Curve25519：从椭圆曲线原理到代码实现的深度解析

原创已于 2025-09-16 09:13:32 修改 · 944 阅读

30 ·

CC 4.0 BY-SA版权

文章标签：

#椭圆曲线 #Curve25519 #密钥交换 #openHiTLS #抗侧信道

于 2025-09-16 08:57:31 首次发布

密码学实战专栏收录该内容

65 篇文章

订阅专栏

引言：什么是 Curve25519？

Curve25519 是由密码学家 Daniel J. Bernstein 设计的一种高性能椭圆曲线加密算法，专门用于密钥交换场景。它基于 Montgomery 椭圆曲线，以 2^255 - 19 素数域为基础，提供 128 位的安全强度，同时具备优异的性能和抗侧信道攻击特性。目前已被广泛应用于 TLS、SSH、Signal 等安全协议中，成为现代密码学基础设施的重要组成部分。

一、Curve25519 的核心原理

1.1 椭圆曲线密码学基础

椭圆曲线密码学 (ECC) 基于有限域上椭圆曲线的算术性质，其核心是 "离散对数问题" 的计算困难性。对于椭圆曲线 E 上的点 P 和 Q，当已知 Q = kP 时，求解整数 k 在计算上是困难的，这构成了 ECC 的安全基础。

Curve25519 使用的 Montgomery 曲线方程为：
y² = x³ + 486662x² + x (mod p)
其中 p = 2^255 - 19，是一个特殊构造的素数。

1.2 Curve25519 的独特优势

高性能：相比传统的 RSA 和其他椭圆曲线，Curve25519 在相同安全强度下计算速度更快
抗侧信道攻击：算法设计允许恒定时间实现，避免 timing leak
简洁性：曲线参数选择简洁，减少实现错误风险
128 位安全强度：相当于 3072 位 RSA 的安全级别，但密钥长度仅为 32 字节

1.3 密钥交换原理

Curve25519 主要用于实现 Diffie-Hellman 密钥交换（称为 X25519），流程如下：

甲方生成私钥 a（32 字节随机数）和公钥 A = aG（G 为曲线基点）
乙方生成私钥 b（32 字节随机数）和公钥 B =bG
甲方计算共享密钥 = aB = a (bG)
乙方计算共享密钥 = bA = b (aG)
双方获得相同的共享密钥 abG

二、openHiTLS 中 Curve25519 的代码解析

我们以 openHiTLS 项目中的curve25519.c实现为例，解析 Curve25519 的核心代码逻辑。

2.1 核心数据结构

Curve25519 使用 32 字节数组表示密钥和点坐标：

// 密钥和点都用32字节数组表示
typedef uint8_t curve25519_key[32];

2.2 密钥生成函数

密钥生成需要对随机数进行 "clamping" 操作，确保私钥符合规范：

void curve25519_generate_private_key(curve25519_key private_key, const uint8_t *random) {
    // 复制随机数
    memcpy(private_key, random, 32);
    
    // Clamping操作：设置特定位确保密钥合法性
    private_key[0] &= 0xf8;  // 清除最低3位
    private_key[31] &= 0x7f; // 清除最高位
    private_key[31] |= 0x40; // 设置次高位，确保密钥为偶数
}

Clamping 操作确保私钥是合法的标量值，避免使用不安全的密钥。

2.3 核心点乘运算

Curve25519 的核心是点乘运算（scalar multiplication），使用 Montgomery ladder 算法实现，该算法的优势是具有恒定时间特性，可防止侧信道攻击：

void curve25519_scalar_mult(curve25519_key result, const curve25519_key scalar, const curve25519_key point) {
    curve25519_fe x1, x2, z2, x3, z3;
    curve25519_fe t1, t2;
    int i;

    // 初始化Montgomery ladder
    curve25519_fe_frombytes(x1, point);
    curve25519_fe_set_one(x2);
    curve25519_fe_set_zero(z2);
    curve25519_fe_copy(x3, x1);
    curve25519_fe_set_one(z3);

    // Montgomery ladder主循环
    for (i = 254; i >= 0; --i) {
        uint8_t bit = (scalar[i / 8] >> (i % 8)) & 1;
        
        // 条件交换：根据当前位决定交换x2/x3和z2/z3
        curve25519_fe_cswap(x2, x3, bit);
        curve25519_fe_cswap(z2, z3, bit);
        
        // 计算下一步的x3和z3
        curve25519_fe_add(t1, x2, z2);
        curve25519_fe_sub(x2, x2, z2);
        curve25519_fe_add(z2, x3, z3);
        curve25519_fe_sub(x3, x3, z3);
        curve25519_fe_mul(z3, t1, x3);
        curve25519_fe_mul(t1, x2, z2);
        curve25519_fe_sq(x2, x2);
        curve25519_fe_sq(z2, z2);
        curve25519_fe_sub(t2, z2, x2);
        curve25519_fe_mul(x3, t1, t2);
        curve25519_fe_add(z2, x2, z2);
        curve25519_fe_mul(x2, x2, z2);
        curve25519_fe_mul(z2, t2, curve25519_fe_d1);  // d1 = -121665/121666
        curve25519_fe_add(z2, z2, x2);
        curve25519_fe_mul(z2, z2, t1);
        
        // 恢复交换状态
        curve25519_fe_cswap(x2, x3, bit);
        curve25519_fe_cswap(z2, z3, bit);
    }

    // 计算最终结果：x2 / z2
    curve25519_fe_inv(z2, z2);
    curve25519_fe_mul(x2, x2, z2);
    curve25519_fe_tobytes(result, x2);
}

这段代码实现了 Montgomery 曲线上的点乘算法，通过 255 次迭代（对应 255 位密钥长度）完成标量乘法。恒定时间特性通过curve25519_fe_cswap函数实现，该函数无论条件如何都执行相同数量的操作。

2.4 有限域运算

所有运算都在素数域 GF (2^255 - 19) 上进行，代码中实现了该域上的基本运算：

// 有限域加法
static void curve25519_fe_add(curve25519_fe h, const curve25519_fe f, const curve25519_fe g) {
    int i;
    for (i = 0; i < 10; ++i) {
        h[i] = f[i] + g[i];
    }
    curve25519_fe_carry(h);  // 处理进位并模p约简
}

// 有限域乘法
static void curve25519_fe_mul(curve25519_fe h, const curve25519_fe f, const curve25519_fe g) {
    uint64_t t[20];
    int i, j;
    memset(t, 0, sizeof t);
    for (i = 0; i < 10; ++i) {
        for (j = 0; j < 10; ++j) {
            t[i + j] += (uint64_t)f[i] * g[j];
        }
    }
    curve25519_fe_reduce(h, t);  // 模p约简
}

这些函数处理大整数运算并确保结果始终在有限域内，是曲线运算的基础。