超特異同種写像ディフィー・ヘルマン

公開パラメータは以下を含む。 （ネットワーク上の誰でもが使えるようにしても良いし、鍵交換に先立ちアリスとボブの間で同意してもよい。）

1. ${\displaystyle p=w_{A}^{e_{A}}\cdot w_{B}^{e_{B}}\cdot f\pm 1}$ の形をした素数 ${\displaystyle p}$。
2. ${\displaystyle \mathbb {F} _{p^{2}}}$ 上の超特異楕円曲線 ${\displaystyle E}$。
3. 楕円曲線 ${\displaystyle E}$ の上にある４つの点 ${\displaystyle P_{A},Q_{A},P_{B},Q_{B}}$。
4. ${\displaystyle P_{A}}$ と ${\displaystyle Q_{A}}$ の位数 ${\displaystyle (w_{A})^{e_{A}}}$、${\displaystyle P_{B}}$ と ${\displaystyle Q_{B}}$ の位数 ${\displaystyle (w_{B})^{e_{B}}}$。

アリスとボブが鍵交換をするとき、共通の楕円曲線 E からの同種写像をそれぞれが作る。そのために、同種写像の核空間(kernel)を定義するランダムな点（${\displaystyle R_{A}}$ または ${\displaystyle R_{B}}$）を生成する。${\displaystyle R_{A}}$ は二点 ${\displaystyle P_{A},Q_{A}}$ のランダムな線形結合であり、${\displaystyle R_{B}}$ は ${\displaystyle P_{B},Q_{B}}$ のランダムな線形結合である。異なる点のペアを使うことで、二人が選ぶ同種写像は必ず異なり、非可換である。

${\displaystyle R_{A}}$（あるいは ${\displaystyle R_{B}}$）から、アリス（あるいはボブ）はVeluの公式Velu's formulasを用いて同種写像 ${\displaystyle \phi _{A}}$（あるいは ${\displaystyle \phi _{B}}$）を計算する。 さらに、ボブは二つの点 ${\displaystyle \phi _{B}(P_{A})}$ と ${\displaystyle \phi _{B}(Q_{A})}$ を、アリスは ${\displaystyle \phi _{A}(P_{B})}$ と ${\displaystyle \phi _{A}(Q_{B})}$ を得る。 二人は、計算した二つの点を通信路を介して交換する。

次に、アリスとボブは、それぞれ受け取った二点から新たな同種写像を生成する。そのため、受け取った二点を上で用いたのと同じ係数を使って線形結合して、点 ${\displaystyle S_{BA}}$ と ${\displaystyle S_{AB}}$ を得る。ここでまた Veluの公式を使って ${\displaystyle S_{BA}}$ と ${\displaystyle S_{AB}}$ に対応する同種写像および新しい楕円曲線を計算する。

鍵交換を完了するには、アリスとボブはそれぞれ得られた楕円曲線の係数から j-不変量を計算する。通信路上でエラーが起こらない限り、二人が計算した j-不変量は等しくなる。

具体的には、プロトコルは以下のように動作する：（以下ではアリスはA、ボブはBと表記する）

1A. Aは二つのランダム整数 ${\displaystyle m_{A},n_{A}(<(w_{A})^{e_{A}})}$ を選ぶ。

2A. Aは ${\displaystyle R_{A}:=m_{A}\cdot (P_{A})+n_{A}\cdot (Q_{A})}$ を計算する。

3A. Aは ${\displaystyle R_{A}}$ を用いて同種写像 ${\displaystyle \phi _{A}:E\rightarrow E_{A}}$ と、${\displaystyle E}$ と同種な楕円曲線 ${\displaystyle E_{A}}$ を生成する。

4A. Aは ${\displaystyle \phi _{A}}$ を点 ${\displaystyle P_{B}}$ と ${\displaystyle Q_{B}}$ に適用して、 ${\displaystyle E_{A}}$ 上の二点 ${\displaystyle \phi _{A}(P_{B})}$ と ${\displaystyle \phi _{A}(Q_{B})}$ を計算する。

5A. AはBに ${\displaystyle E_{A},\phi _{A}(P_{B}),\phi _{A}(Q_{B})}$ を送る。

1B - 4B: Bは、1A～4Aを、添え字AとBとを入れ替えて実行する。

5B. BはAに ${\displaystyle E_{B},\phi _{B}(P_{A}),\phi _{B}(Q_{A})}$ を送る。

6A. Aは ${\displaystyle m_{A},n_{A},\phi _{B}(P_{A}),\phi _{B}(Q_{A})}$ から ${\displaystyle E_{B}}$ 上の点 ${\displaystyle S_{BA}:=m_{A}(\phi _{B}(P_{A}))+n_{A}(\phi _{B}(Q_{A}))}$ を計算する。

7A. Aは ${\displaystyle S_{BA}}$ を用いて ${\displaystyle E_{B}}$ と同種な楕円曲線 ${\displaystyle E_{BA}}$ を生成する。

8A. Aは曲線 ${\displaystyle E_{BA}}$ の j-不変量 ${\displaystyle K_{A}:=j(E_{BA})}$ を計算する。

6B - 8B: Bは、6A～8Aを、添え字AとBを入れ替えて実行し、${\displaystyle K_{B}:=j(E_{AB})}$ を得る。

二つの曲線 ${\displaystyle E_{AB}}$ と ${\displaystyle E_{BA}}$ は同型であり、したがって必ず同じ j-不変量を持つため、${\displaystyle K:=K_{A}=K_{B}}$ が成り立つ。${\displaystyle K}$ を何らかの関数で変換したものを共有鍵として使用する。[3]