椭圆曲线密码(ECC)加解密算法的实现

毕业论文

论文题目椭圆曲线密码（ECC）加解密算法的实现学生姓名

学号

院别数学与信息科学学院

专业信息与计算科学

班级

指导教师

完成时间2011 年04 月

椭圆曲线密码（ECC ）加解密算法的实现

摘 要 本文首先介绍椭圆曲线密码体制(ECC)；并简明地给出了椭圆曲线的定义；接

着以ElGamal 公钥体制的ECC 加解密的实现为例具体说明了其实现流程；最后分析了实

现结果，安全性能和概述了ECC 的发展现状，并对其未来的发展作了展望.

关键词 椭圆曲线密码；公钥密码，数字签名

1引言

随着政府部门和行业对网络环境和网络资源依赖程度的增强,涉及国家安全和社会公共安全的所有重大问题都在网络上表现出来. 为了确保信息的保密性，完整性，可用性，可控性，避免国家或个人的信息受到非法获取，破坏，篡改等形式的威胁，人们便提出了用密码技术来保障以电子形式保存或传送的数据. 1985年，N. Koblitz 和V . Miller 分别独立提出了椭圆曲线密码体制 (ECC)，这是一种高安全性，高效率的公钥密码体系，它在密钥强度，加解密的处理速度和存储开销上都有着明显的优势. 采用椭圆曲线密码技术使密钥协商协议可充分利用椭圆曲线密码的优势，在更小密钥量下提供了更大的安全性，所需带宽明显减少，而且还大大降低了用户端的计算负担和存储要求.

2椭圆曲线密码体制

2.1密码体制的含义

密码体制分为对称密码体制和非对称密码体制．非对称密码体制是指在加密过程中，密钥被分为一对．这对密钥中的任何一个密钥都可以作为公开密钥通过非保密方式向他人公开, 而另一把作为私有密钥加以保存. 这对密钥具有这样一个特点: 当知道密钥对中的一个密钥时, 要检测出另一个密钥, 在计算上是不可能的. 公开密钥用来对信息进行加密, 则私有密钥用来对信息进行解密, 反之亦然. 在这个系统中, 每个通信实体都有一个加密密钥和一个紧密相关的解密密钥．通信的双方只要知道对方的公钥，就可以进行安全的通信．

2.2 椭圆曲线密码体制

椭圆曲线密码体制，即基于椭圆曲线离散对数问题的各种公钥密码体制. 最早由Miller 和Koblitz [1] 于1985年分别独立地提出. 它是利用有限域上椭圆曲线的有限点群代替基于离散对数问题密码体制中的有限循环群所得到的一类密码体制. 对于椭圆曲线密码系统（ECC ）的安全性，其数学基础是计算椭圆曲线离散对数问题（ECDLP ）的难解性[2] . 一般来说，ECC 没有亚指数攻击，所以它的密钥长度大大地减少，256bit 的ECC 密码体制成为目前已知公钥密码体制中每位提供加密强度最高的一种体制.

3.椭圆曲线的定义

所谓椭圆曲线指的是由韦尔斯特拉斯 (Weierstrass)方程:

23213246y a xy a y x a x a x a ++=+++

所确定的平面曲线[1]．

若F 是一个域, ,1,2,,6i a F i ∈=?满足方程的数偶(,)x y 称为域F 上的椭圆曲线 E 的点. F 域可以是有理数域, 也可以是复数域, 还可以是有限域()GF p . 椭圆曲线通常用 E 表示.

4.ECC 算法的设计思想

设23213246y a xy a y x a x a x a ++=+++, 称

23213246(()))(,,F x y z y a xy a y x a x a x a ++-+++=

为Weierstrass 多项式. 当在任意点P 成立, 则椭圆曲线称为光滑的或非奇异的. 若E 是定义在有限域F q 上的椭圆曲线且其m q =p (p 为素数), 这样的p 称为有限域F q 的特征值. E 中恰好有一个Z 坐标为0的点(0, 1, 0), 我们称它为椭圆曲线的无穷远点, 用O 表示. 椭圆曲线上有理点的个数称为该椭圆曲线的阶, 若亦|()|q E F 表示椭圆曲线的阶, 则由|()| 1q E F q t =+-(其中2t ≤), 即Hasse 定理. 如果椭圆曲线E 定义在域F q 上, 其特征值不等于2和3, 则E 的Weierstrass 等式可以简化, 做变换, 进而Weierstrass 等式变换为23Y X aX b =++, 其中q a,b F ∈, 判别式324270a b ?=+≠, 此式为椭圆曲线的一

般形式. 若令/,x X Z = /y Y Z =, 则等式变为33213246 y a xy a y x a x a x a ++=+++.

根据椭圆曲线进行加密通信的过程：

1) 用户A 选定一条椭圆曲线(,)p E a b ，并取椭圆曲线上一点, 作为基点G .

2) 用户A 选择一个私有密钥k , 并生成公开密钥G K =k .

3) 用户A 将(,)p E a b 和点K , G 传给用户B .

4) 用户B 接到信息后, 将待传输的明文编码到(,)p E a b 上一点M （编码方法很多，这

里不作讨论），并产生一个随机整数r ( r < n ).

5) 用户B 计算点12;C M rK C rG =+=.

6) 用户B 将C 1、C 2传给用户A .

7) 用户A 接到信息后，计算12C kC -, 结果就是点M , 即明文.

因为12()(),G C kC M rK k rG M rK r k M -=+-=+-= 再对点M 进行解码就可以得到明文. 密码学中，描述一条q F 上的椭圆曲线，常用到六个参量：

(,,,,,)T p a b G n h =,

其中p、a、b 用来确定一条椭圆曲线，G为基点，n为点G的阶，h是椭圆曲线上所有点的个数m与n相除的整数部分[3].

5. 椭圆曲线参数的选取和基点的确定

5.1 选取参数和确定基点的理论分析

在基于椭圆曲线的加解密和数字签名的实现方案中，首先要给出椭圆曲线域的参数来确定一条椭圆曲线. 但并不是所有的椭圆曲线都适合加密，23

=++是一类

y x ax b

可以用来加密的椭圆曲线，也是最为简单的一类. 下面我们就选用23

=++作为

y x ax b

我们的加密曲线. 这条曲线定义在F q上: 两个满足下列条件的小于p (p为素数) 的非负整数a、b: 32

+≠则满足下列方程的所有点(,)

4270(mod)

a b p

x y，再加上无穷远点∞，构成一条椭圆曲线. 23(mod)

=++其中x, y属于0到p - 1间的整数，并将

y x ax b p

这条椭圆曲线记为(,)

E a b.

p

参数p的选取：p当然越大越安全，但越大，计算速度会变慢，200位左右可以满足一般安全要求，我们将p取为200比特位的素数.

参数a、b的选取: 先随机产生小于p - 1的正整数作为参数a, 然后依据条件32

+≠，判断随机产生的小于p - 1的正整数是否适合作为参数b. 4270(mod)

a b p

基点的确定：随着参数a, b, p确定，这条曲线23

=++就定下来了. 先随机

y x ax b

产生0到p - 1间的整数作为基点x坐标，计算3x ax b

++的结果再开方就得出基点y坐标.

5.2 选取参数和确定基点的具体程序实现

具体程序实现如下：

……

{

//32

+≠

a b p

4270 (mod)

GetPrime(b,40); //先随机产生一个参数B

mp_expt_d(a, 3, &temp1);

mp_sqr(b, &temp2);

mp_mul_d(&temp1, 4, &temp3);

mp_mul_d(&temp2, 27, &temp4);

mp_add(&temp3, &temp4, &temp5);

mp_mod(&temp5,p,&temp);

if(mp_cmp(&temp, &compare)!=0 )

{

break; //满足条件跳出循环}

}

// 23

=++, 随机产生X坐标,根据X坐标计算Y坐标

y x ax b

GetPrime(x1,30); // 随机产生30比特长的X坐标

mp_expt_d(x1, 3, &temp6);

mp_mul(a, x1, &temp7);

mp_add(&temp6, &temp7, &temp8);

mp_add(&temp8, b, &tempx);

mp_sqrt(&tempx, y1); // 得到Y坐标

……

私钥的确定：随机选取1到P - 1之间的素数作为私钥d.

公钥的确定：由d 乘我们所确定的基点得到公钥K，即

K = d.

G

6. 椭圆曲线密码的算法

6.1 椭圆曲线密码算法的特点

6.1.1 离散性

密码算法需要的是离散值的定点运算，而不是连续值的浮点运算，在密码算法中不允许舍入.

6.1.2 大数运算

密码算法往往是大数运算，椭圆曲线密码体制要求160位的大数运算，但现有微机的CPU最多只支持64位的运算.

1)要求大容量的数据存储.

密码运算通常都要利用大容量的数据表，即用空间来换取时间上的加速. 这就要求运算部件具有大容量的存储.

2)包含大量的并行性.

6.2 椭圆曲线密码体制中的有关计算

6.2.1 椭圆曲线密码体制中的运算类型

作为公开密钥算法的一种，椭圆曲线密码体制要用到点乘、点加、模乘、模加、模逆、模幂这些基本运算，它们的执行速度直接决定着椭圆曲线的加密速度. 为了提高它们的速度，可从以下两方面考虑：

(1) 采用高速的算法.

(2) 实现算法的并行性(以便在硬件设计中利用多处理器进行并行运算):

1) 大数乘、大数取模属于整数域上的运算;

2) 模加、模乘、模逆、模幂属于有限域上的运算;

3) 点加和点乘属于椭圆曲线的点加群上的运算［４］.

6.2.2 简述椭圆曲线的点加和纯量乘法

由于本人能力有限，短时间内很难做出一些深层次的研究和探讨，因此只能在这里做一点表面文章. 所以本文在这一部分就结合前面对有关大数计算算法进行的阐述，做一些力所能及的事情. 对于一般的椭圆曲线方程

23213246y a xy a y x a x a x a ++=+++,

设点11(,)P x y , 22(,)Q x y 和33(,)R x y 的坐标. 33(,)R x y 的计算公式如下:

231212x k ka a x x =++++,

3141143()y k x x y a x a =----,

其中1212()/()k y y x x =--.

当P ≠ Q 时，224113(32)/(2)k x a x a a y y a x a =++-++.

当P = Q 时, 对于椭圆曲线方程23Y X aX b =++, 上述的公式变为:

2312x x x θ=--,

3131()y x x y θ=--,

其中1212()/() y y x x θ=-- 当P ≠ Q 时, 211(3)/2x a y θ-=.

当P=Q 时, 由上述运算公式, 可以得出点积mP 的运算, 即mP = P + P + … + P , 共m 个P 相加, 这里m ∈N.

6.3椭圆曲线的点积的具体程序算法

设m 的二进制表示为1210(,,...,,)n n m m m m m --=，其中11n m -=, Q = P , 从左到右依次计算:

for( i = n - 2 to 0)

{ Q = 2Q;

if(i m ==1) Q=Q+P ；

}

则Q=mP .

Return;

函数原形为：

bool Ecc_points_mul(mp_int*qx, mp_int*qy, mp_int*px, mp_int*py, mp_int*d, mp_int *a,mp_int *p)

成功返回true.

int Two_points_add(mp_int*x1, mp_int*y1, mp_int*x2, mp_int*y2, mp_int*x3, mp_int *y3, mp_int *a, bool zero, mp_int*p)

成功返回1.

7.加密文件的读入与输出

7.1椭圆曲线的加密体制

在Diffe-Hellman 公钥系统体制中,具体的椭圆曲线、曲线上点P 及P 的周期大素数N 都是公开信息.

A 和

B 要进行通讯,首先得到椭圆曲线E 、点P 及素数N . 然后用户A 将[1, N -1]中随机选取的整数a 作为私钥, A 将pub A K aP 作为自己的公钥传送给用户B , 与此同时B 将 [1, N -1]中随机选取的整数b 作为私钥, 并将pub B K =bP 作为自己的公钥传送给A .

A 、

B 各自将自己的私钥点乘于对方传过来的公钥得到AB K , 这样就完成了密钥的交换

过程．当用户A 需要将待传数据m 传送给用户B 时, A 利用m 和AB K 生成m E , 当用户B

得到m E 后, 利用密钥交换过程自己生成的AB K 和从用户A 处得到的加密数据m E 生成数据m .见下图[5]：

7.2加密文件的读入与输出的具体程序实现

mp_digit 只用28比特，因此一个单元最多可存放三个半字节. 为充分利用存取空间，采用一个单元放三个半字节.

7.2.1函数putin()的实现

函数putin()的实现的作用: 将明文的二进制比特串赋给mp_int 数a . 主要循环部分及说明如下：

// chlong 为要存入的字符数组长

for(j=0; j<<="(mp_digit)CHAR_BIT;" *temp 存入字符 255); 左移8位存入高8位并向左移8位，以便放入下一个字符 temp 跳过前一个单元，先存入后一单元 *++temp 每次跳七个字符 i + ="7"; 的两个单元中以7个字符为单元循环，把七个字符放入的mp_int 7; j++)

{(>> 4); //存放被切分的字符的高四位，temp 跳回前一个单元 //存入第一单元

*temp |= (mp_digit) (ch[i-4] & yy); //存放被切分的字符的低四位

yy=(mp_digit)15;

*temp <<= (mp_digit)CHAR_BIT; //向左移8位，以便放入下一个字符

*temp |= (mp_digit)(ch[i-5] & 255); //存入字符

*temp <<= (mp_digit)CHAR_BIT; //左移8位

*temp |= (mp_digit)(ch[i-6] & 255); //存入字符

*temp <<= (mp_digit)CHAR_BIT; //左移8位

*temp++ |= (mp_digit)(ch[i-7] & 255);

//存放被切分的字符的低四位，temp跳到后一个单元temp++; //再向后跳一单元，这样和下次的++temp实现每次循环跳两个单元}

函数原型为：int putin(mp_int*a, char*ch, int chlong)

成功返回0．

7.2.2函数chdraw( )的实现

函数chdraw()实现将mp_int数a中的比特串还原为字符串并赋给字符串ch：chdraw和putin是相反过程，将putin存入字符的过程反过来取出字符.

函数原型为：int chdraw(mp_int* a, char*ch)

成功返回0．

8.密文的存取和读入

此过程难点是如何保证存入文件后，再从文件中读取密文并存入mp_int型数后，和原存放密文的mp_int型数不能有一个比特位的改变.

存取时先存*mp->dp的最高8位，再依次往下存后面3个8位. 依据*mp->dp的特点，最高8位为0000xxxx，因此，可将255作为一个密文段的结束标志，把前一密文段和后一密文段区分开. 这样在密文文件中，密文的存取结构为：

0000xxxx|xxxxxxxx|xxxxxxxx|xxxxxxxx|0000xxxx|……|11111111|0000xxxx|xxxxxxxx|….. 0字节1字节2字节3字节4字节4x字节下一加密段x为1或0

利用fgetc每次读取一个字符，并赋值给一个字符数组. 当a[i]=255，且i%4=0时截止.

读出之后赋值就简单了.

存密文：int chmistore(mp_int*a, FILE*fp) 成功返回0

把密文赋给mp_int型数a: int miwendraw(mp_int*a, char*ch, int chlong) 成功返回0.

9. ECC 加密的实现

9.1 ECC 加密实现的理论依据

加密时因P 长度取值为200比特，所以所取明文长度应在0到199比特之间，另外需要一个附加的标志字节char(255)，所以一次取明文最大长为191比特. 在本程序中一次取20字节. 和RSA 不同，ECC 运算是基于点的运算. 一个点有两个参数，一个X 坐标，一个Y 坐标. 所以取明文时需一次取两段，前一段做X 坐标，后一段做Y 坐标. 因此，一次加密明文为40字节. 由于每次加密要取两段，引发了另外一个问题：当加密文件末尾所剩明文长度小于20字节时的处理. 在本程序中，我们的解决是将剩余明文取作X ，而将Y 取作0，且不加标志字节char(255)，这样解密时，程序在Y 中找不到标志字节char(255)，就不会往解密文中存任何东西.

取得明文后，产生一个随机整数r , 计算点1K C M r =+；2G C r =. 将点1C 、2C 坐标1c x , 1c y , 2c x , 2c y 依次存入密文文件[6].

9.2 ECC 加密的具体程序实现

for(i=0; i 0) // Residue 为剩余字符数

{

if (Residue <= enlongtemp )

{

fread(miwenx,1, Residue, fp); //读入字符串

miwenx[Residue]=char(255);

putin(&mx, miwenx,Residue+1); //文件存入

mp_zero(&my);

}

else

{

fread(miwenx,1,enlongtemp,fp); //读入字符串

miwenx[enlongtemp]=char(255);

fread(miweny,1,Residue-enlongtemp,fp); //读入字符串

miweny[Residue-enlongtemp]=char(255);

putin(&mx, miwenx,enlongtemp+1); //文件存入

putin(&my, miweny,Residue-enlongtemp+1); //文件存入

}

//加密

Ecc_points_mul(&c2x,&c2y,px,py,&r,a,p); //C2=rG

Ecc_points_mul(&tempx,&tempy,qx,qy,&r,a,p); // rK

Two_points_add(&mx,&my,&tempx,&tempy,&c1x,&c1y,a,zero,p);

// C1=M+rK

//保存密文

chmistore(&c1x,fq);

chmistore(&c1y,fq);

chmistore(&c2x,fq);

chmistore(&c2y,fq);

}

函数原型为：void Ecc_encipher(mp_int*qx, mp_int*qy, mp_int*px, mp_int*py, mp_int*a, mp_int*p);

10.ECC 解密的实现

10.1ECC 解密实现的理论依据

解密时，依据存密文时放入的结束标志255，读入密文. 依次取4段, 调用miwendraw 将密文存入mp_int 型数中，还原为加密时存入的点C 1和C 2坐标c 1x, c 1y, c 2x, c 2y . 依据12()()G G C dC M rK k r M rK r r M -=+-=+-=. 计算12C dC - (d 为私钥)，得

到明文点坐标x m ,y m . 其中两点减的计算可如下：

(,);();Q X Y P Q P Q Y P Y -=-=+--=--；

计算12C dC -完毕后调用chdraw 取出mp_int 中的明文比特串，依次存入解密文件

中，完成解密[6].

10.2 ECC 解密的具体程序实现

while(!feof(fp))

{

//取C1点X 坐标

i=0;

while(1)

{

stemp[i]=fgetc(fp);

if(i%4==0)

{

if(int(stemp[i]&0xFF) == 255 ) goto L1;

}

i++;

}

L1: miwendraw(&1c x , stemp, i); //取其他坐标

Ecc_points_mul(&tempx, &tempy, &2c x , &2c y , k, a, p); // 计算2dC

mp_neg(&tempy, &temp); // -Q=（X ，-Y ） Two_points_add(&1c x ,&1c y , &tempx, &temp, &x m , &y m , a, zero, p);

int chtem;

chtem=chdraw(&

m,stemp); //从ming中取出字符串

x

//保存解密结果for(int kk=0;kk < chtem;kk++)

{

fprintf(fq,"%c",stemp[kk]);

}

chtem=chdraw(&

m,stemp); //从ming中取出字符串

y

//保存解密结果for(kk=0; kk < chtem; kk++)

{

fprintf(fq, "%c", stemp[kk]);

}

}

函数原型为：void Ecc_decipher(mp_int*k, mp_int*a, mp_int*p);

11. 测试结果及分析

为验证系统的加密解密功能,对系统进行了如下测试:

测试环境

Intel p4; CPU 1.5G; 256M RAM; Windows XP DEV - C++

测试结果

利用系统对文本文件、BMP、WORD、EXCEL、EXE等文件进行加密，然后解密. 验证结果表明,给定的明文经系统加密后再解密的结果完全一致, 没有一个比特的偏差，较好的实现了ECC的功能.

12．结束语

目前，国际上公认的比较安全实用的公钥密码体制是1985年Koblitz和Miller 分别独立提出的建立在椭圆曲线上的离散对数难题基础上的椭圆曲线密码体制（ECC）. 经过长期的理论研究和科学实践，ECC得到了迅猛的发展. 现在椭圆曲线密码体制不仅是一个重要的理论研究领域，而且已经从理论研究转化为实际可用的密码算法，促使民用安全技术走向产业化. 当前，国内外很多生产密码产品的公司都在致力于ECC 产品的开发. 椭圆曲线加密算法ECC的安全性，是基于计算有限域上椭圆曲线点集所构成的可交换群上定义的离散对数的困难性. 该算法具有安全性能高，计算量小，处理速度快，存储空间占用小和带宽要求低等特点，已在强调速度的领域如PDA，手机，智能卡等方面得到应用.

参考文献：

[1] 杨超, 高海燕. 椭圆曲线密码体制理论与其安全性研究[J]电脑知识与技术, 2006,(17).

[2] 孙跃刚. 椭圆曲线密码体制中若干问题的研究[D]. 吉林大学2009.

[3] 于彬. 椭圆曲线密码算法的研究与实现[D]. 沈阳工业大学.

[4] 王庆先. 有限域运算和椭圆曲线数乘运算研究[D]. 电子科技大学2006.

[5] 李学俊. 基于椭圆曲线离散对数问题的公钥密码及其算法研究[D].

[6] 杨君辉, 戴宗铎, 杨栋毅, 刘宏伟. 关于椭圆曲线密码的实现[J]通信技术, 2001(06).

On the Realization of the Elliptic Curve Encryption Algorithm

Yan Meiting

Abstract: In this paper, we first introduce the elliptic curve encryption algorithm, then give the definition of the elliptic curve briefly. The ElGamal public encryption system is based on the elliptic curve theory, and we analyze the process and the security of this encryption system. At last we realize it in c++ and offer the source code.

Keywords: elliptic curve encryption algorithm; public-key password, digital signatures