密码专栏 | 动手计算双线性对(下)_区块链:CRYPT

前言

上一篇文章中,我们在"F_101"上找到了17个点满足椭圆曲线方程,他们构成一个循环。那么在"F_101"中元素作为坐标的点中还有没有其他的点也满足方程呢?换句话说,上篇文章列出的17个点是不是就是满足方程的全部的解呢?并非如此,比如可以验证(3,38)也满足椭圆曲线的方程,但是他不是上面17个点中的一个。另一个子群

实际上,我们甚至可以通过将(6,44)作为生成元来得到一个102个元素的循环群,这个循环群涵盖了曲线在"F_101"上的全部点。但是,曲线在"F_101"上的循环周期为17的循环群却只有中篇列出的一个,也就是说在"F_101"上讨论的话,循环周期为17的点已经被我们全部找到了。

在中篇中,我们也提到数域的扩张会直接影响我们需要讨论的点的多少,那么如果我们对"F_101"进行扩张,是否能够得到更多的循环周期为17的点呢?METASTATE的博客中给出这样一个例子,我们将用这个例子说明这个命题的真假。首先我们选择满足j^2mod17=15的j用于对"F_101"的扩张,过程就像我们上一篇文章中进行的那样,扩张后的域记为“F_101的二次扩域”。在这个扩张下,我们可以找到另一个循环周期为17的群,下面的表格列出这个群的全部元素:

《卫报》:部分密码学家对市场使用“Crypto”的方式感到不满:11月22日消息,据英国《卫报》报道,随着Crypto在加密货币行业使用越来越广泛,用户在 Google 上搜索“crypto”会看到大量指向比特币和以太坊等加密货币的热门搜索结果,但根据韦伯斯特字典对“crypto”的定义,它指的是密码学,而密码学又被定义为“信息的计算机编码和解码”。“这种词汇转变给密码学家带来了沉重的负担,”该报道称,过去几年许多密码学家一直在社交媒体上重复“crypto is cryptography”的口号,但收效甚微。密码学专家Matt Blaze表示,“我认为将加密货币称为 'crypto' 是一个糟糕的选择,这对密码学和加密货币都会产生不良后果。”[2021/11/22 22:08:04]

浪潮集团王伟兵:标识解析、标识密码、区块链是构建工业区块链三个技术要素:金色财经现场报道,12月5日,2020世界区块链大会于武汉举办,会上浪潮集团区块链技术研究院首席架构师王伟兵演讲表示,消费互联网是实现人和人的连接的,工业互联网从技术上看更偏重物,工业互联网数量多,管理难度大,面向物的标识解析和密码学适合应用。标识解析的本质是提供名称映射的分布式数据库,构建工业区块链的三个技术要素是标识解析、标识密码、区块链。标识解析需要目录服务、数据共享,标识密码主要做设备身份认证、设备写入链,区块链则增强安全,完成可信交易。[2020/12/5 14:06:24]

我们随机选择(66,0+23j)这个元素来验证其满足曲线方程:

左侧:y^2mod101=^2mod101=23×15mod101=42

右侧:x^3+3mod101=41^3=3mod101=42

数字认证:正研究数字货币核心技术密码技术:据深交所-互动易消息,数字认证(300579.SZ)刚刚在互动平台表示,密码技术是数字货币核心技术,公司正对数字货币相关的一些密码技术进行研究。[2020/3/30]

左侧等于右侧,验证完毕。

在发现通过域扩张后还能找到更多的17阶点后,我们不禁会想:

继续对”F_101的二次扩域”进行扩张,能否找到更多的17阶点呢?

或者是:为了找到全部的17阶点,我们需要对F_101进行几次扩张呢?

嵌入度其实就是描述这个问题的一个概念。E是定义在F_101上的椭圆曲线,我们已经有一个包含n=17个点的子群,我们称这个子群的嵌入度是满足17整除q^k-1的最小的k。在这个例子中,k=2。计算嵌入度的价值在于事实证明,当对F_101进行扩张以期其上的椭圆曲线包含全部17阶点时,最小的扩张次数就等于嵌入度。也就是说在”F_101的二次扩域”上,我们已经找到全部的17阶元素。

现场 | 于佳宁:密码经济时代法定数字货币带来四大变革:11月10日下午,2019密码经济研讨会在重庆市南岸区华商国际会议中心正式开幕。火币大学创始人于佳宁发表了《密码经济时代的风口:智能商业变革》为主题的演讲,于佳宁表示密码经济时代法定数字货币将带来低成本高效率、较为稳定与安全、支付记录可控匿名、交易数字化与智能化四大变革。于佳宁认为区块链很大程度上是密码经济的一个分支,在密码经济的应用下,万物的交易将带来经济效益的急剧飞跃和生产力的极大提升。[2019/11/10]

Millier循环

下面给出计算双线性映射的Millier算法,当计算e(P,Q)时,该算法根据P的坐标创建一个二元多项式,然后将P坐标的x和y分量带入求值:

51Job百万条手机密码身份证被黑客窃取 售价12比特币:前程无忧51Job.com用户信息在暗网上被公开销售,黑客甚至展示了部分样本数据,包括邮箱、密码、真实姓名、身份证号码、电话等。据贩卖用户信息的人声称,其手中共有195万条数据可被销售,打包价为12个比特币。[2018/6/16]

METASTATE的博客中作者已经计算了e((1,2),(90,82u))点的结果为97+89j。我们给出另外一个计算的例子,并且稍后通过对比这两个例子的结果说明双线性对的一些属性。

其中f_17是二元的多项式,通过一个称为Millier循环的过程我们可以生成该多项式,这个过程类似于计算指数运算时的mul-and-square操作。但是为了更直观的展示原理,我们选择根据上文定义直接展开计算f_17,这会增加一些计算量。

因此我们需要计算

的表达式。通过查询上一篇文章的列表我们可以找出P,±2P,±4P,±8P,±16P的值,其中P=(12,32)=5G:

接下来我们来计算这些直线的方程:

这样我们已经可以计算f_17的结果:

最后我们计算(81+52j)^600

完全解决curve101配对问题

实际上,我们可以计算出GT的生成元e(G1,G2),也就是e((1,2),(36,31j)),其值为7+28j。这样我们能够完全掌握GT中全部的元素:

可以看到GT也是一个循环群,他其实是在“F_101的二次扩域”上满足方程x^17=1的17个根。根据该表我们不加以计算就可以知道这个配对的任何一个计算结果,例如e((12,32),(36,31u))=e(5G1,G2),因此其值就是上表的第5个元素:93+25j。我们之所以能够完全解决curve101的配对问题,是因为curve101的一系列参数决定其足够简单,而实际零知识证明算法中使用的配对就要复杂很多。例如一些标准中要求其配对曲线的嵌入度至少为12,这意味着GT的元素至少是基础素域的12次扩张!如果其素域特征为常见的256位,那么为了表示一个GT元素就需要256*12/8=384字节的大小。对于任何一个实际使用的曲线,其计算复杂度和规模都使我们当前绝无可能计算出其映射表,这也是离散对数问题困难的所在。

通过系列文章,我们计算了一个简单的配对曲线,加深了对双线性映射的理解。后续,我们继续使用这个配对曲线来讲解和演示零知识证明中Groth16算法的过程和原理,敬请期待。

乔沛杨趣链科技基础平台区块链底层密码学小组

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

金宝趣谈

[0:15ms0-12:116ms