Skip to main content

code ecdsa 签名验证的原理

理解 ECDSA 签名验证的原理确实需要一些数学背景，但我会尽量用简单的语言和直观的方式来解释为什么这些步骤可以验证签名的有效性。

签名生成的回顾​

首先，回顾一下签名生成的步骤，以便更好地理解验证过程：

  1. 选择随机数 kk：

    k 是一个随机选择的数k \text{ 是一个随机选择的数}

  2. 计算椭圆曲线点 RR：

    R=k⋅GR = k \cdot G

    其中 GG 是椭圆曲线的基点，R=(Rx,Ry)R = (R_x, R_y)。

  3. 计算 rr：

    r=Rxmod  nr = R_x \mod n

  4. 计算 ss：

    s=k−1⋅(h+xr)mod  ns = k^{-1} \cdot (h + xr) \mod n

    其中 hh 是消息的哈希值，xx 是私钥。

签名结果是 (r,s)(r, s)。

签名验证的步骤​

签名验证的目标是确保签名确实是由拥有私钥的人生成的。验证步骤如下：

  1. 计算消息哈希值 hh：

    h=H(m)h = H(m)

    其中 HH 是哈希函数。

  2. 检查签名的有效性：

    • 确保 rr 和 ss 都在区间 [1,n−1][1, n-1] 内。如果不在这个范围内，签名无效。

  3. 计算 ww：

    w=s−1mod  nw = s^{-1} \mod n

  4. 计算 u1u_1 和 u2u_2：

    u1=h⋅wmod  nu_1 = h \cdot w \mod n

    u2=r⋅wmod  nu_2 = r \cdot w \mod n

  5. 计算椭圆曲线点 R′R'：

    R′=u1⋅G+u2⋅QR' = u_1 \cdot G + u_2 \cdot Q

    其中 GG 是椭圆曲线的基点，QQ 是公钥。

  6. 验证 rr：

    r′=Rx′mod  nr' = R'_x \mod n

    如果 r′=rr' = r，则签名有效；否则，签名无效。

为什么这些步骤可以验证签名？​

为了理解为什么这些步骤能够验证签名，我们需要理解一些数学关系。关键在于签名生成和验证过程中使用的椭圆曲线点运算。

1. 签名生成中的关系​

在签名生成过程中，我们有： s=k−1(h+xr)mod  ns = k^{-1} (h + xr) \mod n

2. 验证中的关系​

在验证过程中，我们计算：

w=s−1mod  nw = s^{-1} \mod n

u1=h⋅wmod  nu_1 = h \cdot w \mod n

u2=r⋅wmod  nu_2 = r \cdot w \mod n

然后计算：

R′=u1⋅G+u2⋅QR' = u_1 \cdot G + u_2 \cdot Q

将 u1u_1 和 u2u_2 代入 R′R' 的计算：

R′=(h⋅s−1mod  n)⋅G+(r⋅s−1mod  n)⋅QR' = (h \cdot s^{-1} \mod n) \cdot G + (r \cdot s^{-1} \mod n) \cdot Q

因为 s=k−1(h+xr)mod  ns = k^{-1} (h + xr) \mod n，所以：

s−1=k⋅(h+xr)−1mod  ns^{-1} = k \cdot (h + xr)^{-1} \mod n

因此：

u1=h⋅k⋅(h+xr)−1mod  nu_1 = h \cdot k \cdot (h + xr)^{-1} \mod n

u2=r⋅k⋅(h+xr)−1mod  nu_2 = r \cdot k \cdot (h + xr)^{-1} \mod n

代入 R′R' 的计算：

R′=(h⋅k⋅(h+xr)−1mod  n)⋅G+(r⋅k⋅(h+xr)−1mod  n)⋅QR' = (h \cdot k \cdot (h + xr)^{-1} \mod n) \cdot G + (r \cdot k \cdot (h + xr)^{-1} \mod n) \cdot Q

R′=k⋅(h⋅(h+xr)−1mod  n)⋅G+k⋅(r⋅(h+xr)−1mod  n)⋅QR' = k \cdot (h \cdot (h + xr)^{-1} \mod n) \cdot G + k \cdot (r \cdot (h + xr)^{-1} \mod n) \cdot Q

因为 Q=x⋅GQ = x \cdot G：

R′=k⋅(h⋅(h+xr)−1mod  n)⋅G+k⋅(r⋅(h+xr)−1⋅xmod  n)⋅GR' = k \cdot (h \cdot (h + xr)^{-1} \mod n) \cdot G + k \cdot (r \cdot (h + xr)^{-1} \cdot x \mod n) \cdot G

R′=k⋅(h⋅(h+xr)−1mod  n+r⋅x⋅(h+xr)−1mod  n)⋅GR' = k \cdot (h \cdot (h + xr)^{-1} \mod n + r \cdot x \cdot (h + xr)^{-1} \mod n) \cdot G

R′=k⋅((h+xr)⋅(h+xr)−1mod  n)⋅GR' = k \cdot ((h + xr) \cdot (h + xr)^{-1} \mod n) \cdot G ，这里 (h+xr)⋅(h+xr)−1=1(h + xr) \cdot (h + xr)^{-1} = 1

R′=k⋅GR' = k \cdot G

我们知道在签名生成过程中，R=k⋅GR = k \cdot G，所以 R′=RR' = R。

因此：

r′=Rx′mod  n=Rxmod  n=rr' = R'_x \mod n = R_x \mod n = r

这就证明了验证过程中的计算结果 r′r' 和签名中的 rr 是相同的，从而验证了签名的有效性。

总结​

尽管签名生成过程中使用了随机数 kk，签名验证过程并不需要知道 kk。验证过程通过一系列数学运算，利用公钥 QQ、签名结果 (r,s)(r, s) 和消息的哈希值 hh，最终验证签名的有效性（这里：k 很重要，是什么无所谓，有就行， 之后 DKG+ ecdsa + Paillier 会用到的）。这些数学运算确保了只有拥有私钥的人才能生成有效的签名，从而保证了签名的真实性和完整性。