Efficient Isogeny Computations on Twisted Edwards Curves

Abstract

The isogeny-based cryptosystem is the most recent category in the field of postquantum cryptography. However, it is widely studied due to short key sizes and compatibility with the current elliptic curve primitives. The main building blocks when implementing the isogeny-based cryptosystem are isogeny computations and point operations. From isogeny construction perspective, since the cryptosystem moves along the isogeny graph, isogeny formula cannot be optimized for specific coefficients of elliptic curves. Therefore, Montgomery curves are used in the literature, due to the efficient point operation on an arbitrary elliptic curve. In this paper, we propose formulas for computing 3 and 4 isogenies on twisted Edwards curves. Additionally, we further optimize our isogeny formulas on Edwards curves and compare the computational cost of Montgomery curves. We also present the implementation results of our isogeny computations and demonstrate that isogenies on Edwards curves are as efficient as those on Montgomery curves.

Stronger and Faster Side-Channel Protections for CSIDH

“…computing the image of a point under an isogeny). Our approach obtains a modest but still noticeable improvement with respect to previous proposals based on Montgomery representation, or hybrid strategies that propound combinations of Montgomery and twisted-Edwards representations [5,18,19,20,23].…”

Algorithms and complexity evaluation of 3- and 5-isogeny calculation of super singular Edwards curves

“…Итак, функцию (22) на основе (25), (26) можно записать как Эти алгоритмы отличаются наибольшей простотой и сравнительно малой стоимостью вычислений. В отличие от приведенного в работе [6] алгоритма вычисления 3-изогении мы используем вместо (8) более простое выражение (9) для функции ( , ) xy…”

Complexity of Calculation of 3- and 5-Isogenes of Supersingular Curves of Edwards

“…Подобное выражение найдено в работе [9], в которой вместо изогении, определяемой теоремой 2, за основу взята теорема 3 [4]. Эти теоремы дают разные определения для параметра d изогенной кривой  , в проективных координатах равенство (8) принимает вид:…”

“…Чтобы избежать инверсии при вычислении параметра d , в работе [9] предложено использовать проективные координаты изоморфной (1) кривой.…”

“…Среди многочисленных работ по этой проблематике выделим статьи [4,5,9], в которых получены формулы изогений для кривых в форме Эдвардса. Наш анализ в данной работе опирается на их результаты с использованием свойств суперсингулярных кривых [6].…”