17、椭圆曲线密码系统：原理、算法与实现

椭圆曲线密码系统：原理、算法与实现

在当今数字化的时代，信息安全至关重要，密码系统作为保障信息安全的核心技术，一直是研究的热点。传统的公钥密码系统在密钥长度受限的情况下，安全性往往难以保证。而椭圆曲线密码系统因其独特的优势，成为了一种极具潜力的选择。

1. 公钥密码系统的安全困境

当密钥长度限制在约 100 比特时，大多数已知的公钥密码系统存在严重的安全隐患。以 RSA 系统为例，由于在微型计算机上可以轻松对 100 比特的整数进行因式分解，所以该系统在这种密钥长度下是不安全的。同样，基于有限域离散对数问题难解性的系统，如 ElGamal 密码系统，也面临着类似的问题。近期，La Macchia 和 Odlyzko 成功计算出了 192 比特素数域 Fp 中的对数，Gordon 和 McCurley 也能在 F2401 中计算对数。

2. 椭圆曲线密码系统的崛起

椭圆曲线密码系统由 N. Koblitz 和 V. Miller 于 1985 年首次提出。该系统的安全性基于椭圆曲线群中对数问题的难解性，即已知点 P 和 Q = kP，求解整数 k 的问题。如果曲线选择得当，目前已知的最佳攻击方法是 Pollard p 方法和 Pohlig - Hellman 方法的组合。

2.1 椭圆曲线的定义与性质

我们关注特征为 2 的域上的椭圆曲线。设 q = 2^n，E 是定义在域 Fq 上的非超奇异椭圆曲线，其定义方程为：
[y^2 + xy = x^3 + ax^2 + b]
其中 (b \in F_q^*)，(a \in {0, y})，(y \in F_q) 是迹为 1 的元素。方程的解 ((x, y)) 以及无穷远点 (\mathcal{O}) 构成一个加法阿贝尔群 (E(F_q))。根据 Hasse 定理，该群的阶 (#E(F_q) = q + 1 - t)，其中 (|t| \leq 2\sqrt{q})，因此 (#E(F_q) \approx q)。

2.2 椭圆曲线密码系统的应用

这个群被用于实现 Diffie - Hellman 密钥交换、ElGamal 消息传递和签名方案。椭圆曲线密码系统的安全性要求点 P 的阶（也就是 (#E(F_q))）能被一个大素数 p 整除，并且曲线要满足 p 不能整除 (q^l - 1)（对于所有 (l \leq 3)），以避免近期的攻击。

3. Pollard p 方法

Pollard p 方法是计算椭圆曲线群中对数的有效方法，它结合了 Pohlig - Hellman 方法和 Pollard 方法。

3.1 基本原理

设 (P \in E(F_q)) 且 (Q = kP)，已知 P 的阶 m 及其素因数分解 (m = p_1^{e_1}p_2^{e_2}\cdots p_t^{e_t})。首先确定 k 模 (p^e) 的值（其中 p 是 (p_1, p_2, \cdots, p_t) 中的一个），然后通过中国剩余定理恢复 k。

3.2 具体步骤

1. 定义序列 ({R_i})：(R_0 = 0)，(R_{i + 1} = R_i, 2R_i) 或 (P + R_i)，取决于 (w_i(R_i)) 的值（(w_i(R_i)) 是一个特定的函数）。
2. 使用 Floyd 循环查找算法或 Brent 循环查找算法找到满足 (R_i = R_{2i}) 的最小索引 i。
3. 根据 (R_i = a_iQ + b_iP) 和 (R_{2i} = a_{2i}Q + b_{2i}P)，得到同余方程 ((a_i - a_{2i})k \equiv (b_{2i} - b_i) \pmod{p})，并求解 k。

Brent 算法比 Floyd 算法更快，平均快 36%。在计算对数时，若以椭圆曲线加法作为基本步骤，Brent 算法的预期运行时间为 (1.9828\sqrt{p}) 次曲线加法，Floyd 算法为 (3.0924\sqrt{p}) 次曲线加法，且该算法所需的存储空间可忽略不计。

以下是不同曲线在不同域上计算对数的平均时间：
| 域 | 最大素因数的位数 | 曲线的阶 | 观察时间（分钟） |
| ---- | ---- | ---- | ---- |
| (F_{2^{55}}) | 8 | (13609323 \cdot 7^2 \cdot 109 \cdot 419 \cdot 5441 \cdot 30779339) | 1 |
| (F_{2^{85}}) | 8 | (2^2 \cdot 3 \cdot 2309 \cdot 902977 \cdot 53353603 \cdot 463686011) | 6 |
| (F_{2^{85}}) | 10 | (2^3 \cdot 5 \cdot 23 \cdot 61 \cdot 1009 \cdot 2017 \cdot 135559 \cdot 39978503273) | 17 |
| (F_{2^{85}}) | 13 | (2^3 \cdot 3^2 \cdot 9049 \cdot 510843049 \cdot 1859726335343) | 172 |
| (F_{2^{85}}) | 16 | (2^4 \cdot 11 \cdot 29 \cdot 43 \cdot 211 \cdot 421 \cdot 751 \cdot 1051 \cdot 15541 \cdot 25621 \cdot 26481841) | 3324 |

4. 有限域算术

在有限域中进行算术运算有多种方法，本文主要比较了多项式基表示和最优正规基表示两种软件实现方式。

4.1 最优正规基表示

对于 (F_{2^{105}})，其最优正规基为 (N = {\beta, \beta^2, \beta^{2^2}, \cdots, \beta^{2^{104}}})。元素 (\alpha \in F_{2^{105}}) 可表示为 (\alpha = \sum_{i = 0}^{104} c_i\beta^{2^i})，其中 (c_i \in F_2)。在软件中，(\alpha) 用长度为 105 的位向量表示。元素的加法通过向量的异或运算实现，平方运算通过向量的循环移位实现。计算元素的逆时，先转换为多项式基表示，使用扩展欧几里得算法计算逆，再转换回正规基表示。

4.2 多项式基表示

我们将 (F_{2^{104}}) 表示为 (F_{2^8}) 上的向量空间。通过存储“log”和“antilog”表，实现 (F_{2^8}) 中的乘法运算。元素的逆通过在 (F_{2^8}[x]) 中应用扩展欧几里得算法计算。

以下是两种表示方式下有限域运算的时间对比：
| 运算 | (F_{2^{105}})（秒） | (F_{2^{104}})（秒） |
| ---- | ---- | ---- |
| 平方 | [具体时间 1] | [具体时间 2] |
| 乘法 | [具体时间 3] | [具体时间 4] |
| 求逆 | [具体时间 5] | [具体时间 6] |

从实验结果来看，在我们的实现中，(F_{2^{104}}) 的算术运算速度比 (F_{2^{105}}) 快，这主要是因为我们选择将 (F_{2^{104}}) 表示为 (F_{2^8}) 上的向量空间，使得 (F_{2^8}) 中的算术运算几乎不消耗额外的时间。

5. 椭圆曲线密码系统的实现

对于方程为 (y^2 + xy = x^3 + ax^2 + b) 的椭圆曲线，点的加法规则如下：点 (\mathcal{O}) 是单位元。设 (P = (x_1, y_1)) 和 (Q = (x_2, y_2)) 是曲线上的点，则 (-P = (x_1, x_1 + y_1))。若 (Q \neq -P)，则 (P + Q = (x_3, y_3))，具体计算方式根据 (P) 和 (Q) 是否相等有所不同。

5.1 点的加法和加倍运算

两个不同点相加需要两次乘法和一次求逆运算，而点的加倍需要三次乘法和一次求逆运算。一般来说，可以通过转换为射影坐标来避免求逆运算，但会增加乘法运算的次数。在软件实现中，仿射表示更为优越。

以下是随机曲线在 (F_{2^{105}}) 和 (F_{2^{104}}) 上椭圆曲线运算的运行时间：
| 运算 | (F_{2^{105}})（秒） | (F_{2^{104}})（秒） |
| ---- | ---- | ---- |
| 10000 次曲线加法 | 33.9 | [对应时间] |
| 10000 次曲线加倍 | 38.6 | [对应时间] |

5.2 计算 kP 的算法

在 Diffie - Hellman 密钥交换和 ElGamal 消息传递及签名方案中，需要计算随机整数 k 与点 P 的乘积 kP。传统的重复加倍和加法算法在平均情况下需要 103 次曲线加倍和 51 次曲线加法，在 (E(F_{2^{104}})) 上的预期时间约为 0.24 秒。

当有额外的存储空间时，可以采用更高效的方法：
1. 预先计算 (P_i = 8^iP)（(0 \leq i \leq 34)）。
2. 将 k 表示为 8 进制形式 (k = k_0 + k_18 + k_28^2 + \cdots + k_{34}8^{34})，其中 (0 \leq k_i \leq 7)。
3. 计算 (B = \sum_{k_i = 7} P_i)，并设置 (A = B)。
4. 对于 (d) 从 6 到 1，计算 (B = B + \sum_{k_i = d} P_i)，(A = A - B)。
5. 输出 A。

这种方法需要存储 35 个点，对于随机的 k，平均需要 36 次曲线加法，将计算 kP 的时间从 0.24 秒减少到 0.052 秒。

5.3 ElGamal 密码系统的实现

在椭圆曲线版的 ElGamal 密码系统中，曲线 (E(F_q)) 和点 (P \in E) 是公开信息。每个用户 A 有一个公钥 (aP)，其中整数 a 是对应的私钥。用户 B 要向用户 A 发送消息 (m_1, m_2 \in F_q) 时，选择一个随机整数 k，计算点 kP 和 (kaP = (x, y))，最后发送 ((kP, m_1x, m_2y)) 给 A。在我们的软件实现中，加密速率约为 2 Kbits/秒。

5.4 密钥长度的优化

公钥是长度为 2n 比特的椭圆曲线点，通过变量替换 ((x, y) \to (x, xz))，可以将密钥长度缩短到 n + 1 比特。已知点 P 的 x 坐标，计算变换后方程的右边，该方程有两个解 (z’) 和 (z’ + 1)，如果知道 z 的最低有效位，就可以选择正确的解。

6. 安全性分析

对于某些曲线，如 (y^2 + xy = x^3 + x^2 + (x^3 + x^4 + x^0 + x^7))，(#E(F_{2^n})) 能被一个 29 位的素数整除。使用 Pollard p 方法计算该曲线中的单个对数需要约 (10^{15}) 次椭圆曲线运算，大约相当于使用多多项式二次筛法分解 512 比特整数所需的计算资源。

此外，Brent 指出，使用并行计算加速 Pollard p 方法似乎不可行。Lambda 方法可以在已知对数所在区间 [A, B] 的情况下计算对数，其运行时间为 (O(\sqrt{w}))，其中 (w = B - A)。如果有 t 个处理器，可将区间 [0, p - 1] 分成 t 个等长的子区间，并行搜索。

7. 结论

实验结果表明，在工作站上使用软件实现特征为 2 的域上的椭圆曲线密码系统是高效可行的。通过选择合适的曲线，使用当前最佳方法计算对数需要约 (10^{15}) 次椭圆曲线运算。计算随机 104 比特整数 k 与点 P 的乘积 kP 约需 0.052 秒，能够实现 2 Kbits/秒的加密速率。公钥长度仅为 105 比特，代码约占 40 K 字节。如果需要更高的安全性，可以增大域的大小。

椭圆曲线密码系统在信息安全领域展现出了巨大的潜力，随着技术的不断发展，有望在更多的应用场景中得到广泛应用。

椭圆曲线密码系统：原理、算法与实现

8. 椭圆曲线密码系统的优势总结

椭圆曲线密码系统相较于传统公钥密码系统，具有多方面显著优势：
- 密钥长度与安全性 ：在相同的安全级别下，椭圆曲线密码系统所需的密钥长度远小于传统系统。例如，实现与 RSA 系统相当的安全性，椭圆曲线密码系统的密钥长度可以短很多，这不仅减少了存储和传输的开销，还提高了加密和解密的效率。
- 计算效率 ：从计算 kP 的不同算法对比可以看出，椭圆曲线密码系统在计算效率上有很大的提升空间。通过优化算法和利用额外的存储空间，能够显著减少计算时间，如将计算 kP 的时间从 0.24 秒减少到 0.052 秒。
- 应用灵活性 ：可以应用于多种密码学方案，如 Diffie - Hellman 密钥交换、ElGamal 消息传递和签名方案等，为不同的安全需求提供了多样化的解决方案。

9. 实际应用场景

椭圆曲线密码系统在多个领域有着广泛的应用前景：
- 金融领域 ：在网上银行、电子支付等场景中，保障交易的安全性至关重要。椭圆曲线密码系统的高效性和安全性能够确保用户账户信息、交易数据的保密性和完整性，防止信息泄露和恶意攻击。
- 物联网 ：物联网设备数量众多，资源有限。椭圆曲线密码系统所需的密钥长度短、计算效率高，适合在资源受限的物联网设备上实现安全通信，保护设备之间的数据传输安全。
- 移动通信 ：在移动支付、移动办公等应用中，椭圆曲线密码系统可以为用户提供安全的通信环境，保障用户的隐私和数据安全。

10. 未来发展趋势

随着信息技术的不断发展，椭圆曲线密码系统也面临着新的挑战和机遇，未来可能呈现以下发展趋势：
- 算法优化 ：不断探索更高效的算法，进一步提高椭圆曲线密码系统的计算效率和安全性。例如，研究新的曲线选择方法、改进对数计算算法等。
- 硬件实现 ：结合硬件技术，开发专门的椭圆曲线密码芯片，提高加密和解密的速度，满足大规模应用的需求。
- 与其他技术融合 ：与量子计算、区块链等新兴技术相结合，探索新的安全应用模式。例如，在区块链中应用椭圆曲线密码系统保障交易的安全性和不可篡改性。

11. 总结与展望

椭圆曲线密码系统作为一种新兴的密码技术，凭借其在安全性、计算效率和应用灵活性等方面的优势，在信息安全领域具有广阔的应用前景。通过对椭圆曲线的定义、性质、算法以及实现的深入研究，我们可以更好地理解和应用这一技术。

在实际应用中，我们需要根据具体的安全需求和资源限制，选择合适的曲线和算法，确保系统的安全性和性能。同时，随着技术的不断发展，我们也需要持续关注椭圆曲线密码系统的研究进展，不断优化和完善其应用。

未来，椭圆曲线密码系统有望在更多的领域得到广泛应用，为保障信息安全发挥重要作用。我们期待着这一技术在信息安全领域创造更多的价值，推动信息技术的安全发展。

以下是一个 mermaid 流程图，展示了椭圆曲线密码系统中计算 kP 的高效算法流程：

graph TD;
    A[开始] --> B[预先计算 Pi = 8^iP (0 ≤ i ≤ 34)];
    B --> C[将 k 表示为 8 进制形式 k = k0 + k1*8 + k2*8^2 + ... + k34*8^34];
    C --> D[计算 B = Σ(k_i = 7) Pi];
    D --> E[设置 A = B];
    E --> F[循环 d 从 6 到 1];
    F --> G[计算 B = B + Σ(k_i = d) Pi];
    G --> H[计算 A = A - B];
    H --> I{是否 d = 1};
    I -- 否 --> F;
    I -- 是 --> J[输出 A];
    J --> K[结束];

通过以上的分析和总结，我们对椭圆曲线密码系统有了更全面的了解。希望本文能够为读者在研究和应用椭圆曲线密码系统方面提供有益的参考。