Современная прикладная криптография (стр. 35 )

При слиянии всех трех корней получается кривая вида y = x.

Для всех этих трех кривых начало координат является особой точкой. Для особых точек определить операцию сложения не удается. Вот почему для наделения точек кривой структурой абелевой группы необходимо рассматривать неособые кривые.

Форма Лежандра

Существуют и отличные от формы Вейерштрасса представления эллиптических кривых (наиболее часто используются также формы Лежандра, Монтгомери). Форма Лежандра для эллиптической кривой над алгебраически замкнутым полем позволяет выразить кривую с помощью всего одного параметра.

Если характеристика поля не равна 2, то уравнение задающее кривую можно представить в виде

y= x+a x +a x + a= (x – e)(x – e)(x – e),

где e, e, e принадлежат полю в силу его замкнутости. Сделаем замены

x = x (e – e) + e и y = y (e – e).

Получим

y (e – e) = x ( e – e) (x (e – e) – (e – e))(x (e – e) +e – e),

или при разных e и e получим

y = x (x – 1)(x –L), где L=(e – e)/(e – e).

Значение параметра L в представлении не однозначно и в зависимости от перестановки e, e, e в приведенных заменах может принимать одно из 6 значений

L, 1/L, 1 –L, 1/(1 – L), L/(1-L), (L-1)/L.

Уравнение неособой кубической кривой, как уже отмечалось, можно записать в виде

y= (x – e)(x – e)(x – e),

где числа e,e,e попарно различны. В случае поля действительных чисел такая кривая изображена на следующем рисунке

Рассмотрим следующее понятие

j-инвариант эллиптической кривой

Пусть уравнение y = x + a x + b определяет некоторую эллиптическую кривую над полем К, характеристики отличной от 2 или 3. Если положить

x = x/d и y = y/d,

при некотором обратимом d (из алгебраического замыкания поля К), то получим аналогичное соотношение в форме Вейерштрасса

y = x + a x+ b , где a = a (d), b = b (d).

Заметим, что если бы мы сделали такую замену в длинной форме Вейерштрасса, то новые коэффициенты имели бы вид a(d) , что объясняет нумерацию коэффициентов в этой форме.

Определим j-инвариант кривой как

j = 1728 (4a/( 4a + 27b)).

Знаменатель в этом выражении совпадает с дискриминантом многочлена [В76]

x + a x + b, взятым со знаком минус, поэтому не может быть нулевым в силу выбора коэффициентов a и b для гладкости кривой.

Оказывается, что проведенная замена не меняет j-инвариант.

Теорема.

Пусть y= x + a x + b и y= x+ a x + b , будут определять эллиптические кривые с j-инвариантами j и j соответственно. Если j = j, то существует d не равное 0 в алгебраическом замыкании поля К, такое что a = a (d) и b = b (d). Преобразование x = x (d), y = y (d) преобразует одно соотношение в другое.