比特币椭圆曲线参数

① 密码学基础2：椭圆曲线密码学原理分析

首先要说明的一点是，椭圆曲线不是椭圆。椭圆方程是下面这样的：

而通常我们讨论的椭圆曲线的曲线方程是一个二元三次方程，它有多种形式，在椭圆曲线密码体系中，最常用的是如下的Weierstrass通用式(curve25519 等其他类型的椭圆曲线本文不讨论)：

之所以取名叫椭圆曲线，是因为该曲线方程跟求椭圆弧长的积分公式相似。从曲线方程和图像易知，椭圆曲线关于X轴对称。判定式不等于零是为了椭圆曲线不存在奇异点，即处处光滑可导，这样才能进行椭圆曲线上的加法运算。下面是一些适合用于加密的椭圆曲线，其中 。

椭圆曲线加密算法涉及数学中的群论、有限域等内容，这节简要介绍下相关数学理论。亦可以跳过直接看第3节，遇到相关名词再查阅即可。

在讨论群之前，先说说集合。集合简单来说就是把一堆东西放在一起，如自然数集合。当然光有一堆东西还不够，东西之间相互作用才能更好的描述大千世界。于是，自然数集合通过加减运算衍生出整数集合、整数集合经过乘除又可以衍生出有理数，而后通过无理数的加入又衍生出实数集合、负数开方引入了复数集合。群则是集合和一个二元运算。

而如果再满足交换律，则该群就被称为是一个阿贝尔群。

根据群的定义，整数的加法运算 就是一个群，而且还是一个阿贝尔群。而自然数的加法运算 就不是一个群。整数加法运算构成群，因为它满足群的定义：整数加法的封闭性、结合律、交换律都成立。整数加法运算中单位元是 0。所有整数 n 都有加法逆元 -n。

在密码学中一般都需要一个有限的群，定义如下:

为了使一个结构同时支持四种基本算术(即加减乘除)，我们需要一个包含加法和乘法群的集合，这就是域。当一个集合为域的时候，我们就能在其中进行基本算术运算了。

所以域中元素只要形成加法群和乘法群并满足分配律就行，因为群中元素都有逆元，减法/除法可以转换为加/乘元素的逆元实现。实数集合 是一个域，加法群中单位元是 0，每个实数 都有加法逆元 ，乘法群中单位元是 ，每个非零实数都有乘法逆元 。而整数集合就不是域，因为大部分元素没有乘法逆元，不能构成一个乘法群。

在密码学中，通常只对有限元素的域感兴趣，这种域称为有限域(Finite Field)。有限域中我们经常用到的是素数域，所谓素数域，就是阶为素数的有限域。 比如当 p 为素数时，整数环 就是一个素数域，可以记作 。在素数域 中进行算术运算，需要遵守整数环的规则，即加法是模 p 加法，而乘法是模 p 乘法。

例如对于 有：

椭圆曲线上的点经过一种特定的加法运算可以让椭圆曲线在实数域构成一个群。

无穷远点 ：定义一个无穷远点 ，即经过椭圆上任意一点的与X轴垂直的直线都经过该点。可能有人疑惑垂直于X轴的直线是平行线，为啥可以定义为都经过 点？因为在非欧几何中，可认为平行线在无穷远处会交于一点。

椭圆曲线点加法 ：椭圆曲线上经过 和 两个点的直线与椭圆曲线的交点记作 ，根据定义有 以及 。继而定义椭圆曲线点加法： ，即加法结果是经过点 且与 X 轴垂直的直线与椭圆曲线的另外一个交点，简单来说，就是交点 关于 X 轴的对称点。

椭圆曲线群：定义为椭圆曲线在实数域上的点集以及点加法

由此可知，椭圆曲线上的点在椭圆曲线加法运算上构成了一个阿贝尔群。增加了单位元后，椭圆曲线方程改为：

由定义可知， ，所以，最终加法只需要计算交点 的逆元 即可。 几种特殊情况说明：

上一节定义了椭圆曲线几何上意义的点加法，需要转换为代数加法以方便计算。 要注意的是，这并不是两个点的坐标简单相加 。

假设直线 PQ 的斜率 ，然后将直线方程 代入曲线可以得到： , 转换成标准式，根据韦达定理 ，即而可求得 ，想了解具体推导过程的可参见 [cubic-equations] 。

斜率 计算需要区分两种情况，当 P=Q 时求椭圆曲线在 P 点的切线斜率(求导)即可：

可以简单验证，比如椭圆曲线是 ，通过参考资料1的 [可视化工具] 可得 。容易验证，与代数加法公式计算结果一致。

对于特殊情况 中有一个是切点的情况，如 ，计算方式不变，易得 。而对于特殊情况 ，采用切线斜率亦可验证公式正确。

在实际加密算法中，我们通常需要多次通过椭圆曲线加法来实现一次加密，如下图所示：

图中打点的过程就是：

而在实际加密算法中，我们常常是使用一个点自己叠加，即初始直线变成椭圆曲线的切线即可，像下面这样：

我们定义对一个点 P 进行 n 次加法得到 nP，称之为标量乘法。如前面例子中 。

不过，当 n 很大时，执行 n 次加法需要 时间，效率有问题。 因为椭圆曲线点加法在实数域构成阿贝尔群，满足交换律和结合律，于是可以通过 [Double-and-add] 算法进行优化 。比如 ，其二进制表示为 ，通过优化只要7次倍乘和4次加法计算即可，时间复杂度降到 。这是一个很好的单向函数，正向计算容易，而反向和蛮力计算复杂。

令 ，则 Q 作为公钥，n 为私钥。如果要破解该密钥，问题就是 "Q = nP，如果已知 P 和 Q，如何求解 n"? 这个问题是比较困难的。不过由于在实数域上曲线连续，可能会更容易找到一些规律进行破解。而且实数域上数值大小没有限制、浮点数等问题而导致计算效率问题，在实际应用中常将椭圆曲线限制到一个有限域内，将曲线变成离散的点，这样即方便了计算也加大了破解难度。

前面提到为了安全性和便于实现，需要将椭圆曲线限制到一个有限域内，通常用的是素数域 (即对于点 为素数)。于是破解就会变成一个离散对数问题，这比连续曲线上的对数问题会难很多。素数域下椭圆曲线定义如下：

下面是曲线 和 的图像。可以发现，椭圆曲线变成了离散的点，且关于 对称。

定义 上椭圆曲线点加法 如下，公式跟实数域上相比只是多了模 操作。

斜率 m 计算同样分两种情况：

椭圆曲线在素数域 上的点加法依然构成阿贝尔群。单位元依旧是无穷远点，元素 的逆元变成 。而交换律、结合律、封闭性则可以通过素域上的模加法、模乘法来证明 。实数域的椭圆曲线点加法定义是有明确几何意义的，从几何上好证明。而椭圆曲线在 就没有明显的几何意义了，观察可发现 三点满足 ，群律的证明过于繁琐，略去(其实是没有找到一个简易的证明)。

以前面曲线为例， ，则有 ，且 和 都在椭圆曲线上。从图形上看， 在直线 上。

在有限域下，椭圆曲线加法群的元素是有限的，元素数目就是群的阶。

如椭圆曲线 ，其在素数域 中元素有 ，阶为24(23个素数域中的点 + 1个无穷远点)，如果 p 很大的话，则通过蛮力计算阶是很难的，好在使用 [Schoof算法] 可以在多项式时间内计算出群的阶。计算椭圆曲线在有限域上点的数目可以参见 [Counting points on elliptic curves] 。

Schoof算法运用了 Hasses 定理。Hasses定理给出了椭圆曲线在 的阶的范围，可以看出，当 p 很大时，阶跟 p 的值是比较接近的。

跟实数域一样，在素数域里面也是选取一个点 P，然后计算倍乘 nP 作为公钥。还是以 为例， ，我们采用素数域下新的计算公式计算 。

可以发现 ，即 P 的标量乘法得到的点集是原椭圆曲线群的一个子集，则它是原椭圆曲线群的一个子群，而且是循环子群。子群中元素个数称为子群的阶(示例子群的阶为8)，点 P 称为该子群的基点或者生成元。循环子群是椭圆曲线密码体系的基础，我们期望子群中元素越多越好，如何找到一个合适的子群尤为重要。

首先要解决一个问题，就是已知 下的椭圆曲线上的点 P，如何求得 P 的倍乘运算后生成的子群的阶? 根据拉格朗日的群论定理，子群的阶是父群的阶的约数。求解曲线上点 P 生成的子群的阶可以用下面方法：

以示例曲线为例，父群的阶是 ，则以曲线上的点生成的子群的阶只能是 。对于点 ，故其生成的子群的阶就是 8，而点 生成的子群的阶则正好等于父群的阶24。

在加密算法中，我们期望找到一个阶高的子群。不过，通常不是先去找个基点，然后计算子群的阶，因为这样过于不确定，算法上不好实现。相反地，先选择一个大的子群阶，然后再找生成该子群的一个基点就容易多了。

前面提到，子群的阶 n 是父群的阶 N 的约数，即有 ，h 是一个整数，我们称之为子群的余因子(cofactor)。因为 ，所以有:

通常会选择一个素数作为子群的阶，即 n 是素数。可以发现，点 生成了阶为 n 的子群( 除外，因为这个子群的阶为1)，不等于 的点 就是我们寻找的基点。具体步骤如下：

需要注意，上面算法里的 n 必须是素数，否则计算的基点 G 生成的子群的阶可能是 n 的约数而不是 n，不符合要求 。以曲线 为例， ，我们选择 ，则 ，随机选取一个点 ，计算 ，恰好满足要求。

如前所述，椭圆曲线加密算法工作在素数域下的椭圆曲线循环子群中，需要的域参数(Domain Parameter)包括 ：

如比特币用来做数字签名中采用的椭圆曲线 [secp256k1] 的域参数如下：

② 高中生如何理解比特币加密算法

加密算法是数字货币的基石，比特币的公钥体系采用椭圆曲线算法来保证交易的安全性。这是因为要攻破椭圆曲线加密就要面对离散对数难题，目前为止还没有找到在多项式时间内解决的办法，在算法所用的空间足够大的情况下，被认为是安全的。本文不涉及高深的数学理论，希望高中生都能看懂。

密码学具有久远的历史，几乎人人都可以构造出加解密的方法，比如说简单地循环移位。古老或简单的方法需要保密加密算法和秘钥。但是从历史上长期的攻防斗争来看，基于加密方式的保密并不可靠，同时，长期以来，秘钥的传递也是一个很大的问题，往往面临秘钥泄漏或遭遇中间人攻击的风险。

上世纪70年代，密码学迎来了突破。Ralph C. Merkle在1974年首先提出非对称加密的思想，两年以后，Whitfield Diffie和Whitfield Diffie两位学者以单向函数和单向暗门函数为基础提出了具体的思路。随后，大量的研究和算法涌现，其中最为著名的就是RSA算法和一系列的椭圆曲线算法。

无论哪一种算法，都是站在前人的肩膀之上，主要以素数为研究对象的数论的发展，群论和有限域理论为基础。内容加密的秘钥不再需要传递，而是通过运算产生，这样，即使在不安全的网络中进行通信也是安全的。密文的破解依赖于秘钥的破解，但秘钥的破解面临难题，对于RSA算法，这个难题是大数因式分解，对于椭圆曲线算法，这个难题是类离散对数求解。两者在目前都没有多项式时间内的解决办法，也就是说，当位数增多时，难度差不多时指数级上升的。

那么加解密如何在公私钥体系中进行的呢？一句话，通过在一个有限域内的运算进行，这是因为加解密都必须是精确的。一个有限域就是一个具有有限个元素的集合。加密就是在把其中一个元素映射到另一个元素，而解密就是再做一次映射。而有限域的构成与素数的性质有关。

前段时间，黎曼猜想（与素数定理关系密切）被热炒的时候，有一位区块链项目的技术总监说椭圆曲线算法与素数无关，不受黎曼猜想证明的影响，就完全是瞎说了。可见区块链项目内鱼龙混杂，确实需要好好洗洗。

比特币及多数区块链项目采用的公钥体系都是椭圆曲线算法，而非RSA。而介绍椭圆曲线算法之前，了解一下离散对数问题对其安全性的理解很有帮助。

先来看一下 费马小定理 ：

原根 定义：
设（a, p)=1 （a与p互素），满足

的最下正整数 l，叫作a模p的阶，模p阶为（最大值）p-1的整数a叫作模p的原根。

两个定理：

基于此，我们可以看到，{1, 2, 3, … p-1} 就是一个有限域，而且定义运算 gi (mod p), 落在这个有限域内，同时，当i取0～p-2的不同数时，运算结果不同。这和我们在高中学到的求幂基本上是一样的，只不过加了一层求模运算而已。

另一点需要说明的是，g的指数可以不限于0~p-2, 其实可以是所有自然数，但是由于

所以，所有的函数值都是在有限域内，而且是连续循环的。

离散对数定义：
设g为模p的原根，（a,p) = 1，

我们称 i 为a（对于模p的原根g）的指数，表示成：

这里ind 就是 index的前3个字母。
这个定义是不是和log的定义很像？其实这也就是我们高中学到的对数定义的扩展，只不过现在应用到一个有限域上。

但是，这与实数域上的对数计算不同，实数域是一个连续空间，其上的对数计算有公式和规律可循，但往往很难做到精确。我们的加密体系里需要精确，但是在一个有限域上的运算极为困难，当你知道幂值a和对数底g，求其离散对数值i非常困难。

当选择的素数P足够大时，求i在时间上和运算量上变得不可能。因此我们可以说i是不能被计算出来的，也就是说是安全的，不能被破解的。

比特币的椭圆曲线算法具体而言采用的是 secp256k1算法。网上关于椭圆曲线算法的介绍很多，这里不做详细阐述，大家只要知道其实它是一个三次曲线（不是一个椭圆函数），定义如下：

那么这里有参数a, b；取值不同，椭圆曲线也就不同，当然x, y 这里定义在实数域上，在密码体系里是行不通的，真正采用的时候，x, y要定义在一个有限域上，都是自然数，而且小于一个素数P。那么当这个椭圆曲线定义好后，它反应在坐标系中就是一些离散的点，一点也不像曲线。但是，在设定的有限域上，其各种运算是完备的。也就是说，能够通过加密运算找到对应的点，通过解密运算得到加密前的点。

同时，与前面讲到的离散对数问题一样，我们希望在这个椭圆曲线的离散点阵中找到一个有限的子群，其具有我们前面提到的遍历和循环性质。而我们的所有计算将使用这个子群。这样就建立好了我们需要的一个有限域。那么这里就需要子群的阶（一个素数n）和在子群中的基点G（一个坐标，它通过加法运算可以遍历n阶子群）。

根据上面的描述，我们知道椭圆曲线的定义包含一个五元祖（P, a, b, G, n, h)；具体的定义和概念如下：

P: 一个大素数，用来定义椭圆曲线的有限域（群）
a, b: 椭圆曲线的参数，定义椭圆曲线函数
G: 循环子群中的基点，运算的基础
n: 循环子群的阶（另一个大素数，< P ）
h：子群的相关因子，也即群的阶除以子群的阶的整数部分。

好了，是时候来看一下比特币的椭圆曲线算法是一个怎样的椭圆曲线了。简单地说，就是上述参数取以下值的椭圆曲线：

椭圆曲线定义了加法，其定义是两个点相连，交与图像的第三点的关于x轴的对称点为两个点的和。网上这部分内容已经有很多，这里不就其细节进行阐述。

但细心的同学可能有个疑问，离散对数问题的难题表现在求幂容易，但求其指数非常难，然而，椭圆曲线算法中，没有求幂，只有求乘积。这怎么体现的是离散对数问题呢？

其实，这是一个定义问题，最初椭圆曲线算法定义的时候把这种运算定义为求和，但是，你只要把这种运算定义为求积，整个体系也是没有问题的。而且如果定义为求积，你会发现所有的操作形式上和离散对数问题一致，在有限域的选择的原则上也是一致的。所以，本质上这还是一个离散对数问题。但又不完全是简单的离散对数问题，实际上比一般的离散对数问题要难，因为这里不是简单地求数的离散对数，而是在一个自定义的计算上求类似于离散对数的值。这也是为什么椭圆曲线算法采用比RSA所需要的（一般2048位）少得多的私钥位数（256位）就非常安全了。

③ 谁能来说说比特币的密码学原理

密码算法维系着比特币的体系的运作、交易等环节

④ 什么是比特币加密技术

比特币和区块链的诞生需要依赖于很多核心技术的突破：一是拜占庭容错技术；二是非对称加密技术；三是点对点支付技术。下面会依次介绍。
拜占庭容错技术
比特币和区块链诞生的首要难点在于如何创建分布式共识机制，也就是菜斯利·兰伯特等人1982年提出的拜占庭将军问题。所谓拜占庭将军问题是指，把战争中互不信任的各城邦军队如何达成共识并决定是否出兵的决策过程。延伸至计算机领域，试图创建具有容错性的分布式系统，即使部分节点失效仍可确保系统正常运行，也可让多个基于零信任基础的节点达成共识，并确保信息传递的一致性。
中本聪所提到的“拜占庭将军问题”解决方法起始于亚当﹒拜克在1997年发明的哈希现金算法机制，起初该设计是用于限制垃圾邮件发送与拒绝服务攻击。2004年，密码朋克运动早期和重要成员哈尔·芬尼将亚当﹒拜克的哈希现金算法改进为可复用的工作量证明机制。他们的研究又是基于达利亚·马凯与迈克尔·瑞特的学术成果：拜占庭容错机制。正是哈尔·芬尼的可复用的工作量证明机制后来成为比特币的核心要素之一。哈尔·芬尼是中本聪的最早支持者，同时也是第一笔比特币转账的接受者，在比特币发展的早期与中本聪有大量互动与交流。
非对称加密技术
比特币的非对称加密技术来源于以下几项密码学的技术创新：1976年，Sun公司前首席安全官Whitfield Diffie与斯坦福大学教授Martin Hell，在开创性论文《密码学的新方向》首次提出公开钥匙密码学的概念，发明了非对称加密算法。1978年省理工学院的伦纳德·阿德曼、罗纳德·李维斯特、阿迪·萨莫尔三名研究人员，共同发明了公开钥匙系统“RSA”可用于数据加密和签名，率先开发第一个具备商业实用性的非对称RSA加密算法。1985年，Neal Koblitz和Victor Miller俩人，首次提出将椭圆曲线算法（ECC），应用于密码学，并建立公钥加密的算法，公钥密码算法的原理是利用信息的不对称性，公钥对应的是私钥，私钥是解开所有信息的钥匙，公钥可以由私钥反推算出。ECC能够提供比RSA更高级别的安全。比特币使用的就是椭圆曲线算法公钥用于接收比特币，而私钥则是比特币支付时的交易签名。这些加密算法奠定了当前非对称加密理论的基础，被广泛应用于网络通信领域。但是，当时这些加密技术发明均在NSA严密监视的视野之内。NSA最初认为它们对国家安全构成威胁，并将其视为军用技术。直到20世纪90年代末，NSA才放弃对这些非对称加密技术的控制，RSA算法、ECC算法等非对称加密技术最终得以走进公众领域。
不过，中本聪并不信任NSA公布的加密技术，在比特币系统中没有使用RSA公钥系统，原因除了ECC能够提供比RSA更高级别的安全性能外，还担心美国安全部门在RSA留有技术后门。2013年9月，斯诺登就曾爆料NSA采用秘密方法控制加密国际标准，比特币采用的RSA可能留有后门，NSA能以不为人知的方法弱化这条曲线。所幸的是，中本聪神一般走位避开了RSA的陷阱,使用的加密技术不是NSA的标准，而是另一条鲜为人知的椭圆曲线，这条曲线并不在美国RSA的掌握之下。全世界只有极少数程序躲过了这一漏洞，比特币便是其中之一。

⑤ 比特币算法原理

比特币算法主要有两种，分别是椭圆曲线数字签名算法和SHA256哈希算法。

椭圆曲线数字签名算法主要运用在比特币公钥和私钥的生成过程中，该算法是构成比特币系统的基石。SHA-256哈希算法主要是运用在比特币的工作量证明机制中。

比特币产生的原理是经过复杂的运算法产生的特解，挖矿就是寻找特解的过程。不过比特币的总数量只有2100万个，而且随着比特币不断被挖掘，越往后产生比特币的难度会增加，可能获得比特币的成本要比比特币本身的价格高。

比特币的区块由区块头及该区块所包含的交易列表组成，区块头的大小为80字节，由4字节的版本号、32字节的上一个区块的散列值、32字节的 Merkle Root Hash、4字节的时间戳（当前时间）、4字节的当前难度值、4字节的随机数组成。拥有80字节固定长度的区块头，就是用于比特币工作量证明的输入字符串。不停的变更区块头中的随机数即 nonce 的数值，并对每次变更后的的区块头做双重 SHA256运算，将结果值与当前网络的目标值做对比，如果小于目标值，则解题成功，工作量证明完成。

比特币的本质其实是一堆复杂算法所生成的一组方程组的特解（该解具有唯一性）。比特币是世界上第一种分布式的虚拟货币，其没有特定的发行中心，比特币的网络由所有用户构成，因为没有中心的存在能够保证了数据的安全性。

⑥ 比特币地址是怎么产生的

比特币使用椭圆曲线算法生成公钥和私钥，选择的是secp256k1曲线。生成的公钥是33字节的大数，私钥是32字节的大数，钱包文件wallet.dat中直接保存了公钥和私钥。我们在接收和发送比特币时用到的比特币地址是公钥经过算法处理后得到的，具体过程是公钥先经过SHA-256算法处理得到32字节的哈希结果，再经过RIPEMED算法处理后得到20字节的摘要结果，再经过字符转换过程得到我们看到的地址。这个字符转换过程与私钥的字符转换过程完成相同，步骤是先把输入的内容（对于公钥就是20字节的摘要结果，对于私钥就是32字节的大数）增加版本号，经过连续两次SHA-256算法，取后一次哈希结果的前4字节作为校验码附在输入内容的后面，然后再经过Base58编码，得到字符串。乔曼特区块链专业站链乔教育在线是从事区块链相关培训，且获得教育部认证的区块链专业培训工作站。

⑦ 理解椭圆曲线加密算法

椭圆曲线加密算法，即：Elliptic Curve Cryptography，简称ECC，是基于椭圆曲线数学理论实现的一种非对称加密算法。相比RSA，ECC优势是可以使用更短的密钥，来实现与RSA相当或更高的安全。据研究，160位ECC加密安全性相当于1024位RSA加密，210位ECC加密安全性相当于2048位RSA加密。

一般椭圆曲线方程式表示为:(其中a,b,c,d为系数)
> y2=ax3+ bx2+cx+d
典型的椭圆曲线如：y2=x3−4x2+16

先摆一个栗子：

小米很难算到的那个数，就是公钥密码算法中的私钥（一个公钥密码算法安全的必要条件（非充分）是“由公钥不能反推出私钥”），公钥密码算法最根本的原理是利用信息的不对称性：即掌握私钥的人在整个通信过程中掌握最多的信息。
椭圆曲线加密算法是一个基于加法阶数难求问题的密码方案。 对于椭圆曲线来讲，椭圆曲线的基点就是例子里面的5，而私钥就是基点的加法阶数（例子里面的11），公钥是基点（5）进行对应阶数的加法（11次）得到的结果（55）。

简单描述就是:G * k = K （G,K公开，k保密）

上述例子相对简单，椭圆曲线加密算法里的加法建立在 “有限域上的二元三次曲线上的点”上 ，组成一个“有限加法循环群”。具体的说，这个加法的几何定义如下图，两个点的加法结果是指这两点的连线和曲线的交点关于x轴的镜像。

如果我们从某一点出发（所谓的单位元，比如正整数域的1，代表一个空间里的最基本单元），不停做自增操作（所谓群操作，比如++），枚举出整个空间的集合元素。如图：

因此给定椭圆曲线的某一点G，从G出发，不停做切线，找对称点，依次得到-2G，2G，-4G，4G，-8G，8G... 。即：当给定G点时，已知x，求xG点并不困难。反之，已知xG点，求x则非常困难。即Q = NG，N就是我们的私钥，Q就是我们的公钥。

现在我们知道了公钥(Q)和私钥(N)的生成的原理,我们在看看椭圆曲线数字签名算法(ECDSA)的过程,椭圆曲线数字签名算法（ECDSA）是使用椭圆曲线密码（ECC）对数字签名算法（DSA）的模拟。ECDSA于1999年成为ANSI标准，并于2000年成为IEEE和NIST标准。

私钥主要用于 签名，解密 ；公钥主要用于 验签，加密 ，可以通过私钥可以计算出公钥，反之则不行。
公钥加密：公钥加密的内容可以用私钥来解密——只有私钥持有者才能解密。
私钥签名：私钥签名的内容可以用公钥验证。公钥能验证的签名均可视为私钥持有人所签署。

通常需要六个参数来描叙一个特定的椭圆曲线:T = (p, a, b, G, n, h).
p: 代表有限域Fp的那个质数 a,b：椭圆方程的参数 G: 椭圆曲线上的一个基点G = (xG, yG) n：G在Fp中规定的序号，一个质数。 h：余因数（cofactor），控制选取点的密度。h = #E(Fp) / n。

这里以secp256k1曲线(比特币签名所使用的曲线)为例介绍一下公私钥对的产生的过成。
secp256k1的参数为：

本质上ECDSA的私钥就是一个随机数满足在曲线G的n阶里及k∈(0,n),根据Q=kG可以计算出公钥，生成的私钥一般为32字节大小，公钥通常为64个字节大小。如：

ECDSA签名算法的输入是数据的哈希值，而不是数据的本身，我们假设用户的密钥对:（d, Q）；(d为私钥，Q为公钥) 待签名的信息：M； e = Hash(M);签名：Signature(e) = ( r, s)。

签名接口：

验证接口:

一个例子：

⑧ 比特币源码研读一:椭圆曲线在比特币密码中的加密原理

参加比特币源码研读班后首次写作，看到前辈black写的有关密钥，地址写的很好了，就选了他没有写的椭圆曲线，斗胆写这一篇。

在密码学上有两种加密方式，分别是对称密钥加密和非对称密钥加密。

对称加密：加密和解密使用的同样的密钥。

非对称加密：加密和解密是使用的不同的密钥。

二战中图灵破解德军的恩尼格码应该就是用的对称加密，因为他的加密和解密是同一个密钥。比特币的加密是非对称加密，而且用的是破解难度较大的椭圆曲线加密，简称ECC。

非对称加密的通用原理就是用一个难以解决的数学难题做到加密效果，比如RSA加密算法。RSA加密算法是用求解一个极大整数的因数的难题做到加密效果的。就是说两个极大数相乘，得到乘积很容易，但是反过来算数一个极大整数是由哪两个数乘积算出来的就非常困难。

下面简要介绍一下椭圆曲线加密算法ECC。

首先椭圆曲线的通式是这个样子的：

一般简化为这个样子：

()发公式必须吐槽一下，太麻烦了。)

其中

这样做就排除了带有奇点的椭圆曲线，可以理解为所有的点都有一条切线。

图像有几种，下面列举几个：[1]

椭圆曲线其实跟椭圆关系不大，也不像圆锥曲线那样，是有圆锥的物理模型为基础的。在计算椭圆曲线的周长时，需要用到椭圆积分，而椭圆曲线的简化通式：

，周长公式在变换后有一项是这样的：，平方之后两者基本一样。

我们大体了解了椭圆曲线，就会有一个疑问，这个东西怎么加密的呢？也就是说椭圆曲线是基于怎样的数学难题呢？在此之前还得了解一些最少必要知识：椭圆曲线加法，离散型椭圆曲线。

椭圆曲线加法

数学家门从普通的代数运算中，抽象出了加群（也叫阿贝尔群或交换群），使得在加群中，实数的算法和椭圆曲线的算法得到统一。

数学中的“群”是一个由我们定义了一种二元运算的集合，二元运算我们称之为“加法”，并用符号“+”来表示。为了让一个集合G成为群，必须定义加法运算并使之具有以下四个特性：

1. 封闭性：如果a和b是集合G中的元素，那么（a + b)也是集合G中的元素。

2. 结合律：(a + b) + c = a + (b + c);

3. 存在单位元0，使得a + 0 = 0 + a =a;

4. 每个元素都有逆元，即：对于任意a，存在b，使得a + b = 0.

如果我们增加第5个条件：

5. 交换律： a + b = b + a

那么，称这个群为阿贝尔群。[1]

运算法则：任意取椭圆曲线上两点P、Q （若P、Q两点重合，则做P点的切线）做直线交于椭圆曲线的另一点R’，过R’做y轴的平行线交于R。我们规定P+Q=R。（如图）[2]

特别的，当P和Q重合时，P+Q=P+P=2P，对于共线的三点，P，Q，R’有P+Q+R’=0∞.

这里的0∞不是实数意义的0，而是指的无穷远点(这里的无穷远点就不细说了，你可以理解为这个点非常遥远，遥远到两条平行线都在这一点相交了。具体介绍可以看参考文献[2])。

注意这里的R与R’之间的区别，P+Q=R，R并没有与P，Q共线，是R’与P，Q共线，不要搞错了。

法则详解：

这里的+不是实数中普通的加法，而是从普通加法中抽象出来的加法，他具备普通加法的一些性质，但具体的运算法则显然与普通加法不同。

根据这个法则，可以知道椭圆曲线无穷远点O∞与椭圆曲线上一点P的连线交于P’，过P’作y轴的平行线交于P，所以有无穷远点 O∞+ P = P 。这样，无穷远点 O∞的作用与普通加法中零的作用相当（0+2=2），我们把无穷远点 O∞ 称为零元。同时我们把P’称为P的负元（简称，负P；记作，-P）。（参见下图）

离散型椭圆曲线

上面给出的很好看的椭圆曲线是在实数域上的连续曲线，这个是不能用来加密的，原因我没有细究，但一定是连续曲线上的运算太简单。真正用于加密的椭圆曲线是离散型的。要想有一个离散型的椭圆曲线，先得有一个有限域。

域：在抽象代数中，域（Field）之一种可进行加、减、乘、除运算的代数结构。它是从普通实数的运算中抽像出来的。这一点与阿贝尔群很类似。只不过多了乘法，和与乘法相关的分配率。

域有如下性质[3]：

1.在加法和乘法上封闭，即域里的两个数相加或相乘的结果也在这个域中。

2.加法和乘法符合结合律，交换率，分配率。

3.存在加法单位，也可以叫做零元。即存在元素0，对于有限域内所有的元素a，有a+0=a。

4.存在乘法单位，也可以叫做单位元。即存在元素1，对于有限域内所有的元素a，有1*a=a。

5.存在加法逆元，即对于有限域中所有的元素a，都存在a+(-a)=0.

6.存在乘法逆元，即对于有限域中所有的元素a，都存在a*=0.

在掌握了这些知识后，我们将椭圆曲线离散化。我们给出一个有限域Fp，这个域只有有限个元素。Fp中只有p(p为素数)个元素0,1,2 …… p-2,p-1；

Fp 的加法（a+b）法则是 a+b≡c (mod p)；它的意思是同余，即（a+b）÷p的余数与c÷p的余数相同。

Fp 的乘法(a×b)法则是 a×b≡c (mod p)；

Fp 的除法(a÷b)法则是 a/b≡c (mod p)；即 a×b∧-1≡c (mod p)；（也是一个0到p-1之间的整数，但满足b×b∧-1≡1 (mod p)；

Fp 的单位元是1，零元是 0（这里的0就不是无穷远点了，而是真正的实数0）。

下面我们就试着把

这条曲线定义在Fp上：

选择两个满足下列条件的小于p(p为素数)的非负整数a、b，且a，b满足

则满足下列方程的所有点(x,y)，再加上无穷远点O∞ ，构成一条椭圆曲线。

其中 x,y属于0到p-1间的整数，并将这条椭圆曲线记为Ep(a,b)。

图是我手画的，大家凑合看哈。不得不说，p取7时，别看只有10个点，但计算量还是很大的。

Fp上的椭圆曲线同样有加法，法则如下：

        1. 无穷远点 O∞是零元，有O∞+ O∞= O∞，O∞+P=P

        2. P(x,y)的负元是 (x,-y)，有P+(-P)= O∞

3. P(x1,y1),Q(x2,y2)的和R(x3,y3) 有如下关系：

x3≡-x1-x2(mod p)

y3≡k(x1-x3)-y1(mod p)

其中若P=Q 则 k=(3+a)/2y1 若P≠Q，则k=(y2-y1)/(x2-x1)

通过这些法则，就可以进行离散型椭圆曲线的计算。

例：根据我画的图，（1，1）中的点P（2，4），求2P。

解：把点带入公式k=(3*x∧2+a)/2y1

有（3*2∧2+1）/2*4=6（mod 7）.

(注意，有些小伙伴可能算出13/8,这是不对的，这里是模数算数，就像钟表一样，过了12点又回到1点，所以在模为7的世界里，13=6，8=1).

x=6*6-2-2=4（mod 7）

y=6*（2-4）-4=2 （mod 7）

所以2P的坐标为（2，4）

那椭圆曲线上有什么难题呢？在模数足够大的情况下，上面这个计算过程的逆运算就足够难。

给出如下等式：

K=kG （其中 K,G为Ep(a,b)上的点，k为小于n（n是点G的阶）的整数）不难发现，给定k和G，根据加法法则，计算K很容易；但给定K和G，求k就相对困难了。

这就是椭圆曲线加密算法采用的难题。我们把点G称为基点（base point），k称为私钥，K称为公钥。

现在我们描述一个利用椭圆曲线进行加密通信的过程[2]：

1、用户A选定一条椭圆曲线Ep(a,b)，并取椭圆曲线上一点，作为基点G。

2、用户A选择一个私钥k，并生成公钥K=kG。

3、用户A将Ep(a,b)和点K，G传给用户B。

4、用户B接到信息后 ，将待传输的明文编码到Ep(a,b)上一点M（编码方法很多，这里不作讨论），并产生一个随机整数r（r<n）。

5、用户B计算点C1=M+rK；C2=rG。

6、用户B将C1、C2传给用户A。

7、用户A接到信息后，计算C1-kC2，结果就是点M。因为

C1-kC2=M+rK-k(rG)=M+rK-r(kG)=M

再对点M进行解码就可以得到明文。

整个过程如下图所示：

密码学中，描述一条Fp上的椭圆曲线，常用到六个参量：

T=(p,a,b,G,n,h)，p 、a 、b 用来确定一条椭圆曲线，G为基点，n为点G的阶，h 是椭圆曲线上所有点的个数m与n相除的整数部分

这几个参量取值的选择，直接影响了加密的安全性。参量值一般要求满足以下几个条件：

1、p 当然越大越安全，但越大，计算速度会变慢，200位左右可以满足一般安全要求；

2、p≠n×h；

3、pt≠1 (mod n)，1≤t<20；

4、4a3+27b2≠0 (mod p)；

5、n 为素数；

6、h≤4。

200位位的一个数字，那得多大？而且还是素数，所以这种方式是非常安全的。而且再一次交易中，区块被记录下来只有10分钟的时间，也就是说要想解决这个难题必须在10分钟以内。即便有技术能够在10分钟以内破解了现在这个难度的加密算法，比特币社区还可以予以反制，提高破解难度。所以比特币交易很安全，除非自己丢掉密钥，否则不存在被破解可能。

第一次写一个完全陌生的数学领域的知识，也许我有错误的地方，也许有没讲明白的地方，留言讨论吧。总之写完后对比特比系统的安全性表示很放心。

参考文献

[1] 椭圆曲线密码学简介

[2] 什么是椭圆曲线加密（ECC）

[3] 域（数学）维基网络

区块链研习社源码研读班 高若翔