椭圆曲线密码

在椭圆曲线的解点上找到一个循环子群E1，当E1的阶是足够大时，这个循环子群中的离散对数问题是困难的。设P和Q是是椭圆曲线上的两个解点，t为一正整数，且$1<t<|E1|$

对于给定的P和t，去解tP=Q是容易的，但若知P和Q，计算t则是及其困难的。这便是椭圆曲线解点群上的离散对数问题。简称ECDLP.

在SEC1的椭圆曲线密码标准中规定，一个椭圆曲线密码由以下六元组所描述：

$$T=<p,a,b,G,n,h>$$

其中：

• p，为大于3的素数，确定了有限域GF§.

• a，b 确定了椭圆曲线，且$a,b\in GF(p)$

• G 循环子群E1的生成元，

• n 为素数，是生成元的阶，G和n确定了循环子群E1

• h 余因子，它将交换群E与循环子群E1联系起来，计算方式：

$$h=\frac{|E1|}{n}$$

用户的私钥定义成一个随机数d：

$$d\in 1,2,\mathrm{3...}n-1$$

用户的公开密钥定义为Q点：

$$Q=dG$$

SM2椭圆曲线公钥密码加密算法

注：相关标准可参考GB/T 0009-2012 或GB/T 0010-2012等

SM2推荐使用256位素数域GF§上的椭圆曲线：

$$y^2=x^3+ax+b$$

并对上述六元组都给出了固定值。

加密算法

私钥d为用户定义的随机数：$d\in 1,2,\mathrm{3...}n-1$

用户的公钥定义为椭圆曲线上的P点：P=dG

其中G=G（x，y）是基点。

设用户A要把比特串明文M进行加密发送给用户B，M的长度为klen，加密计算过程为：

1、用随机数发生器产生随机数k，$k\in |1,2,...,n-1|$

2、计算椭圆曲线点:$C_1=kG=(x_1,y_1),将C_1的数据表示为比特串$

3、计算椭圆曲线点：$S=h{P}_B,若S是无穷远点，则报错并退出$

4、计算椭圆曲线点：$k{P}_B=（x_2,y_2),将坐标x_2,y_2的数据表示为比特串$

5、计算：$t=KFD(x_2\Vert y_2,klen),若t为全0比特串，则返回步骤1$

6、计算：$C_2=M⨁t$

7、计算：$C_3=Hash(x_2\Vert M\Vert y_2)$

8、输出密文：$C=C_1\Vert C_2\Vert C_3$

解密算法

用户B收到密文后，解密过程如下：

1、从C中取出比特串$C_1$,将$C_1$的数据表示为椭圆曲线上的点，验证$C_1$是否满足椭圆曲线方程，若不满足则报错并退出;

2、计算椭圆曲线点S=h$C_1$,若S是无穷远点，则报错退出;

3、计算$d_B{C}_1=(x_2,y_2)$,将坐标$x_2,y_2$的数据表示为比特串;

4、计算$t=KDF(x_2\Vert y_2,klen)$,若t为全0比特串，则报错退出;

5、从C中取出比特串$C_2$,j计算$M^{,}=C_2⨁t$;

6、计算$u=Hash(x_2\Vert M^{,}||y_2)$,从C中取出比特串$C_3$,若$u\ne C_3$,则报错并退出；

7、输出明文$M^{,}$。

SM2椭圆曲线签名算法

A、求$Z_A$值

签名者用户A具有长度为entlenA比特的标识$I{D}_A$,记作$ENT{L}_A$,是由整数entlenA转换而成的两个字节。在椭圆曲线数字签名算法中，签名者和验证者都需要用密码杂凑函数（Hash函数）球的用户A的杂凑值$Z_A$

$$Z_A=H_{2}56(ENT{L}_A\Vert I{D}_A\Vert a\Vert b\Vert X_G\Vert Y_G\Vert X_A\Vert y_A)$$

其中，$H_v()$表示摘要长度为v比特的密码杂凑函数，在这里$H_{256}()$选用SM3，a、b为椭圆曲线的系数，$x_G、y_G$为基点G的坐标，$x_A、y_A$为用户A的公钥$P_A$的坐标。

B、签名

假设待签名消息为M

1、置$M=Z_A\Vert M$；

2、计算$e=H_v(M)$,并将e的数据表示为整数；

3、用随机数发生器产生随机数$k\in [1,n-1]$；

4、计算椭圆曲线点$G_A=(x_A,y_A)$=kG,并将$x_A$的数据表示为整数；

5、计算$r=(e+x_A)modn$,若r=0或r+k=0，则返回步骤3；

6、计算$s=({(1+d_A)}^{-1}.(k-r{d}_A))modn$,若s=0则返回3；

7、将r、s的数据表示为字节串，消息M的签名为（r,s）。

C 、验签

为了检验收到的消息$M^{,}$及其数字签名$(r^{,}，s^{,}）$，收信用户B应当执行：

1、检验$r^{,}\in [1,n-1]$是否成立，若不成立则验证不通过;

2、检验是$s^{,}\in [1,n-1]$是否成立，若不成立则验证不通过;

3、置$M^{,}=Z_A|\Vert M^{,}$;

4、计算$e^{,}=H_v(M^{,})$,将$e^{,}$的数据表示为整数；

5、将$r^{,},s^{,}$的数据表示为整数，计算$t=(r^{,}+s^{,})modn$,若t=0，则验证不通过；

6、计算椭圆曲线点${G_A}^{,}=({x_A}^{,}+{y_A}^{,})=s^{,}G+t{P}_A$;

7、将${x_A}^{,}$的数据表示为整数，计算$R=(e^{,}+{x_A}^{,})modn$,检验$R=r^{,}$是否成立，若成立则验证通过，否则，验证不通过。