ecc256比特币

① 椭圆曲线加密算法原理

椭圆曲线加密算法，简称ECC，是基于椭圆曲线数学理论实现的一种非对称加密毁核算法。

相比RSA，ECC优势是可以使用更短的密钥，来实现与RSA相当或更高的安全，RSA加密算法也是纯扰一种非对称加密算法，在公开密钥加密和电子商业中RSA被广泛使用。据研究，160位ECC加密安全性相当于1024位RSA加密，210位ECC加密安全性相当于2048位做余旦RSA加密（有待考证）。

椭圆曲线也可以有运算，像实数的加减乘除一样，这就需要使用到加群。19世纪挪威的尼尔斯·阿贝尔抽象出了加群（又叫阿贝尔群或交换群）。数学中的群是一个集合，我们为它定义了一个“加法”，并用符号+表示。假定群用 表示，则加法必须遵循以下四个特性：

• 封闭性：如果a和b都是 的成员，那么a+b也是 的成员；

• 结合律：(a + b) + c = a + (b + c);

• 单位元：a+0=0+a=a，0就是单位元；

• 逆元：对于任意值a必定存在b，使得a+b=0。

如果再增加一个条件，交换律：a + b = b + a，则称这个群为阿贝尔群，根据这个定义整数集是个阿贝尔群。

② 椭圆曲线加密算法中的密谋

公钥加密算法有两种，RSA 和 ECC，RSA 简单易懂但效率低，ECC 效率高，用 256 位秘钥抵得过 RSA 3072 位秘钥，但 ECC 数学原理复杂，实现也比 RSA 难。

要理解 ECC 椭圆曲线加密算法，就得顺藤摸瓜，一路搞定下面这些原理。

于是得到了这样的曲线：

这个方程式用来加解密的过程，就不解释了，网上资料不少，密码学的书中也有。

其原理基于，射影平面上的加法算法，其正向过程是简单容易的，而加法的逆向过程，则是困难的。我们可以用打台球来比喻，确定一个球的初始位置为 p1，对 p1 进行 n 次击球（假设 n 次击球的力度和方向一致），最终获得位置为 p2。已知 p1 和 n，则获得 p2 非常容易，进行 n 次击球便可。但若已知 p1 和 p2，要倒推出 n 来，则很难。这个道理，人人皆知。 椭圆曲线在射影平面上的加法之不可逆，和上面的台球游戏类似。

用来加解密和签名的 ECC 曲线，由如下几个参数确定：(p,a,b,G,n,h)。 p 便是有限域的整数范围， a，b 则是确定曲线的形状， G 是曲线上选择的初始点，n 则是用来进行加法的次数， h 是协因子，不知道干嘛用的，一般取 1。

比特币所用 Secp256k1 曲线的参数如下：

p = 2^256 − 2^32 − 2^9 − 2^8 − 2^7 − 2^6 − 2^4 − 1 = 2^256 – 2^32 – 977

a = 0

b = 7

这就是中本聪挑选的曲线，并非一条流行通用的曲线。去掉模运算，用 x y 方程简单表示为 y^2 = x^3 + 7。

Secp256k1 中 “sec” 的意思是 Standards for Efficient Cryptography，"p" 则代表有限域参数 p，256 代表 p 的位数，而 “k” 则大有深意。

“k” 代表 Koblitz，这是椭圆曲线加密算法发明人 Koblitz 的名字，在这里指的一类曲线，这一类曲线的参数是刻意挑选出来的。比如上面的 a 和 b，一个 0，一个 7，一看就知道是刻意挑选出来的。

k 后面的 1 代表序号。

与 “k” 对应的叫 “r”，所谓 r 指代 Random，就是随机数的意思。大家就明白了，曲线所用参数是随机挑选出来的。比如 Secp256r1 的参数如下：

p = 2^224(2^32 − 1) + 2^192 + 2^96 − 1

a = 97853948

b = 7401291

这个 Secp256r1 还有一个名字，叫 NIST P256，NIST 是 National Institute of Standards and Technology，也就是美国国家标准技术委员会，隶属商务部，专门为政府机构制定技术标准。所以，Secp256r1 那算是闪耀着官方光环的技术。这个标准是 1999 年 NIST 发布的。

既然 p，a，b这些参数都是随机挑选出来的，那么自然应该更安全了。理论上是这样的，但“随机” 这两个字可不是那么容易的，不是上嘴唇一碰下嘴唇就能出来一个随机数。 计算机里的随机数一直是个难题。 

Secp256r1 的随机数生成是用哈希算法 SHA1 实现的，用SHA1算法对某个字符串进行哈希，每次都能生成非常随即的数字。 而 Secp256r1 的 p，a，b 做 SHA1 的字符串是：。

密码学界以及加密学应用技术行业的疑心由此而起：NIST 为何挑选了这个字符串？

哈希运算的特点，大家都清楚，NIST 无法根据一条既定曲线，返过去计算出 SHA1 的种子字符串。

所以大家就怀疑，NIST 很可能测试了无数的种子字符串，最终选择了一条较弱的曲线。这是一种暴力的挑选方法，据传 NIST 测试了 10 亿条曲线。2014 年密码学者 Daniel J. Bernstein1 和 Tung Chou 便发表过文章 “How to manipulate curve standards: a white paper for the black hat” 介绍了如何操控 ECC 曲线标准的制定。

大家的担心虽然并无实证，但 NIST 在椭圆曲线上做手脚，并非第一次，而且之前那次是有实锤证据的。2007 年 NIST 发布了 130 页的技术标准文书： NIST Special Publication 800-90，其中介绍了 “Deterministic Random Bit Generators”，也就是随机数生成的技术，和上面所说用 SHA1 生成随机数类似。 介绍的技术中，有一种叫 Dual_EC_DRBG，也就是用双椭圆曲线生成随机数的技术。 技术原理和用椭圆曲线做加法进行加密类似。

还用台球做比，为了生成随机数，在巨大巨大的 “有限域” 台球桌上摆放两个台球在 p1 和 p2 位置。对在 p1 的第一个台球进行 n 次击打，n是一个秘密数字，获得位置 p1‘，这就是生成的随机数。完事后 p2 也进行 n 次击打，获得位置 p2’，将 p2‘ 替代 n，作为下一次生成随机数的秘密数字。最后，将 p1 和 p2 摆回最初的位置 p1 和 p2，等待下次。

从原理上来说，这种算法生成随机数是没问题的。就是比起其它随机数生成算法，效率要慢一些，有些密码学家就提出这个问题，这种算法的效率比该标准中的其他算法要慢三个数量级。

诡异的是，Dual_EC_DRBG 是 NSA 推荐到 NIST，并强力支持的。 NSA 是谁？大名鼎鼎的美国国家安全局，与美国民间密码学界斗争多年的强力部门。

2007 年，牛逼的 CRYPTO 大会上，密码学者 Dan Shumow 和 Niels Ferguson 指出，Dual_EC_DRBG 不仅是慢的问题，它有后门啊，NIST 指定的算法也许没问题，但 P1 和 P2 这两个初始位置有问题：这两个参数之间是有关系的，可以推算的。

这真是打了 NIST 和 NSA 的脸。当然，密码学者们并没有实锤证据，到底这个是 NIST 和 NSA 恶意设计，还是一个为他们工作的科研人员私下作恶。

直到 2013 年棱镜门爆发，斯诺登披露的政府文件显示，NSA 刻意在加密算法中植入后门。之后，路透社披露，NSA 收买了 RSA 公司，在其软件中植入 Dual_EC_DRBG，以利于破解加密技术，对互联网信息进行窃听。一切水落石出真相大白，就是 NSA 协同 NIST 捣的鬼。

比特币中对 Secp256r1 弃而不用，选择了 Secp256k1，而中本聪开发比特币软件，是在 2008 年之前。所以应当是在 2007 年 CRYPTO 大会上对 Dual_EC_DRBG 的责难，引起了中本聪的警觉。那时候棱镜门还没爆发，对于 NSA 的恶意操纵，还并没有证据。

机构作恶，人们无可奈何，无人脸红，也无人为其负责。放个后门，放了就放了吧，大家躲着走就是。

③ 理解椭圆曲线加密算法

椭圆曲线加密算法，即：Elliptic Curve Cryptography，简称ECC，是基于椭圆曲线数学理论实现的一种非对称加密算法。相比RSA，ECC优势是可以使用更短的密钥，来实现与RSA相当或更高的安全。据研究，160位ECC加密安全性相当于1024位RSA加密，210位ECC加密安全性相当于2048位RSA加密。

一般椭圆曲线方程式表示为:(其中a,b,c,d为系数)
> y2=ax3+ bx2+cx+d
典型的椭圆曲线如：y2=x3−4x2+16

先摆一个栗子：

小米很难算到的那个数，就是公钥密码算法中的私钥（一个公钥密码算法安全的必要条件（非充分）是“由公钥不能反推出私钥”），公钥密码算法最根本的原理是利用信息的不对称性：即掌握私钥的人在整个通信过程中掌握最多的信息。
椭圆曲线加密算法是一个基于加法阶数难求问题的密码方案。 对于椭圆曲线来讲，椭圆曲线的基点就是例子里面的5，而私钥就是基点的加法阶数（例子里面的11），公钥是基点（5）进行对应阶数的加法（11次）得到的结果（55）。

简单描述就是:G * k = K （G,K公开，k保密）

上述例子相对简单，椭圆曲线加密算法里的加法建立在 “有限域上的二元三次曲线上的点”上 ，组成一个“有限加法循环群”。具体的说，这个加法的几何定义如下图，两个点的加法结果是指这两点的连线和曲线的交点关于x轴的镜像。

如果我们从某一点出发（所谓的单位元，比如正整数域的1，代表一个空间里的最基本单元），不停做自增操作（所谓群操作，比如++），枚举出整个空间的集合元素。如图：

因此给定椭圆曲线的某一点G，从G出发，不停做切线，找对称点，依次得到-2G，2G，-4G，4G，-8G，8G... 。即：当给定G点时，已知x，求xG点并不困难。反之，已知xG点，求x则非常困难。即Q = NG，N就是我们的私钥，Q就是我们的公钥。

现在我们知道了公钥(Q)和私钥(N)的生成的原理,我们在看看椭圆曲线数字签名算法(ECDSA)的过程,椭圆曲线数字签名算法（ECDSA）是使用椭圆曲线密码（ECC）对数字签名算法（DSA）的模拟。ECDSA于1999年成为ANSI标准，并于2000年成为IEEE和NIST标准。

私钥主要用于 签名，解密 ；公钥主要用于 验签，加密 ，可以通过私钥可以计算出公钥，反之则不行。
公钥加密：公钥加密的内容可以用私钥来解密——只有私钥持有者才能解密。
私钥签名：私钥签名的内容可以用公钥验证。公钥能验证的签名均可视为私钥持有人所签署。

通常需要六个参数来描叙一个特定的椭圆曲线:T = (p, a, b, G, n, h).
p: 代表有限域Fp的那个质数 a,b：椭圆方程的参数 G: 椭圆曲线上的一个基点G = (xG, yG) n：G在Fp中规定的序号，一个质数。 h：余因数（cofactor），控制选取点的密度。h = #E(Fp) / n。

这里以secp256k1曲线(比特币签名所使用的曲线)为例介绍一下公私钥对的产生的过成。
secp256k1的参数为：

本质上ECDSA的私钥就是一个随机数满足在曲线G的n阶里及k∈(0,n),根据Q=kG可以计算出公钥，生成的私钥一般为32字节大小，公钥通常为64个字节大小。如：

ECDSA签名算法的输入是数据的哈希值，而不是数据的本身，我们假设用户的密钥对:（d, Q）；(d为私钥，Q为公钥) 待签名的信息：M； e = Hash(M);签名：Signature(e) = ( r, s)。

签名接口：

验证接口:

一个例子：