Logarithmic Density of Rank $\geq 1$ and Rank $\geq 2$ Genus-2 Jacobians and Applications to Hyperelliptic Curve Cryptography

Résumé technique : Densité logarithmique des jacobiennes de genre 2 de rang $\ge 1$ et de rang $\ge 2$ et applications à la cryptographie sur courbes hyperelliptiques

Énoncé du problème
L'article traite de la distribution quantitative des rangs de Mordell-Weil pour les jacobiennes de courbes de genre 2 définies sur $\mathbb{Q}$. Bien que le théorème de Mordell-Weil garantisse que le groupe des points rationnels sur une jacobienne se décompose en un sous-groupe de torsion fini et un groupe abélien libre de rang $r$, comprendre la fréquence des courbes avec $r \ge 1$ ou $r \ge 2$ au sein de familles ordonnées par taille arithmétique demeure un défi central en géométrie arithmétique. Plus précisément, les auteurs étudient ces distributions pour les courbes hyperelliptiques ordonnées par la hauteur naïve de leurs modèles de Weierstrass intégraux. Un objectif secondaire est d'analyser la distribution des rangs au sein de familles de torsions quadratiques et biquadratiques, particulièrement pour les courbes à jacobiennes scindées, afin d'évaluer leur utilité dans le contexte de l'algorithme quantique de Regev pour le problème du logarithme discret (DLP).

Méthodologie
Les auteurs emploient une combinaison de techniques géométriques, analytiques et computationnelles :

1. Cadre géométrique et sections universelles : L'étude utilise l'espace paramétrique des modèles de Weierstrass intégraux $y^2 + h(x)y = f(x)$. Les auteurs définissent une section universelle $\alpha_{\text{univ}} = [\infty_+ - \infty_-]$ sur la jacobienne universelle, correspondant à la différence des deux points à l'infini. Ils proument que cette section n'est pas de torsion dans la fibre générique.
2. Loci de torsion et bornes de hauteur : En établissant que le lieu où $\alpha_{\text{univ}}$ se spécialise en un point de torsion est un sous-ensemble de Zariski fermé de dimension inférieure, et en bornant la taille des sous-groupes de torsion en fonction de la hauteur de la courbe (en utilisant la hauteur de Faltings et des comparaisons de hauteurs $\theta$), les auteurs montrent que la proportion de courbes où cette section est de torsion tend vers zéro lorsque la borne de hauteur $X \to \infty$.
3. Spécialisation de Néron : Pour établir le rang $\ge 2$, les auteurs construisent des sous-familles explicites à deux paramètres où deux sections indépendantes (l'une étant $\alpha_{\text{univ}}$ et l'autre construite via une spécialisation spécifique) sont génériquement indépendantes. Ils appliquent le théorème de spécialisation de Néron pour montrer que pour presque toutes les spécialisations, le rang est au moins de 2.
4. Constructions de jacobiennes scindées : Pour les courbes avec des jacobiennes scindées (isogènes à des produits de courbes elliptiques), les auteurs utilisent des constructions de collage (suivant Gajović–Park et [33]) pour relier le rang de la jacobienne de genre 2 aux rangs des courbes elliptiques constituantes. Ils analysent les familles de torsions quadratiques et biquadratiques de ces courbes scindées.
5. Vérification computationnelle : Les résultats théoriques sont soutenus par des recherches explicites dans des bases de données (LMFDB) et des scripts personnalisés (disponibles dans un dépôt GitHub) pour vérifier l'indépendance des sections et calculer les rangs pour des familles spécifiques, incluant les courbes CM et les courbes à jacobienne scindée utilisées en cryptographie.

Contributions clés et résultats

• Densité logarithmique pour le rang $\ge 1$ : Les auteurs prouvent que le sous-ensemble de courbes de genre 2 possédant deux points rationnels à l'infini (garantissant l'existence de la section $\alpha_{\text{univ}}$) possède une densité logarithmique d'au moins $13/14$ par rapport à la famille des modèles intégraux ordonnés par hauteur. Puisque la section est non-torsion pour la plupart de ces modèles, cela produit une borne inférieure inconditionnelle de densité logarithmique de $13/14$ pour les courbes de rang $r \ge 1$.
• Densité logarithmique pour le rang $\ge 2$ :
  • En construisant une sous-famille explicite avec deux sections rationnelles indépendantes, les auteurs démontrent une densité logarithmique inconditionnelle d'au moins $5/7$ pour les courbes de rang $r \ge 2$.
  • Ils identifient également une sous-famille de courbes avec des jacobiennes scindées et de rang $r \ge 2$, produisant une densité logarithmique d'au moins $2/21$.
• Familles de torsions :
  • Pour les courbes de genre 2 avec des jacobiennes scindées isogènes à $E_1 \times E_2$ (où $E_1, E_2$ ont une torsion de 2 rationnelle complète), en supposant la conjecture de Birch et Swinnerton-Dyer (BSD), les auteurs montrent que la famille des doubles torsions quadratiques contient une proportion positive ($1/4$) de courbes de rang $\ge 2$.
  • Pour les courbes dont les jacobiennes sont isogènes à $E^2$ où $E$ admet une 3-isogénie rationnelle, ils prouvent sans condition que la famille des torsions quadratiques contient une proportion positive de courbes de rang $\ge 2$.
• Implications cryptographiques : L'article analyse le "Problème de la courbe à haut rang" et le "Problème de la torsion à haut rang" dans le contexte de l'algorithme quantique de Regev. L'algorithme de Regev pour le DLP dans les jacobiennes bénéficie d'un paramètre $d = r + 2$, où $r$ est le rang d'un relèvement rationnel ou d'une torsion compatible. Les résultats impliquent que trouver des courbes (ou des torsions) de haut rang est significativement plus efficace qu'une recherche par force brute naïve, la complexité étant réduite de $O(X^7)$ à $O(X^{1/2})$ pour le rang $\ge 1$ et à $O(X^2)$ pour le rang $\ge 2$ dans l'ordre de hauteur pertinent. Les auteurs fournissent des exemples explicites de torsions de haut rang pour des courbes utilisées en cryptographie sur courbes hyperelliptiques (HECC), telles que $y^2 = x^5 + a$ et les familles de jacobiennes scindées, démontrant que des torsions de rang 6 à 8 existent dans des espaces de recherche computationnellement réalisables.

Signification
L'article fournit les premières bornes inférieures inconditionnelles sur la densité logarithmique des courbes de genre 2 avec un rang de Mordell-Weil positif et un rang d'au moins 2, ordonnées par la hauteur naïve. Il dépasse les prédictions heuristiques (telles que celles issues des modèles de matrices aléatoires) par des preuves géométriques rigoureuses.

La signification est double :

1. Géométrie arithmétique : Il résout l'existence et la densité des courbes de haut rang de manière quantitative, montant que les ensembles "minces" de courbes de haut rang sont en fait beaucoup plus denses (dans un sens logarithmique) que ce qui avait été quantifié précédemment. La construction de sous-familles explicites de rang $\ge 2$ offre une source concrète de telles courbes.
2. Cryptanalyse : Les résultats impactent directement l'analyse de sécurité de la cryptographie sur courbes hyperelliptiques face à l'algorithme quantique de Regev. En quantifiant l'abondance des torsions et des relèvements de haut rang, l'article suggère que l'étape de "pré-traitement" requise pour fournir les générateurs de Mordell-Weil nécessaires à l'algorithme de Regev est computationnellement réalisable pour un large éventail de familles de courbes, y compris celles avec des jacobiennes scindées. Cela implique que pour les courbes où de telles structures de haut rang existent, la sécurité effective contre cet attaque quantique spécifique peut être plus faible que prévu, car le paramètre $d$ peut être augmenté, réduisant ainsi la taille du circuit quantique.

Les auteurs maintiennent un ton modeste concernant les implications cryptographiques, précisant que leur travail identifie des courbes pouvant servir d'entrées pour l'attaque de type Regev ou pour un pré-traitement expérimental, plutôt que de recommander des courbes pour une sélection sécurisée. Ils soulignent que bien que ces structures facilitent le pré-traitement de haut rang, elles n'impliquent pas actuellement un algorithme de logarithme discret plus rapide pour les jacobiennes de genre 2 en général par rapport aux méthodes existantes, mais rendent plutôt l'attaque quantique spécifique plus viable.