【转载】secp256k1 是如何生成公钥和私钥的？

作者：damon lin
链接：https://www.zhihu.com/question/22399196/answer/373294435
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

一条椭圆曲线可以使用二元三次方程来表示，比如：y2 = x3 + ax + b

下图展示了一些合法的椭圆曲线：

定义椭圆曲线上两点相加为：给定曲线两点P，Q，P+Q等于P和Q两点的连线与曲线交点沿X轴的对称点，如果P=Q，则P+P等于P在曲线上的切线与曲线交点沿X轴的对称点。

下图演示了如何计算P+Q=R(P≠Q)，将P和Q相连得到和曲线的另一个交点-R，再将-R沿X轴做对称得到最终结果R。

如果P和Q相等，下图演示了如何计算P+Q=2P=R(P=Q)，使用P点的切线得到红点-R，沿着X轴做对称得到R点。

如果我们从某一点出发（所谓的单位元，比如正整数域的1，代表一个空间里的最基本单元），不停做自增操作（所谓群操作，比如++），枚举出整个空间的集合元素可以用下图表示：

从G出发，不停做切线，找对称点，依次得到-2G，2G，-4G，4G，-8G，8G... 我们可以想象，如果直接给你一个点 Q ，而且Q = NG，你是无法直接回答N的数值是多少。N就是我们的私钥，Q就是我们的公钥。