Lab de universidad (primeros cursos) o Bachillerato avanzado, sobre la curva y² = x³ + ax + b. Es muy visual: casi todo ocurre arrastrando puntos sobre la curva y viendo cómo se mueve la recta que los une.

La idea central es sencilla de enunciar y rica en consecuencias: una recta corta a una cúbica en tres puntos, y si dos de ellos son racionales, el tercero también lo es. Esa regla, más un reflejo, convierte los puntos racionales de la curva en un grupo: se pueden sumar, multiplicar por un entero (n·P) y clasificar. De ahí salen la caza de puntos racionales (Mordell: todos se generan desde unos pocos) y la torsión, los puntos que vuelven al elemento neutro (Mazur: solo hay 15 formas posibles). El lab cierra en criptografía: la misma curva, pero en un «reloj» (aritmética modular), donde calcular n·P es rápido y recuperar n a partir de n·P es, en la práctica, inabordable. Esa asimetría es lo que protege hoy las conexiones seguras (TLS), WhatsApp o Bitcoin.

Qué se aprende

• Ver la curva y² = x³ + ax + b como una forma que cambia con a y b (una pieza o dos), y reconocer cuándo deja de ser una curva elíptica (el discriminante 4a³ + 27b² se anula).
• Definir la suma de dos puntos con una cuerda y un reflejo, y la de un punto consigo mismo con una tangente; deducir y aplicar las fórmulas de la suma.
• Comprobar de forma experimental que esa suma es asociativa y conmutativa, es decir, que los puntos racionales de la curva forman un grupo, con el punto del infinito O como elemento neutro.
• Multiplicar un punto por un entero grande con «doblar y sumar» (exponenciación rápida), en lugar de sumar uno a uno.
• Cazar puntos racionales de una curva por altura (denominador) y expresarlos como combinación de unos pocos generadores (teorema de Mordell).
• Reconocer la torsión (los puntos de orden finito) con el criterio de Nagell–Lutz, recorrer familias de curvas con torsión fija (forma normal de Tate) y conocer las 15 torsiones posibles sobre los racionales (teorema de Mazur).
• Pasar la misma aritmética a un «reloj» (mod p) y entender por qué multiplicar un punto es rápido pero deshacer la multiplicación (el logaritmo discreto) es tan costoso, hasta ver en directo el intercambio de claves de Diffie–Hellman sobre una curva elíptica.

Ideas matemáticas clave, por bloque

A · La curva. La forma de y² = x³ + ax + b depende de las raíces reales de x³ + ax + b: dos piezas si hay tres raíces reales, una si hay una sola. La curva es singular (un nudo o un pico) exactamente cuando 4a³ + 27b² = 0; ahí deja de ser elíptica. Una recta corta a la cúbica en tres puntos, contando multiplicidades, o en dos y «uno en el infinito» si es vertical.

B · La suma y la multiplicación. Si P * Q fuera la suma, no habría elemento neutro; por eso P + Q se define como el reflejo de P * Q. Con esta definición, P + (−P) = O y P + O = P. La asociatividad, (P + Q) + R = P + (Q + R), se comprueba arrastrando puntos y siempre se cumple, aunque no sea nada evidente (de hecho, se apoya en los nueve puntos de Cayley–Bacharach). Multiplicar por n con doblar y sumar cuesta del orden de log₂ n operaciones en vez de n: 100·P son solo 8 operaciones, no 99.

C · Cazar puntos racionales. Con coeficientes racionales, la cuerda y la tangente nunca salen de Q: si se parte de puntos racionales, se llega solo a puntos racionales. El teorema de Mordell dice que el grupo de puntos racionales es E(Q) ≅ T ⊕ Zʳ: finito generado, con una parte de torsión T y un rango r de generadores de orden infinito. El tamaño (la altura, medida en cifras del denominador) de n·P crece como n², lo que hace inviable un buscador ingenuo para n grande. Los números congruentes (áreas de triángulos rectángulos racionales) son un ejemplo clásico de esta caza: n es congruente si y solo si y² = x³ − n²x tiene un punto con y ≠ 0.

D · Torsión. Los puntos de orden finito (que vuelven a O al multiplicarlos) tienen coordenadas enteras y cumplen el criterio de Nagell–Lutz (y = 0 o y² divide a 4a³ + 27b²), lo que los hace localizables con una tabla finita de candidatos. Las familias de Tate muestran curvas que se deforman con un parámetro sin romper un polígono de torsión cerrado. El teorema de Mazur (1977) cierra la clasificación: sobre Q solo hay 15 grupos de torsión posibles, Z/n (n = 1…10, 12) y Z/2 × Z/2m (m = 1…4).

E · Criptografía: el problema inverso. La misma aritmética, ahora en un «reloj» mod p (un grupo finito): la multiplicación n·P sigue costando poco, del orden de 2k operaciones para una clave de k bits. Deshacerla —dado Q = n·G, encontrar n— es un problema distinto en su naturaleza según dónde se plantee:

• En Q, la altura delata n: como el tamaño de n·P crece como n², el tamaño de Q casi dice cuánto vale n.
• En el reloj no hay pistas: la órbita de G salta por la rejilla sin ningún patrón de cercanía; estar «cerca» de Q no dice nada sobre si n está cerca. Por fuerza bruta, encontrar n cuesta del orden de 2^k pasos, frente a los 2k de la ida: una recta contra una exponencial.
• El mejor ataque conocido (paso de bebé–paso de gigante, o el ρ de Pollard) baja de N pasos a √N. Con una clave de 256 bits, eso son √(2²⁵⁶) = 2¹²⁸ pasos, del orden de 10²² años a mil millones de pasos por segundo —más que la edad del universo. Un ordenador cuántico suficientemente grande (con el algoritmo de Shor) sí rompería este problema; de ahí el interés en la criptografía poscuántica.

Antes de llegar a esa tabla, un juego de alumno contra el motor («El escondite») hace vivir la asimetría sin explicarla todavía: en Q se acierta el número escondido en pocos intentos porque la altura lo delata; en el reloj, con las mismas 8 oportunidades, casi nunca se acierta porque no hay ninguna pista de cercanía; y al cambiar los papeles, el motor calcula rapidísimo lo que a un buscador por fuerza bruta le llevaría un contador de decenas de cifras.

Esa asimetría entre «ida barata, vuelta carísima» es exactamente lo que usa Diffie–Hellman: dos personas publican a·G y b·G y ambas calculan el mismo ab·G sin que un observador pueda despejar a ni b.

Créditos

El lab sigue de cerca Rational Points on Elliptic Curves de J. H. Silverman y J. Tate. La motivación histórica parte del problema de Bachet (1621) y de Diofanto (puntos racionales en una cúbica). Se apoya en el teorema de Mordell (generación finita del grupo de puntos racionales), el criterio de Nagell–Lutz, la forma normal de Tate para familias con torsión fija y el teorema de Mazur (1977) sobre las 15 torsiones posibles. El bloque de criptografía se basa en el intercambio de claves de Diffie–Hellman y en la criptografía de curvas elípticas propuesta de forma independiente por N. Koblitz y V. Miller (1985).

Notas para el aula

• «El tercer punto» y «Sumar es reflejar» conviene verlas seguidas y proyectadas: es el momento en que la suma deja de ser una fórmula y se convierte en un dibujo que se puede predecir.
• «Una suma que se deja agrupar» funciona mejor si se pide a la clase predecir el resultado antes de soltar los puntos: la sorpresa de que siempre coincide es la que sostiene la idea de grupo.
• «Una órbita que se cierra» (el hexágono de un punto de torsión) es una buena imagen para explicar qué es un punto de orden finito antes de dar la definición formal.
• «Cifras que se disparan» (la parábola de cifras del denominador) explica de un vistazo por qué buscar puntos racionales grandes a fuerza bruta no funciona.
• «Familias con torsión» deja ver que el mismo polígono de torsión sobrevive aunque la curva se deforme con el deslizador t.
• «El escondite» es un buen calentamiento antes de «El camino de vuelta»: jugarlo (aunque se pierda en el reloj) deja vivida la asimetría antes de ponerle nombre.
• «El camino de vuelta» es la sala clave del bloque de criptografía: la tabla que compara una recta con una exponencial es el argumento completo en una sola imagen.
• «Un secreto a la vista» cierra el lab con Diffie–Hellman en vivo; funciona bien como sala de reparto entre dos alumnos, con la clase entera intentando hacer de espía.