超详细！ECC 椭圆曲线密码算法加密过程详解！

ECC椭圆曲线算法详解

椭圆曲线方程

椭圆曲线$Ep(a,b)$，$p$为质数，$x,y\in [0,p-1]$：

$$y^2=x^3+ax+b(modp)$$

其中，要求曲线是非奇异的（处处可导），有$4a^3+27b^2\ne 0$。

椭圆曲线上的运算定义

$P+Q=R$是椭圆曲线上点的加法运算，任意取椭圆曲线上两点$P$、$Q$（若$P$、$Q$两点重合，则作$P$点的切线），作直线交于椭圆曲线的另一点$R^{\prime }$，取$R^{\prime }$关于$x$轴的对称点为$R$，定义$P+Q=R$。这样，加法的和也在椭圆曲线上。

$kP$是椭圆曲线上点的倍点运算，以$3P$为例。$3P=2P+P=(P+P)+P$，可以按照椭圆曲线上的加法定义进行运算，如下图所示。

其他相关概念

• 两点和的计算：

  根据所学的求直线方程、求交点、求对称点的知识，可以求出$P+Q=R$中$R$的表达式。设$P$为$(x_1，y_1)$，$Q$为$(x_2，y_2)$，$R$为$(x_3，y_3)$，则$R$的计算公式如下：
  $x_3=(k^2-x_1-x_2)(modp)$
  $y_3=(k(x_1-x_3)-y_1)(modp)$
  若$P=Q$，则$k=((3x_2+a)/2y_1)(modp)$
  若$P\ne Q$，则$k=(y_2-y_1)/(x_2-x_1)(modp)$
  注意：计算$k$时的除法，实际上是乘分母的逆元；其他的运算包括模加/减、模乘；即点加运算可以分解为模加/减、模乘和模逆运算。

• 零元的概念：

  设无穷点处是零元，则有$0\infty +P=P$。

• 负元的概念：

  一个点和其负元的和应该是零元，则有$P+(-P)=0\infty$。

  那负元的具体表达式是什么呢？负元是$P$关于$x$轴的对称点，即$P(x,y)$的负元是$(x,-ymodp)=(x,p-y)$。

• 阶的概念：

  如果椭圆曲线上一点$P$，存在最小的正整数$n$使得数乘$nP=0\infty$ ,则将$n$称为$P$的阶；若$n$不存在，则$P$是无限阶的。

• 阶的求法：

  按照椭圆曲线上加法的定义，依次求$2P、3P、4P$等，直到求出的点$（k-1）P$和$P$关于$x$轴对称，有$P$的阶是$k$。如下图所示，这里的$P（3,10）$在椭圆曲线$$y^2=x^3+x+1(mod23)$$ 上，求出的$27P$和$1P$关于$x$轴对称，则$P$的阶为$28$。
  

• 椭圆曲线上离散对数问题的复杂性：

  当椭圆曲线上的素数$p$选的比较大时，有$k$和$P$，容易求出$Q=kP$。相反，有$Q$和$P$，是难以求出$k$的。

椭圆曲线加密算法的过程

• 公私钥生成：

  1. Alice首先构造一条椭圆曲线$E$，在曲线上选择一点$G$作为生成元，并求$G$的阶为$n$，要求$n$必须为质数；

  2. Alice选择一个私钥$k(k<n)$，生成公钥$Q=kG$；

  3. Alice将公钥组$E、Q、G$发送给Bob。

• 加密过程：

  1. Bob收到信息后，将明文编码为$M$，$M$为曲线上一点，并选择一个随机数$r$（$r<n,n$为$G$的阶）；

  2. Bob计算点$Cipher1$与$Cipher2$即两段密文，计算方法如下

     $Cipher1=M+rQ$

     $Cipher2=rG$

  3. Bob把$Cipher1$和$Cipher2$发给Alice。

• 解密过程：

  1. Alice收到密文后，为了获得$M$，只需要$Cipher1-k\cdot Cipher2$，因为
     $Cipher1-k\ast Cipher2=M+rQ-krG=M+rkG-krG=M$
  2. 将M解码即可。