CN107248916A

CN107248916A - 一种椭圆曲线标量乘方法

Info

Publication number: CN107248916A
Application number: CN201710298620.1A
Authority: CN
Inventors: 邬可可
Original assignee: Shenzhen Institute of Information Technology
Current assignee: Shenzhen Institute of Information Technology
Priority date: 2017-04-27
Filing date: 2017-04-27
Publication date: 2017-10-13

Abstract

本发明提出了一种椭圆曲线标量乘方法，该方法包括如下步骤：步骤一，划分标量d为两个等长的子比特串d＝(B₂||B₁)；步骤二，基于命题逻辑操作从两个等长子比特串中抽取共同子比特串B_com，从而拆分标量为三个部分B_com，B_{XOR_1}和B_{XOR_2}，且步骤三，划分标量乘dP为3个子标量乘为B_com·P，B_{XOR_1}·P，B_{XOR_2}·P，并分别计算结果；步骤四，整合计算步骤三中3个子标量乘的结果，得出标量乘dP。相比于经典的二进制标量乘方法的计算复杂度(k/2)·A+kD，该方法能减少(k/8)·A计算复杂度。

Description

一种椭圆曲线标量乘方法

技术领域

本发明涉及一种高效的椭圆曲线标量乘方法。

背景技术

1980年代中期，Miller和Koblitz分别独立地提出了椭圆曲线密码体制(ellipticcurve cryptosystems,ECC)。相对于其它的公钥密码体制，ECC只需较短的私钥就可以达到较高的安全级别。所以，近年来ECC受到广泛关注。短的私钥意味着更少的功耗、计算开销和存储空间，尤其适用于资源受限的便携式计算设备(例如智能卡)。所以，ECC的这种特性使得它们非常适用于资源受限的计算设备的密码服务。

在ECC中，标量乘是最主要且最耗时的操作。二进制方法是计算标量乘最常用的方法：给定一个标量d和一个椭圆曲线上的点P，标量乘dP的计算是由一系列取决于d的比特序列的点加(ADD)和点倍(DBL)来完成，也称它们为椭圆曲线操作，其中d是ECC的私钥。本发明提出了一种高效的标量乘方法，比二进制方法减少了(k/8)·A计算复杂度。

发明内容

本发明要解决的技术问题是提出一种高效的椭圆曲线密码标量乘方法，该方法划分标量比特串为两半，抽取共同的子比特串，节省了计算椭圆曲线点加操作的次数。本发明提供了一种椭圆曲线标量乘方法，包括以下步骤：

步骤一，划分标量d为两个等长的子比特串d＝(B₂||B₁)；“||”是比特串的并置符号；

步骤二，基于命题逻辑操作从两个等长子比特串中抽取共同子比特串B_com，从而拆分标量为三个部分：B_com、B_{XOR_1}和B_{XOR_2}，且B₁＝B_com+B_{XOR_1}，B₂＝B_com+B_{XOR_2}；B_{XOR_1}和B_{XOR_2}分别表示B₁和B₂分别与共同比特串B_com的“异或”位元运算结果；

步骤三，划分标量乘dP为3个子标量乘，为：B_{XOR_1}·P、B_{XOR_2}·P和B_com·P，并分别计算结果Q₁、Q₂和Q₃；

步骤四，整合计算步骤三中3个子标量乘的结果Q₁、Q₂和Q₃，得出标量乘dP。

作为本发明的进一步改进，所述步骤一中，其中k为标量d比特长度。

作为本发明的进一步改进，所述步骤二中，B_com＝B₁∧B₂，即B₁和B₂的“与”位元运算结果。例如，0010＝0110∧1010。

作为本发明的进一步改进，所述步骤二中，例如，

作为本发明的进一步改进，所述步骤三中，计算3个子标量乘为B_{XOR_1}·P、B_{XOR_2}·P和B_com·P，都是采用二进制方法，且标量扫描是从二进制低位到高位的顺序。

作为本发明的进一步改进，所述步骤四中，整合计算3个子标量乘的结果Q₁、Q₂和Q₃得到最终的标量乘dP的结果，是通过以下三个步骤来计算：(1)Q₁＝Q₁+Q₃；Q₂＝Q₂+Q₃；(2)k/2次循环执行点倍操作：Q₂＝2Q₂；(3)Q₁＝Q₂+Q₁；返回Q₁，Q₁即是最终标量乘dP的结果。

本发明的有益效果是：

根据该算法，计算dP所需的ADD和DBL的平均数量为：

(3k/8)·A+kD+3A≈(3k/8)·A+kD，比二进制方法大约减少(k/8)·A的计算复杂度。

附图说明

图1是本发明标量折半划分示意图；

图2是本发明拆分标量示意图；

图3是本发明的标量乘计算流程图。

具体实施方式

下面结合附图对本发明做进一步说明。

本发明的一种高效的椭圆曲线密码标量乘方法，包括以下步骤：

步骤一，折半划分标量d为标量d为二进制，其长度为k，且若k为奇数，则在最高位补上0；

步骤二，计算B_com，B_{XOR_1}，B_{XOR_2}；初始化椭圆曲线点，初始化三个椭圆曲线点为空值，Q₁＝Q₂＝Q₃＝null；

步骤三，k/2次循环执行以下操作：如果则Q₁＝Q₁+P；如果则Q₂＝Q₂+P；如果则Q₃＝Q₃+P；P＝2P；循环结束后，B_{XOR_1}·P、B_{XOR_2}·P和B_{1_AND_2}·P的值分别在Q₁，Q₂和Q₃中；

步骤四，计算Q₁＝Q₁+Q₃；Q₂＝Q₂+Q₃；Q₁＝Q₁+Q₃和Q₂＝Q₂+Q₃的结果分别是B₁P和B₂P；

步骤五，k/2次循环执行点倍操作：Q₂＝2Q₂；计算B₂P的k/2次点倍运算，得到2^k/2·(B₂·P)的结果；

步骤六，计算Q₁＝Q₂+Q₁；由最后一个语句Q₁＝Q₂+Q₁得到2^k/2·(B₂·P)+(B₁·P)的结果，即标量乘dP的最终结果；

步骤七，返回结果Q₁。

用一个简单的例子来阐明该标量折半划分方法。简单起见，假定标量d＝166＝(10100110)₂，长度k＝8。折半标量d，即：

d＝166＝(10100110)₂＝(1010||0110)₂＝(B₂||B₁)

这样，有：

有：

因此，标量乘dP可由下式计算：

根据上述算法，计算标量乘dP的过程如下：

(1)当e＝1时，(即：)，执行操作：P＝2P；

(2)当e＝2时，(即：)，执行操作：Q₃＝Q₃+P；P＝2P；(3)当e＝3时，(即：)，执行操作：Q₁＝Q₁+P；P＝2P；(4)当e＝4时，(即：)，执行操作：Q₂＝Q₂+P；P＝2P；

很明显，根据上述步骤三中的循环结束后，B_{XOR_1}·P,B_{XOR_2}·P和B_com·P的值分别在变量Q₁，Q₂和Q₃中。如下所示：

B₁P和B₂P的结果从两个语句Q₁＝Q₁+Q₃和Q₂＝Q₂+Q₃得到。如下所示：

根据上述等式，dP的结果可由上述步骤五中的循环以及最后一个操作Q₁＝Q₂+Q₁得到：

dP＝(B₂||B₁)·P

＝2⁴·B₂P+B₁P＝2⁴·10P+6P＝166P.

该案例的计算复杂度是3A+8D，若采用二进制方法，则计算复杂度是4A+8D，减少了一个点加操作。

以上内容是结合具体的优选实施方式对本发明所作的进一步详细说明，不能认定本发明的具体实施只局限于这些说明。对于本发明所属技术领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干简单推演或替换，都应当视为属于本发明的保护范围。

Claims

1.一种椭圆曲线标量乘方法，其特征在于，包括以下步骤：

步骤二，从两个等长子比特串中抽取共同子比特串B_com，从而拆分标量为三个部分：B_com、B_{XOR_1}和B_{XOR_2}，且B₁＝B_com+B_{XOR_1}，B₂＝B_com+B_{XOR_2}；B_{XOR_1}和B_{XOR_2}分别表示B₁和B₂分别与共同比特串B_com的“异或”位元运算结果；

2.根据权利要求1所述的一种椭圆曲线标量乘方法，其特征在于：所述步骤一中，其中k为标量d比特长度。

3.根据权利要求1所述的一种椭圆曲线标量乘方法，其特征在于：所述步骤二中，B_com＝B₁∧B₂，即B₁和B₂的“与”位元运算结果。

4.根据权利要求1所述的一种椭圆曲线标量乘方法，其特征在于：所述步骤二中，

5.根据权利要求1所述的一种椭圆曲线标量乘方法，其特征在于：所述步骤三中，计算3个子标量乘为B_{XOR_1}·P、B_{XOR_2}·P和B_com·P，都是采用二进制方法，且标量扫描是从二进制低位到高位的顺序。

6.根据权利要求1所述的一种椭圆曲线标量乘方法，其特征在于：所述步骤四中，整合计算3个子标量乘的结果Q₁、Q₂和Q₃得到最终的标量乘dP的结果，是通过以下三个步骤来计算：(1)Q₁＝Q₁+Q₃；Q₂＝Q₂+Q₃；(2)k/2次循环执行点倍操作：Q₂＝2Q₂；(3)Q₁＝Q₂+Q₁；返回Q₁，Q₁即是最终标量乘dP的结果。