超特異同種写像ディフィー・ヘルマンのソースを表示

'''超特異同種写像ディフィー・ヘルマン鍵共有''' (ちょうとくいどうしゅしゃぞうディフィー・ヘルマンかぎきょうゆう、{{lang-en|Supersingular isogeny Diffie–Hellman key exchange}}、略称: '''SIDH''')は、{{日本語版にない記事リンク|耐量子|en|post-quantum cryptography}}暗号アルゴリズムであり、安全でない通信路を用いて二者間で共通鍵を共有するために用いられるプロトコルである。[[ディフィー・ヘルマン鍵共有]]のアナロジーであるが、{{仮リンク|超特異同種写像グラフ|en|supersingular isogeny graph}}に基づいており、[[量子コンピュータ]]を利用した攻撃に対して耐性があるように設計されている。SIDHは、耐量子鍵交換方式の中では最も短い公開鍵長を誇っており、鍵圧縮テクニックを用いると、128ビット量子安全を達成する公開鍵は2688ビットとなる<ref>{{Cite journal|last = Costello|first = Craig|last2 = Jao|first2 = David|last3 = Longa|first3 = Patrick|last4 = Naehrig|first4  = Michael|last5 = Renes|first5 = Joost|last6 = Urbanik|first6 = David|date = 2016-10-04|title = Efficient compression of SIDH public keys|url = https://eprint.iacr.org/2016/963}}</ref>。
また、[[NTRU暗号|NTRU]]や{{仮リンク|Ring-LWE|en|Ring learning with errors}}などの他の耐量子鍵交換方式と異なる点として、[[Forward secrecy|フォアワードセキュリティ]]という性質を持つこともあげられる。この性質は、長期間使用される秘密鍵がある時点で漏洩してしまったとしても、それ以前のセッションの機密性が脅かされることがない、という性質である。
これらの性質により、現在インターネット通信において広く用いられている[[ディフィー・ヘルマン鍵共有]]（DHE）や[[楕円曲線ディフィー・ヘルマン鍵共有]]（ECDHE）を置き換える耐量子プロトコルの候補である。

== 概要 ==

ある種の問題に対しては、[[量子コンピュータ]]上で動くアルゴリズムは、従来の古典コンピュータ上のアルゴリズムに比べて低い[[計算の複雑さ]]を達成しうる。つまり、最も効率の良い古典アルゴリズムよりも早く問題を解くことができる場合がある。例えば、素因数分解問題を解く最も良い古典アルゴリズムである[[一般数体ふるい法]]は[[準指数時間]]であるのに対して、量子コンピュータ上で動作する[[量子コンピュータ#ショアのアルゴリズム|ショアのアルゴリズム]]は素因数分解を[[多項式時間]]で実行できる。これは、[[公開鍵暗号]]においては重要なことである。代表的な[[公開鍵暗号]]である[[RSA暗号]]の安全性は[[素因数分解]]の困難性に依存している。また、ショアのアルゴリズムは、[[ディフィー・ヘルマン鍵交換]]、[[楕円曲線ディフィー・ヘルマン鍵交換]]、[[楕円曲線DSA]]、[[エルガマル暗号]]などの多くの暗号システムの安全性が依拠する[[離散対数]]問題も効率的に解くことができる。
2020年現在の量子コンピュータはまだ小規模であるが、現在進められている開発が進み大規模な量子コンピューターが実現されれば、[[Transport Layer Security|TLS / SSL]]などで利用されている現代の暗号プロトコルは破られてしまうため、量子コンピュータに対しても耐性のある暗号（耐量子暗号）の開発が促進されている<ref>{{cite web|last=Utsler|first=Jim|title=Quantum Computing Might Be Closer Than Previously Thought|url=http://www.ibmsystemsmag.com/mainframe/trends/IBM-Research/quantum_computing/|publisher=IBM|accessdate=27 May 2013|year=2013}}</ref>。

SIDHは2011にDe Feo, Jao, Plutの三者によって開発された<ref name=defeo>{{cite web|last=De Feo|first=Luca|title=Towards quantum-resistant cryptosystems from supersingular elliptic curve isogenies|url=http://eprint.iacr.org/2011/506.pdf|work=PQCrypto 2011|publisher=Springer|accessdate=4 May 2014|author2=Jao, Plut }}</ref>。
従来の[[楕円曲線暗号]]の演算を使っており、特許は申請されていない。SIDHは[[Forward secrecy|フォアワードセキュリティ]]を持ち、長期間保存される秘密鍵の安全性に依存しない。フォアワードセキュリティは、暗号通信の長期間の安全性を向上させ、{{仮リンク|集団監視攻撃|en|mass surveillance}}から通信を守り,  [[Heartbleed|ハートブリード攻撃]]のような脆弱性による影響を減少させる<ref>{{cite web|last=Higgins|first=Parker|title=Long Term Privacy with Forward Secrecy|url=https://www.eff.org/deeplinks/2011/11/long-term-privacy-forward-secrecy|publisher=Electronic Frontier Foundation|accessdate=4 May 2014}}</ref><ref>{{cite web|last=Zhu|first=Yan|title=Why the Web Needs Perfect Forward Secrecy More Than Ever|url=https://www.eff.org/deeplinks/2014/04/why-web-needs-perfect-forward-secrecy|publisher=Electronic Frontier Foundation|accessdate=4 May 2014}}</ref>。

== 背景 ==
<!-- I just couldn't live with the description of the j-invariant as a "fixed function of a set of isomorphic curves" (????) -->

ヴァイエルシュトラス方程式<math>y^2 = x^3 + ax + b</math>で表現される楕円曲線の[[j-不変量]](j-invaliant) は、次式で与えられる。

:<math> j(E) = 1728 \frac{4a^3}{4a^3+27b^2}</math>.

[[群同型|同型]](isomorphic)の曲線は同じj-不変量を持つ。[[代数閉体|代数的に閉じている体]]においては、同じj-不変量を持つ二つの楕円曲線は同型である。

超特異同種ディフィー・ヘルマンプロトコル（SIDH）では、超特異楕円曲線（の同型類）と曲線間の同種写像を用いる。
<!-- 以下のグラフについての記述は割愛．以降で使っていないので． 
The supersingular isogeny Diffie-Hellman protocol (SIDH) works with the graph whose vertices are (isomorphism classes of) supersingular elliptic curves and whose edges are isogenies between those curves.-->
2つの楕円曲線 <math>E</math> と <math>E'</math> の間の[[楕円曲線#同種|同種写像]] <math>\phi: E \to E'</math> は、群準同型性を持つ{{仮リンク|有理写像|en|rational map}}のことを言う。
<!-- もし[[Separable extension|separable]]ならば、-->
曲線 <math>E</math> の任意の巡回部分群 <math>G</math> に対して、<math>G</math> を[[カーネル]]として持つ同種写像 <math>\phi</math> と写像先の曲線 <math>E'</math> は、（同型である曲線を同一とみなせば）一意に定まる。
<math>E</math> とその巡回部分群<math>G</math>から、<math>\phi:E\to E'</math> かつ <math>Ker(\phi)=G</math> であるような <math>\phi, E'</math> を求める方法は、Véluによって与えらえている。
<ref>{{Cite journal|first = Vélu|last = J.|title = Isogénies entre courbes elliptiques|journal = C.R. Acad. Sc. Paris, Série A., |volume = 273|pages = 238–241|year = 1971}}</ref>

SIDHのセットアップでは、<math>p = w_A^{e_A}\cdot w_B^{e_B}\cdot f \mp 1</math> の形をした素数 <math>p</math> と、体 <math> \mathbb{F}_{p^2}</math> の上で定義される超特異楕円曲線 <math>E</math> を用意する。
ただし、<math>w_A</math> と <math>w_B</math> は異なる（小さな）素数であり、指数 <math>e_A</math> と <math>e_B</math> は大きな自然数であり、<math>f</math> は小さな係数である。このような曲線 <math>E</math> は、二つの大きな[[捩れ部分群]](torsion subgroups)  <math>E[w_A^{e_A}]</math> と <math>E[w_B^{e_B}]</math> を持つ。これらの部分群はそれぞれアリスとボブに割り当てられる。（添え字 A がアリスを表し、Bはボブを表す。）
鍵共有プロトコルを実行するとき、まずアリスは自分の捩れ部分群 <math>E[w_A^{e_A}]</math> の（秘密の）巡回部分群をランダムに選び、対応する（秘密の）同種写像とターゲット楕円曲線を計算する。そして、ターゲット楕円曲線と、同種写像によるボブの捩れ部分群 <math>E[w_B^{e_B}]</math> の像(image)に関する情報をボブに送る。ボブも同様に、<math>E[w_B^{e_B}]</math> の部分群を選んで同種写像とターゲット楕円曲線と、自分の同種写像によるアリスの捩れ部分群 <math>E[w_B^{e_B}]</math> の像に関する情報をアリスに送る。
これによってアリスとボブは、 二人の秘密の巡回部分群によって決まるカーネルを持つような新しい（<math>E</math> の）同種写像をそれぞれ計算できるようになる。二人が計算して得る同種写像のカーネルは一致するため、その新しい楕円曲線は同型であり、共通のj-不変量を持つので、その j-不変量を共通鍵とすればよい。

この方式の安全性は、小さい方の捩れ部分群に依存しているため、<math>w_A^{e_A} \approx w_B^{e_B}</math> であるように選ぶ必要がある。
詳細については、De Feoによる文献に示されている。<ref>{{cite arxiv|title = Mathematics of Isogeny Based Cryptography|eprint = 1711.04062|date = 2017|first = Luca|last = De Feo|class = cs.CR}}</ref>

<!-- I am commenting this out because it has little to do with efficiency. Anyone that understands post-quantum crypto is welcome to clean it up.
There are several different ways to compute isogenies given a point in the kernel of the isogeny.  However, the optimal strategy for a prime p, as described above has work less than O(w<sub>i</sub><sup>e<sub>i</sub></sup>) (i = A or B).  Because of this, the value for w<sub>i</sub> is often chosen as 2 or 3.  With that choice the value of e<sub>i</sub> is chosen to provide the desired security level.  The mathematics of composing isogenies use a set of formulas by Velu.  For these formulas and a discussion of isogeny computation, see "Isogenies of Elliptic Curves:  A Computational Approach" by Shumow.<ref>{{cite arxiv|title = Isogenies of Elliptic Curves: A Computational Approach|arxiv= 0910.5370|date = 2009-10-27|first = Daniel|last = Shumow}}</ref>  Further aspects of isogeny computation are found in the work of Moody and Shumow.<ref>{{Cite web|title = Analogues of Velu's Formulas for Isogenies on Alternate Models of Elliptic Curves|url = http://eprint.iacr.org/2011/430|date = 2011|first = Dustin|last = Moody|first2 = Daniel|last2 = Shumow|access-date = 5 Jan. 2020}}</ref> -->

== 安全性 ==

SIDHの安全性は、点の数が等しい二つの超特異楕円曲線の間の同種写像を見つける問題と密接に関係してる。
考案者である De Feo、Jao、Plut の３人は、SIDHへの最良の攻撃はrelated {{仮リンク|claw finding problem|en|claw finding problem}}を解くことであり、従って古典計算機での計算複雑さは O(p<sup>1/4</sup>)、量子計算機では O(p<sup>1/6</sup>) であるとしている。これは、768ビットの素数 p を用いるSIDHが 128ビット安全性を持つことを意味する<ref name=defeo />。
2014年の Delfs and Galbraith による研究により、古典計算機での同種写像問題の計算量は O(p<sup>1/4</sup>) であることが確認されている<ref>{{cite arXiv|eprint = 1310.7789|title = Computing isogenies between supersingular elliptic curves over F_p|date = 29 Oct 2013|last = Delfs|first = Christina|last2 = Galbraith|class = math.NT}}</ref>。
SIDHの安全性については、Biasse, Jao and Sankarによる研究や Galbraith, Petit, Shani and Ti による研究によって O(p<sup>1/4</sup>) であることが確認されている（古典計算機の場合）<ref>{{Cite web|url=http://cacr.uwaterloo.ca/techreports/2014/cacr2014-24.pdf|title=A quantum algorithm for computing isogenies between supersingular elliptic curves|last=biasse|date=|website=|publisher=CACR|access-date=11 December 2016}}</ref>
<ref>{{Cite web|url=https://eprint.iacr.org/2016/859.pdf|title=ON THE SECURITY OF SUPERSINGULAR ISOGENY CRYPTOSYSTEMS|last=Galbraith|date=|website=|publisher=IACR|access-date=5 Jan 2020}}</ref>。

== 超特異同種写像ディフィー・ヘルマン方式 ==
<!-- 英語版の効率の項目は，方式説明の後へ移動．--> 

SIDHのいくつかのステップは複雑な同種写像の計算を含んではいるが、プロトコルの全体の流れは自体は、ディフィー・ヘルマン鍵共有方式やその楕円曲線版を知っている人にとっては分かりやすい。

=== セットアップ ===

公開パラメータは以下を含む。
（ネットワーク上の誰でもが使えるようにしても良いし、鍵交換に先立ちアリスとボブの間で同意してもよい。）

# <math>p = w_A^{e_A}\cdot w_B^{e_B}\cdot f \pm 1 </math> の形をした素数 <math>p</math>。
# <math> \mathbb{F}_{p^2}</math> 上の超特異楕円曲線 <math>E</math>。
# 楕円曲線 <math>E</math> の上にある４つの点 <math>P_A, Q_A, P_B, Q_B</math>。
# <math>P_A</math> と <math>Q_A</math> の位数 <math> (w_A)^{e_A}</math>、<math>P_B</math> と <math>Q_B</math> の位数 <math>(w_B)^{e_B}</math>。

=== 鍵交換プロトコル ===

アリスとボブが鍵交換をするとき、共通の楕円曲線 E からの同種写像をそれぞれが作る。そのために、同種写像の核空間(kernel)を定義するランダムな点（<math>R_A</math> または <math>R_B</math>）を生成する。<math>R_A</math> は二点 <math>P_A, Q_A</math> のランダムな線形結合であり、<math>R_B</math> は <math>P_B, Q_B</math> のランダムな線形結合である。異なる点のペアを使うことで、二人が選ぶ同種写像は必ず異なり、非可換である。

<math>R_A</math>（あるいは <math>R_B</math>）から、アリス（あるいはボブ）はVeluの公式[http://eprint.iacr.org/2011/430.pdf Velu's formulas]を用いて同種写像 <math>\phi_A</math>（あるいは <math>\phi_B</math>）を計算する。 さらに、ボブは二つの点 <math>\phi_B(P_A)</math> と <math>\phi_B(Q_A)</math> を、アリスは <math>\phi_A(P_B)</math> と <math>\phi_A(Q_B)</math> を得る。
二人は、計算した二つの点を通信路を介して交換する。

次に、アリスとボブは、それぞれ受け取った二点から新たな同種写像を生成する。そのため、受け取った二点を上で用いたのと同じ係数を使って線形結合して、点 <math>S_{BA}</math> と <math>S_{AB}</math> を得る。ここでまた Veluの公式を使って <math>S_{BA}</math> と <math>S_{AB}</math> に対応する同種写像および新しい楕円曲線を計算する。

鍵交換を完了するには、アリスとボブはそれぞれ得られた楕円曲線の係数から j-不変量を計算する。通信路上でエラーが起こらない限り、二人が計算した j-不変量は等しくなる。

具体的には、プロトコルは以下のように動作する：（以下ではアリスはA、ボブはBと表記する）

1A. Aは二つのランダム整数 <math>m_A, n_A ( < (w_A)^{e_A})</math> を選ぶ。
 
2A. Aは <math>R_A  := m_A \cdot (P_A)+ n_A\cdot (Q_A)</math> を計算する。

3A. Aは <math>R_A</math> を用いて同種写像 <math>\phi_A: E\rightarrow E_A</math> と、<math>E</math> と同種な楕円曲線 <math>E_A</math> を生成する。 

4A. Aは <math>\phi_A</math> を点 <math>P_B</math> と <math>Q_B</math> に適用して、 <math>E_A</math> 上の二点 <math>\phi_A(P_B) </math> と <math>\phi_A(Q_B) </math> を計算する。

5A. AはBに <math> E_A, \phi_A(P_B),\phi_A(Q_B)</math> を送る。

1B - 4B: Bは、1A～4Aを、添え字AとBとを入れ替えて実行する。

5B. BはAに <math>E_B,\phi_B(P_A), \phi_B(Q_A)</math> を送る。

6A. Aは <math>m_A, n_A, \phi_B(P_A), \phi_B(Q_A)</math> から <math>E_B</math> 上の点 <math>S_{BA} := m_A(\phi_B(P_A)) + n_A(\phi_B(Q_A))</math> を計算する。

7A. Aは <math>S_{BA}</math> を用いて <math>E_B</math> と同種な楕円曲線 <math>E_{BA}</math> を生成する。

8A. Aは曲線 <math>E_{BA}</math> の j-不変量 <math> K_A := j(E_{BA})</math> を計算する。

6B - 8B: Bは、6A～8Aを、添え字AとBを入れ替えて実行し、<math> K_B :=  j(E_{AB})</math> を得る。

二つの曲線 <math>E_{AB}</math> と <math>E_{BA}</math> は同型であり、したがって必ず同じ j-不変量を持つため、<math> K:= K_A = K_B</math>  が成り立つ。<math>K</math> を何らかの関数で変換したものを共有鍵として使用する。<ref name="defeo"/>

== サンプルパラメータ ==

以下に示すパラメータは、De Feoらによって例として与えられている:<ref name="defeo" />

法<math> p </math> : <math> w_A = 2, w_B= 3, e_A = 63, e_B = 41, f = 11</math> とする。したがって，<math> p = (2^{63}3^{41}11) - 1</math>。

最初の楕円曲線 <math>E_0</math>：<math> y^2 = x^3 + x</math>。

<!-- Luca De Feo, one of the authors of the paper defining the key exchange has posted software that implements the key exchange for these and other parameters.<ref>{{Cite web|title = defeo/ss-isogeny-software|url = https://github.com/defeo/ss-isogeny-software|website = GitHub|accessdate = 2015-05-29}}</ref>-->

== 効率 ==

鍵共有プロトコルにおいて、アリスとボブはそれぞれ、楕円曲線を定義するための(mod p<sup>2</sup>における)２つの係数と、曲線上の２つの点を相手に送信する。
各楕円曲線の係数は log<sub>2</sub>p<sup>2</sup> ビットが必要で、各楕円曲線上の点は log<sub>2</sub>p<sup>2</sup>+1 ビットで表現できるため、送信量は 8log<sub>2</sub>p + 2 ビットとなる。
<!-- 英語版では (8log<sub>2</sub>^2 p + 4) となっているがミスプリと思われる -->
768ビットの p（128ビット安全）を用いた場合には、これは 6146ビットである。
しかし、鍵圧縮のテクニックを用いれば，半分以下の 2640ビット（330バイト）まで短くできることが、Costello, Jao, Longa, Naehrig, Renes and Urbanikの最新の研究によって示されている<ref name="SIDHcompressed">{{cite web|last=Costello|first=Craig|last2=Jao|first2=David|last3=Longa|first3=Patrick|last4=Naehrig|first4=Michael|last5=Renes|first5=Joost|last6=Urbanik|first6=David|title=Efficient Compression of SIDH public keys|url=https://eprint.iacr.org/2016/963|accessdate=8 October 2016}}</ref>。
鍵圧縮を用いれば、SIDHが必要とする帯域は、従来の 3072-bit RSA署名やDiffie-Hellman鍵共有プロトコルと同程度である。このため、[[ビットコイン]]や[[Tor]]のようにデータ容量が限定される場合にも応用できる。

Torのデータセルは 512バイト以下でなければならないが、SIDHに必要な330バイトの情報を運ぶことができる。これに対し、NTRUEncryptは、128ビット安全を達成するためには 約600バイトの情報を交換する必要があり、セルのサイズを増やさない限り、Torには適用できない
<ref name="Report 2016/229">{{Cite web|url = http://eprint.iacr.org/2016/229|author1=Azarderakhsh|author2=Jao|author3=Kalach|author4=Koziel|author5=Leonardi|title= Key Compression for Isogeny-Based Cryptosystems|website = eprint.iacr.org|access-date = 2016-03-02}}</ref>。

2014年に、ウォータールー大学の研究者がSIDHのソフトウェア実装を開発している。彼らの部分的に最適化したコードをx86-64プロセッサ上で 2.4&nbsp;GHz で実行したところ、768ビットの法では、鍵交換の計算時間は 200 ミリ秒で終了した。これによって、SIDHが実用的であることが実証された<ref>{{Cite web|url = https://uwspace.uwaterloo.ca/handle/10012/8400|title = Machine-Level Software Optimization of Cryptographic Protocols|date = 30 April 2014|accessdate = 21 June 2014|website = University of Waterloo Library - Electronic Theses|publisher = University of Waterloo|last = Fishbein|first = Dieter}}</ref>。

2016年には、Microsoftの研究者がSIDHのソフトウェアを公開した。このソフトウェアは、入力によらず常に一定時間で動作し（したがってタイミングアタックに耐性がある）、これまでで最も効率の良い実装である。開発者たちは「公開鍵のサイズは564バイトであり、ほとんどの一般的な耐量子の鍵交換プロトコルよりもかなり小さい。我々のソフトウェアのサイズとスピードは、SIDHが、耐量子の鍵交換プロトコルの候補となる強い可能性を示している。我々の結果がより広い暗号解析の努力を促進させることを願っている。」と述べている<ref>{{Cite journal|last=Costello|first=Craig|last2=Longa|first2=Patrick|last3=Naehrig|first3=Michael|date=2016-01-01|title=Efficient algorithms for supersingular isogeny Diffie-Hellman|url=https://eprint.iacr.org/2016/413}}</ref>。<!--   [http://research.microsoft.com/en-us/downloads/bd5fd4cd-61b6-458a-bd94-b1f406a3f33f/ Their software is posted on here]. -->

2016年、Florida Atlantic Universityの研究者は、SIDHの効率的な ARM 実装を開発し、アフィン座標と射影座標の比較を与えた<ref>{{Cite journal|last=Koziel|first=Brian|last2=Jalali|first2=Amir|last3=Azarderakhsh|first3=Reza|last4=Kermani|first4=Mehran|last5=Jao|first5=David|date=2016-11-03|title=NEON-SIDH: Efficient Implementation of Supersingular Isogeny Diffie-Hellman Key Exchange Protocol on ARM|url=https://eprint.iacr.org/2016/669}}</ref><ref>{{Cite journal|last=Jalali|first=A.|last2=Azarderakhsh|first2=R.|last3=Kermani|first3=M. Mozaffari|last4=Jao|first4=D.|date=2017|title=Supersingular Isogeny Diffie-Hellman Key Exchange on 64-bit ARM|url=https://ieeexplore.ieee.org/abstract/document/7970184/|journal=IEEE Transactions on Dependable and Secure Computing|volume=PP|issue=99|pages=1|doi=10.1109/TDSC.2017.2723891|issn=1545-5971}}</ref>。
また2017年には、最初のSIDHのFPGA実装が開発されている<ref>{{Cite journal|last=Koziel|first=Brian|last3=Azarderakhsh|first3=Reza|last2=Kermani|first2=Mehran|title=Fast Hardware Architectures for Supersingular Isogeny Diffie-Hellman Key Exchange on FPGA|
url=http://eprint.iacr.org/2016/1044|date=2016-11-07}}</ref>。

== 類似した方式、署名への拡張 ==
<!-- 、and uses --> 
楕円曲線の同種写像に基づくディフィー・ヘルマン鍵共有方式は、2006年に Rostovtsev と Stolbunov によって初めて提案されている。彼らの方式は、上述のSIDHとは異なり通常の（超特異ではない）楕円曲線を用いており<ref>{{cite web|last=Rostovtsev|first=Alexander|title=PUBLIC-KEY CRYPTOSYSTEM BASED ON ISOGENIES|url=https://eprint.iacr.org/2006/145.pdf|publisher=Springer|accessdate=10 May 2014|author2=Stolbunov |archiveurl=https://eprint.iacr.org|archivedate=29 May 2006|year=2006}}</ref>、準指数時間の量子攻撃が発見された<ref>{{cite journal|last=Childs|first=Andrew M|title=Constructing elliptic curve isogenies in quantum subexponential time|arxiv=1012.4019|author2=Jao, Soukharev|doi=10.1515/jmc-2012-0016|volume=8|journal=Journal of Mathematical Cryptology|pages=1–29|year=2014}}</ref>。

2014年、Chinese State Key Lab for Integrated Service Networks と Xidian University の研究者は、SIDHの安全性を検証者指定型ディジタル署名方式へと拡張した<ref>{{Cite journal|url = http://dl.acm.org/citation.cfm?id=2608696|title = Toward quantum-resistant strong designated verifier signature|last = Sun|first = Xi|date = 2 March 2014|journal = International Journal of Grid and Utility Computing|accessdate = 21 June 2014|doi = 10.1504/IJGUC.2014.060187|last2 = Tian|volume=5|issue = 2|page=80}}</ref>。
2014年10月、University of Waterloo のJao and Soukharev は、楕円曲線の同種写像に基づく否認不可署名の構成方法を示している<ref>{{Cite book|chapter-url = http://cacr.uwaterloo.ca/techreports/2014/cacr2014-15.pdf|chapter = Isogeny-based quantum-resistant undeniable signatures|last = Jao|first = David|date = 3 October 2014|accessdate = 28 April 2016|doi = 10.1007/978-3-319-11659-4_10|last2 = Soukharev|first2 = Vladimir|title = Post-Quantum Cryptography|volume = 8772|pages = 160–179|series = Lecture Notes in Computer Science|isbn = 978-3-319-11658-7|citeseerx = 10.1.1.465.149}}</ref>。

== 出典 ==
{{脚注ヘルプ}}
{{Reflist}}

{{DEFAULTSORT:ちようとくいとうしやそうていふいいへるまん}}
[[Category:暗号技術]]
[[Category:暗号化プロトコル]]
[[Category:アルゴリズム解析]]
[[Category:ポスト量子暗号]]