椭圆曲线加密c
非对称加密需要两个密钥：公钥(publickey) 和私钥 (privatekey)。公钥和私钥是一对，如果用公钥对数据加密，那么只能用对应的私钥解密。如果用私钥对数据加密，只能用对应的公钥进行解密。因为加密和解密用的是不同的密钥，所以称为非对称加密。
非对称加密算法的保密性好，它消除了最终用户交换密钥的需要。但是加解密速度要远远慢于对称加密，在某些极端情况下，甚至能比对称加密慢上1000倍。
算法强度复杂、安全性依赖于算法与密钥但是由于其算法复杂，而使得加密解密速度没有对称加密解密的速度快。对称密码体制中只有一种密钥，并且是非公开的，如果要解密就得让对方知道密钥。所以保证其安全性就是保证密钥的安全，而非对称密钥体制有两种密钥，其中一个是公开的，这样就可以不需要像对称密码那样传输对方的密钥了。这样安全性就大了很多。
RSA、Elgamal、背包算法、Rabin、D-H、ECC (椭圆曲线加密算法)。使用最广泛的是 RSA 算法，Elgamal 是另一种常用的非对称加密算法。
收信者是唯一能够解开加密信息的人，因此收信者手里的必须是私钥。发信者手里的是公钥，其它人知道公钥没有关系，因为其它人发来的信息对收信者没有意义。
客户端需要将认证标识传送给服务器，此认证标识 (可能是一个随机数) 其它客户端可以知道，因此需要用私钥加密，客户端保存的是私钥。服务器端保存的是公钥，其它服务器知道公钥没有关系，因为客户端不需要登录其它服务器。
数字签名是为了表明信息没有受到伪造，确实是信息拥有者发出来的，附在信息原文的后面。就像手写的签名一样，具有不可抵赖性和简洁性。
简洁性：对信息原文做哈希运算，得到消息摘要，信息越短加密的耗时越少。
不可抵赖性：信息拥有者要保证签名的唯一性，必须是唯一能够加密消息摘要的人，因此必须用私钥加密 (就像字迹他人无法学会一样)，得到签名。如果用公钥，那每个人都可以伪造签名了。
问题起源：对1和3，发信者怎么知道从网上获取的公钥就是真的？没有遭受中间人攻击？
这样就需要第三方机构来保证公钥的合法性，这个第三方机构就是 CA (Certificate Authority)，证书中心。
CA 用自己的私钥对信息原文所有者发布的公钥和相关信息进行加密，得出的内容就是数字证书。
信息原文的所有者以后发布信息时，除了带上自己的签名，还带上数字证书，就可以保证信息不被篡改了。信息的接收者先用 CA给的公钥解出信息所有者的公钥，这样可以保证信息所有者的公钥是真正的公钥，然后就能通过该公钥证明数字签名是否真实了。
RSA 是目前最有影响力的公钥加密算法，该算法基于一个十分简单的数论事实：将两个大素数相乘十分容易，但想要对其乘积进行因式分解却极其困难，因此可以将乘积公开作为加密密钥，即公钥，而两个大素数组合成私钥。公钥是可发布的供任何人使用，私钥则为自己所有，供解密之用。
A 要把信息发给 B 为例，确定角色：A 为加密者，B 为解密者。首先由 B 随机确定一个 KEY，称之为私钥，将这个 KEY 始终保存在机器 B 中而不发出来；然后，由这个 KEY 计算出另一个 KEY，称之为公钥。这个公钥的特性是几乎不可能通过它自身计算出生成它的私钥。接下来通过网络把这个公钥传给 A，A 收到公钥后，利用公钥对信息加密，并把密文通过网络发送到 B，最后 B 利用已知的私钥，就能对密文进行解码了。以上就是 RSA 算法的工作流程。
由于进行的都是大数计算，使得 RSA 最快的情况也比 DES 慢上好几倍，无论是软件还是硬件实现。速度一直是 RSA 的缺陷。一般来说只用于少量数据加密。RSA 的速度是对应同样安全级别的对称密码算法的1/1000左右。
比起 DES 和其它对称算法来说，RSA 要慢得多。实际上一般使用一种对称算法来加密信息，然后用 RSA 来加密比较短的公钥，然后将用 RSA 加密的公钥和用对称算法加密的消息发送给接收方。
这样一来对随机数的要求就更高了，尤其对产生对称密码的要求非常高，否则的话可以越过 RSA 来直接攻击对称密码。
和其它加密过程一样，对 RSA 来说分配公钥的过程是非常重要的。分配公钥的过程必须能够抵挡中间人攻击。假设 A 交给 B 一个公钥，并使 B 相信这是A 的公钥，并且 C 可以截下 A 和 B 之间的信息传递，那么 C 可以将自己的公钥传给 B，B 以为这是 A 的公钥。C 可以将所有 B 传递给 A 的消息截下来，将这个消息用自己的密钥解密，读这个消息，然后将这个消息再用 A 的公钥加密后传给 A。理论上 A 和 B 都不会发现 C 在偷听它们的消息，今天人们一般用数字认证来防止这样的攻击。
(1) 针对 RSA 最流行的攻击一般是基于大数因数分解。1999年，RSA-155 (512 bits) 被成功分解，花了五个月时间（约8000 MIPS 年）和224 CPU hours 在一台有3.2G 中央内存的 Cray C916计算机上完成。
RSA-158 表示如下：
2009年12月12日，编号为 RSA-768 (768 bits, 232 digits) 数也被成功分解。这一事件威胁了现通行的1024-bit 密钥的安全性，普遍认为用户应尽快升级到2048-bit 或以上。
RSA-768表示如下：
(2) 秀尔算法
量子计算里的秀尔算法能使穷举的效率大大的提高。由于 RSA 算法是基于大数分解 (无法抵抗穷举攻击)，因此在未来量子计算能对 RSA 算法构成较大的威胁。一个拥有 N 量子位的量子计算机，每次可进行2^N 次运算，理论上讲，密钥为1024位长的 RSA 算法，用一台512量子比特位的量子计算机在1秒内即可破解。
DSA (Digital Signature Algorithm) 是 Schnorr 和 ElGamal 签名算法的变种，被美国 NIST 作为 DSS (DigitalSignature Standard)。 DSA 是基于整数有限域离散对数难题的。
简单的说，这是一种更高级的验证方式，用作数字签名。不单单只有公钥、私钥，还有数字签名。私钥加密生成数字签名，公钥验证数据及签名，如果数据和签名不匹配则认为验证失败。数字签名的作用就是校验数据在传输过程中不被修改，数字签名，是单向加密的升级。
椭圆加密算法（ECC）是一种公钥加密算法，最初由 Koblitz 和 Miller 两人于1985年提出，其数学基础是利用椭圆曲线上的有理点构成 Abel 加法群上椭圆离散对数的计算困难性。公钥密码体制根据其所依据的难题一般分为三类：大整数分解问题类、离散对数问题类、椭圆曲线类。有时也把椭圆曲线类归为离散对数类。
ECC 的主要优势是在某些情况下它比其他的方法使用更小的密钥 (比如 RSA)，提供相当的或更高等级的安全。ECC 的另一个优势是可以定义群之间的双线性映射，基于 Weil 对或是 Tate 对；双线性映射已经在密码学中发现了大量的应用，例如基于身份的加密。不过一个缺点是加密和解密操作的实现比其他机制花费的时间长。
ECC 被广泛认为是在给定密钥长度的情况下，最强大的非对称算法，因此在对带宽要求十分紧的连接中会十分有用。
比特币钱包公钥的生成使用了椭圆曲线算法，通过椭圆曲线乘法可以从私钥计算得到公钥， 这是不可逆转的过程。
https://github.com/esxgx/easy-ecc
Java 中 Chipher、Signature、KeyPairGenerator、KeyAgreement、SecretKey 均不支持 ECC 算法。
https://www.jianshu.com/p/58c1750c6f22
DH，全称为"Diffie-Hellman"，它是一种确保共享 KEY 安全穿越不安全网络的方法，也就是常说的密钥一致协议。由公开密钥密码体制的奠基人 Diffie 和 Hellman 所提出的一种思想。简单的说就是允许两名用户在公开媒体上交换信息以生成"一致"的、可以共享的密钥。也就是由甲方产出一对密钥 (公钥、私钥)，乙方依照甲方公钥产生乙方密钥对 (公钥、私钥)。
以此为基线，作为数据传输保密基础，同时双方使用同一种对称加密算法构建本地密钥 (SecretKey) 对数据加密。这样，在互通了本地密钥 (SecretKey) 算法后，甲乙双方公开自己的公钥，使用对方的公钥和刚才产生的私钥加密数据，同时可以使用对方的公钥和自己的私钥对数据解密。不单单是甲乙双方两方，可以扩展为多方共享数据通讯，这样就完成了网络交互数据的安全通讯。
具体例子可以移步到这篇文章： 非对称密码之DH密钥交换算法
参考：
https://blog.csdn.net/u014294681/article/details/86705999
https://www.cnblogs.com/wangzxblog/p/13667634.html
https://www.cnblogs.com/taoxw/p/15837729.html
https://www.cnblogs.com/fangfan/p/4086662.html
https://www.cnblogs.com/utank/p/7877761.html
https://blog.csdn.net/m0_59133441/article/details/122686815
https://www.cnblogs.com/muliu/p/10875633.html
https://www.cnblogs.com/wf-zhang/p/14923279.html
https://www.jianshu.com/p/7a927db713e4
https://blog.csdn.net/ljx1400052550/article/details/79587133
https://blog.csdn.net/yuanjian0814/article/details/109815473
❷ ECC 算法简介
与 RSA（Ron Rivest，Adi Shamir，Len Adleman 三位天才的名字）一样，ECC（Elliptic Curves Cryptography，椭圆曲线加密）也属于公开密钥算法。
一、从平行线谈起
平行线，永不相交。没有人怀疑把：）不过到了近代这个结论遭到了质疑。平行线会不会在很远很远的地方相交了？事实上没有人见到过。所以“平行线，永不相交”只是假设（大家想想初中学习的平行公理，是没有证明的）。
既然可以假设平行线永不相交，也可以假设平行线在很远很远的地方相交了。即平行线相交于无穷远点P∞（请大家闭上眼睛，想象一下那个无穷远点P∞，P∞是不是很虚幻，其实与其说数学锻炼人的抽象能力，还不如说是锻炼人的想象力）。
给个图帮助理解一下：
直线上出现P∞点，所带来的好处是所有的直线都相交了，且只有一个交点。这就把直线的平行与相交统一了。为与无穷远点相区别把原来平面上的点叫做平常点。
以下是无穷远点的几个性质。
直线 L 上的无穷远点只能有一个。（从定义可直接得出）
平面上一组相互平行的直线有公共的无穷远点。（从定义可直接得出）
平面上任何相交的两直线 L1、L2 有不同的无穷远点。（否则 L1 和 L2 有公共的无穷远点 P ，则 L1 和 L2 有两个交点 A、P，故假设错误。）
平面上全体无穷远点构成一条无穷远直线。（自己想象一下这条直线吧）
平面上全体无穷远点与全体平常点构成射影平面。
二、射影平面坐标系
射影平面坐标系是对普通平面直角坐标系（就是我们初中学到的那个笛卡儿平面直角坐标系）的扩展。我们知道普通平面直角坐标系没有为无穷远点设计坐标，不能表示无穷远点。为了表示无穷远点，产生了射影平面坐标系，当然射影平面坐标系同样能很好的表示旧有的平常点（数学也是“向下兼容”的）。
我们对普通平面直角坐标系上的点A的坐标（x, y）做如下改造：
令 x=X/Z ，y=Y/Z（Z≠0）；则 A 点可以表示为（X:Y:Z）。
变成了有三个参量的坐标点，这就对平面上的点建立了一个新的坐标体系。
例 2.1：求点（1,2）在新的坐标体系下的坐标。
解：
∵X/Z=1 ，Y/Z=2（Z≠0）
∴X=Z，Y=2Z
∴坐标为（Z:2Z:Z），Z≠0。
即（1:2:1）（2:4:2）（1.2:2.4:1.2）等形如（Z:2Z:Z），Z≠0 的坐标，都是（1,2）在新的坐标体系下的坐标。
我们也可以得到直线的方程 aX+bY+cZ=0（想想为什么？提示：普通平面直角坐标系下直线一般方程是 ax+by+c=0）。
新的坐标体系能够表示无穷远点么？那要让我们先想想无穷远点在哪里。根据上一节的知识，我们知道无穷远点是两条平行直线的交点。那么，如何求两条直线的交点坐标？这是初中的知识，就是将两条直线对应的方程联立求解。
平行直线的方程是：
aX+bY+c1Z =0；
aX+bY+c2Z =0 (c1≠c2)； （为什么？提示：可以从斜率考虑，因为平行线斜率相同）；
将二方程联立，求解。有
c2Z= c1Z= -（aX+bY）
∵c1≠c2
∴Z=0
∴aX+bY=0
所以无穷远点就是这种形式（X：Y：0）表示。注意，平常点 Z≠0，无穷远点 Z=0，因此无穷远直线对应的方程是 Z=0。
例 2.2：求平行线 L1：X+2Y+3Z=0 与 L2：X+2Y+Z=0 相交的无穷远点。
解：
因为 L1∥L2
所以有 Z=0， X+2Y=0
所以坐标为（-2Y:Y:0），Y≠0。
即（-2:1:0）（-4:2:0）（-2.4:1.2:0）等形如（-2Y:Y:0），Y≠0 的坐标，都表示这个无穷远点。
看来这个新的坐标体系能够表示射影平面上所有的点，我们就把这个能够表示射影平面上所有点的坐标体系叫做射影平面坐标系。
练习：
1、求点A(2,4) 在射影平面坐标系下的坐标。
2、求射影平面坐标系下点(4.5:3:0.5)，在普通平面直角坐标系下的坐标。
3、求直线X+Y+Z=0上无穷远点的坐标。
4、判断：直线aX+bY+cZ=0上的无穷远点 和 无穷远直线与直线aX+bY=0的交点，是否是同一个点？
三、椭圆曲线
上一节，我们建立了射影平面坐标系，这一节我们将在这个坐标系下建立椭圆曲线方程。因为我们知道，坐标中的曲线是可以用方程来表示的（比如：单位圆方程是 x2+y2=1）。椭圆曲线是曲线，自然椭圆曲线也有方程。
椭圆曲线的定义：
一条椭圆曲线是在射影平面上满足如下方程的所有点的集合，且曲线上的每个点都是非奇异（或光滑）的。
Y2Z+a1XYZ+a3YZ2=X3+a2X2Z+a4XZ2+a6Z3 [3-1]
定义详解：
Y2Z+a1XYZ+a3YZ2 = X3+a2X2Z+a4XZ2+a6Z3 是 Weierstrass 方程（维尔斯特拉斯，Karl Theodor Wilhelm Weierstrass,1815-1897），是一个齐次方程。
椭圆曲线的形状，并不是椭圆的。只是因为椭圆曲线的描述方程，类似于计算一个椭圆周长的方程（计算椭圆周长的方程，我没有见过，而对椭圆线 积分 （设密度为1）是求不出来的），故得名。
我们来看看椭圆曲线是什么样的。
所谓“非奇异”或“光滑”的，在数学中是指曲线上任意一点的偏导数 Fx(x,y,z)，Fy(x,y,z)，Fz(x,y,z) 不能同时为0。如果你没有学过高等数学，可以这样理解这个词，即满足方程的任意一点都存在切线。下面两个方程都不是椭圆曲线，尽管他们是方程 [3-1] 的形式，因为他们在（0:0:1）点处（即原点）没有切线。
椭圆曲线上有一个无穷远点O∞（0:1:0），因为这个点满足方程[3-1]。
知道了椭圆曲线上的无穷远点。我们就可以把椭圆曲线放到普通平面直角坐标系上了。因为普通平面直角坐标系只比射影平面坐标系少无穷远点。我们在普通平面直角坐标系上，求出椭圆曲线上所有平常点组成的曲线方程，再加上无穷远点O∞（0:1:0），不就构成椭圆曲线了么？
我们设 x=X/Z，y=Y/Z 代入方程 [3-1] 得到：
y2+a1xy+a3y = x3+a2x2+a4x+a6 [3-2]
也就是说满足方程 [3-2] 的光滑曲线加上一个无穷远点O∞，组成了椭圆曲线。为了方便运算，表述，以及理解，今后论述椭圆曲线将主要使用 [3-2] 的形式。
本节的最后，我们谈一下求椭圆曲线一点的切线斜率问题。由椭圆曲线的定义可以知道，椭圆曲线是光滑的，所以椭圆曲线上的平常点都有切线。而切线最重要的一个参数就是斜率 k 。
例 3.1：求椭圆曲线方程 y2+a1xy+a3y=x3+a2x2+a4x+a6上，平常点 A(x,y) 的切线的斜率 k 。
解：
令
F(x,y)= y2+a1xy+a3y-x3-a2x2-a4x-a6
求偏导数
Fx(x,y)= a1y-3x2-2a2x-a4
Fy(x,y)= 2y+a1x+a3
则导数为：
f'(x)=- Fx(x,y)/ Fy(x,y)=-( a1y-3x2-2a2x-a4)/(2y+a1x +a3) = (3x2+2a2x+a4-a1y) /(2y+a1x +a3)
所以
k=(3x2+2a2x+a4-a1y) /(2y+a1x +a3) [3-3]
看不懂解题过程没有关系，记住结论[3-3]就可以了。
练习：
1、将给出图例的椭圆曲线方程Y2Z=X3-XZ2 和Y2Z=X3+XZ2+Z3转换成普通平面直角坐标系上的方程。
四、椭圆曲线上的加法
上一节，我们已经看到了椭圆曲线的图象，但点与点之间好象没有什么联系。我们能不能建立一个类似于在实数轴上加法的运算法则呢？天才的数学家找到了这一运算法则
自从近世纪代数学引入了群、环、域的概念，使得代数运算达到了高度的统一。比如数学家总结了普通加法的主要特征，提出了加群（也叫交换群，或 Abel（阿贝尔）群），在加群的眼中。实数的加法和椭圆曲线的上的加法没有什么区别。这也许就是数学抽象把。关于群以及加群的具体概念请参考近世代数方面的数学书。
运算法则：任意取椭圆曲线上两点 P、Q （若 P、Q两点重合，则做 P 点的切线）做直线交于椭圆曲线的另一点 R’，过 R’ 做 y 轴的平行线交于 R。我们规定 P+Q=R。（如图）
法则详解：
这里的 + 不是实数中普通的加法，而是从普通加法中抽象出来的加法，他具备普通加法的一些性质，但具体的运算法则显然与普通加法不同。
根据这个法则，可以知道椭圆曲线无穷远点 O∞ 与椭圆曲线上一点 P 的连线交于 P’，过 P’ 作 y 轴的平行线交于 P，所以有 无穷远点 O∞ + P = P 。这样，无穷远点 O∞ 的作用与普通加法中零的作用相当（0+2=2），我们把无穷远点 O∞ 称为零元。同时我们把 P’ 称为 P 的负元（简称，负P；记作，-P）。（参见下图）
根据这个法则，可以得到如下结论 ：如果椭圆曲线上的三个点 A、B、C，处于同一条直线上，那么他们的和等于零元，即 A+B+C= O∞
k 个相同的点 P 相加，我们记作 kP。如下图：P+P+P = 2P+P = 3P。
下面，我们利用 P、Q点的坐标 (x1,y1)，(x2,y2)，求出 R=P+Q 的坐标 (x4,y4)。
例 4.1：求椭圆曲线方程 y2+a1xy+a3y=x3+a2x2+a4x+a6 上，平常点 P(x1,y1)，Q(x2,y2) 的和 R(x4,y4) 的坐标。
解：
（1）先求点 -R(x3,y3)
因为 P, Q, -R 三点共线，故设共线方程为
y=kx+b
其中，若 P≠Q (P,Q两点不重合)，则直线斜率
k=(y1-y2)/(x1-x2)
若 P=Q (P,Q两点重合)，则直线为椭圆曲线的切线，
故由例 3.1 可知：
k=(3x2+2a2x+a4 -a1y) /(2y+a1x+a3)
因此 P, Q, -R 三点的坐标值就是以下方程组的解：
y2+a1xy+a3y=x3+a2x2+a4x+a6 [1]
y=(kx+b) [2]
将 [2] 代入[1] 有
(kx+b)2+a1x(kx+b)+a3(kx+b) =x3+a2x2+a4x+a6 [3]
对 [3] 化为一般方程，根据三次方程根与系数关系（若方程x³＋ax²＋bx＋c=0 的三个根是 x1、x2、x3，则： x1＋x2＋x3=－a，x1x2＋x2x3＋x3x1=b，x1x2x2=－c）
所以
-(x1+x2+x3)=a2-ka1-k2
x3=k2+ka1+a2+x1+x2 --------------------- 求出点 -R 的横坐标
因为
k=(y1-y3)/(x1-x3)
故
y3=y1-k(x1-x3) ------------------------------ 求出点 -R 的纵坐标
（2）利用 -R 求 R
显然有
x4=x3=k2+ka1+a2+x1+x2 -------------- 求出点 R 的横坐标
而 y3 y4 为 x=x4 时 方程 y2+a1xy+a3y=x3+a2x2+a4x+a6 的解化为一般方程 y2+(a1x+a3)y-(x3+a2x2+a4x+a6)=0 , 根据二次方程根与系数关系（如果方程 ax²＋bx＋c=0 的两根为 x1、x2，那么 x1+x2=-b/a，x1x2=c/a）
得：
-(a1x+a3)=y3+y4
故
y4=-y3-(a1x+a3)=k(x1-x4)-y1-(a1x4+a3) ----- 求出点 R 的纵坐标
即：
x4=k2+ka1+a2+x1+x2
y4=k(x1-x4)-y1-a1x4-a3
本节的最后，提醒大家注意一点，以前提供的图像可能会给大家产生一种错觉，即椭圆曲线是关于 x 轴对称的。事实上，椭圆曲线并不一定关于 x 轴对称。如下图的 y2-xy=x3+1
五、密码学中的椭圆曲线
我们现在基本上对椭圆曲线有了初步的认识，这是值得高兴的。但请大家注意，前面学到的椭圆曲线是连续的，并不适合用于加密。所以，我们必须把椭圆曲线变成离散的点。
让我们想一想，为什么椭圆曲线为什么连续？是因为椭圆曲线上点的坐标，是实数的（也就是说前面讲到的椭圆曲线是定义在实数域上的），实数是连续的，导致了曲线的连续。因此，我们要把椭圆曲线定义在有限域上（顾名思义，有限域是一种只有由有限个元素组成的域）。
域的概念是从我们的有理数，实数的运算中抽象出来的，严格的定义请参考近世代数方面的数。简单的说，域中的元素同有理数一样，有自己得加法、乘法、除法、单位元(1)，零元(0),并满足交换率、分配率。
下面，我们给出一个有限域 Fp，这个域只有有限个元素。
Fp 中只有 p（p为素数）个元素 0, 1, 2 …… p-2, p-1
Fp 的加法（a+b）法则是 a+b≡c (mod p) ，即 (a+c)÷p 的余数和 c÷p 的余数相同。
Fp 的乘法（a×b）法则是 a×b≡c (mod p)
Fp 的除法（a÷b）法则是 a/b≡c (mod p)，即 a×b-1≡c (mod p) ，b-1 也是一个 0 到 p-1 之间的整数，但满足 b×b-1≡1 (mod p)；具体求法可以参考初等数论。
Fp 的单位元是 1，零元是 0。
同时，并不是所有的椭圆曲线都适合加密。y2=x3+ax+b是一类可以用来加密的椭圆曲线，也是最为简单的一类。下面我们就把 y2=x3+ax+b 这条曲线定义在 Fp 上：
选择两个满足下列条件的小于 p ( p 为素数) 的非负整数 a、b
4a3+27b2≠0 (mod p)
则满足下列方程的所有点 (x,y)，再加上 无穷远点 O∞ ，构成一条椭圆曲线。
y2=x3+ax+b (mod p)
其中 x,y 属于 0 到 p-1 间的整数，并将这条椭圆曲线记为 Ep(a,b)。
我们看一下 y2=x3+x+1 (mod 23) 的图像
是不是觉得不可思议？椭圆曲线，怎么变成了这般模样，成了一个一个离散的点？椭圆曲线在不同的数域中会呈现出不同的样子，但其本质仍是一条椭圆曲线。举一个不太恰当的例子，好比是水，在常温下，是液体；到了零下，水就变成冰，成了固体；而温度上升到一网络，水又变成了水蒸气。但其本质仍是 H2O。
Fp上的椭圆曲线同样有加法，但已经不能给以几何意义的解释。不过，加法法则和实数域上的差不多，请读者自行对比。
1. 无穷远点 O∞ 是零元，有 O∞ + O∞ = O∞，O∞ + P = P
2. P(x,y) 的负元是 (x,-y)，有 P + (-P) = O∞
3. P(x1,y1), Q(x2,y2) 的和 R(x3,y3) 有如下关系：
x3≡k2-x1-x2(mod p)
y3≡k(x1-x3)-y1(mod p)
其中
若 P=Q 则 k=(3x2+a)/2y1
若 P≠Q 则 k=(y2-y1)/(x2-x1)
例 5.1：已知 E23(1,1) 上两点 P(3,10)，Q(9,7)，求 (1)-P，(2)P+Q，(3) 2P。
解：
(1) –P的值为(3,-10)
(2) k=(7-10)/(9-3)=-1/2
2 的乘法逆元为 12， 因为 2*12≡1 (mod 23)
k≡-1*12 (mod 23)
故 k=11
x=112-3-9=109≡17 (mod 23)
y=11[3-(-6)]-10=89≡20 (mod 23)
故 P+Q 的坐标为 (17,20)
3) k=[3(32)+1]/(2*10)=1/4≡6 (mod 23)
x=62-3-3=30≡20 (mod 23)
y=6(3-7)-10=-34≡12 (mod 23)
故 2P 的坐标为 (7,12)
最后，我们讲一下椭圆曲线上的点的阶。如果椭圆曲线上一点 P，存在最小的正整数 n，使得数乘 nP=O∞，则将 n 称为 P 的阶，若 n 不存在，我们说 P 是无限阶的。 事实上，在有限域上定义的椭圆曲线上所有的点的阶 n 都是存在的（证明，请参考近世代数方面的书）
练习：
1． 求出 E11(1,6) 上所有的点。
2．已知 E11(1,6) 上一点 G(2,7)，求 2G 到 13G 所有的值。
六、椭圆曲线上简单的加密/解密
公开密钥算法总是要基于一个数学上的难题。比如 RSA 依据的是：给定两个素数 p、q 很容易相乘得到 n，而对 n 进行因式分解却相对困难。那椭圆曲线上有什么难题呢？
考虑如下等式：
K=kG [其中 K, G为 Ep(a,b) 上的点，k 为小于 n（n 是点 G 的阶）的整数]
不难发现，给定 k 和 G，根据加法法则，计算 K 很容易；但给定 K 和 G，求 k 就相对困难了。这就是椭圆曲线加密算法采用的难题。我们把点 G 称为基点（base point），k（key point）就是私有密钥。
现在我们描述一个利用椭圆曲线进行加密通信的过程：
1、用户 A 选定一条椭圆曲线 Ep(a,b)，并取椭圆曲线上一点，作为基点 G。
2、用户 A 选择一个私有密钥 k，并生成公开密钥 K=kG。
3、用户 A 将 Ep(a,b) 和点 K，G 传给用户 B。
4、用户 B 接到信息后，将待传输的明文编码到 Ep(a,b) 上一点 M（编码方法很多，这里不作讨论），并产生一个随机整数 r（random）。
5、用户 B 计算点 C1=M+rK；C2=rG。
6、用户 B 将 C1、C2 传给用户A。
7、用户 A 接到信息后，计算 C1-kC2，结果就是点 M。因为 C1-kC2=M+rK-k(rG)=M+rK-r(kG)=M ，再对点 M 进行解码就可以得到明文。
在这个加密通信中，如果有一个偷窥者 H ，他只能看到 Ep(a,b)、K、G、C1、C2 而通过 K、G 求 k 或通过 C2、G 求 r 都是相对困难的。因此，H 无法得到 A、B 间传送的明文信息。
密码学中，描述一条 Fp 上的椭圆曲线，常用到六个参量：
T=(p,a,b,G,n,h)
p 、a 、b 用来确定一条椭圆曲线，G 为基点，n 为点 G 的阶，h 是椭圆曲线上所有点的个数 m 与 n 相除的整数部分。这几个参量取值的选择，直接影响了加密的安全性。参量值一般要求满足以下几个条件：
1、p 当然越大越安全，但越大，计算速度会变慢，200 位左右可以满足一般安全要求；
2、p≠n×h；
3、pt≠1 (mod n)，1≤t<20；
4、4a3+27b2≠0 (mod p)；
5、n 为素数；
6、h≤4。
七、椭圆曲线签名在软件保护的应用
我们知道将公开密钥算法作为软件注册算法的好处是：黑客很难通过跟踪验证算法得到注册机。下面，将简介一种利用 Fp(a,b) 椭圆曲线进行软件注册的方法。
软件作者按如下方法制作注册机（也可称为签名过程）
1、选择一条椭圆曲线 Ep(a,b) 和基点 G；
2、选择私有密钥 k；
3、产生一个随机整数 r ；
4、将用户名和点 R 的坐标值 x,y 作为参数，计算 SHA（Secure Hash Algorithm 安全散列算法，类似于 MD5）值，即 Hash=SHA(username,x,y)；
5、计算 sn≡r - Hash * k (mod n)
6、将 sn 和 Hash 作为用户名 username 的序列号
软件验证过程如下：（软件中存有椭圆曲线 Ep(a,b) 和基点 G 以及公开密钥 K）
1、从用户输入的序列号中，提取 sn 以及 Hash；
2、计算点 R≡sn*G+Hash*K ( mod p )，如果 sn、Hash 正确，其值等于软件作者签名过程中点 R(x,y) 的坐标，
因为 sn≡r-Hash*k （mod n）
所以 sn*G+Hash*K=(r-Hash*k)*G+Hash*K=rG-Hash*kG+Hash*K=rG-Hash*K+Hash*K=rG=R；
3、将用户名和点 R 的坐标值 x,y 作为参数，计算 H=SHA(username,x,y)；
4、如果 H=Hash 则注册成功，如果 H≠Hash ，则注册失败（为什么？提示注意点 R 与 Hash 的关联性）。
简单对比一下两个过程：
作者签名用到了：椭圆曲线 Ep(a,b)，基点 G，私有密钥 k，及随机数 r。
软件验证用到了：椭圆曲线 Ep(a,b)，基点 G，公开密钥 K。
黑客要想制作注册机，只能通过软件中的 Ep(a,b)，点 G，公开密钥 K ，并利用 K=kG 这个关系获得 k 才可以，而求 k 是很困难的。
练习：
下面也是一种常于软件保护的注册算法，请认真阅读，并试回答签名过程与验证过程都用到了那些参数，黑客想制作注册机，应该如何做。
软件作者按如下方法制作注册机（也可称为签名过程）
1、选择一条椭圆曲线 Ep(a,b)，和基点 G；
2、选择私有密钥 k；
3、产生一个随机整数 r；
4、将用户名作为参数，计算 Hash=SHA(username)；
5、计算 x’=x (mod n)
6、计算 sn≡(Hash+x’*k)/r (mod n)
7、将 sn 和 x’ 作为用户名 username 的序列号
软件验证过程如下：(软件中存有椭圆曲线 Ep(a,b) 和基点 G 以及公开密钥 K)
1、从用户输入的序列号中，提取 sn 以及 x’；
2、将用户名作为参数，计算 Hash=SHA(username)；
3、计算 R=(Hash*G+x’*K)/sn，如果 sn、Hash 正确，其值等于软件作者签名过程中点 R(x,y)
因为 sn≡(Hash+x’*k)/r (mod n)
所以 (Hash*G+x’*K)/sn=(Hash*G+x’*K)/[(Hash+x’*k)/r]=(Hash*G+x’*K)/[(Hash*G+x’*k*G)/(rG)]=rG*[(Hash*G+x’*K)/(Hash*G+x’*K)]=rG=R (mod p)
4、v≡x (mod n)
5、如果 v=x’ 则注册成功。如果 v≠x’ ，则注册失败。
主要参考文献
张禾瑞，《近世代数基础》，高等 教育 出版社，1978
闵嗣鹤 严士健，《初等数论》，高等教育出版社，1982
段云所，《网络信息安全》第三讲，北大计算机系
Michael Rosing ，chapter5《Implementing Elliptic Curve Cryptography》，Softbound，1998
《SEC 1: Elliptic Curve Cryptography》，Certicom Corp.，2000
《IEEE P1363a / D9》，2001
❸ ECC椭圆曲线加密算法(一)
btc address:
eth address:
随着区块链的大热，椭圆曲线算法也成了密码学的热门话题。在Bitcoin 生成地址 中使用到了椭圆曲线加密算法。
椭圆曲线的一般表现形式：
椭圆曲线其实不是椭圆形的，而是下面的图形：
Bitcoin使用了 secp256k1 这条特殊的椭圆曲线，公式是：
这个东西怎么加密的呢？
19世纪挪威青年 尼尔斯·阿贝尔 从普通的代数运算中，抽象出了加群（也叫阿贝尔群或交换群），使得在加群中，实数的算法和椭圆曲线的算法得到了统一。是什么意思呢？
我们在实数中，使用的加减乘除，同样可以用在椭圆曲线中！
对的，椭圆曲线也可以有加法、乘法运算。
数学中的群是一个集合，我们为它定义了一个二元运算，我们称之为“加法”，并用符号 + 表示。假定我们要操作的群用𝔾表示，要定义的 加法 必须遵循以下四个特性：
如果在增加第5个条件：
交换律：a + b = b + a
那么，称这个群为阿贝尔群。根据这个定义整数集是个阿贝尔群。
岔开一下话题， 伽罗瓦 与 阿贝尔 分别独立的提出了群论，他们并称为现代群论的创始人，可惜两位天才都是英年早逝。
如上文所说，我们可以基于椭圆曲线定义一个群。具体地说：
在椭圆曲线上有 不重合且不对称的 A 、B两点，两点与曲线相交于X点, X与 x轴 的对称点为R，R即为 A+B 的结果。这就是椭圆曲线的加法定义。
因为椭圆曲线方程存在 项，因此椭圆曲线必然关于x轴对称
曲线： ，
坐标：A=(2,5)，B=(3,7)
A、B正好在曲线上，因为坐标满足曲线公式
那如何找到相交的第三个点呢？
通过 A、B两点确定直线方程，
设直线方程： ，m为直线的斜率
进一步得到c=1。
联立方程：
X(-1,-1)的x坐标-1代入方式正好满足方程，所以A、B两点所在直线与曲线相交于 X(-1,-1)，则点X的关于x轴的对称点为R(-1,1)，即A(2,5)+B(3,5)=R(-1,1)。
根据椭圆曲线的 群律(GROUP LAW) 公式，我们可以方便的计算R点。
曲线方程：
当A=(x1,y1)，B=(x2,y2) ，R=A+B=(x3,y3)，x1≠x2时,
， m是斜率
x3=
y3=m(x1-x3)-y1
A=(2,5), B=(3,7) , R=(-1,1) 符合上面的公式。
椭圆曲线加法符合交换律么？
先计算(A+B)，在计算 A+B+C
先计算B+C， 在计算 B+C+A
看图像，计算结果相同，大家手动算下吧。
那 A + A 呢， 怎么计算呢？
当两点重合时候，无法画出 “过两点的直线”，在这种情况下，
过A点做椭圆曲线的切线，交于X点，X点关于 x轴 的对称点即为 2A ，这样的计算称为 “椭圆曲线上的二倍运算”。
下图即为椭圆曲线乘法运算：
我们将在 ECC椭圆曲线加密算法(二) 介绍有限域，椭圆曲线的离散对数问题，椭圆曲线加密就是应用了离散对数问题。
参考：
https://eng.paxos.com/blockchain-101-foundational-math
https://eng.paxos.com/blockchain-101-elliptic-curve-cryptography
https://andrea.corbellini.name/2015/05/17/elliptic-curve-cryptography-a-gentle-introction/
❹ 椭圆曲线密码学的一些具体的内容
⑴ 无穷远元素（无穷远点，无穷远直线）
平面上任意两相异直线的位置关系有相交和平行两种。引入无穷远点，是两种不同关系统一。
AB⊥L1， L2∥L1，直线AP由AB起绕A点依逆时针方向转动，P为AP与L1的交点。
Q=∠BAP→p /2 AP → L2
可设想L1上有一点P∞，它为L2和L1的交点，称之为无穷远点。
直线L1上的无穷远点只能有一个。
（因为过A点只能有一条平行于L1的直线L2，而两直线的交点只能有一个。）
结论：
1*. 平面上一组相互平行的直线，有公共的无穷远点。
（为与无穷远点相区别，把原来平面上的点叫做平常点）
2*.平面上任何相交的两直线L1,L2有不同的无穷远点。
原因：若否，则L1和L2有公共的无穷远点P∞，则过两相异点A和P ∞有相异两直线，与公理相矛盾。
3*. 全体无穷远点构成一条无穷远直线。
注：欧式平面添加上无穷远点和无穷远直线，自然构成射影平面。
⑵ 齐次坐标
解析几何中引入坐标系，用代数的方法研究欧氏空
间。这样的坐标法也可推广至摄影平面上，建立平面摄影
坐标系。
牋 L1,L2
L1: a1x+b1y+c1=0
L2: a2x+b2y+c2=0
其中a1,b1不同时为0；a2,b2也不同时为0。
设
D= a1 b1 Dx= b1 c1 Dy= c1 a1
a2 b2 b2 c2 c2 a2
若D≠0，则两直线L1,L2相交于一平常点P(x,y），其坐标为x=Dx/D，y=Dy/D.
这组解可表为：x/Dx=y/Dy=1/D
（约定：分母Dx，Dy有为0时，对应的分子也要为0）
上述表示可抽象为（Dx，Dy，D).
若 D=0，则L1∥L2，此时L1和L2交于一个无穷远点P∞。
这个点P∞可用过原点O且平行于L2的一条直线L来指出他
的方向，而这条直线L的方程就是：a2x+b2y=0.
为把平常点和无穷远点的坐标统一起来，把点的坐标用
（X，Y，Z）表示，X，Y，Z不能同时为0，且对平常点
（x，y）来说，有Z≠0，x=X/Z，y=Y/Z，于是有：
i.e.
X / Dx = Y / Dy = Z / D，
有更好的坐标抽象，X,Y,Z），这样对于无穷远点则有Z=0，
也成立。
注：
a).若实数p≠0，则（pX,pY,pZ）与（X,Y,Z）表示同一个点。实质上用（X:Y:Z）表示。3个分量中，只有两个是独立的，</pre>
<pre>；具有这种特征的坐标就叫齐次坐标。
b).设有欧氏直线L，它在平面直角坐标系Oxy上的方程为：
ax+by+c=0
则L上任一平常点（x,y）的齐次坐标为（X,Y,Z），Z≠0，代入得：
aX+bY+cZ=0
给L添加的无穷远点的坐标（X,Y,Z）应满足aX+bY=0，Z=0；平面上无穷远直线方程自然为：Z=0 !!
⑶任意域上的椭圆曲线
K为域，K上的摄影平面P2(K）是一些等价类的集合{(X:Y:Z)}。考虑下面的Weierstrass方程（次数为3的齐次方程）：
Y2Z+a1XYZ+a3YZ2=X3+a2X2z+a4XZ2+a6Z3
（其中系数ai∈K，或ai∈K为K的代数闭域）
Weierstrass方程被称为光滑的或非奇异的是指对所有适合
以下方程的射影点P=(X:Y:Z) ∈ P2(K）来说，
F(X,Y,Z)=Y2Z+a1XYZ+a3YZ2-X3-a2X2Z-a4XZ2-a6Z3=0
在P点的三个偏导数 之中至少有一个不为
0若否称这个方程为奇异的。
椭圆曲线E的定义：
椭圆曲线E是一个光滑的Weierstrass方程在P2(K）中的
全部解集合。
Y2Z+a1XYZ+a3YZ2=X3+a2X2Z+a4XZ2+a6Z3
注：
a) 在椭圆曲线E上恰有一个点，称之为无穷远点。即（0:1:0）用θ表示。
b) 可用非齐次坐标的形式来表示椭圆曲线的Weierstrass方程：
设 x=X/Z，y=Y/Z，于是原方程转化为：
y2+a1xy+a3y=x3+a2x2+a4x+a6 ⑴
此时，椭圆曲线E就是方程⑴在射影平面P2(K）上的全部平常点解，外加一个无穷远点θ组成的集合。
c) 若a1,a2,a2,a4,a6∈K，此时椭圆曲线E被称为定义在K上，用E/K表示。如果E能被限定在K上，那么E的K--</pre>
<pre>；有理点集合表示为E(K），它为E中的全体有理坐标点的集合外加无穷远点θ.
⑷实域R上的椭圆曲线
设K=R，此时的椭圆曲线可表为平面上的通常曲线上
的点，外加无穷远点θ。
实域R上椭圆曲线的点的加法运算法则：
设L ∈ P2(R）为一条直线。因为E的方程是三次的，所以L可与E在P2(R）恰有三个交点，记为P,Q,R
（注意：如果L与E相切，那么P,Q,R可以不是相异的）。按下述方式定义E上运算⊙：
设P,Q ∈ E，L为联接P,Q的直线（若P=Q，则L取过P点的切线）；设R为L与E的另一个交点；
再取连接R与无穷远点的直线L′。则L′与E的另一个交点定义为P ⊙Q。
上页的实际图像为椭圆曲线y2=x3 - x的一般化。来自对具体曲线的抽象。对运算更具体一些：
设 P=(x1,y1），Q=(x2,y2），P⊙Q=(x3,y3），
由P Q的定义，设y=αx+β为通过P,Q两点直线L的方程，可算出：
α=(y2-y1）/(x2-x1），β=y1-αx1
易见，直线L上的一个点（x，αx+β）是在椭圆曲线E上，
当且仅当（αx+β）2= x3 - x。
P⊙Q=(x1,y1） (x2,y2）=(x3,y3） =(x3,-（αx3+β））
其中，x3= α2-x1-x2=((y2-y1） / (x2-x1））2-x1-x2；
y3=-y1+((y2-y1）/(x2-x1））（x1-x3）
当P=Q时：P⊙Q=（x3，y3）算得：
x3=（（3x12-1）/2y1）2-2x1; y3= -y1+（（3x12-1）/2y1）（x1-x3）
注：
a) 如果直线L与E相交与三点P,Q,R（不一定相异），那么 (P⊙Q)R=θ（从图中可见）。
b) 任给P∈E,P⊙θ =P （此时设Q= θ ，易见L=L′）
c) 任给P,Q∈E有：P⊙Q =Q⊙P
d) 设P∈E，那么可以找到 - P∈E使P -P= θ
e) 任给P,Q,R∈E，有（P⊙Q）⊙R= P⊙（Q⊙R)
综上所述，知E对 运算形成一个Abel群。
f) 上述规则可开拓到任意域上，特别是有限域上。假定
椭圆曲线是定义在有限域Fq上（q=pm），那么
E(Fq)={(x,y）∈Fq×Fq | y2+a1xy+a3y=x3+a2x2+a4x+a6} ∪{θ}
它对? 斝纬梢桓鋈海?狝bel群。 令Fq表示q个元素的有限域，用E(Fq）表示定义在Fq上
的一个椭圆曲线E。
定理1.(Hass定理） E(Fq）的点数用#E(Fq）表示，则
| #E(Fq)-q-1|≤2q1/2
⑴ Fp（素域，p为素数）上椭圆曲线
牋 p>3 a,b Fp 4a3+27b2 0 a b
义的Fp上的一个椭圆曲线方程为：
y2=x3+ax+b ⑵
它的所有解（x,y），（x Fp，y Fp），连同一个称为撑耷钤?
点敚?俏?龋┑脑?刈槌傻募?霞俏狤（Fp），由Hass定理
知：p+1-2p1/2≤#E(Fp) ≤ p+1+2p1/2
集合E(Fp）对应下面的加法规则，且对加法 形成
一个Abel群：
（i) θ⊙ θ=θ （单位元素）
（ii) (x,y）⊙ θ=(x,y），任给（x,y) ∈E(Fp)
（iii) (x,y）⊙ (x,-y)=θ，任给（x,y) ∈E(Fp），即点（x,y）的逆元
为（x,-y).
（iv) 令（x1,y1），（x2,y2）为E(Fp）中非互逆元，则
（x1,y1）⊙ (x2,y2）=(x3,y3），其中
x3=α2-2x1，y3= α（x1-x3）-y1
且α=(y2-y1）/(x2-x1） ⑶
（v）（倍点运算规则）
设（x1,y1） ∈E(Fp),y1≠0，则2(x1,y1）=(x3,y3），其中
x3= α2-2x1,y3=α（x1-x3）-y1
这里α=（3x12+a)/（2y1） ⑷
注：若#E(Fp)=p+1，曲线E(Fp）称为超奇异的，否则称为
非超奇异的。
例子：F23上的一个椭圆曲线
令y2=x3+x+1是F23上的一个方程（a=b=1），则该椭圆曲
线方程在F23上的解为（y2=x3+x+1的点）：
（0,1），（0,22），（1,7），（1,16），（3,10），（3,13），（4,0），（5,4），（5,19），（6,4），</pre>
<pre>；（6,19），（7,11），（7,12），（9,7），（9,16），（11,3），（11,20），（12,4），（12,19），（13,7），</pre>
<pre>；（13,16），（17,3），（17,20），（18,3），（18,20），（19,5），（19,18）；θ。
群E(F23）有28个点（包括无穷远点θ）。
2） F2m上的椭圆曲线
F2m上由参数a,b∈F2m，b≠0定义的一个非超奇异椭
圆曲线E(F2m）是方程
y2+xy=x3+ax2+b ⑸
的解集合（x,y），其中x,y∈F2m，连同θ。
E(F2m）的加法规则如下：
（i) θ +θ= θ
（ii) 任给（x,y) ∈E(F2m），则（x,y）⊙ θ=(x,y)
（iii) 任给（x,y) ∈E(F2m），则（x,y)+(x,x+y)= θ，
即点（x,y）的逆为（x,x+y).
（iv) 两个相异且不互逆的点的加法规则：
令（x1,y1），（x2,y2） ∈E(F2m）且有x1≠x2则
（x1,y1） (x2,y2）=(x3,y3），其中
x3=α2+α+x1+x2+a；
y3=α（x1+x3）+x3+y1.
其中 α= (y2+y1）/(x2+x1）
（v) 倍点规则
令（x1,y1） ∈E(F2m），其中x1≠0。则
2(x1,y1）=(x3,y3），其中
x3= α 2+ α +a,y3=x12+（α +1）x3，这里α =(x1+y1/x1）
易见，群E(F2m）为Abel群。
例：F24上的一个椭圆曲线
f(x)=x4+x+1为F2上的一个不可约多项式，易见
F24=F2[x] / (f(x)) = {(k0,k1,k2,k3） | (k0,k1,k2,k3）=k0+k1α+k2α2+k3α3， </pre>
<pre>；α为f(x)的零点，ki∈F2}
假定F24上的非超奇异椭圆曲线有下述方程定义：
y2+xy=x3+α4x2+1，注意f（α）=0。
方程应表为：
（1000)y2 + （1000)xy = （1000)x3 + （1100）x2 +（1000) 1985年，N. Koblitz和V. Miller分别独立提出了椭圆曲线密码体制（ECC），</pre>
<pre>；其依据就是定义在椭圆曲线点群上的离散对数问题的难解性。
⑴知E(Fq）对点的?斣怂阈纬梢桓鲴bel群
设p∈E(Fq），若p的周期很大，即使
p⊙p⊙ …… ⊙p= θ （共有 t个p相加）
成立的最小正整数 t，希望 t 很大。
（t = p的周期，表示为∏（p)=t）。
并且对Q∈E(Fq），定有某个正整数m使
Q=m·p=p⊙ …… ⊙p （共有t个p相加）
定义
m=㏒pQ (m为以p为底Q的对数）。
椭圆曲线上的点形成的群E(Fq），相关它的离散对数
问题是难处理的。 选取基域Fq，Fq的椭圆曲线具体给定为确定的形式。
在E(Fq）中选一个周期很大的点，如选了一个点P=(xp,yp），
它的周期为一个大的素数n，记∏ (P)=n（素数）。
注意：在这个密码体制中，具体的曲线及点P和它的n都
是公开信息。密码体制的形式采用EIGamal体制，是完全
类比过来。
a）密钥的生成
Bob（使用者）执行了下列计算：
i) 在区间[1,n-1]中随机选取一个整数d。
ii) 计算点Q:=dP (d个P相）
iii) Bob公开自己的公开密钥-- (E(Fq),p,n,Q)
iv) Bob的私钥为整数d！
Alice要发送消息m给Bob，Alice执行：
i) 查找Bob的公钥（E(Fq),p,n,Q),
ii) 将m表示成一个域元素m∈Fq,
iii) 在区间[1，n-1]内选取一个随机数k,
iv) 依据Bob的公钥计算点 (x1,y1）：=kP(k个P相）
v) 计算点（x2,y2）：=kQ，如果x2=0，则回到第iii）步
Ⅵ） 计算C:=m·x2
Ⅶ） 传送加密数据（x1,y1,C）给Bob
b) Bob的解密过程
Bob收到Alice的密文（x1,y1,C）后，执行
i) 使用私钥d，计算点（x2，y2）：=d(x1,y1），再计算Fq中x2-1=
通过计算m:=C·x2-1，恢复出明文数据
❺ 椭圆曲线加密算法
椭圆曲线加密算法，即：Elliptic Curve Cryptography，简称ECC，是基于椭圆曲线数学理论实现的一种非对称加密算法。相比RSA，ECC优势是可以使用更短的密钥，来实现与RSA相当或更高的安全。据研究，160位ECC加密安全性相当于1024位RSA加密，210位ECC加密安全性相当于2048位RSA加密。
椭圆曲线在密码学中的使用，是1985年由Neal Koblitz和Victor Miller分别独立提出的。
一般情况下，椭圆曲线可用下列方程式来表示，其中a,b,c,d为系数。
例如，当a=1,b=0,c=-2,d=4时，所得到的椭圆曲线为:
该椭圆曲线E的图像如图X-1所示，可以看出根本就不是椭圆形。
过曲线上的两点A、B画一条直线，找到直线与椭圆曲线的交点，交点关于x轴对称位置的点，定义为A+B，即为加法。如下图所示：A + B = C
上述方法无法解释A + A，即两点重合的情况。因此在这种情况下，将椭圆曲线在A点的切线，与椭圆曲线的交点，交点关于x轴对称位置的点，定义为A + A，即2A，即为二倍运算。
将A关于x轴对称位置的点定义为-A，即椭圆曲线的正负取反运算。如下图所示：
如果将A与-A相加，过A与-A的直线平行于y轴，可以认为直线与椭圆曲线相交于无穷远点。
综上，定义了A+B、2A运算，因此给定椭圆曲线的某一点G，可以求出2G、3G（即G + 2G）、4G......。即：当给定G点时，已知x，求xG点并不困难。反之，已知xG点，求x则非常困难。此即为椭圆曲线加密算法背后的数学原理。
椭圆曲线要形成一条光滑的曲线，要求x,y取值均为实数，即实数域上的椭圆曲线。但椭圆曲线加密算法，并非使用实数域，而是使用有限域。按数论定义，有限域GF(p)指给定某个质数p，由0、1、2......p-1共p个元素组成的整数集合中定义的加减乘除运算。
假设椭圆曲线为y² = x³ + x + 1，其在有限域GF(23)上时，写作：y² ≡ x³ + x + 1 (mod 23)
此时，椭圆曲线不再是一条光滑曲线，而是一些不连续的点，如下图所示。以点(1,7)为例，7² ≡ 1³ + 1 + 1 ≡ 3 (mod 23)。如此还有如下点：
(0,1) (0,22)(1,7) (1,16)(3,10) (3,13)(4,0)(5,4) (5,19)(6,4) (6,19)(7,11) (7,12)(9,7) (9,16)(11,3) (11,20)等等。
另外，如果P(x,y)为椭圆曲线上的点，则-P即(x,-y)也为椭圆曲线上的点。如点P(0,1)，-P=(0,-1)=(0,22)也为椭圆曲线上的点。
相关公式如下：有限域GF(p)上的椭圆曲线y² = x³ + ax + b，若P(Xp, Yp), Q(Xq, Yq)，且P≠-Q，则R(Xr,Yr) = P+Q 由如下规则确定：
Xr = (λ² - Xp - Xq) mod pYr = (λ(Xp - Xr) - Yp) mod p其中λ = (Yq - Yp)/(Xq - Xp) mod p（若P≠Q）, λ = (3Xp² + a)/2Yp mod p（若P=Q）
因此，有限域GF(23)上的椭圆曲线y² ≡ x³ + x + 1 (mod 23)，假设以(0,1)为G点，计算2G、3G、4G...xG等等，方法如下：
计算2G：λ = (3x0² + 1)/2x1 mod 23 = (1/2) mod 23 = 12Xr = (12² - 0 - 0) mod 23 = 6Yr = (12(0 - 6) - 1) mod 23 = 19即2G为点(6,19)
计算3G：3G = G + 2G，即(0,1) + (6,19)λ = (19 - 1)/(6 - 0) mod 23 = 3Xr = (3² - 0 - 6) mod 23 = 3Yr = (3(0 - 3) - 1) mod 23 = 13即3G为点(3, 13)
建立基于椭圆曲线的加密机制，需要找到类似RSA质因子分解或其他求离散对数这样的难题。而椭圆曲线上的已知G和xG求x，是非常困难的，此即为椭圆曲线上的的离散对数问题。此处x即为私钥，xG即为公钥。
椭圆曲线加密算法原理如下：
设私钥、公钥分别为k、K，即K = kG，其中G为G点。
公钥加密：选择随机数r，将消息M生成密文C，该密文是一个点对，即：C = {rG, M+rK}，其中K为公钥
私钥解密：M + rK - k(rG) = M + r(kG) - k(rG) = M其中k、K分别为私钥、公钥。
椭圆曲线签名算法，即ECDSA。设私钥、公钥分别为k、K，即K = kG，其中G为G点。
私钥签名：1、选择随机数r，计算点rG(x, y)。2、根据随机数r、消息M的哈希h、私钥k，计算s = (h + kx)/r。3、将消息M、和签名{rG, s}发给接收方。
公钥验证签名：1、接收方收到消息M、以及签名{rG=(x,y), s}。2、根据消息求哈希h。3、使用发送方公钥K计算：hG/s + xK/s，并与rG比较，如相等即验签成功。
原理如下：hG/s + xK/s = hG/s + x(kG)/s = (h+xk)G/s= r(h+xk)G / (h+kx) = rG
假设要签名的消息是一个字符串：“Hello World!”。DSA签名的第一个步骤是对待签名的消息生成一个消息摘要。不同的签名算法使用不同的消息摘要算法。而ECDSA256使用SHA256生成256比特的摘要。
摘要生成结束后，应用签名算法对摘要进行签名：
产生一个随机数k
利用随机数k，计算出两个大数r和s。将r和s拼在一起就构成了对消息摘要的签名。
这里需要注意的是，因为随机数k的存在，对于同一条消息，使用同一个算法，产生的签名是不一样的。从函数的角度来理解，签名函数对同样的输入会产生不同的输出。因为函数内部会将随机值混入签名的过程。
关于验证过程，这里不讨论它的算法细节。从宏观上看，消息的接收方从签名中分离出r和s，然后利用公开的密钥信息和s计算出r。如果计算出的r和接收到的r值相同，则表示验证成功。否则，表示验证失败。
❻ ECDSA（椭圆曲线数字签名算法）
ECDSA（Elliptic Curve Digital Signature Algorithm）
在现实工作和生活中，我们使用签名的方式表达对一份文件的认可，其他人可以识别出你的签名并且无法伪造你的签名。数字签名就是对显示签名的一种电子实现，它不仅可以完全达到现实签名的特点，甚至能够做的更好。
常用的数字签名算法有RSA（Rivest-Shamir-Adleman Scheme）、DSS（Digital Signature Standard）等。 比特币使用ECDSA来生成账户的公私钥以及对交易和区块进行验证。
1.Alice（密码学中常用A到Z开头的人名代替甲乙丙丁等，字母越靠后出现频率越低）生成一对密钥，一个是sk（signing key），是非公开的；另一个是vk（verification key），是公开的。
这一对密钥同时生成，并且在数学上是相互关联的，同时，根据vk无法推测出关于sk的任何信息。
2.数字签名算法接收两个输出：信息M和sk，生成一个数字签名Sm
3.验证函数接收信息M、Sm以及vk作为输入，，返回结果是yes或者no。这一步的目的是为了验证你看到的针对信息M的数字签名确实是由Alice的sk来签发的，用于确认信息与签名是否相符。
与手写签名不同，手写签名基本都是相似的，但是数字签名却受输入影响很大。对输入轻微的改变都会产生一个完全不同的数字签名。一般不会对信息直接进行数字签名，而是对信息的哈希值进行签名。由加密哈希函数的无碰撞性可知，这样和对原信息进行签名一样安全。
在数学上，任何满足以下方程的点所形成的曲线称为随机椭圆曲线： 并且 ，a和b可以为任意值。下面展示几个随机椭圆函数的示例：
在了解如何通过基于secp256k1椭圆曲线的ECDSA算法生成公私钥之前，我们需要了解在随机椭圆曲线里，点的加法是如何实现的。
首先定义椭圆曲线上点的加法。设椭圆曲线上有两点，A和B点，那么作过这两点的直线与该曲线相交于第三点（C点），然后关于X轴对称得到D点，则D为这两个点的和，记作D=A+BD=A+BD=A+B。很明显，D点也在该曲线上。所以椭圆曲线上两点之和也是曲线上的点。
特例：
1.如果两点重合，则做该点的切线，与曲线相交点的对称点为和，即A+A=C
如图：
有了加法以后，乘法实现是不过是进行多次加法运算。有了一个基准点P以后，我们可以对其进行乘法运算，最后可以得到曲线上的另外一个点。
设PPP是椭圆曲线上的一个点，那么正整数kkk乘以点PPP的结果由下面的式子定义，注意式子中的加法是上面提到的椭圆曲线上点的加法：
点的运算满足结合律：
很显然，通过累加 的方式计算 是一种很笨的办法，其时间复杂度是线性的。上面我们提到过，椭圆曲线上点的加法是满足结合律的，即 ，扩展一下，就有
于是就有这么一种骚操作，比如计算 ，我们可以先计算 ；然后计算 ；再计算 ；最后计算 。这里我们把15次加法减少到了4次。
当然，k的值不可能总是2的幂。实际上上面的操作可以推广到k为任意正整数的情况。比如计算23P，首先计算 ，然后
因为 ，所以 。总共只需要7次加法。
分析一下，对于任意正整数k，我们都可以利用这个方法将计算k∗P所需的加法计算次数降低到
也就是说，从时间复杂度的角度来看，这个算法是一个 的算法。
这个方法被称为快速幂算法，原本常用于快速计算某个数的k次幂，这里将其推广到椭圆曲线点乘的快速计算中。
为什么要在介绍了椭圆曲线上点的乘法后突然冒出一个快速幂算法？快速幂算法对于椭圆曲线加密有什么意义？因为数学家/密码学家发现，利用快速幂算法计算 的时间复杂度是对数级的，但是要在知道 和 的前提下，倒推出 的值，没有比挨个尝试 的值快太多的算法。于是椭圆曲线加密依赖的数学难题就这么诞生了。
如果我们改一种记法，把椭圆曲线上点的加法记作乘法，原来的乘法就变成了幂运算，那么上述难题的形式跟离散对数问题应该是一致的。即：
所以这个难题叫椭圆曲线上的离散对数问题。
尽管两者形式一致，但是他们并不等价。实际上这个问题比大整数质因子分解（RSA）和离散对数（DH）难题都要难得多，目前还没有出现亚指数级时间复杂度的算法（大整数质因子分解和离散对数问题都有），以致于同样的安全强度下，椭圆曲线加密的密钥比RSA和DH的短不少，这是椭圆曲线加密的一大优势。
假设随机取一个 ~ 位之间的值x，计算 ，最后的结果一定会落在曲线上的一点。假设该点为 ，在公开 以及具体曲线的方程的情况下，能否反推出最初的随机值 ？
证：寻找 的过程只能通过暴力计算， 的可能值为 ~ 中的一个，平均来说需要计算 次能够找到一次 值。那么问题来了，运行一次 的计算需要多长的时间呢？
假设我们使用的是超级计算机，主频为 （一秒钟可以进行一万亿次运算），从宇宙诞生的那一刻开始计算，到现在也就进行了 次。找到 值的概率为 。这个概率和下一秒地球被巨型陨石撞击而毁灭的概率接近，既然我们读到了这里，那么说明这件事没有发生。
在上面的案例中， 是 ~ 位的一个随机数，可以作为私钥。 是随机椭圆曲线上的一个点，也就是由私钥生成的公钥，因此优点可以1得证。
但是密码学中，并不能使用上面介绍的实数域上的椭圆曲线。因为
所以我们需要引入有限域上的椭圆曲线。
要证明优点2，还需要将随机椭圆曲线做一些改动：为了保证最后计算出来的点的坐标值相加是512位，secp256k1引入了一个对质数取模的机制。具体来说，随机椭圆曲线从
变为了 其中 ，是小于 的最大质数。
此时的随机椭圆曲线函数图如下：
具体来说，就是向别人证明我知道 ，但不暴露 的任何信息。（有些类似于零知识证明）
证：前面介绍过结合律： 添加一个hash函数，简单修改可以得出： 使 ，那么可知 为 。此时方程为： 为了简单起见，我们记 和 。此时方程化简为： 上面这个方程是什么意思呢？
可以这样假设：在已知 的情况下，如果能够提供一个 和 满足上面的方程，就可以证明一个人拥有 。这个假设有一个前提，如果一个人不知道x，那么他就无法提供 和 满足上面的等式。
详细探讨这个前提：如果一个人不知道x，又想计算出 和 ，能够办到吗？结论是不能，首先我们无法从 计算出 （在有限时间内）。
还有一个问题：在已知 和 的情况下，能否计算出关于 的任何信息？
根据公式： 只要解出 就可以了。
要想计算出x，就需要知道r，但是在r没有公开的情况下，有什么办法可以计算r吗？我们知道R=r*P；但是根据这个公式无法倒推出r（刚才介绍的那个数学难题），所以x也是安全的。
至此，可以证明算法的第二个优点。