courbe elliptique

Tracez la courbe y² = x³ − x + 1, puis choisissez deux de ses points. La droite qui les relie recoupe en général la courbe une troisième fois. En retournant ce troisième point par symétrie autour de l'axe horizontal, on obtient la « somme » des deux points de départ.

Cette addition géométrique est la singularité féconde des courbes elliptiques : leurs points se combinent selon des règles cohérentes. Un point supplémentaire, appelé point à l'infini, joue le rôle de zéro.

Sur les nombres réels, une courbe elliptique sous forme courte de Weierstrass est l'ensemble des points de coordonnées réelles x et y qui satisfont y² = x³ + ax + b, auquel on adjoint un point à l'infini noté O. Les lettres a et b désignent deux coefficients réels fixés. Cette présentation concerne le cadre de la définition source ; d'autres corps et d'autres formes d'équation sont employés dans des cadres plus généraux.

Le polynôme x³ + ax + b doit avoir un discriminant non nul. En notant ce discriminant D, le critère est $D=-(4a^3+27b^2)\mathrm{\ne }0D=-(4a^3+27b^2)\backslash neq\; 0$. Il équivaut à l'absence de racine multiple du polynôme et exclut les points doubles ou de rebroussement. Cette condition de non-singularité est constitutive de la notion.

Les points portent une addition. Pour deux points distincts dont les abscisses diffèrent, on prend la troisième intersection de leur sécante avec la courbe, en comptant les multiplicités, puis on la réfléchit par rapport à l'axe des abscisses. Une tangente remplace la sécante pour additionner un point à lui-même. Le point O est l'élément neutre et le symétrique (x, −y) est l'opposé de (x, y). Cette loi est associative et commutative : les points forment donc un groupe abélien.

Dans un repère, une courbe elliptique réelle apparaît comme un tracé lisse, symétrique par rapport à l'axe horizontal. Chaque abscisse admissible porte deux points opposés, sauf lorsque y vaut zéro. Selon les coefficients, le dessin forme une seule composante ou deux composantes séparées. Le point O n'est pas un point lointain du dessin affine : il est ajouté dans le cadre projectif.

On rencontre aussi ces courbes sous forme de listes de points calculés modulo un nombre premier. Le dessin réel disparaît alors, mais l'équation, le point O et la loi de groupe subsistent sous une forme arithmétique, adaptée à la cryptographie.

Pour lire une courbe elliptique réelle, la grandeur décisive est d'abord la valeur du membre droit x³ + ax + b : un point réel n'existe à l'abscisse choisie que si cette valeur est positive ou nulle.

1. Relevez les coefficients a et b, puis contrôlez que le discriminant n'est pas nul.
2. Pour tester un point, remplacez x dans le membre droit et comparez le résultat à y².
3. Pour additionner deux points distincts, tracez leur sécante, repérez sa troisième intersection et prenez son symétrique vertical.
4. Gardez la convention que O est le zéro du groupe et que la réflexion sur l'axe horizontal donne l'opposé.

L'œil peut suggérer que la somme est le troisième point d'intersection. C'est son reflet qui constitue la somme avec la convention usuelle. Sur une image imprécise, mieux vaut substituer les coordonnées dans l'équation que conclure d'après le tracé.

Considérons la courbe E d'équation y² = x³ − x + 1. Ses coefficients sont a = −1 et b = 1. Prenons les points P = (0, 1) et Q = (1, 1). Nous allons calculer P + Q.

1. Le discriminant vaut $D=-(4(-1{)}^3+27(1{)}^2)=-23D=-\backslash bigl(4(-1)^3+27(1)^2\backslash bigr)=-23$. Il est non nul, donc E n'est pas singulière.

2. Les substitutions donnent 1² = 0³ − 0 + 1 pour P et 1² = 1³ − 1 + 1 pour Q. Les deux points appartiennent bien à E.

3. La droite passant par P et Q a une pente nulle : son équation est y = 1. En la substituant dans l'équation de E, on obtient $1=x^3-x+11=x^3-x+1$, donc $x(x-1)(x+1)=0x(x-1)(x+1)=0$. La troisième abscisse est −1.

4. La troisième intersection est T = (−1, 1). Son reflet sur l'axe horizontal est R = (−1, −1), donc P + Q = R. Pour contrôler le résultat, on vérifie que (−1)² = (−1)³ − (−1) + 1 = 1.

En cryptographie à clé publique, on choisit un point P et un entier n, puis on calcule Q = [n]P en additionnant P à lui-même. Le résultat Q se calcule efficacement lorsque n est connu ; retrouver n à partir de P et de Q = [n]P est le problème du logarithme discret elliptique exploité pour la sécurité.

Dans un calcul algébrique, les formules de pente donnent des coordonnées exactes, comme pour P + Q. Un tracé est préférable lorsque l'on veut voir les intersections ou les composantes, mais il sert alors de guide et non de preuve numérique.

Avant d'utiliser une équation comme courbe elliptique, le premier geste est de contrôler son discriminant. S'il est nul, il faut traiter la cubique comme une courbe singulière plutôt que lui appliquer sans précaution la loi de groupe elliptique.

Une courbe elliptique n'est pas une ellipse. L'ellipse est une conique d'équation de degré 2 ; la forme de Weierstrass y² = x³ + ax + b est une cubique. Par exemple, y² = x³ − x + 1 n'est pas une ellipse malgré son nom.

Une cubique plane quelconque n'est pas automatiquement une courbe elliptique. Il faut notamment qu'elle soit non singulière et disposer d'un point distingué jouant le rôle d'origine. La cubique y² = x³, qui présente un rebroussement à l'origine, ne passe pas ce test.

Une fonction elliptique est une fonction méromorphe doublement périodique, tandis qu'une courbe elliptique est un objet algébrique muni d'une loi de groupe. Le critère qui tranche est donc la nature de l'objet, fonction dans un cas, courbe dans l'autre.

Si le discriminant vaut exactement zéro, le polynôme possède une racine multiple et le tracé présente une singularité. Le symptôme est un point double ou un rebroussement ; il faut alors parler de cubique singulière et ne pas appliquer telle quelle la structure de groupe elliptique.

Le point O ne possède pas de coordonnées affines réelles. Chercher un couple (x, y) très grand pour le représenter est un mauvais réflexe : O est un point ajouté dans la fermeture projective et sert d'élément neutre.

Si deux points ont la même abscisse et des ordonnées opposées, leur droite est verticale et leur somme vaut O. Pour doubler un point d'ordonnée nulle, la tangente est elle aussi verticale : le résultat est O, et la formule de pente avec 2y au dénominateur ne doit pas être utilisée.

Le dessin sur ℝ ne décrit pas directement une mise en œuvre cryptographique. Celle-ci calcule habituellement sur un corps fini : les points deviennent discrets et les opérations sont modulaires. Il faut conserver la loi algébrique, sans transposer littéralement l'image d'une droite continue.

Le glossaire cryptographie situe les courbes elliptiques parmi les outils qui protègent les échanges et précise les objectifs de chiffrement et d'authentification.

La fiche arithmétique modulaire fournit le langage de calcul nécessaire lorsque les coordonnées d'une courbe elliptique sont prises dans un corps fini.

L'article La cryptologie revisitée prolonge l'application en replaçant les courbes elliptiques dans une vue d'ensemble des méthodes cryptologiques.