第六讲 Elgaml和ECC及密钥管理.pptVIP

计算机学院 孟博 mengscuec@ ElGamal ECC Key Management x x3+x+6 mod 11 是否模11平方剩余 y 0 6 No 1 8 No 2 5 Yes 4,7 3 3 Yes 5,6 4 8 No 5 4 Yes 2,9 6 8 No 7 4 Yes 2,9 8 9 Yes 3,8 9 7 No 10 4 Yes 2,9 例1. 以E23(1,1)为例，设P=(3,10)，Q=(9,7)，则 所以P+Q=（17,20），仍为E23(1,1)中的点。 E23(1,1) E23(1,1) 若求2P则 所以2P=(7,12)。 例2：取p=11，椭圆曲线y2=x3 +x+6 。由于p较小，使GF(p)也较小，故可以利用穷举的方法根据y2=x3 +x+6 mod 11求出所有解点。 G ＝（2，7）， 2G ＝（5，2）， 3G ＝（8，3）， 4G ＝（10，2）， 5G ＝（3，6）， 6G ＝（7，9）， 7G ＝（7，2）， 8G ＝（3，5）， 9G ＝（10，9），10G ＝（8，8）， 11G ＝（5，9）， 12G ＝（2，4）。 从例子可以看出，加法运算在E23(1,1)中是封闭的，且能验证还满 足交换律。对一般的Ep(a,b)，可证其上的加法运算是封闭的、满 足交换律，同样还能证明其上的加法逆元运算也是封闭的，所以 Ep(a,b)是一个加法交换群。 除了GF(p)上的椭圆曲线外,还有定义在GF(2m)上的椭圆曲线。这两 种椭圆曲线都可以构成安全的椭圆曲线密码。 为使用椭圆曲线构造密码体制，需要找出椭圆曲线上的数学困 难问题。 ① 椭圆曲线群上的离散对数问题 在例2中椭圆曲线上的解点所构成的交换群恰好是循环群，但是一 般并不一定。于是我们希望从中找出一个循环子群E1 。可以证明 当循环子群E1 的阶∣E1∣是足够大的素数时，这个循环子群中的 离散对数问题是困难的。 椭圆曲线密码 设P和Q是椭圆曲线上的两个解点，t 为一正整数，且0≤t∣E1∣。对于给定的P和t，计算tP＝Q是容易的。但若已知P和Q点，要计算出t则是极困难的。这便是椭圆曲线群上的离散对数问题，简记为ECDLP(Elliptic Curve Discrete Logarithm Problem)。 除了几类特殊的椭圆曲线外，对于一般ECDLP目前尚没有找到有效的求解方法。于是可以在这个循环子群E1中建立任何基于离散对数困难性的密码，并称这个密码为椭圆曲线密码。 ②椭圆曲线密码 T=p,a,b,G,n,h p,a,b,G,n是公开的参数； p为大于3素数，p确定了有限域GF（p）； 元素a,b∈GF(p),a和b确定了椭圆曲线； G为循环子群E1的生成元点，n为素数且为生成元G的阶，G和n确定了循环子群E1； h=|E|/n，并称为余因子，h将交换群E和循环子群联系起来。 ②椭圆曲线密码 密钥： 用户的私钥定义为一个随机数d， d∈{0,1,2,···,n-1}。 用户的公开钥定义为Q点， Q=dG 。 设d为用户私钥，Q为公钥，将Q存入PKDB。 设要加密的明文数据为M，将M划分为一些较小的