12、椭圆曲线密码学：原理、应用与安全保障

椭圆曲线密码学：原理、应用与安全保障

1. 椭圆曲线密码学简介

椭圆曲线密码学在密钥长度方面相较于传统方案具有显著优势。在2014 - 2030年期间，NIST建议椭圆曲线应用的密钥长度在224 - 255之间，而ElGamal、DSA和RSA的密钥长度为2048。

2. 选择曲线和基点

要建立椭圆曲线密码方案，首先需要选择基础域、曲线和基点，即确定所谓的域参数：
- (F_q)：有限基础域
- (a, b \in F_q)：曲线(E)的参数
- (Q, n)：基点(Q \in E(F_q))，其阶为大素数(n)
- (h)：余因子，定义为(hn = |E(F_q)|)

2.1 近素数阶曲线

我们寻找的椭圆曲线(E(F_q))应包含一个阶为大素数(n)的点(Q)，且(n)应接近群阶(|E(F_q)|)。具有近素数阶的曲线有重要性质：
- 引理3.9：设(E(F_q))是椭圆曲线，(|E(F_q)| = hn)，其中(n)是素数且(h < n)，则(E(F_q))有唯一的阶为(n)的子群(E_n)，(E_n)是循环群，除零元素(O)外，(E_n)中的每个点都是(E_n)的生成元。
- 定义3.10：若(|E(F_q)| = hn)，其中(n)是素数且余因子(h)小，则椭圆曲线(E(F_q))具有近素数阶。阶为(n)的唯一子群(E_n)称为(E(F_q))的素数阶子群。

“小”意味着(h \ll n)，且(h)的所有素因子都可以通过试除法有效地找到。在实践中，通常(h = 1, 2, 3)或(4)。对于具有近素数阶的椭圆曲线(E(F_q))，(n)的二