同步标量乘法算法.pdfVIP

CN 101366232 B 说 明 书 1/6 页 同步标量乘法算法 技术领域 [0001] 本发明涉及密码学领域，且特别应用于椭圆曲线加密和及其标量乘法算法。背景 技术 [0002] 在椭圆曲线算法中，点乘涉及一种一条椭圆曲线上的一点乘以一个整数的操作。 众所周知，点乘占用椭圆曲线加密方案的大部分执行时间。 [0003] 一种执行点乘以计算kP 值的方法为蒙哥马利 (Montgomery) 算法，其中k 为整数 且P 为一条椭圆曲线E 上的点。在蒙哥马利算法的一种实施方法中，该整数k 表示一系列 的二进制的位。蒙哥马利标量乘法利用以(mP，(m+1)P) 开始的序列和k 的位来计算kP。该 系数m 为一任意整数，表示前一对的第一项中P 的系数。在该序列中，每一对通过将前一对 的一个分量加倍并加和两个分量而得到，其中这些操作的顺序取决于k 的位的数值。该序 列由一对起始对开始，并除了最高有效位之外针对k 的每一位计算一个新的对。对所有的 对而言，第二分量与第一分量相差P。这允许点加倍和点加和中利用更有效的规则。 [0004] 在实践中，该序列以(P，2P) 开始，这里P 为第一项，2P 为第二项，因此m ＝1。该 整数k 的最高有效位被丢弃，且从k 的第二最高有效位至最低有效位，下一对按如下方式进 行计算。 [0005] 对每一步而言，如果当k 的前位为零 (0) (例如，对第二步而言，如果k 的第二最高 有效位为零)，当前第一项为之前的第一项的两倍，且当前的第二项为之前的第一和第二项 的和。然而，如果k 的当前位为1，当前的第一项为之前的第一和第二项的和，且当前第二项 为之前的第二项的两倍。 [0006] 例如，以(mP，(m+1)P) 开始，如果k 的当前位为0，则在下一步中当前对为 (2*mP， mP+ (m+1)P) ＝(2mP，(2m+1)P)。或者，如果当前k 位为1，则当前对为 (mP+ (m+1)P，2* (m+1) P) ＝((2m+1)P，(2m+2)P)。由此可知，每一步包括一个加倍运算和一个加和运算。该序列 持续为每一当前位计算一个对，直到k 的最后一位，且此时当前对的第一项 (例如，计算得 到的最后一对的第一项) 包含kP 的期望值。 [0007] 图1 所示为蒙哥马利算法的一个示例。在图1 所示的示例中，k ＝45 ＝101101 。 2 该序列以(P，2P) 开始，且从i ＝5 至i ＝0，针对k 的当前位运算得到一个新的对。 [0008] 为说明上述使用的一般方法，请参照i ＝3 步，这里k 的当前位为1，且前一对为 (2P，3P) (即，从i ＝4 步)。由于当前位为1，当前的第一项按照2P+3P ＝5P 计算得到，如 图1 的图表中i ＝3 步所示。当前第二项由2*3P ＝6P 计算得到，这在图表中也有示出。另 一种计算项的方式是基于m 值，在这步中等于2(即，在i ＝4 步中的P 的系数等于2)。因 此，当前第一项按照 (2*2+1)P ＝5P 来计算得到，且当前的第二项按照 (2*2+2)P ＝6P 计算 得到。在i ＝0 步，由于k ＝45，如预期所料，45P 的值对应于期望的kP 值。 [0009] 在某些椭圆曲线加密操作中，比如椭圆曲线数字签名算法 (EllipticCurve Digital Signature Algorithm，ECDSA) 验证，计算标量乘法的组合以得到kP+sQ，这里Q 是 该椭圆曲线E 上的另一点，且s 是另一标量。可以使用蒙哥马利算法来获得kP+sQ，然而，每 一标量乘法需要分别完成，且两个结果值 (即kP 和sQ)将随后加和以获得同步乘法kP+sQ。 6 6 CN 101366232 B 说 明 书 2/6 页 因此，为获得kP+sQ，针对k 和s 的每一位都需要进行加倍运算和加和运算。 [0010] 由于标量乘法占用椭圆曲线加密方案的大部分执行时间，上述蒙哥马利算法的在 验证步骤中的使