基于智能卡的素数域椭圆曲线密码的快速实现

１引言随着智能卡在电子商务、身份认证等许多领域越来越广泛的应用，它不仅被用来实现数据加密传输，还用来实现数字签名、密钥交换等功能。

人们对其安全性能的要求越来越高，不仅要求它能实现对称密码算法，还要求它实现非对称密码算法（也称公钥密码算法）。

智能卡中常用的公钥算法有ＲＳＡ算法和椭圆曲线密码（ＥＣＣ，ＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｐｔｏｇｒａｐｈｙ）算法。

ＲＳＡ算法提出时间较早，应用非常广泛。

它的基础是大数因式分解的困难问题。

随着数学和计算机科学的发展，在ＲＳＡ密码系统中，人们不得不采用越来越长的密钥来保障系统安全。

现广泛使用的密钥长度为１０２４ｂｉｔ，很快会用到２０４８ｂｉｔ的密钥。

更长的密钥意味着需要更大的存储空间，更强的计算能力。

ＥＣＣ是由Ｋｏｂｌｉｔｚ和Ｍｉｌｌｅｒ在１９８５年分别提出的，其安全基础是有限域椭圆曲线阿贝尔（Ａｂｅｌ）点群上离散对数困难问题。

在相同安全等级下，使用椭圆曲线密码体制要求的密钥长度更短［１］。

例如密钥长度为１０２４ｂｉｔ的ＲＳＡ算法与密钥长度为１６０ｂｉｔ的ＥＣＣ算法的安全等级相同，密钥二进制长度比约为７∶１。

短密钥使得ＥＣＣ更适合在资源受限的环境下应用，例如智能卡、手机、ＰＤＡ等。

本文选择在智能卡平台上实现素数域ＥＣＣ快速算法，提出了一种在保证算法效率的条件下节约资源的ＥＣＣ实现方案。

文章组织如下：第２节论述选择素数域实现ＥＣＣ算法的理由；第３节分析椭圆曲线阿贝尔点群上的快速算法；第４节给出基域上算术运算的实现方法；第５节给出实验结论。

２基域的选择有限域Ｆ上的椭圆曲线方程可以表示为（１）式。

ｙ２＋ａ１ｘｙ＋ａ３ｙ＝ｘ３＋ａ２ｘ２＋ａ４ｘ＋ａ６（１）其中ａ１，ａ２，ａ３，ａ４，ａ６∈Ｆ。

方程在域Ｆ上的所有解加上一个无穷远点构成的集合称为有限域Ｆ上的椭圆曲线，记为Ｅ／Ｆ。

在该集合上定义适当的加法规则，使之构成阿贝尔群。

于是，在有限域椭圆曲线阿贝尔点群上，也有类似于有限域乘法群上的离散对数问题：设ｐ是Ｅ／Ｆ上的一个点，＃Ｅ／Ｆ表示集合中点的个数，也称为椭圆曲线的阶。

存在整数ｋ∈［１，＃Ｅ／Ｆ（ｑ）］，使Ｑ＝ｋＰ，则椭圆曲线离散对数问题就是由给定的Ｐ，Ｑ求出ｋ，这也是一个困难问题，是椭圆曲线密码的基础。

在ＥＣＣ系统的实现过程中，有限域Ｆ（基域）的选择很重要，选择不同的基域很大程度上决定了整个系统的效率。

目前常用的有限域有两类：二元扩域ＧＦ（２ｍ）和大素数域ＧＦ（ｑ）。

ＮＩＳＴ规范及其它相关国际规范都是基于这两种域。

其中前者的域算术运算非常适合用专门的ＥＣＣ硬件加速器实现，在实际中得到广泛应用。

后者的优势在于它的运算与ＲＳＡ算法非常类似（在后面的分析中可以明显看到）。

ＲＳＡ算法因为提出时间较长，应用非常广泛，在许多硬件平台上已有用于ＲＳＡ算法的算术协处理器和软件快速算法，这些都可以用来方便地实现素数域椭圆曲线密码算法，不基于智能卡的素数域椭圆曲线密码的快速实现刘淳１张凤元２张其善１１（北京航空航天大学电子工程学院，北京１０００８３）２（北京化工大学信息科学与技术学院，北京１０００２９）摘要椭圆曲线密码相比其它公钥密码，有密钥短的特点，尤其适合在智能卡等资源受限的条件下使用。

文章指出了在智能卡平台上选择素数域为基域实现椭圆曲线密码的原因。

并详细分析了椭圆曲线密码实现过程中的各个环节，包括标量乘法运算、点加／倍点运算和基域运算，指出了各个环节的优化措施。

最后给出了素数域椭圆曲线签名算法在智能卡上实现的实验数据，实验结果证明文中采用的实现方法是高效的。

关键词智能卡素数域椭圆曲线密码文章编号１００２－８３３１－（２００６）２７－０１３７－０３文献标识码Ａ中图分类号ＴＰ３０９ＴｈｅＨｉｇｈＥｆｆｉｃｉｅｎｃｙＩｍｐｌｅｍｅｎｔａｔｉｏｎｏｆＰｒｉｍｅＦｉｅｌｄＥＣＣｏｎＳｍａｒｔＣａｒｄＬＩＵＣｈｕｎ１ＺＨＡＮＧＦｅｎｇ－ｙｕａｎ２ＺＨＡＮＧＱｉ－ｓｈａｎ１１（ＣｏｌｌｅｇｅｏｆＥｌｅｃｔｒｏｎｉｃＥｎｇｉｎｅｅｒｉｎｇ，ＢｅｉｊｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＡｅｒｏｎａｕｔｉｃｓａｎｄＡｓｔｒｏｎａｕｔｉｃｓ，Ｂｅｉｊｉｎｇ１０００８３）２（ＣｏｌｌｅｇｅｏｆＩｎｆｏｒｍａｔｉｏｎＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，ＢｅｉｊｉｎｇＵｎｉｖｅｒｓｉｔｙｏｆＣｈｅｍｉｃａｌＴｅｃｈｎｏｌｏｇｙ，Ｂｅｉｊｉｎｇ１０００２９）Ａｂｓｔｒａｃｔ：Ｃｏｍｐａｒｅｄｗｉｔｈｏｔｈｅｒｐｕｂｌｉｃ－ｋｅｙｃｒｙｐｔｏｇｒａｐｈｉｅｓ，ＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｐｔｏｇｒａｐｈｙｈａｓｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｏｆｓｈｏｒｔｌｅｎｇｔｈｋｅｙ．Ｔｈｅｒｅｆｏｒｅｉｔｉｓｔｈｅｏｎｅｍｏｓｔｓｕｉｔａｂｌｅｆｏｒｃｏｎｓｔｒａｉｎｔｅｎｖｉｒｏｎｍｅｎｔｓ，ｓｕｃｈａｓｓｍａｒｔｃａｒｄ．ＴｈｉｓｐａｐｅｒｆｉｒｓｔｐｒｅｓｅｎｔｓｔｈｅｒｅａｓｏｎｓｗｈｙｃｈｏｏｓｅｐｒｉｍｅｆｉｅｌｄａｓｔｈｅｂａｓｅｆｉｅｌｄｉｎｔｈｅｉｍｐｌｅｍｅｎｔａｔｉｏｎｏｆＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｐｔｏｇｒａｐｈｙｏｎｓｍａｒｔｃａｒｄ．ＴｈｅｎｓｔｅｐｓｏｆｔｈｅＥＣＣｉｍｐｌｅｍｅｎｔａｔｉｏｎ，ｉｎｃｌｕｄｉｎｇｍｏｄｕｌａｒｍｕｌｔｉｐｌｉｃａｔｉｏｎａｎｄｐｏｉｎｔａｄｄｉｎｇ／ｄｏｕｂｌｉｎｇａｎｄｂａｓｅｆｉｅｌｄｏｐｅｒａｔｉｏｎｓ，ａｒｅａｎａｌｙｚｅｄｉｎｄｅｔａｉｌ．Ｔｈｅｏｐｔｉｍａｌｍｅｔｈｏｄｓｏｆｅａｃｈｓｔｅｐａｒｅｇｉｖｅｄ．ＦｉｎａｌｌｙｔｈｅｉｍｐｌｅｍｅｎｔａｔｉｏｎｅｘｐｅｒｉｍｅｎｔａｔｉｏｎｒｅｓｕｌｔｏｆｐｒｉｍｅｆｉｅｌｄＥＣＣｄｉｇｉｔａｌｓｉｇｎａｔｕｒｅａｌｇｏｒｉｔｈｍｏｎｓｍａｒｔｃａｒｄｉｓｐｒｅｓｅｎｔｅｄ．Ｔｈｅｒｅｓｕｌｔｐｒｏｖｅｓｔｈａｔｔｈｅｉｍｐｌｅｍｅｎｔａｔｉｏｎｍｅｔｈｏｄｓｕｓｅｄｉｓｈｉｇｈｅｆｆｉｃｉｅｎｃｙ．Ｋｅｙｗｏｒｄｓ：ｓｍａｒｔｃａｒｄ，ｐｒｉｍｅｆｉｅｌｄ，ＥｌｌｉｐｔｉｃＣｕｒｖｅＣｒｙｐｔｏｇｒａｐｈｙ（ＥＣＣ）１３７计算机工程与应用２００６．２７表１不同坐标系下点加和倍点的计算量比较仿射坐标标准射影坐标雅克比射影坐标点加Ｉ＋２Ｍ＋Ｓ１２Ｍ＋２Ｓ１２Ｍ＋４Ｓ倍点Ｉ＋２Ｍ＋２Ｓ７Ｍ＋５Ｓ４Ｍ＋６Ｓ需要增加专门的ＥＣＣ加速器硬件。

因此对于许多已有系统从ＲＳＡ公钥算法转换到ＥＣＣ算法而言，素数域ＧＦ（ｑ）是一个有利的选择。

所以本文选择在素数域ＧＦ（ｑ）上，利用ＲＳＡ的算术协处理器实现ＥＣＣ算法。

３椭圆曲线点群上的运算椭圆曲线点群上的运算被称为标量乘法运算，即计算：Ｑ＝ｋＰ。

以下分两部分分析如何高效地实现标量乘法运算。

３．１计算标量乘法标量乘法运算与ＲＳＡ中的核心运算———模幂运算（Ｃ＝Ｍｅｍｏｄｎ）是相当的，一切用于计算模幂的快速算法都可以用来计算ＥＣＣ中的标量乘法。

例如采用二进制方法可以计算模幂：假定公钥为（ｅ，ｎ），ｅ可以表示为ｅ＝ｋ－１ｉ＝０!ｅｉ２ｉ，其中ｅｉ∈｛０，１｝，ｋ是ｅ的二进制位长，且ｅｋ－１＝１。

Ｍｅ＝｛…［（Ｍ２ｅｋ－１×Ｍｅｋ－２）２×Ｍｅｋ－３］２×…×Ｍｅ１｝×Ｍｅ０（２）Ｍ的ｅ次幂运算被分解为平方运算和乘法运算。

同样地，二进制方法也可计算标量乘法ｒ＝ｋ－１ｉ＝０!ｒｉ２ｉ，其中ｒｉ∈｛０，１｝，ｋ是ｒ的二进制位长，且ｒｋ－１＝１。

ｒＰ＝（２ｋ－１＋ｒｋ－２２ｋ－２＋ｒｋ－３２ｋ－３＋…＋ｒ１２１＋ｒ０）Ｐ＝２｛…２［２（２Ｐ＋ｒｋ－２Ｐ）＋ｒｋ－３Ｐ］＋…＋ｒ１Ｐ｝＋ｒ０Ｐ（３）依照（３）式，标量乘法被分解为相同的点相加（简称倍点）和不同的点相加（简称点加）运算。

需要进行ｋ－１次倍点运算，Ｈ（ｒ）－１次点加运算，Ｈ（ｒ）为系数ｒ的Ｈａｍｍｉｎｇ重量。

在二进制方法基础上，围绕着寻找最短加法链的方向［２］，ｍ进制方法、定长窗口方法、变长窗口方法等等被提出来计算模幂和标量乘法。

在定长窗口和变长窗口方法中，预计算只需要计算点Ｐ的奇数倍，相比ｍ进制方法计算量减少近一半，存储空间也相应减少。

三种方法的倍点计算次数基本相同，平均而言，变长滑动窗口方法中点加的计算次数要少，所以计算量最小。

理论证明平均计算量的大小关系是：ｍ进制方法＞定长窗口方法＞变长窗口方法［２］。

本文选择了变长窗口方法来计算标量乘法。

下面给出算法描述。

算法１ＶａｒｉａｂｌｅＬｅｎｇｔｈＳｌｉｄｉｎｇＷｉｎｄｏｗｓＡｌｇｏｒｉｔｈｍ输入：ｒ，Ｐ。

输出：Ｑ＝ｒＰ。

１．预计算并保存!Ｐ，!＝３，５，７，…，２ｄ－１，ｄ为最大非零窗口的宽度。

２．将ｒ分割为ｓ个窗口，包括零窗口和非零窗口。

任一窗口中的值记为Ｆｉ，窗口宽度记为Ｌ（Ｆｉ），ｉ＝０，…，ｓ－１，最大非零窗口的宽度为ｄ，最小零窗口的宽度为ｑ。

３．Ｑ：＝Ｆｓ－１Ｐ４．ｆｏｒｉ＝ｓ－２ｄｏｗｎｔｏ０４ａ．Ｑ：＝２Ｌ（Ｆｉ）Ｑ４ｂ．ｉｆＦｉ≠０ｔｈｅｎＱ：＝Ｑ＋ＦｉＰ５．ｒｅｔｕｒｎＱ本文实现中ｄ＝４，ｑ＝１。

３．２计算点加和倍点由上述标量乘法运算的分析可以看到标量乘法运算Ｑ＝ｋＰ被分解为倍点运算（如４ａ）和点加运算（如４ｂ）。

点加和倍点运算的公式是根据在椭圆曲线点集上定义的加法规则得出的。

令ｑ＞３是一个素数，ａ，ｂ∈ＧＦ（ｑ），满足４ａ２＋２７ｂ２≠０，仿射坐标系下，ＧＦ（ｑ）上一个椭圆曲线的方程为［３］：Ｅ：ｙ２＝ｘ３＋ａｘ＋ｂ（４）设Ｐ（ｘ１，ｙ１），Ｑ（ｘ２，ｙ２）是曲线上两个满足ｘ１≠ｘ２的点，Ｒ（ｘ３，ｙ３）＝Ｐ＋Ｑ（点加），则：ｘ３＝"２－ｘ１－ｘ２；ｙ３＝"（ｘ１－ｘ３）－ｙ１（５）其中"＝（ｙ２－ｙ１）／（ｘ２－ｘ１）。

设Ｐ（ｘ１，ｙ１）∈Ｅ／Ｆ（ｑ），ｙ１≠０，Ｒ（ｘ３，ｙ３）＝２Ｐ（倍点），则：ｘ３＝"２－２ｘ１；ｙ３＝"（ｘ１－ｘ３）－ｙ１（６）上两式中的加、减、乘、除（求逆）都是有限域ＧＦ（ｑ）上的算术运算。

相对于乘法运算和求逆运算，加、减法的运算量可以忽略不计，因此我们在以下对算法计算量的比较中，只考虑进行乘法、平方和求逆运算的次数。

由（５）、（６）两式可见点加计算包含了两次乘法（以Ｍ表示）、一次平方（以Ｓ表示）和一次求逆（以Ｉ表示）。

倍点计算包含了２次乘法、２次平方和１次求逆。

在不同的坐标系下，椭圆曲线方程的形式不同，点加和倍点的表达式不同，计算的效率也不同。

在仿射坐标系下，表达式为（５）、（６）。

若令ｘ＝Ｘ／Ｚ，ｙ＝Ｙ／Ｚ，代入（４）式中可得标准射影坐标下素数域椭圆曲线方程，代入（５）、（６）式中可得点加和倍点公式。

令ｘ＝Ｘ／Ｚ２，ｙ＝Ｙ／Ｚ３，代入（４）式中还可以得到雅克比射影坐标系（ＪａｃｏｂｉａｎＰｒｏｊｅｃｔｉｖｅ）下素数域椭圆曲线方程，代入（５）、（６）式可得点加和倍点公式。