ECDSA算法实现和安全性分析.pdfVIP

第 1卷 第 2期 信 息 与 电 子 工 程 Vo1．1，No．2 2003年6月 FoRM IoNANDEUeCTRoNICENG EERING Jun．，2003 文章编号：1672．2892(2003)02．0007-06 ECDSA算法实现及其安全性分析 张 伟 (中国工程物理研究院 电子工程研究所 ，四川 绵阳621900) 摘 要：阐述了ANSIX9．62椭圆曲线数字签名算法 (ECDSA)基本原理；对其安全性进行 了初步探讨；并根据该原理对ECDSA进行了程序实现；通过对该程序的运行分析与测试表明， 该程序实现了ECDSA的基本功能，且具有系统参数小、处理速度快、密钥尺寸小等优点。 关键词：椭圆曲线密码学；ECDSA；算法实现 ；安全性 中图分类号：TP393．08 文献标示码：A 1 前言 椭圆曲线密码系统O~cc)于 1985年 由NealKoblitzMT和 VictorMillerMT发明，可看作是传统离散对数(DL)密 码系统的椭圆曲线对等表示。传统系统中的z 子群被有限域上的椭圆曲线点群所代替。椭圆曲线密码系统安 全性的数学基础是椭圆曲线离散对数问题(ECDLP)的计算复杂性。 由于 ECDLP比DLP困难得多，椭圆曲线系统中每个密钥位的强度在本质上要比传统的离散对数系统大 得多 。因而除了具有相同等级的安全性外，ECC系统所用的参数比DL系统所用的参数少。该系统的优点是 参数少、速度快以及密钥和证书都较小。这些优点在处理能力、存储空间、带宽和能源受限的环境中尤其重要。 本文阐述了AN SIX9．62ECDSA算法及其软件实现，并对其安全性进行了初步探讨。 2 椭圆曲线数字签名算法基本原理简介 2．1 数字签名方案 数字签名方案用于提供手写体签名(或其它签名)的数字副本。数字签名是只有签名者才知道的一些秘密数 字(签名者的私钥，该数字用来对消息内容进行签名)。签名必须是可以验证盼一 如果出现诸如某个成员是否 签署某个文档的争执，则没有偏见的第三方不需要访问签名者的私钥就能公正地解决该问题 】。 数字签名方案可用于提供如下基本密码学服务：消息完整性(确保消息不被以非授权或未知方式改变)，消 息源可信(确保消息源和声明相同)以及抗抵赖性(确保成员不能否认先前的行为和委托)。AN SIX9．62(ECDSA) 表达为：当运用适当的控制时，该标准的技术提供消息源、消息内容的完整性，消息初始可信性和抗抵赖性 J。 2．2 有限域 有限域由在 F上具有二元操作的F元素的有限集组成，二元操作指满足某一算法特性的加法和乘法。有 限域的阶是域中元素的数量。当且仅当q为素数次方时存在q阶有限域。如果 q为素数次方，则本质上只有一 个 q阶有限域 ；这个域记为 。有很多方法描述 中的元素。 如果(g )，这里P为素数，m为正整数，则P称为 的特征值，m称为 的扩展阶。大部分标准指定 将椭圆曲线密码学技术限定在奇素数阶(q )或2的幂(q=2)之内。 P为一奇素数时，称为素数域的有限域 ，由具有相应算法操作特性的整数集10，1，2，…，P．1)组成。 有限域F1称为特征双有限域和二元有限域，可以看作是由0和 1组成的有限域 上的m维向量空间。 也就是F2中存在m个元素0【，0【．．，0【_l，满足每个 F2能用以下的形式唯一写出：0：【a。0。【+a．0．【+．_．+a一．0m【_．， 收稿 日期：2003．O1．09； 修回日期 ：2003—05—30 基金项 目：国防科技预研基金资助项 目(421050504—2) 作者简介：张 伟{1972一 )，男，助研，工学硕士，主要从事机械工程CADC／AE应用与网络信息安全技术研究。 第2期 张 伟：ECDSA算法实现及其安全性分析 9 3．2 生成ECDSA密钥对 ECDSA密钥对与EC域参数的特定集相关联。公钥是基点的随机倍数；而私钥则是用来生成这个倍数的 整数 。 为了生成 ECDSA密钥对，每个成员A都要做如下操作(见图3)：