<div dir="ltr">There aren't many useful ones with low c then (I guess they'd already have curves developed for them). 2^810-5 for the "now you are just being silly" level, 2^216 - 2^108 - 1 for the "looks better on paper than 25519, and probably strong enough", and 2^96 - 17 for the "hyperelliptic >80 criteria".<br><br>P.S. You've prepared lots of interesting stuff for Ed448, thanks. I'll try and learn some more about ECC through a toy implementation of it in [favourite language here].<br></div><div class="gmail_extra"><br><div class="gmail_quote">On 31 October 2014 00:00, Mike Hamburg <span dir="ltr"><<a href="mailto:mike@shiftleft.org" target="_blank">mike@shiftleft.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div class="HOEnZb"><div class="h5"><br>
On 10/30/2014 06:58 AM, David Leon Gil wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
On Thu, Oct 30, 2014 at 12:44 AM, Ben Harris <<a href="mailto:mail@bharr.is" target="_blank">mail@bharr.is</a>> wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Are there recommended<br>
limits on the small 'c' in Crandall primes? This list is only up to 32, but<br>
many on the SafeCurves list are in the 100s.<br>
</blockquote>
It's purely a matter of speed.<br>
<br>
I.e., large values of 'c' are all mainly due to targeting a specific<br>
field-size, rather than a speed/security-optimal field size.<br>
<br>
Most of the Crandalls in SafeCurves with large 'c' are due to Aranha<br>
et al.: <a href="http://eprint.iacr.org/2013/647" target="_blank">http://eprint.iacr.org/2013/<u></u>647</a><br>
</blockquote></div></div>
If you have more than log2 ((n-1)c + 1) + epsilon bits of headroom in<br>
your n limbs, then you can implement the multiplication and reduction all<br>
in one go without crossing limbs, and then do all the carry propagation.<br>
If you have 2 more bits on top of that, you have to propagate carries<br>
twice.<br>
<br>
So to maximize efficiency, you want limbs close to the word size and c<br>
small.<span class="HOEnZb"><font color="#888888"><br>
<br>
-- Mike<br>
</font></span></blockquote></div><br></div>