18、现代密码学中的椭圆曲线密码学基础

现代密码学中的椭圆曲线密码学基础

1. 椭圆曲线密码学概述

在现代密码学领域，许多密码方案和协议，尤其是基于公钥密码学的那些，通常存在基础的“教科书密码”版本。不过，我们这里更关注适合实际应用的密码学方面。椭圆曲线构造的群在现代密码学中具有重要地位，最初由Miller和Koblitz提出将椭圆曲线群用于实现公钥密码学。

椭圆曲线密码学中的椭圆曲线是在有限代数结构（如有限域）上定义的。为便于说明，我们先考虑特征大于3的素域的简单情况。这样的曲线是满足特定方程的几何解集合，其方程形式为：
[y^2 = x^3 + ax + b \quad (mod \ p)]
其中 (a) 和 (b) 是素域 (F_p)（(p > 3)）中的常数，且满足 (4a^3 + 27b^2 \not\equiv 0 \ (mod \ p))。为使曲线上的点构成群，需引入一个额外的点 (O)，称为无穷远点。此时，群的形式可表示为：
[E = {O} \cup {(x, y) \in F_p \times F_p : y^2 = x^3 + ax + b \ (mod \ p)}]
这个点集在通常用“+”表示的群运算下构成一个群。

2. 椭圆曲线群的点

设 (f(x)) 为方程 (y^2 = x^3 + ax + b) 右边的三次多项式。若 (f(x)) 在 (F_p) 上可约，对于 (f(x)) 的零点 (\xi)（即 (f(\xi) \equiv 0 \ (mod \ p))），点 ((\xi, 0)) 属于 (E)，且这些点在群运算“+”下的阶为2。由于 (f(x)) 是三次多项式，这样的点最多有三个（具体是1个还是3个取决于 (f(x