密码学速查笔记（二）-- 椭圆曲线密码学

一、概述

如今许多加密算法和安全标准都会使用公钥算法来加解密、数字签名。其中RSA为最广泛使用的算法。RSA算法基于离散对数问题，密钥长度越长安全性越高。近年来，出于安全需求，RSA的密钥长度变得越来越长，运算时间也越来越慢。在交易任务数量庞大的今天，长时间的密码学运算给系统造成不小的负担。因此，拥有更小密钥长度的椭圆曲线算法正充当着越来越重要的角色。研究表明，同等安全性条件下，使用256位的椭圆曲线密钥与使用3072位RSA密钥的安全性相当。

二、原理

2.1 椭圆曲线

椭圆曲线跟我们高中学的椭圆不同，它是一个有限域上的平面曲线，曲线上的点满足方程
$$y^2=x^3+ax+b$$
对于椭圆曲线域以及曲线上的操作满足阿贝尔群的定义，关于阿贝尔群可以参考我之前的博客

密码学速查笔记（一）-- 分组对称加密

椭圆曲线与阿贝尔群的对应关系如下：

• 首先是运算的对象，在椭圆曲线上一般为点。
• 然后是运算的符号，阿贝尔群中的 $+$ 在椭圆曲线中定义如下
  $$R+Q+P^{\prime }=0$$
  $$R+Q=-P^{\prime }=P$$
  简单来说就是R点加Q点，等于RQ所在直线与椭圆曲线的交点，对x轴作对称的点
  
• 最后是运算的幺元为无穷远点 $O$ ，因为其满足 $O=-O$ 且 $P+O=P=O+P$

当R和Q重合时，RQ所在的直线为椭圆曲线的切线，此时，我们可以用数字点乘的形式代表$$Q+Q=2Q$$

对于 数字乘点 这个运算，符合乘法交换律，如下例：
$$2(3Q)=3(2Q)=6Q$$

对于一个数字乘点操作，已知点 $Q$ 和数字 $k$ ，我们可以很轻松算出点 $P=kQ$ ，但是已知 $P$ 和 $Q$ 的情况下，算出 $k$ 往往是很复杂的，就像在一个四面都是镜面，封闭的房间中，有一束激光光源和反射点，我们无法推测该光源究竟经过了多少次反射才能映射到反射点。这就是椭圆曲线加密中使用到的最核心的特性。在公钥加密算法中，$Q$点常作为一个公开的基点，$k$点为私钥，通常为随机数，$P=kQ$ 则常被用作公钥。

下面贴一份蛋老师的讲解视频，讲得很清楚，可以作为博客的补充。

bilibili–公钥加密技术ECC椭圆曲线加密算法原理

2.2 Elliptic Curve Diffie-Hellman算法（ECDH）

Diffie-Hellman是一种密钥交换算法，可以在一个非安全的通信渠道中形成一个共享、不会被窃取的密文。刚刚分享的视频里也举了个例子，假设Alice的私钥是蓝色，Bob的私钥是红色，公钥是黄色，他们想生成一个共享的颜色，但是又不想其他人知道这个颜色，于是他们首先用自己的私钥颜色和公钥颜色混合，然后将该混合颜色发送给对方，如Alice将蓝色和黄色混合得到绿色，Bob将黄色和红色混合得到褐色，然后Alice把绿色发给Bob，Bob将褐色发给Alice，然后他们再使用这个颜色和自己的颜色混合，得到相同的黄褐色。
$$蓝+黄+红=红+黄+蓝$$

在ECDH算法中，相同的场景，Alice和Bob想生成一个共同的密文，Alice拥有密钥对$(d_A,Q_A)$，Bob拥有密钥对$(d_B,Q_B)$。Alice和Bob相互知道对方的 $Q$。下一步，Alice会计算$(x_k,y_k)=d_A{Q}_B$，Bob会计算$(x_k,y_k)=d_B{Q}_A$ ，共享的密文为 $x_k$。因为
$$d_A{Q}_B=d_A(d_{B}G)=d_B(d_{A}G)=d_B{Q}_A$$

在ECDH中，Alice和Bob对外界都只展示公钥 $Q$ ，没有人能够从公钥算出私钥，所以攻击者也无法得到共享密文 $x_k=dQ$ 了。而且为了进一步保护信息，通常共享密文会经过hash处理，去除密文中的weak bits使得攻击更加困难。

2.3 Elliptic Curve Digital Signature Algorithm算法（ECDSA）

椭圆曲线的特性同样能被利用在数字签名算法中，它是DSA算法中的一个变种。
这里列出具体的符号定义

Parameter
Ep(a,b)	椭圆曲线，方程为$y^2=x^3+ax+b$
$G$	基点，一个曲线上的大素数阶n子群的点
$n$	G的阶，满足$nG=O$，$O$是幺元
$d_A$	私钥，一个随机数
$Q_A$	公钥，$d_{A}G$
$m$	发送出去的消息
$H$	哈希处理后的消息 $Hash(m)$

数字签名具体流程如下，首先Alice和Bob回协商好通信的参数：
Alice：

1. 选择一个椭圆曲线$E_p(a,b)$，选择曲线上的一点$G$作为基点。
2. 生成公私钥对$(Q_A,d_A)$，并将 $n$，$E_p$，$G$，$Q_A$发送给Bob。
   Bob：
3. 检查$Q_A$ 是否不等于幺元 $O$。若等于，签名一定不合法
4. 检查$Q_A$ 是否在曲线 $E_p(a,b)$ 上
5. 检查$n{Q}_A$ 是否等于幺元 $O$

每次发送消息时：
Alice准备对消息 $m$ 签名发送给Bob:

1. Alice对消息作哈希 $H=Hash(m)$ ，哈希函数有SHA-2，SHA-3等，会把消息转换为一个整数
2. 取$H$最左的 $n$ 个数字，得到消息摘要 $z$
3. 选择一个介于 $[1,n-1]$ 的随机数字 $k$
4. 计算曲线上的点 $R=(x_1,y_1)=kG$
5. 计算 $r_1=x_1\mathrm{mod}n$，如果 $r_1=0$，返回第3步
6. 计算 $s=k^{-1}(z+r{d}_A)\mathrm{mod}n$，如果 $s=0$，返回第3步，这里的$k^{-1}$是模逆运算
7. 得到签名 $(r,s)$，值得注意的是，$(r,-s)$ 也是一个合法的签名，在某些算法中，会把签名定义为$(r,s,v)$，$v$用于定义 $s$ 究竟是哪一种情况。

Bob收到Alice的签名 $(r,s)$ 和消息 $m$ 后：

1. 检查 $r$和$s$是否在$[1,n-1]$之间
2. 计算消息的哈希 $H$ 以及消息摘要 $z$
3. 令 $u_1=z{s}^{-1}\mathrm{mod}n$，$u_2=r{s}^{-1}\mathrm{mod}n$
4. 计算点 $R^{\prime }=(x_1,y_1)=u_{1}G+u_2{Q}_A$，如果$R^{\prime }=O$ 签名不合法
5. 如果 $r\equiv x_1(\mathrm{mod}n)$，签名合法，否则不合法

原理：
$$\begin{array}{rl}{R}^{\prime }& =u_{1}G+u_2{Q}_A\\ & =u_{1}G+u_2{d}_{A}G\\ & =(z{s}^{-1}+r{d}_A{s}^{-1})G\\ & =(z+r{d}_A)s^{-1}G\\ & =(z+r{d}_A)(z+r{d}_A{)}^{-1}(k^{-1}{)}^{-1}G\\ & =kG\\ R& =kG\end{array}$$

公钥恢复

Bob通过消息 $m$ 和 Alice的签名 $(r,s)$，Bob能恢复Alice的公钥 $Q_A$

1. 计算曲线上的一点 $R=(x_1,y_1)$，其中 $x_1$ 是 $r，r+n，r+2n\dots$ 中的数字。
2. 令 $u_1=-z{r}^{-1}\mathrm{mod}n$，$u_2=s{r}^{-1}\mathrm{mod}n$
3. 计算点 $Q=(x_1,y_1)=u_{1}G+u_{2}R$
4. $Q$ 为Alice公钥 $Q_A$ 的可能解。

原理：
$$\begin{array}{rl}Q& =u_{1}G+u_{2}R\\ & =u_{1}G+u_{2}kG\\ & =(-z{r}^{-1}+sk{r}^{-1})G\\ & =(-z{r}^{-1}+k^{-1}(z+r{d}_A)k{r}^{-1})G\\ & =(-z{r}^{-1}+(z{r}^{-1}+d_A))G\\ & =d_{A}G\\ Q_A& =d_{A}G\end{array}$$

三、例子

下面的这台机器包括如下多曲线，每一条曲线都有清晰的名称。

这里给出一些曲线的具体参数

• secp256k1
  • a = 0
  • b = 7
  • G = 04 79BE667E F9DCBBAC 55A06295 CE870B07 029BFCDB 2DCE28D9 59F2815B 16F81798 483ADA77 26A3C465 5DA4FBFC 0E1108A8 FD17B448 A6855419 9C47D08F FB10D4B8
  • n = FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE BAAEDCE6 AF48A03B BFD25E8C D0364141
• 国密SM2
  • p = FFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFF
  • a = FFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFC
  • b = 28E9FA9E9D9F5E344D5A9E4BCF6509A7F39789F515AB8F92DDBCBD414D940E93
  • n = FFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFF7203DF6B21C6052B53BBF409 39D54123
  • Gx = 32C4AE2C1F1981195F9904466A39C9948FE30BBFF2660BE1715A4589 334C74C7
  • Gy = BC3736A2F4F6779C59BDCEE36B692153D0A9877CC62A474002DF32E52139F0A0
• Curve25519
  • a = 486662
  • b = 1
  • n = $2^{252}+27742317777372353535851937790883648493$
  • Gx = 9