Elligator——将椭圆曲线point映射为random string（1）——affine坐标下

ECC椭圆曲线加密，常用到point点（以string形式表示）来代表公钥或其它密文信息（有时为节约存储空间，会将point进行压缩），在实际传输过程中，由于具有module $F_q$有限域内运算特征，且曲线公式和有限域范围均对公众已知，很容易从大量网络传输信息中识别定位为ECC相关密文信息从而可能被利用攻击。

Elligator——可将以string形式表示的point映射为random string。从而使得与密文相关的信息不易被识别出来。

1. Elligator 1/2

在论文《Elligator: Elliptic-curve points indistinguishable from uniform random strings》中指出，有两种Elligator算法：

• Elligator 1: 仅限于$q\equiv 3(mod4)$的曲线。
• Elligator 2: 可适于$q\equiv 1(mod4)$的曲线。

对于Curve1174，其$q=2^{251}-9\equiv 3(mod4)$。理论上来说，Curve1174的运算性能应能与Curve25519相当。

对于Curve25519，其$q=2^{255}-19\equiv 1(mod4)$，同时具有“-1-twisted Edwards form”【ristretto255 point压缩和解压缩算法（1）——affine坐标系下第1.1节指出，$a{x}^2+y^2=1+d{x}^2{y}^2,a=-1$】，具有更高的速度性能。

2. Curve25519的Elligator算法细节

论文《Elligator: Elliptic-curve points indistinguishable from uniform random strings》中指出，需要使用2-torsion point的curve形式，且有如下定理：


论文《Elligator: Elliptic-curve points indistinguishable from uniform random strings》中采用curve形式为$C_{A,B}:y^{\prime 2}=x^{\prime 3}+A{x}^{\prime 2}+B{x}^{\prime }$，设$n$为$F_q$内的non-square， { r 0 ∈ F q : 1 + n r 0 2 ! = 0 , A 2 n r 0 2 ! = B ( 1 + n r 0 2 ) 2 } \{r_0\in F_q:1+nr_0^2!=0,A^2nr_0^2!=B(1+nr_0^2)^2\} {r0​∈Fq​:1+nr02​!=0,A2nr02​!=B(1+nr02​)2}，假设$r=n{r}_0^2$，对应的当$ϵ=1时，x^{\prime }=v=-A/(1+r)；当ϵ=-1时，x^{\prime }=vn{r}_0^2=vr=-Ar/(1+r)$。

ristretto255中,$n$的取值选为$n=i=+\sqrt{-1}$作为non-square值（quadratic nonresidue）。

论文《Decaf-Eliminating cofactors through point compression 2015-673》中提到，对于使用的是Jacobi quartic curve形式：
$J_{e,A}=J_{a^2,a-2d}:t^2=e{s}^4+2A{s}^2+1$
同时，该曲线与$L:a{y}^2=x(x-1)(x-d/a)$等价。两条曲线之间的映射关系为：
$(x,y)\mapsto (s,t):s=\frac{ax-d}{a^{2}y},t=\frac{a{x}^2-2dx+d}{ax(x-1)}$

另外，曲线$L$与$C_{2d/a-1,(d^2-ad)/a^2}$等价，$A=2d/a-1$且映射关系如下：
$(x^{\prime },y^{\prime })\mapsto (x,y):x=x^{\prime }+d/a,y=y^{\prime }$

$\Rightarrow (x^{\prime },y^{\prime })\mapsto (s,t):s=\frac{ax-d}{a^{2}y},t=\frac{a{x}^2-2dx+d}{ax(x-1)}，其中x=x^{\prime }+d/a$。

因此若采用Jacobi quartic curve形式，对应的有：

进一步的公式简化可参见：https://ristretto.group/details/elligator.html#elligator-for-decaf

最终可表示为：

参考资料：
[1] 论文《Elligator: Elliptic-curve points indistinguishable from uniform random strings》
[2] 论文《Decaf-Eliminating cofactors through point compression 2015-673》
[3] https://ristretto.group/details/elligator.html#elligator-for-decaf