比特币源码研读（三）之椭圆曲线为什么不可逆

原文链接：https://www.9mblog.com/252.html

说起比特币加密，椭圆曲线是被经常提到的词，之前读《精通比特币》是也只是大致浏览了一下。认为太过高深，所以没有仔细研究。

最近几天偶然间有翻起了这段，难得有闲，便沉下心来仔细研读了一番，自认还是有些收获的，分享出来，为外人解谜的同时也权当最近学习的一个记录。

正文

生成公钥

以一个随机生成的私钥 k(可以理解为一个极大的数) 为起点，我们将其与曲线上已定义的生成点 G 相乘以获得曲线上的另一点，也就是相应的公钥 K。生成点是 secp256k1 标准的一部分，比特币密钥的生成点都是相同的：

{K = k * G}

其中 k 是私钥，G 是生成点，在该曲线上所得的点 K 是公钥。因为所有比特币用户的生成点是相同的，一个私钥 k 乘以 G 将得到相同的公钥 K。k 和 K 之间的关系是固定的，但只能单向运算，即从 k 得到 K。这就是可以把比特币地址（K的衍生）与任何人共享而不会泄露私钥（k）的原因。

因为其中的数学运算是单向的，所以私钥可以转换为公钥，但公钥不能转换回私钥。为实现椭圆曲线乘法，我们以1E99423A4ED27608A15A2616A2B0E9E52CED330AC530EDCC32C8FFC6A526AEDD作为私钥 k 与生成点 G 相乘得到其公钥 K：

K =1E99423A4ED27608A15A2616A2B0E9E52CED330AC530EDCC32C8FFC6A526AEDD * G

公钥 K 被定义为一个点 K = (x, y)：

K = (x, y)

其中，

x =F028892BAD7ED57D2FB57BF33081D5CFCF6F9ED3D3D7F159C2E2FFF579DC341A

y =07CF33DA18BD734C600B96A72BBC4749D5141C90EC8AC328AE52DDFE2E505BDB

为了展示整数点的乘法，我们将使用较为简单的实数范围的椭圆曲线。请记住，其中的数学原理是相同的。我们的目标是找到生成点 G 的倍数 kG。也就是将 G相加 k 次。在椭圆曲线中，点的相加等同于从该点画切线找到与曲线相交的另一点，然后映射到 x 轴。

曲线上得到 G、2G、4G 的几何操作

下面针对上面这张图说一下kG的计算过程，这里我们假定k的值为8。

1.已知椭圆曲线上的一点G，我们做其在曲线上的切线，此时切线与原本的椭圆曲线就会产生一个交点，这个点我们记作-2G，那么与-2G关于x轴对称的点就是2G了。

2.重复上面的动作，对点2G做切线，使得切线与椭圆曲线相交，交点记为-4G，再取-4G关于x轴的对称点，就得到了4G。

3.再次重复前面的动作，对点4G做切线，使得切线与椭圆曲线相交，交点记为-8G，再取-8G关于x轴的对称点，就得到了8G。

这里8G点就是我们所说的公钥K，点的坐标就是公钥K的x和y。

好了，上面的整个过程如果看明白了，我们接着来说为什么通过公钥K得不到私钥k。

假定我们现在已知点8G(公钥K)，我们可以反向推出它关于x轴的对称点-8G。到了这一步我们会发现，想通过-8G反向堆出4G变成了不可能的事情。因为-8G是椭圆曲线上的一个点，在平面上过这个点有无数条直线，这里或许会有一条或者几条与椭圆曲线相切，但这些切线我们却无从求得。或许我们可以逐条测试，通过穷举法找出过点-8G且与椭圆曲线相切的直线，进而得到可能的点4G。但不要忘记，我们只是进行了反向推理的第一步，我们想从4G得到2G也需要同样的计算量。这还只是我们将私钥k定为了8，如果私钥k真的是我们上面的1E99423A4ED27608A15A2616A2B0E9E52CED330AC530EDCC32C8FFC6A526AEDD，那么计算量将是不可想象的。

这就是我理解的椭圆曲线不可逆，如果大家还有其他的见解，欢迎在下面评论。大家共同学习。

---

区块链研习社源码研读班　栎枫