Accouplement de Weil
En géométrie algébrique et en théorie des nombres, l'accouplement de Weil est une relation mathématique entre certains points d'une courbe elliptique, plus spécifiquement une application bilinéaire fonctorielle entre ses points de torsion. Cet accouplement est nommé en l'honneur du mathématicien français André Weil, qui en a systématisé l'étude. Il s'agit d'un outil important dans l'étude de ces courbes. 

Il est possible de définir un accouplement de Weil pour les courbes définies sur le corps des complexes ou sur des corps finis ; dans ce dernier cas, l'algorithme de Miller permet de le calculer efficacement, ce qui est à la base de la cryptographie à base de couplages sur les courbes elliptiques. Une construction similaire s'étend aux variétés algébriques plus générales.

Définition 
On considère une courbe elliptique  définie sur un corps . Soit  un entier, et on suppose que  contient une racine primitive -ième de l'unité, et on note le groupe cyclique des racines -ièmes de l'unité dans . Notons enfin les points de -torsion de la courbe :

où  est l'application de « multiplication par  » dans le groupe des points rationnels de la courbe,  est l'élément neutre du groupe (le « point à l'infini »), et  est la clôture algébrique de . Alors il existe un accouplement :

que l'on appelle accouplement de Weil. Cette fonction possède notamment les propriétés suivantes :

 Bilinéarité : .
 Alternance :  et en particulier, .
 Non-dégénerescence : si  pour tout  alors ; de même si  pour tout , alors .
 Invariance par les opérations du groupe de Galois : pour tout ,

Degré de plongement 
Pour une courbe définie sur un corps fini , le plus petit entier  tel que  est appelé « degré de plongement ». Il correspond au degré de la plus petite extension dans laquelle les racines -ièmes de l'unité sont définies. Cette terminologie provient de l'attaque MOV qui permet notamment d'attaquer le problème du logarithme discret sur une courbe elliptique  en plongeant le problème dans un corps fini, précisément , dans lequel des algorithmes plus efficaces sont connus tels que le crible du corps de nombre généralisé. Les applications cryptographiques reposent donc souvent sur des courbes à haut degré de plongement pour éviter de telles attaques : par exemple Curve25519 a un degré de plongement supérieur à . Dans les applications de cryptographie à base de couplages on utilise au contraire des courbes dont le degré de plongement est faible : la courbe de Barreto-Naehrig BN(2,254) par exemple a un degré de plongement égal à 12. C'est notamment le cas de plusieurs courbes supersingulières.

Construction explicite

Courbe elliptique définie sur ℂ 
Une courbe elliptique définie sur  correspond à un quotient où  appartient au demi-plan de Poincaré. Soient deux points de -torsion, on définit l'accouplement de Weil par :

On vérifie immédiatement que cette expression satisfait les propriétés d'un accouplement.

Cas général sur une courbe elliptique 
D'une manière générale, si on connaît une base de , alors on peut obtenir aisément une expression analogue : soit  une base de , on écrit , et on définit

Cependant, étant donnés des points , il est nécessaire en général de résoudre un problème de logarithme discret sur la courbe elliptique pour être capable d'exprimer les coordonnées  utilisées dans l'expression ci-dessus.

Le cas général est en fait mieux décrit en termes de diviseurs, qui se prête également volontiers au calcul explicite. Si  est un point de -torsion de la courbe, on pose le diviseur  et on note  un élément du corps des fonctions sur  qui possède  pour diviseur. Sommairement, l'accouplement de Weil est défini par «  » sauf que cette expression n'est pas définie. En effet,  possède un pôle en  (et de même en intervertissant  et ). Il suffit cependant de remplacer  (ou ) par un diviseur linéairement équivalent, c'est-à-dire qui diffère de  (resp. ) uniquement d'un diviseur principal.

En pratique, cela revient à décaler  en faisant intervenir un point arbitraire  pour obtenir . La valeur de l'accouplement de Weil est bien sûr invariante par une telle modification.

Le calcul d'une fonction  correspondant à un diviseur donné  a longtemps été considéré difficile, jusqu'à l'introduction du très efficace algorithme de Miller . 

Le caractère alternant de l'accouplement ainsi obtenu est évident ; la bilinéarité découle en général de la loi de réciprocité de Weil, à savoir que pour deux fonctions  du corps de fonctions de la courbe sur un corps algébriquement clos, .

Accouplement de Weil ℓ-adique 
Soit  un premier positif (et premier avec la caractéristique de  lorsque celle-ci est positive), alors on peut étendre l'accouplement de Weil  initialement défini sur  pour l'appliquer au module de Tate -adique, . On vérifie pour cela que la suite des accouplements pour les puissances successives de  est projective, c'est-à-dire que , ce qui découle directement de la bilinéarité. Puisque l'application « multiplication par  »  et que l'application « mise à la puissance  »  forment également des systèmes projectifs compatibles, on définit l'accouplement de Weil -adique comme la limite projective des accouplements sur  :

Exemple 
Prenons , . On a . Le point  est d'ordre . Le degré de plongement est  (car ). Posons . Alors  est aussi d'ordre 3. L'algorithme de Miller permet d'obtenir les diviseurs :qui correspondent à

À cause du point soulevé précédemment, on ne peut pas directement évaluer, il faut faire intervenir un point pour déplacer le diviseur. Par souci de symétrie considérons deux points et on déplacera les deux diviseurs :

deux points de . Et on poseLes fonctions correspondantes s'obtiennent aisément au moyen de l'algorithme de Miller :Et finalement on a l'accouplement de Weil :On obtient  et on vérifie que c'est une racine cubique de l'unité. De même, ce qui vérifie les relations de bilinéarité.

Voir aussi 

 Courbe elliptique supersingulière
 Cryptographie à base de couplages
 Accouplement de Lichtenbaum-Tate
 Accouplement de Néron-Tate
 Accouplement de Cassels-Tate
 Accouplement Ate
 Accouplement Eta

Notes et références

Notes

Références 
 

Cryptologie
Géométrie algébrique
Théorie des nombres
En géométrie algébrique et en théorie de les nombres , l' accouplement de Weil est une relation mathématique entre certains points d' une courbe elliptique , plus spécifiquement une application bilinéaire fonctorielle entre ses points de torsion . Cet accouplement est nommé en l' honneur de le mathématicien français André Weil , qui en a systématisé l' étude . Il s' agit d' un outil important dans l' étude de ces courbes . Il est possible de définir un accouplement de Weil pour les courbes définies sur le corps de les complexes ou sur de les corps finis ; dans ce dernier cas , l' algorithme de Miller permet de le calculer efficacement , ce qui est à la base de la cryptographie à base de couplages sur les courbes elliptiques . Une construction similaire s' étend à les variétés algébriques plus générales . Définition On considère une courbe elliptique définie sur un corps \ . Soit un entier , et on suppose que contient une racine primitive -ième de l' unité , et on note le groupe cyclique de les racines -ièmes de l' unité dans \ . Notons enfin les points de -torsion de la courbe \ : où est l' application de « multiplication par » dans le groupe de les points rationnels de la courbe , est l' élément neutre de le groupe ( le « point à l' infini » ) , et est la clôture algébrique de \ . Alors il existe un accouplement \ : que l' on appelle accouplement de Weil . Cette fonction possède notamment les propriétés suivantes \ : Bilinéarité \ :\ . Alternance \ : et en particulier , \ . Non-dégénerescence \ : si pour tout alors ; de même si pour tout , alors \ . Invariance par les opérations de le groupe de Galois \ : pour tout , Degré de plongement Pour une courbe définie sur un corps fini , le plus petit entier tel que est appelé « degré de plongement » . Il correspond à le degré de la plus petite extension dans laquelle les racines -ièmes de l' unité sont définies . Cette terminologie provient de l' attaque MOV qui permet notamment d' attaquer le problème de le logarithme discret sur une courbe elliptique en plongeant le problème dans un corps fini , précisément , dans lequel de les algorithmes plus efficaces sont connus tels que le crible de le corps de nombre généralisé . Les applications cryptographiques reposent donc souvent sur de les courbes à haut degré de plongement pour éviter de telles attaques \ : par exemple Curve25519 a un degré de plongement supérieur à \ . Dans les applications de cryptographie à base de couplages on utilise à le contraire de les courbes dont le degré de plongement est faible \ : la courbe de Barreto-Naehrig BN( 2,254 ) par exemple a un degré de plongement égal à C' est notamment le cas de plusieurs courbes supersingulières . Construction explicite Courbe elliptique définie sur ℂ Une courbe elliptique définie sur correspond à un quotient où appartient à le demi-plan de Poincaré . Soient deux points de -torsion , on définit l' accouplement de Weil par \ : On vérifie immédiatement que cette expression satisfait les propriétés d' un accouplement . Cas général sur une courbe elliptique D' une manière générale , si on connaît une base de , alors on peut obtenir aisément une expression analogue \ : soit une base de , on écrit , et on définit Cependant , étant donnés de les points , il est nécessaire en général de résoudre un problème de logarithme discret sur la courbe elliptique pour être capable d' exprimer les coordonnées utilisées dans l' expression ci-dessus . Le cas général est en fait mieux décrit en termes de diviseurs , qui se prête également volontiers à le calcul explicite . Si est un point de -torsion de la courbe , on pose le diviseur et on note un élément de le corps de les fonctions sur qui possède pour diviseur . Sommairement , l' accouplement de Weil est défini par « » sauf que cette expression n' est pas définie . En effet , possède un pôle en ( et de même en intervertissant et ) . Il suffit cependant de remplacer ( ou ) par un diviseur linéairement équivalent , c'est-à-dire qui diffère de ( resp . ) uniquement d' un diviseur principal . En pratique , cela revient à décaler en faisant intervenir un point arbitraire pour obtenir \ . La valeur de l' accouplement de Weil est bien sûr invariante par une telle modification . Le calcul d' une fonction correspondant à un diviseur donné a longtemps été considéré difficile , jusqu' à l' introduction de le très efficace algorithme de Miller \ . Le caractère alternant de l' accouplement ainsi obtenu est évident ; la bilinéarité découle en général de la loi de réciprocité de Weil , à savoir que pour deux fonctions de le corps de fonctions de la courbe sur un corps algébriquement clos , \ . Accouplement de Weil ℓ- adique Soit un premier positif ( et premier avec la caractéristique de lorsque celle-ci est positive ) , alors on peut étendre l' accouplement de Weil initialement défini sur pour l' appliquer à le module de Tate -adique , \ . On vérifie pour cela que la suite de les accouplements pour les puissances successives de est projective , c'est-à-dire que , ce qui découle directement de la bilinéarité . Puisque l' application « multiplication par » et que l' application « mise à la puissance » forment également de les systèmes projectifs compatibles , on définit l' accouplement de Weil -adique comme la limite projective de les accouplements sur \ : Exemple Prenons , \ . On a \ . Le point est d' ordre \ . Le degré de plongement est ( car ) . Posons \ . Alors est aussi d' ordre L' algorithme de Miller permet d' obtenir les diviseurs \ : qui correspondent à À cause de le point soulevé précédemment , on ne peut pas directement évaluer , il faut faire intervenir un point pour déplacer le diviseur . Par souci de symétrie considérons deux points et on déplacera les deux diviseurs \ : deux points de \ . Et on poseLes fonctions correspondantes s' obtiennent aisément à le moyen de l' algorithme de Miller \ : Et finalement on a l' accouplement de Weil \ : On obtient et on vérifie que c' est une racine cubique de l' unité . De même , ce qui vérifie les relations de bilinéarité . Voir aussi Courbe elliptique supersingulière Cryptographie à base de couplages Accouplement de Lichtenbaum-Tate Accouplement de Néron-Tate Accouplement de Cassels-Tate Accouplement Ate Accouplement Eta Notes et références Notes Références Cryptologie Géométrie algébrique Théorie de les nombres