ขนาดองค์ประกอบ

เมื่อเลือกพารามิเตอร์เส้นโค้งวงรี มีอิสระมากมาย สำหรับขนาดขององค์ประกอบ พารามิเตอร์สองตัวที่ควรค่าแก่การสังเกตคือค่าเฉพาะ $p$และระดับการฝัง $k$.

ถ้า $\mathbb{G}_1$ เป็นเส้นโค้งวงรี $F_p$,¹ แล้ว $\mathbb{G}_2$ เป็นเส้นโค้งวงรี $F_{p^k}$, และ $\mathbb{G}_T$ เป็นกลุ่มย่อยของ $F_{p^k}$.

ดังนั้นองค์ประกอบของ $\mathbb{G}_2$ และ $\mathbb{G}_T$ จำเป็นต้อง $k$ เท่าของจำนวนพื้นที่เก็บข้อมูลที่เป็นองค์ประกอบของ $\mathbb{G}_1$.

อย่างไรก็ตาม เส้นโค้งทั้งหมดอนุญาตให้มีการแสดงแบบกะทัดรัดของ $\mathbb{G}_2$โดยใช้การบิดของเส้นโค้งเพื่อให้องค์ประกอบของ $\mathbb{G}_2$ สามารถแสดงด้วยจุดบน $E'\left(F_{p^\frac{k}{d}}\right)$, ที่ไหน $d$ คือ 2, 3, 4 หรือ 6 รองรับเส้นโค้งทั้งหมด $d=2$. เส้นโค้งที่ใช้สำหรับการดำเนินการเข้ารหัสจะรองรับขนาดใหญ่ขึ้น $d$ เนื่องจากค่าใช้จ่ายในการแปลงระหว่างตัวแทนมีราคาถูก

ขนาดคีย์และขนาดลายเซ็น

ลายเซ็น BLS ขึ้นอยู่กับฟังก์ชันการจับคู่ $e: \mathbb{G}_1 \times \mathbb{G}_2 \rightarrow \mathbb{G}_T$.

อนุญาต $G_1$ เป็นเครื่องกำเนิดสำหรับ $\mathbb{G}_1$ และ $G_2$ เครื่องกำเนิดไฟฟ้าสำหรับ $\mathbb{G}_2$.

คีย์ส่วนตัว, $x$เป็นเพียงจำนวนเต็มระหว่าง $0$ และ $|\mathbb{G}_1|$ซึ่งเท่ากับ $|\mathbb{G}_2|$. กุญแจสาธารณะ, $X$, เป็นองค์ประกอบของ $\mathbb{G}_1$ หรือ $\mathbb{G}_2$. ในการลงนามข้อความ ข้อความจะถูกแฮชเป็นองค์ประกอบของกลุ่มอื่น คูณด้วยคีย์ส่วนตัว และจับคู่กับตัวสร้าง เช่น $\sigma = e(G_1, xH(m))$. ลายเซ็น, $\sigma$, เป็นองค์ประกอบใน $\mathbb{G}_T$. ตัวตรวจสอบจะคำนวณการจับคู่ของแฮชของข้อความกับรหัสสาธารณะเป็น $e(X, H(ม.))$. ถ้าเท่านี้ $\sigma$ลายเซ็นนั้นถูกต้อง

อีกทางหนึ่งคือจำนวนข้อมูลที่ส่งสามารถลดลงและปริมาณงานที่ผู้ลงนามสามารถลดลงได้โดยที่ผู้ตรวจสอบต้องทำงานมากขึ้น แทนการส่ง $\sigma$, ผู้ลงนามเพียงส่ง $xH(ม.)$และผู้ตรวจสอบจะคำนวณการจับคู่ทั้งสอง

ตัวเลือกคีย์สาธารณะ

รหัสสาธารณะสามารถเป็นได้ทั้ง $\mathbb{G}_1$ หรือ $\mathbb{G}_2$. องค์ประกอบใน $\mathbb{G}_1$ มีขนาดเล็กกว่า การดำเนินงานใน $\mathbb{G}_2$ มีราคาแพงกว่า

ตัวอย่าง

ใช้ BLS12-381²ซึ่งมักถูกอ้างถึงว่ามีความปลอดภัย 128 บิต $p$ เป็น 381 บิต ระดับการฝัง, $k$, คือ 12, ทำให้ $p^k$ มี 4569 บิต องค์ประกอบใน $\mathbb{G}_1$ ใช้เวลา 382 บิตในการแสดง (381 บิตสำหรับ 1 พิกัดบวก 1 บิตสำหรับเครื่องหมาย) องค์ประกอบใน $\mathbb{G}_2$ ใช้เวลา 762 บิตในการแสดงเนื่องจากมีการแทนค่าที่กะทัดรัด องค์ประกอบใน $\mathbb{G}_T$ ใช้เวลา 4596 บิตในการแสดง

จากหน้าเดียวกันนั้น², MNT4-298 มีความปลอดภัยประมาณ 77 บิต สำหรับเส้นโค้งนั้น องค์ประกอบใน $\mathbb{G}_1$ ต้องการ 299 บิต; ใน $\mathbb{G}_T$, 1192 บิต

¹ ในทางเทคนิคแล้ว $\mathbb{G}_1$ ถูกกำหนดขึ้นด้วย $F_{p^k}$, แต่ตั้งแต่ $E(F_p)$ เป็นกลุ่มย่อยของ $E(F_{p^k})$มันไม่สำคัญเลย

² ตัวเลขเหล่านี้มาจาก https://members.loria.fr/AGuillevic/pairing-friendly-curves/. มีคำอธิบายชื่อคอลัมน์บางส่วนด้านล่าง

ชื่อคอลัมน์

$k$ คือ ระดับการฝัง.
$D$ เป็นการเลือกปฏิบัติการคูณที่ซับซ้อน (ฉันคิดว่า)
$u$ มีความซับซ้อนมากขึ้น ฉันไม่แน่ใจว่าถูกต้องหรือไม่ แต่ละตระกูลเส้นโค้งเหล่านี้ (เช่น BLS หรือ BN) เกี่ยวข้องกัน $p$, $r$และอื่น ๆ ให้กับพารามิเตอร์ "seed" $u$.
$p$ คือขนาดของคุณลักษณะของฟิลด์และขนาดขององค์ประกอบใน $\mathbb{G}_1$.
$r$ คือขนาดของลำดับของเส้นโค้ง
$p^\frac{k}{d}$ คือขนาดที่เล็กกะทัดรัดขององค์ประกอบใน $\mathbb{G}_2$
$p^k$ คือขนาดขององค์ประกอบใน $\mathbb{G}_T$.