une complexit´e qui donne M(n)∈O(n^log2(3)) =O(n^1.58...). Et finalement l’algorithme de Sch¨onhage-Strassen a une complexit´e deM(n)∈O(nlognlog logn). Ce dernier algorithme n’est pas simple `a implanter et n’est meilleur que les pr´ec´edents que pour de grandes valeurs de n. Nous renvoyons le lecteur `a [67] pour une description de ces m´ethodes.

Des variantes de ces algorithmes s’appliquent aussi pour les polynˆomes sur un anneau quel- conqueR. Cela dit, dans les cas simples, il est possible de ramener le probl`eme de multiplication de polynˆomes `a la multiplication d’entiers par la m´ethode de Kronecker-Sch¨onhage. Par exemple, soientf etg deux polynˆomes de Z[x] de degr´e au plusdet `a coefficients positifs de taille au plus n bits que l’on veut multiplier. On commence par calculer a = f(B) et b =g(B), o`u B est un entier plus grand que les coefficients du produit cherch´e. Ensuite on calcule le produitc=abdans Z. Et pour finir, on calcule le polynˆomeh=f g tel quec=h(B). Cette derni`ere ´etape est facile car la taille deB garantit que les coefficients ne se superposent pas : il suffit d’´ecrire l’entierc en baseB. Ainsi, sous r´eserve quensoit assez grand par rapport `ad, on a multipli´ef etg en temps O(M(nd)).

L´egende pour la figure 1

No png(type)R´ef.AlgorithmeCommentaire 1≈10250011[22]Schoof 255691[57]SatohPremi`ereimplantationd’unal- gorithmep-adique 32500211[29]AGM 421300201[29]AGMLavaleurdenpermetl’utilisa- tiondebasenormalegaussienne 5≈5·102412[27]Schoof 6232−532[6]SchoofUtilisationdel’op´erateurde Cartier-Manin 7240012[30]AGM/Richelot 82327702[46]AGM/BorchardtLavaleurdenpermetl’utilisa- tiondebasenormalegaussienne 9≈2,8·101713(Picard)[3,68]Ad-HocUtilisationd’unalgorithmeex- ponentieladapt´eauxcourbesde Picard 1025173(hyperell.)[26]Kedlaya 11240983(hyperell.)[46]AGM/Borchardt 11250023(non-hyperell.)[56]AGM/Borchardt 1221350(hyperell.)[65]Kedlaya

Cette strat´egie se g´en´eralise `a des anneaux plus compliqu´es o`u l’on doit ´evaluer plusieurs ind´e- termin´ees en des entiers bien choisis de mani`ere `a pouvoir lire le r´esultat apr`es une op´eration sur les entiers. Ainsi, si l’on a deux«objets alg´ebriques»de taillenbits, on peut souvent les multiplier en tempsO(M(n)) pour la fonction Mcorrespondant `a la multiplication d’entiers.

Apr`es la multiplication viennent les op´erations ´el´ementaires plus complexes, telles que la divi- sion, le PGCD, le PGCD ´etendu, le r´esultant de deux polynˆomes en une variable, l’interpolation ou l’´evaluation d’un polynˆome en une famille de points. En fait, pour toutes ces tˆaches il existe des algorithmes (en g´en´eral du typediviser pour r´egner) dont le temps de calcul est enO(M(n)) ou enO(M(n) logn) o`unest la taille des objets consid´er´es. L`a encore, nous renvoyons `a [67] qui contient une description de certains de ces algorithmes ainsi que des r´ef´erences pour approfondir dans cette direction.

En conclusion, dans la suite de cet expos´e, nous consid´ererons que les op´erations ´el´ementaires sur des objets alg´ebriques de taillen peuvent s’effectuer en ˜O(n) o`u la notation ˜O() signifie que l’on n´eglige l’´ecriture de certains termes logarithmiques.

Notons pour finir que pour la plupart des records mentionn´es ci-dessus, ce sont effectivement ces algorithmes asymptotiquement rapides qui sont implant´es, si bien que les estimations de complexit´e que nous ferons refl`etent assez bien la r´ealit´e.

4. L’algorithme de Schoof et ses g´en´eralisations

4.1. Un sch´ema d’algorithme de Schoof g´en´erique. — Soit A une vari´et´e ab´elienne de dimension g sur le corps fini F_q pour laquelle on cherche `a calculer le polynˆome caract´eristique χπ(t) de l’endomorphisme de Frobenius. Comme dit plus haut, dans le cas o`uA est la jacobienne d’une courbeC de genreg, c’est ´equivalent au calcul de la fonction Zˆeta de C.

Soitℓun nombre premier diff´erent de la caract´eristique du corps de base. Alors, le groupe des points deℓ-torsion deA, not´eA[ℓ] a une structure deZ/ℓZ-espace vectoriel de dimension 2g, sur lequel l’endomorphisme de Frobenius agit de mani`ereZ/ℓZ-lin´eaire. Le polynˆome caract´eristique de cette restriction de l’endomorphisme de Frobenius est alorsχπ(t) moduloℓ.

L’algorithme de Schoof et ses variantes consistent `a expliciter cette action de l’endomorphisme de Frobenius sur la ℓ-torsion de mani`ere `a d´eduire une partie deχπ(t). On r´ep`ete ensuite cette op´eration pour diff´erentes valeurs de ℓjusqu’`a ce que les bornes th´eoriques sur les coefficients de χπ(t) permettent de conclure par le th´eor`eme des restes chinois. Le nombre de chiffres du plus grand des coefficients de χπ(t) est born´e par une constante fois glogq; d’apr`es le th´eor`eme des nombres premiers, les nombres premiersℓ`a consid´erer sont donc de tailleO(glogq) et en nombre O(glogq).

Le caract`ere exponentiel en la dimensiongvient de la difficult´e `a manipulerA[ℓ]. En effet,A[ℓ]

contientℓ^2g points. Pour d´ecrire de mani`ere concise ce nombre exponentiel de points, on pourrait rˆever d’exploiter la structure d’espace vectoriel surZ/ℓZet ne calculer qu’avec 2gpoints formant une base de laℓ-torsion. Toutefois ce projet ne peut aboutir pour des raisons de corps de d´efinition.

En effet,A[ℓ] est d´efini surF_q dans son ensemble (c’est le noyau de la multiplication parℓqui est un morphismeFq-rationnel), mais les ´el´ements eux-mˆemes sont en g´en´eral d´efinis sur une grande extension deFq. De fait, connaˆıtre la plus petite extension sur laquelle on peut trouver une base de A[ℓ] est fortement reli´e `a la connaissance de χπ(t) moduloℓ qui est pr´ecis´ement ce que l’on cherche `a calculer.

Ainsi, les approches directes pour d´ecrireA[ℓ] vont requ´erir la donn´ee deℓ^2g points d´efinisdans leur ensemble sur F_q, ce qui se traduira au minimum par un polynˆome de degr´e environ ℓ^2g `a coefficients dansF_q. La taille de l’objet consid´er´e est donc de l’ordre deℓ^2glogq.

Une fois que l’on dispose d’une description algorithmique deA[ℓ], il s’agit de trouver le polynˆome caract´eristique de l’action deπsur cet espace vectoriel. Une op´eration qu’il paraˆıt difficile d’´eviter est le calcul effectif de l’image par π des points de A[ℓ]. Ceci se traduit par un calcul du type X^qmodf(X), o`u f(X) est un polynˆome dont les racines d´ecrivent les points de A[ℓ]. Par une m´ethode d’exponentiation binaire, ceci coˆuteO(logq) op´erations polynomiales modulo le polynˆome f(X), se qui fait donc au total O(logqM(ℓ<sup>2g</sup>logq)). Notons que ce calcul ne donne pas χπ(t) moduloℓ et qu’il reste encore du travail d’alg`ebre lin´eaire. Toutefois, cette premi`ere ´etape peut- ˆetre vue comme la plus coˆuteuse.

Si l’on r´esume, l’algorithme de Schoof proc`ede sch´ematiquement ainsi 1. Tant que l’on n’a pas assez d’information modulaire surχπ(t), faire :

(a) Choisir un nouveauℓpremier diff´erent de la caract´eristique ; (b) Calculer une description effective deA[ℓ] ;

(c) Calculer l’action deπsurA[ℓ] et en d´eduireχπ(t) modulo ℓ; 2. Reconstruireχπ(t) par le th´eor`eme des restes chinois.

D’apr`es la discussion pr´ec´edente, la boucle va ˆetre effectu´eeO(glogq) fois avec des premiersℓ de taille O(glogq). Le point 1.(b) n´ecessite de calculer un objet de taille de l’ordre de ℓ^2glogq,

on s’attend doncau mieux`a une complexit´e de O(ℓ<sup>2g</sup>logq) pour cette ´etape. Pour l’´etape 1.(c), nous avons vu que l’on s’attend `a un coˆut au mieux enO(logqM(ℓ^2glogq)) = ˜O(ℓ^2glog²q). Ainsi, en ´etant tr`es optimiste, l’algorithme sch´ematique de Schoof pourrait atteindre une complexit´e de O(g˜ ^1+2g(logq)^2g+3).

Dans le cas des courbes elliptiques, cette complexit´e est effectivement atteinte, puisque l’al- gorithme original de Schoof a un temps de calcul born´e par ˜O((logq)⁵). Dans le cas du genre 2, la complexit´e id´eale serait ˜O((logq)⁷), mais le meilleur algorithme connu a une complexit´e de O((log˜ q)⁸), `a cause principalement de la difficult´e `a calculer une description effective deA[ℓ].

Quoiqu’il en soit, la nature exponentielle en le genre de cet algorithme r´esidant principalement dans la taille de A[ℓ], on peut chercher `a ne travailler que dans un sous-espace de dimension inf´erieure, lorsqu’il en existe un. Cela n’est pas sans rappeler les am´eliorations apport´ees par Atkin et Elkies `a l’algorithme de Schoof dans le cas elliptique que nous allons maintenant rappeler rapidement.

4.2. Les courbes elliptiques : l’algorithme de Schoof et les am´eliorations d’Atkin et Elkies. — SoitE une courbe elliptique d´efinie sur un corps finiF_q d’´equationy²=x³+ax+b (on suppose la caract´eristique au moins 5, pour simplifier). Pour tout ℓ>3 premier, il existe un polynˆomeψℓdansF_q[x], appel´epolynˆome de divisiontel que

1. Pour tout point non nulP = (x, y) deE,ψℓ(x) = 0 si et seulement siℓ·P = 0.

2. Siℓ est premier `a la caract´eristique, le degr´e deψℓ est (ℓ²−1)/2.

Le calcul des polynˆomes de division ne pose pas de probl`eme : des formules r´ecurrentes per- mettent de calculer le polynˆomeψℓpar une m´ethode similaire `a l’exponentiation binaire en temps O(M(ℓ²)) op´erations dans le corps de base.

Ainsi dans le cas des courbes elliptiques, la situation est id´eale, puisque l’on peut calculer une repr´esentation de E[ℓ] en temps quasi-optimal.

SoitA^ℓ l’alg`ebreF<sub>q</sub>[x, y]/(ψℓ(x), y<sup>2</sup>−(x<sup>3</sup>+ax+b)). Le point de coordonn´ees (x, y) dansA<sup>ℓ</sup> est le point deℓ-torsion non nul g´en´erique deE. Le polynˆomeχπ(t) est de la formet<sup>2</sup>−ct+q, o`u l’entierc est appel´e la trace deE. Ainsi, l’´egalit´e

π²(x, y)−(cmodℓ)·π(x, y) + (qmodℓ)·(x, y) = 0,

est v´erifi´ee dans l’alg`ebreAℓ. Plus pr´ecis´ement, on peut montrer que cette ´equation n’est pas vraie si l’on met une autre valeur `a la place de (cmodℓ). Par la m´ethode d’exponentiation binaire, le calcul de π(x, y) = (x^q, y^q) et de π²(x, y) = (x^q2, y^q2) dans A^ℓ coˆute O(logq) op´erations dans A^ℓ. Une fois ces quantit´es obtenues, on peut tester la validit´e de l’´equation caract´eristique pour les diff´erentes valeurs possibles de (cmodℓ) au prix deO(ℓ) op´erations suppl´ementaires dansA^ℓ. Comme une op´eration dans A^ℓ a une complexit´e de ˜O(ℓ²logq), on obtient la valeur de χπ(t) modulo ℓ en temps O((ℓ+ logq)ℓ²logq). Comme |c| 6 2√q, on doit traiter O(logq) nombres premiersℓ diff´erents, le plus grand ´etant de l’ordre de logq. Finalement le temps de calcul total de l’algorithme de Schoof est de ˜O((logq)⁵).

On a affirm´e que l’´equation caract´eristique sur Aℓ n’´etait v´erifi´ee que pour la vraie valeur de (cmodℓ). Lorsque ℓ est premier, ce qui est vrai pour le point g´en´erique reste vrai mˆeme si l’on ne consid`ere qu’un seul point P non nul deE[ℓ]. En effet, s’il existec et c^′ deux entiers tels que π²(P) +c·π(P) +q·P =π²(P) +c^′·π(P) +q·= 0, alors on a imm´ediatement (c−c^′)·π(P) = 0, ce qui implique (c−c^′)·P = 0, et doncc≡c^′ moduloℓ. Ainsi, on peut r´ecup´erer toute l’information souhait´ee mˆeme si l’on ne travaille que dans un sous-espace deE[ℓ].

Les sous-groupes deE[ℓ] sont en correspondances avec les isog´enies de domaineE, et celles-ci sont param´etr´ees par les ´equations modulaires. D’o`u l’entr´ee en sc`ene de Φℓ(X, Y), le polynˆome modulaire de degr´eℓ. Soitj l’invariant modulaire de la courbeE. Alors le polynˆome Φℓ(X, j) est un polynˆome de degr´eℓ+ 1 surFq; `a chacune de ses racinesj<sup>∗</sup>correspond une courbeE<sup>∗</sup>qui estℓ- isog`ene `aE. Le noyau d’une telle isog´enie est un sous-groupe d’ordreℓdeE[ℓ], et r´eciproquement

`

a tout sous-groupe d’ordre ℓ de E[ℓ] on peut associer une racine de Φℓ(X, j). On a ainsi des

correspondances bijectives

racines de Φℓ(X, j) ↔ ℓ-isog´eniesE→E^∗ ↔ sous-groupes d’ordre ℓdeE[ℓ].

De plus ces correspondances respectent la rationalit´e : l’extension de Fq d´efinie par la racine consid´er´ee est exactement le corps de d´efinition de l’isog´enie et du sous-groupe correspondant (sauf dans certains cas facilement d´etectables o`u Φℓ(X, j) a des racines multiples). L’algorithme SEA, pour Schoof-Elkies-Atkin, proc`ede donc ainsi pour chaqueℓ :

1. Calculer Φℓ(X, j) ;

2. D´ecider si ce polynˆome a une racine dansFq et si oui, en exhiber une que l’on notej^∗; 3. Calculer le facteur gℓ(X) de ψℓ(X) dont les racines sont les abscisses des points du sous-

groupe deE[ℓ] correspondant `aj^∗;

4. Calculer l’action de π sur E[ℓ] en v´erifiant l’´equation caract´eristique du Frobenius dans l’alg`ebreB^ℓ=Fq[x, y]/(gℓ(x), y²−(x³+ax+b)) ;

L’avantage de cet algorithme par rapport au pr´ec´edent est que Φℓ(X, j) etgℓsont des polynˆomes de degr´eO(ℓ), `a comparer au degr´eO(ℓ<sup>2</sup>) pourψℓ. Discutons bri`evement chaque ´etape. En premier lieu, il s’agit de calculer le polynˆome modulaire instanci´e en j. La meilleure m´ethode connue actuellement (du moins si le corps de base est un corps premier) est de commencer par calculer le polynˆome Φℓ(X, Y) sur Z, ce qui coˆute asymptotiquement ˜O(ℓ³), de le r´eduire modulo p et d’instancier Y, ce qui coˆute ˜O(ℓ²(ℓ+ logq)). ´Evidemment, on peut consid´erer que l’obtention de Φℓ(X, Y) est un pr´ecalcul, mais du point de vue de la complexit´e cela n’est pas strictement n´ecessaire. Dans l’´etape 2, le calcul dominant est celui deX^qmod Φℓ(X, j) dont la complexit´e est O(ℓ(log˜ q)²). Notons que les motifs de factorisation de Φℓ(X, j) sont extrˆemement contraints et l’on renvoie `a [60] pour plus de d´etails. La partie 3 est une partie d´elicate en effet, l’algorithme utilis´e en grande caract´eristique utilise un rel`evement versCde mani`ere `a pouvoir consid´erer les formes modulaires et les fonctions elliptiques associ´ees aux objets alg´ebriques. Nous renvoyons de nouveau `a [60] pour ces questions. Des identifications des coefficients de d´eveloppements en s´erie de Fourier fournissent alors des identit´es qui sont ensuite r´eduites sur le corps fini F<sub>q</sub> de d´epart, ce qui permet de calculer gℓ enO(ℓ<sup>2</sup>) op´erations dansF<sub>q</sub>, sans avoir `a calculerψℓ. Dans le cas o`u la caract´eristique est petite, cette approche ´echoue car les coefficients de Fourier ont des d´enominateurs jusqu’`aO(ℓ), et donc pour pouvoir les r´eduire il est n´ecessaire d’avoir p≫ℓ. Des algorithmes dus `a Couveignes et Lercier [15, 45, 47] permettent alors de s’en sortir. La derni`ere

´etape se d´eroule comme dans l’algorithme de Schoof original, mais avec une alg`ebre plus petite.

La complexit´e est de ˜O((ℓ+ logq)ℓ) op´erations dansF_q.

Ainsi, pour toutℓtel que Φℓ(X, j) ait une racine dansF_q, l’algorithme SEA permet de calculer χπ(t) modulo ℓ en temps ˜O((ℓ+ logq)ℓlogq). Heuristiquement, pour une courbe al´eatoire, on s’attend `a ce que la moiti´e desℓaient cette propri´et´e, si bien que la complexit´e totale de l’algorithme SEA est de ˜O((logq)<sup>4</sup>). Cette complexit´e est non prouv´ee mais refl`ete bien ce que l’on observe en pratique.

4.3. Les courbes de genre sup´erieur. — La tˆache premi`ere lorsque l’on veut ´etendre l’algo- rithme de Schoof aux courbes de genre sup´erieur est de trouver une repr´esentation des ´el´ements deA[ℓ] qui permette de calculer efficacement l’action de Frobenius. Pour cela, on va utiliser une repr´esentation des vari´et´es en question sous forme d’id´eaux. G´eom´etriquement, A[ℓ] est une va- ri´et´e alg´ebrique de dimension 0 et de degr´eℓ<sup>2g</sup>. LorsqueAest la jacobienne d’une courbe de genre g, on peut repr´esenter les ´el´ements g´en´eriques deA par 2g coordonn´ees, grˆace `a l’application du produit sym´etriqueC^(g)versA; en effet, il suffit alors de prendre les fonctions sym´etriques de deux coordonn´ees de chaque point d’un mod`ele affine plan deC. En utilisant cette repr´esentation par 2gcoordonn´ees, on peut d´ecrire A[ℓ] par l’id´eal radical des polynˆomes en 2g variables s’annulant exactement en les points deA[ℓ].

Si l’on applique ce programme aux courbes elliptiques, on retrouve pr´ecis´ement l’id´eal engendr´e parψℓ(x) ety²−(x³+ax+b) qui a servi `a d´efinir l’alg`ebreA^ℓutilis´ee dans l’algorithme de Schoof original.

Consid´erons maintenant le cas o`u A est la jacobienne d’une courbe de genre g > 1, dont un ouvertU est repr´esent´e par des coordonn´ees (x1, . . . , x2g). Alors l’intersection de U et de A[ℓ] est une vari´et´e de dimension 0, de degr´eℓ<sup>2g</sup>−ε, o`uǫest le nombre de points deA[ℓ] que l’on ne peut pas repr´esenter avec nos coordonn´ees. Par exemple dans le cas elliptique, le point 0 est le seul qui n’est pas pris en compte dans l’alg`ebreAℓ, doncε= 1. Notons (x<sup>(i)</sup><sub>1</sub> , . . . , x<sup>(i)</sup><sub>2g</sub>) les coordonn´ees dui-`eme point de A[ℓ]∩U, pour i allant de 1 `a ℓ<sup>2g</sup>−ε. Alors sous l’hypoth`ese que x1 est une coordonn´ee s´eparante pour ces points, l’id´eal est engendr´e par des polynˆomes que l’on peut mettre sous la forme

Iℓ=











P(X1) =Qℓ^2g−ε

i=1 (X1−x⁽ⁱ⁾₁ ) X2−P2(X1)

...

X2g−P2g(X1),

o`u pour toutk,Pk est le polynˆome de degr´e inf´erieur `aℓ^2g−εtel que pour touti,x⁽ⁱ⁾_k =Pk(x⁽ⁱ⁾₁ ).

Avec notre hypoth`ese, il s’agit de simples polynˆomes interpolateurs de Lagrange. Une autre mani`ere de dire les choses est de parler de base de Gr¨obner r´eduite pour l’ordre lexicographique.

La question de la rationalit´e se pose alors. La vari´et´e Aℓ est d´efinie surF_q. Les coordonn´ees (x1, . . . , x2g) sont suppos´ees choisies de telle sorte qu’elles respectent la rationalit´e : si un point deU est d´efini sur une extensionF_qk, alors ses coordonn´ees dans ce syst`eme sont des ´el´ements de F_qk. De plus on suppose que le compl´ementaire deU est rationnel. C’est en g´en´eral automatique : si un point deAn’est pas repr´esentable par les coordonn´eesxi, alors ses conjugu´es ne le sont pas non plus. Dans ces conditions, l’id´ealIℓd´ecrit une vari´et´e qui est elle-mˆeme d´efinie surF_q, et donc les polynˆomesP et Pk sont d´efinis surF_q.

Une fois l’id´ealIℓ calcul´e, on peut cr´eer un point de torsion g´en´erique en consid´erant l’alg`ebre quotient associ´ee. Il ne reste plus qu’`a calculer l’action de l’endomorphisme de Frobenius sur ce point de torsion g´en´erique pour d´eduire χπ(t) modulo ℓ, comme dans l’algorithme de Schoof elliptique.

Quelques complications apparaissent. Tout d’abord, on s’attend g´en´eriquement `a ce queεreste sous contrˆole. Typiquement, le point 0 est souvent exclus par le syst`eme de coordonn´ees affine car situ´e `a l’infini, comme dans le cas elliptique, mais c’est le seul qui n’est pas pris en compte dans l’id´eal Iℓ. Toutefois rien ne garantit que l’on soit toujours dans ce cas typique : si l’on n’a pas de chance, ou si l’on a fait un choix de coordonn´ees particuli`erement malheureux, il est possible queA[ℓ]∩U soit vide. Par la suite, mˆeme si l’id´ealIℓ capture suffisamment d’information, il est envisageable que lors des calculs dans l’alg`ebre quotient on en vienne `a vouloir repr´esenter dans cette alg`ebre un point qui n’est pas dansU (issu par exemple de l’application de la loi de groupe dansA). Cette fois-ci cela se traduirait par des divisions par z´ero. L`a encore, on s’attend `a ce que l’ouvertU couvre suffisamment Apour que cela n’arrive que tr`es rarement, mais on ne peut pas l’exclure a priori.

D’un point de vue pratique, on peut ´eluder la question : si dans une ex´ecution d’un programme on tombe sur un des canulars pr´ecit´es, on peut ais´ement le d´etecter et retenter le calcul apr`es un changement al´eatoire de coordonn´ees. D’un point de vue th´eorique, c’est un tout autre probl`eme.

Prouver qu’une randomisation de ce type ou tout autre strat´egie dynamique va effectivement fonctionner et r´eussir `a estimer le temps de calcul moyen n’est pas simple. Si de plus on souhaite rester dans le monde d´eterministe, la situation est encore plus d´elicate. Nous ne rentrerons pas plus avant dans les d´etails et renvoyons le lecteur int´eress´e aux articles sur le sujet [54, 33, 1].

4.3.1. Le cas du genre 2. — Afin d’illustrer les propos ci-dessus, nous allons d´evelopper le cas des courbes de genre 2, qui est `a notre connaissance le seul cas non elliptique pour lequel une implantation existe. Toute courbe de genre 2 est hyperelliptique. Nous nous restreignons au cas o`u il existe un point de Weierstraß rationnel, car dans ce cas la loi de groupe est un peu plus simple.

Soit donc C une courbe d’´equationy² = f(x) sur le corps fini Fq de caract´eristique impaire, o`u f est un polynˆome de degr´e 5, sans facteur carr´e, que l’on peut supposer unitaire sans perte de g´en´eralit´e. Notons∞l’unique place au-dessus du point `a l’infini deC. Les points de la jacobienne deCpeuvent ˆetre vus comme des classes de diviseurs surC modulo les diviseurs principaux. Nous