超特異同種写像ディフィー・ヘルマン
2014年に、ウォータールー大学の研究者がSIDHのソフトウェア実装を開発している。彼らの部分的に最適化したコードをx86-64プロセッサ上で 2.4 GHz で実行したところ、768ビットの法では、鍵交換の計算時間は 200 ミリ秒で終了した。これによって、SIDHが実用的であることが実証された。
2016年には、Microsoftの研究者がSIDHのソフトウェアを公開した。このソフトウェアは、入力によらず常に一定時間で動作し(したがってタイミングアタックに耐性がある)、これまでで最も効率の良い実装である。開発者たちは「公開鍵のサイズは564バイトであり、ほとんどの一般的な耐量子の鍵交換プロトコルよりもかなり小さい。我々のソフトウェアのサイズとスピードは、SIDHが、耐量子の鍵交換プロトコルの候補となる強い可能性を示している。我々の結果がより広い暗号解析の努力を促進させることを願っている。」と述べている。
2016年、Florida Atlantic Universityの研究者は、SIDHの効率的な ARM 実装を開発し、アフィン座標と射影座標の比較を与えた。 また2017年には、最初のSIDHのFPGA実装が開発されている。
鍵共有プロトコルにおいて、アリスとボブはそれぞれ、楕円曲線を定義するための(mod pにおける)2つの係数と、曲線上の2つの点を相手に送信する。 各楕円曲線の係数は log2p ビットが必要で、各楕円曲線上の点は log2p+1 ビットで表現できるため、送信量は 8log2p + 2 ビットとなる。 768ビットの p(128ビット安全)を用いた場合には、これは 6146ビットである。 しかし、鍵圧縮のテクニックを用いれば,半分以下の 2640ビット(330バイト)まで短くできることが、Costello, Jao, Longa, Naehrig, Renes and Urbanikの最新の研究によって示されている。 鍵圧縮を用いれば、SIDHが必要とする帯域は、従来の 3072-bit RSA署名やDiffie-Hellman鍵共有プロトコルと同程度である。このため、ビットコインやTorのようにデータ容量が限定される場合にも応用できる。
Torのデータセルは 512バイト以下でなければならないが、SIDHに必要な330バイトの情報を運ぶことができる。これに対し、NTRUEncryptは、128ビット安全を達成するためには 約600バイトの情報を交換する必要があり、セルのサイズを増やさない限り、Torには適用できない 。
(添え字 A がアリスを表し、Bはボブを表す。) 鍵共有プロトコルを実行するとき、まずアリスは自分の捩れ部分群 E [ w A e A ] {\displaystyle E[w_{A}^{e_{A}}]} の(秘密の)巡回部分群をランダムに選び、対応する(秘密の)同種写像とターゲット楕円曲線を計算する。そして、ターゲット楕円曲線と、同種写像によるボブの捩れ部分群 E [ w B e B ] {\displaystyle E[w_{B}^{e_{B}}]} の像(image)に関する情報をボブに送る。ボブも同様に、 E [ w B e B ] {\displaystyle E[w_{B}^{e_{B}}]} の部分群を選んで同種写像とターゲット楕円曲線と、自分の同種写像によるアリスの捩れ部分群 E [ w B e B ] {\displaystyle E[w_{B}^{e_{B}}]} の像に関する情報をアリスに送る。 これによってアリスとボブは、 二人の秘密の巡回部分群によって決まるカーネルを持つような新しい( E {\displaystyle E} の)同種写像をそれぞれ計算できるようになる。二人が計算して得る同種写像のカーネルは一致するため、その新しい楕円曲線は同型であり、共通のj-不変量を持つので、その j-不変量を共通鍵とすればよい。
この方式の安全性は、小さい方の捩れ部分群に依存しているため、 w A e A ≈ w B e B {\displaystyle w_{A}^{e_{A}}\approx w_{B}^{e_{B}}} であるように選ぶ必要がある。 詳細については、De Feoによる文献に示されている。