橢圓曲線密碼學（ECC）

什麼是橢圓曲線密碼學？

橢圓曲線密碼學（Elliptic Curve Cryptography，ECC）是一種公鑰密碼學，基礎是有限域上的橢圓曲線點運算。

加密貨幣網路主要使用 ECC 產生公鑰與私鑰配對、建立數位簽章、驗證交易授權、建立共享密鑰，以及支援進階密碼學證明。

私鑰是由持有人用來控制加密貨幣帳戶或簽章身分的機密數字。

公鑰是與私鑰在數學上相關的值，其他參與者可用來驗證簽章，而不會得知私鑰。

ECC 的安全性主要取決於橢圓曲線離散對數問題的求解難度。

已知私鑰及選定的生成點時，計算對應公鑰很有效率。

若只知道公鑰及生成點，在使用安全曲線、金鑰長度及實作方式的情況下，外界普遍認為無法在實際可行的運算時間內還原私鑰。

NIST 橢圓曲線密碼學專案將 ECC 描述為數位簽章及密碼學金鑰建立的重要方法。

ECC 並非單一演算法、曲線、區塊鏈或加密貨幣。

它是涵蓋 ECDSA、EdDSA、ECDH、Schnorr 簽章、BLS 簽章及其他建構方式的廣泛密碼學方法家族。

加密貨幣為何使用 ECC？

加密貨幣系統需要一種方式，讓使用者能授權交易，而不必揭露控制資產的機密資訊。

ECC 透過數位簽章實現這項功能。

錢包使用私鑰簽署交易資料。

網路參與者使用相關公鑰驗證簽章是否有效。

這個流程能證明操作已由所需金鑰授權，而不必公開該金鑰。

ECC 具吸引力的原因之一，是它能以相對精簡的公鑰及簽章，提供強大的傳統運算安全性。

在相近安全等級下，與部分較舊的公鑰方法相比，較小的密碼學資料可減少交易大小、網路頻寬、儲存需求及驗證負擔。

這些效率優勢對區塊鏈相當重要，因為數千個獨立節點可能都需要儲存或驗證相同的密碼學資料。

什麼是橢圓曲線？

密碼學使用的橢圓曲線，是由有限域上的特定方程式定義的點集合。

常見的簡短 Weierstrass 形式寫作

。

密碼學運算通常不會使用入門示意圖中平滑、連續的曲線。

實際上使用的是有限數量的點，其座標為透過模運算計算的整數。

曲線參數會定義哪些點有效，以及點加法、純量乘法等運算的方式。

完整的定義域參數集合可能包括有限域、曲線係數、生成點、生成點階及餘因子。

安全系統必須使用經充分分析的參數，而非任意選擇曲線方程式。

最終版 NIST SP 800-186 建議為適用的密碼學系統指定了核准的橢圓曲線定義域參數。

什麼是有限域？

有限域是數值有限的一組集合，並為加、減、乘、除定義運算規則。

許多加密貨幣曲線使用質數域運算，也就是以一個很大的質數作為模數進行計算。

當數值達到有限域的模數時，模運算會使其回繞。

如此形成的是有限座標集合，而非無限延伸的幾何平面。

有限域及曲線的數學性質，使點運算能構成具備結構的代數群。

密碼學安全性取決於所選域及群參數能否抵禦已知數學攻擊。

點加法

點加法是將兩個有效曲線點組合，並產生另一個有效點的運算。

確切公式會依橢圓曲線的形式而異。

將一個點與自身相加的特殊運算稱為點倍加。

重複相加構成純量乘法的基礎。

實作時也必須正確處理無窮遠點等特殊情況；無窮遠點在此群中充當單位元素。

點運算錯誤可能造成簽章無效、洩漏機密資訊，或產生可被利用的邊界情況。

純量乘法

純量乘法是將橢圓曲線上的一個點與自身相加指定次數。

在加密貨幣中，公鑰通常計算為

。

在此公式中，

是私鑰、 是曲線的公開生成點，而 是所產生的公鑰。

由

及 計算 很有效率。

系統仰賴的困難問題，則是由

及 還原 。

正式環境函式庫會使用最佳化乘法方法，同時嘗試避免計時及側通道資訊洩漏機密純量。

橢圓曲線離散對數問題

橢圓曲線離散對數問題（ECDLP）是已知生成點及結果公鑰點時，找出機密純量的難題。

目前沒有公開已知的有效率傳統演算法，能求解經妥善選擇的大型曲線上的 ECDLP。

攻擊者可以嘗試暴力破解或進階數學方法，但對安全的 256 位元曲線而言，所需運算量應遠超實際運算能力。

此安全性主張以正確選擇曲線、產生金鑰、驗證及實作為前提。

若隨機數產生器較弱或私鑰已洩漏，攻擊者不必求解 ECDLP 就能破壞系統安全。

ECC 私鑰

ECC 私鑰通常是在曲線群階所限定的有效範圍內隨機選取的整數。

其值不得為零，也不能超出有效範圍。

256 位元私鑰不代表任意 256 位元字串對所有曲線都有效。

錢包軟體必須使用密碼學安全的隨機來源產生數值，並遵守曲線的範圍規則。

私鑰必須保密，因為任何取得私鑰的人通常都能為相關帳戶產生有效簽章。

區塊鏈共識無法區分合法持有人與使用同一有效金鑰的竊取者。

ECC 公鑰

ECC 公鑰是所選橢圓曲線上的一個點。

它透過純量乘法由私鑰計算而得。

依據目前的傳統安全性假設，公開公鑰不會洩漏私鑰。

加密貨幣系統可能儲存完整公鑰、壓縮表示形式，或雜湊衍生的地址。

在敏感協議中使用公鑰前，必須先驗證，因為格式錯誤的點可能導致無效曲線或子群攻擊。

驗證流程可能包括檢查編碼、確認該點位於預期曲線上、拒絕單位點，以及套用子群規則。

公鑰與加密貨幣地址

加密貨幣地址不一定等同於公鑰。

許多系統會對公鑰資訊進行雜湊或其他編碼，以產生地址。

這能建立較短或較容易使用的識別碼，並可加入校驗碼、網路識別碼或指令碼條件。

有些地址只有在使用者花費其中資金時才會公開完整公鑰。

其他帳戶系統則會在任何交易發生前，根據公鑰產生固定地址。

使用者絕不可假設能從地址反推出私鑰。

正確設計的地址產生流程在實際上應是單向的。

ECC 與數位簽章

數位簽章是 ECC 在加密貨幣領域最常見的用途。

簽署者使用私鑰處理交易資料，以產生簽章。

其他網路參與者使用對應公鑰及相同交易資料驗證簽章。

有效簽章可證明簽署訊息時使用了所需的私鑰授權。

驗證者也能藉此偵測簽署後遭到修改的資料。

簽章不會加密交易，也不會隱藏其內容。

最終版 NIST FIPS 186-5 數位簽章標準將 ECDSA 及 EdDSA 列為核准的簽章技術。

ECC 不等於加密

橢圓曲線密碼學包含與加密相關的金鑰協議方法，但加密貨幣交易通常使用 ECC 簽章，而非用於保密。

公有區塊鏈通常必須讀取交易資料，才能驗證餘額、執行智能合約及更新共享狀態。

交易會透過簽章證明已獲授權，但傳送者、目的地、金額或合約指令可能仍公開可見。

ECC 可用於建立加密通訊的共享密鑰，但這與簽署鏈上交易是不同操作。

使用者不應因加密貨幣採用橢圓曲線密碼學，就認為相關活動具備隱私性。

什麼是 ECDSA？

ECDSA 是橢圓曲線數位簽章演算法（Elliptic Curve Digital Signature Algorithm）的縮寫。

它將數位簽章演算法（DSA）延伸至橢圓曲線群。

ECDSA 會產生包含兩個主要值的簽章，通常稱為

及 。

驗證時會檢查簽章、訊息雜湊、公鑰、生成點及曲線階之間的數學關係。

ECDSA 的安全性取決於私鑰受到保護，且每次簽章都使用安全且唯一的簽署 Nonce。

此演算法廣泛用於加密貨幣交易授權。

NIST 的 ECDSA 定義將其列為數位簽章演算法的橢圓曲線版本。

為什麼 ECDSA Nonce 至關重要

每次 ECDSA 簽章都需要一個機密的單次使用值，通常稱為

。

同一私鑰對不同訊息簽章時，不得重複使用此值。

如果兩個簽章重複使用相同 Nonce，攻擊者通常能透過簡單代數運算算出私鑰。

偏差或部分可預測的 Nonce，也可能在多個簽章之間洩漏足夠資訊，讓攻擊者還原金鑰。

即使底層橢圓曲線仍安全，這類問題也曾在密碼學系統中造成實際損失。

現代實作通常會依照 RFC 6979 等經審查的方法，根據私鑰及訊息雜湊確定性地產生 Nonce。

確定性 Nonce 產生仍須正確實作，並防範側通道資訊洩漏。

什麼是 secp256k1？

secp256k1 是 Bitcoin、Ethereum 執行帳戶及其他數種加密貨幣系統使用的 256 位元橢圓曲線。

其質數域方程式為

。

此曲線使用係數

及 ，並具有標準化的生成點及群階。

其名稱來自「高效密碼學標準」（Standards for Efficient Cryptography）系列發布的曲線參數。

持續維護的 libsecp256k1 專案提供此曲線的簽章及相關操作專用實作。

secp256k1 不能與所有其他 256 位元曲線互換。

為 secp256k1 建立的金鑰或簽章，不能自動使用 P-256 或 Ed25519 等其他曲線驗證。

Bitcoin 與 ECC

Bitcoin 傳統上使用 secp256k1 上的 ECDSA 授權花費交易。

交易輸入會提供滿足先前輸出鎖定條件所需的資訊。

對一般以簽章為條件的交易，Bitcoin 節點會驗證簽章是否符合相關交易資料及公鑰。

持有私鑰可讓所有者建立所需簽章，但無法略過其他指令碼條件。

Bitcoin 也使用 secp256k1 上的 Schnorr 簽章處理 Taproot 相關花費規則。

BIP-340 規格為此用途定義固定 64 位元組的 Schnorr 簽章格式，以及 32 位元組公鑰編碼。

Schnorr 簽章

Schnorr 簽章是另一種可在橢圓曲線群上運作的數位簽章建構方式。

其數學線性特性使它適合用於公鑰聚合、多重簽章協議及其他進階建構方式。

多位簽署者可透過經審慎設計的協議，建立一個聚合公鑰及一個外觀一般的簽章。

與公開每個個別公鑰及簽章相比，這可減少區塊鏈資料並提升隱私性。

安全聚合需要明確的協議，以防範惡意公鑰攻擊、Nonce 攻擊及參與者惡意行為。

若未遵循經審查的方案，直接相加公鑰或簽章值並不安全。

Ethereum 與 ECC

Ethereum 執行帳戶使用 secp256k1 上的 ECDSA 簽署一般交易。

外部持有帳戶的地址是由其公鑰衍生而來。

簽章讓網路能還原或驗證與傳送者相關的公鑰，並確認交易已獲授權。

Ethereum 目前的權益證明金鑰文件說明，執行層帳戶金鑰仍採用橢圓曲線金鑰，而驗證者則使用另一套金鑰系統。

Ethereum 驗證者的職責使用 BLS12-381 曲線上的 BLS 簽章。

因此，驗證者的執行金鑰與共識簽署金鑰用途不同，使用的密碼學方案也不同。

可還原的 ECDSA 簽章

部分加密貨幣系統會在 ECDSA 簽章中加入還原資訊。

這些資訊讓軟體能根據訊息及簽章找出預期的公鑰，而不必另外傳送完整公鑰。

Ethereum 簽章傳統上會使用通常稱為

、 及還原值或奇偶值的參數來表示此資訊。

ERC-2098 精簡簽章標準說明了如何有效利用奇偶資訊，精簡表示 secp256k1 簽章。

公鑰還原是簽章格式的功能，不會揭露私鑰。

什麼是 EdDSA？

EdDSA 是 Edwards 曲線數位簽章演算法（Edwards-Curve Digital Signature Algorithm）的縮寫。

它是一種以扭曲 Edwards 曲線為基礎設計的數位簽章家族。

EdDSA 旨在支援有效率的實作、確定性簽署，並避免數種常見的實作錯誤。

Ed25519 是廣泛使用的 EdDSA 實例，採用與 Curve25519 相關的數學原理。

RFC 8032 規格定義了 Ed25519 及相關 Edwards 曲線簽章變體。

Ed25519 金鑰及簽章與 secp256k1 ECDSA 金鑰及簽章並不相容。

Solana 與 Ed25519

Solana 交易使用 Ed25519 簽章驗證必要簽署帳戶。

每個交易簽署者都會針對序列化後的交易訊息提供 64 位元組 Ed25519 簽章。

目前的 Solana 交易文件說明了簽章結構及簽署者要求。

Solana 也提供預先編譯的驗證程式，可在應用程式專用指令中驗證 Ed25519、secp256k1 及 secp256r1 簽章。

支援多種驗證方案，不代表其公鑰或簽章可以互相替換。

什麼是 ECDH？

ECDH 是橢圓曲線 Diffie-Hellman 的縮寫。

這是一種金鑰協議方法，而非交易簽章演算法。

兩位參與者分別將自己的私鑰與對方的公鑰結合，計算出相同的共享密鑰。

根據 ECDLP 假設，竊聽者即使取得公鑰，也不應能計算出該密鑰。

共享值通常會經過金鑰衍生函式處理，再用於加密或驗證。

ECDH 本身不會驗證參與者身分，因此未經驗證地使用時，可能遭受中間人攻擊。

X25519

X25519 是廣泛使用的橢圓曲線 Diffie-Hellman 函式，以 Curve25519 的 Montgomery 形式為基礎。

它的設計著重於有效率地建立共享密鑰及簡單的實作方式。

RFC 7748 規格定義了 X25519 及 X448。

X25519 用於金鑰協議，而非一般加密貨幣交易簽章。

雖然 X25519 與 Ed25519 使用相關的底層域，但兩者金鑰代表的意義不同，不應任意轉換。

BLS 簽章與配對友善曲線

BLS 簽章是使用雙線性配對的橢圓曲線簽章。

在明確定義的規則下，它支援有效率地聚合多個簽章及公鑰。

Ethereum 權益證明使用 BLS12-381 上的 BLS 簽章處理驗證者提案及證明訊息。

聚合可將多位驗證者的投票壓縮表示，無須為每位驗證者分別發布簽章。

BLS12-381 確定性帳戶階層標準說明了 BLS 金鑰在 Ethereum 驗證者基礎設施中的用途。

BLS12-381 在曲線結構、簽章演算法、金鑰衍生及安全要求上，均與 secp256k1 及 Ed25519 不同。

不同橢圓曲線不能互換

不同橢圓曲線可能使用不同方程式、有限域、生成點、群階、餘因子、編碼及安全性假設。

secp256k1、P-256、Ed25519 及 BLS12-381 是不同的密碼學系統。

某類公鑰中有效的 32 位元組值，若在另一種方案中解讀，可能無效或不安全。

開發者必須一併指定曲線、簽章演算法、雜湊規則、序列化方式及網域分離設定。

只使用 ECC 這類通用名稱，不足以確保兩個應用程式能互通。

ECC 金鑰長度與安全強度

一般而言，安全的 256 位元質數域橢圓曲線，對通用離散對數攻擊約具有 128 位元的傳統安全強度。

這不代表攻擊者猜中金鑰的機率是 128 分之一。

這是指在相關攻擊模型下，約相當於嘗試

次運算的工作量。

實際安全性取決於曲線結構、演算法、實作、隨機數產生及攻擊者能力。

256 位元 ECC 金鑰不應直接與 256 位元對稱式加密金鑰比較，因為兩者的攻擊模型不同。

壓縮公鑰

質數域橢圓曲線上的一個點通常包含

座標及 座標。

對許多曲線而言，有效的

座標會根據曲線方程式對應兩個可能的 值。

因此，壓縮公鑰可儲存

座標，再加上一個位元或前綴，用來標示預期的 值。

這能縮小公鑰資料大小，而不會減少私鑰的搜尋空間。

軟體在使用前必須正確還原並驗證該點。

BIP-340 使用僅含 x 座標的公鑰慣例，並加入選擇對應點的額外規則。

簽章可塑性

簽章可塑性是指有效簽章可轉換成另一個對相同訊息及公鑰仍有效的簽章。

基本 ECDSA 具有數學對稱性，可能產生彼此相關的

值。

加密貨幣協議可要求採用標準化的低

形式，或套用其他編碼規則，以降低這個問題。

可塑性不一定代表攻擊者能未經授權就轉移資金。

它可能改變交易識別碼，或干擾假設簽章編碼唯一的系統。

若依規格實作，具備強不可偽造性及固定編碼的 Schnorr 方案，可提供更明確的不可塑性。

金鑰產生與熵

ECC 的數學強度無法保護以可預測資訊產生的私鑰。

錢包必須使用密碼學安全的隨機數產生器，或使用具有足夠熵的種子，透過核准的確定性衍生流程產生金鑰。

姓名、生日、引言、短密碼及使用者自行挑選的數字模式，都不是安全的私鑰。

即使金鑰長度符合預期，若硬體隨機數產生器故障，產生的金鑰仍可能被猜中。

錢包應結合經審查的熵來源、檢查數值範圍，並保護助記詞產生環境。

使用者不應透過一般試算表函式或非密碼學用途的程式語言隨機函式建立私鑰。

階層式確定性錢包

階層式確定性錢包會從一組主種子衍生多把相關金鑰。

使用者只需備份一組種子，即可為不同交易或帳戶產生不同地址。

衍生系統會依照明確標準使用密碼學函式及橢圓曲線運算。

部分衍生路徑允許使用擴充公鑰產生公開子金鑰，而不必暴露私鑰。

在某些非強化衍生系統中，若不當組合擴充公鑰及外洩的子私鑰，可能造成危險。

錢包開發者及使用者應遵循確切的衍生標準，而非自行設計非正式金鑰階層。

硬體錢包與 ECC

硬體錢包可將 ECC 私鑰儲存在專用裝置中，並在裝置內進行簽章運算。

連線的電腦通常只會收到公鑰或簽章，而不會取得私鑰。

這能降低一般用途電腦上惡意軟體造成的風險。

裝置仍須顯示足夠的交易資訊，讓使用者能辨認惡意目的地或合約呼叫。

即使使用安全元件或隔離處理器，也無法保護核准誤導性交易資料的使用者。

復原助記詞同樣至關重要，因為它可能在其他裝置上重新產生 ECC 金鑰。

多重簽章與門檻式 ECC

多重簽章系統要求多把金鑰共同授權，而非只使用一把金鑰。

區塊鏈指令碼可以驗證多個獨立 ECC 簽章。

另一種方式是使用密碼學聚合或門檻協議，讓多位參與者合作產生單一簽章。

MuSig2 規格定義了一種與 BIP-340 金鑰及簽章相容的互動式多重簽章方法。

門檻系統需要仔細處理 Nonce 產生、參與者識別、紀錄驗證及抵禦惡意簽署者。

自訂門檻協議即使使用安全曲線，也可能洩漏群組私鑰。

側通道攻擊

側通道攻擊會從密碼學實作的實體或操作行為中取得機密資訊。

可能的訊號包括執行時間、耗電量、電磁輻射、快取行為、記憶體存取及故障反應。

若實作會根據不同私鑰位元執行不同操作，即使數學上安全的演算法仍可能失效。

常數時間程式設計旨在避免可觀察的執行差異取決於機密資料。

硬體錢包及簽章伺服器可能還需要實體防護、故障偵測、安全記憶體及速率限制。

開發者應使用專為抵禦側通道攻擊而設計並經審查的函式庫。

無效曲線與子群攻擊

攻擊者可能提供格式錯誤的點，或屬於非預期群組的點。

若軟體未經驗證就使用私鑰對該點執行運算，回應可能洩漏私鑰資訊。

小子群攻擊可迫使運算進入可能結果數量有限的群組。

安全實作會套用所選曲線及協議要求的驗證與餘因子規則。

部分現代曲線設計簡化了其中一些流程，但開發者仍須遵循指定的解碼規則。

故障攻擊

故障攻擊會刻意在密碼學運算期間引發錯誤。

攻擊者可能操控電壓、時脈、溫度、記憶體或運算流程。

比較正確及故障簽章，有時能揭露私鑰。

高安全性簽章裝置可能在回傳簽章前驗證自身計算結果。

裝置也可使用冗餘設計、故障感測器、強化硬體及限制錯誤資訊揭露。

開發者為何應使用經審查的函式庫

橢圓曲線運算很難安全實作。

開發者可能寫出通過一般測試的程式碼，但仍容易受到計時攻擊、無效點、偏差 Nonce、模數約簡錯誤或邊界情況影響。

經審查的函式庫提供最佳化運算、測試向量、標準化序列化及安全強化功能。

開發者應使用支援目標區塊鏈所需特定曲線及協議的函式庫。

還應驗證函式庫版本、編譯選項、平台行為及依賴完整性。

在生產環境保管加密貨幣時，直接複製文章或程式碼片段中的簡短 ECC 實作並不安全。

網域分離

網域分離可確保為某一用途產生的簽章或雜湊，不會自動被其他用途重複使用。

協議可在簽署前加入網路識別碼、應用程式名稱、訊息類型、合約地址、版本或其他情境資訊。

若沒有網域分離，原本簽署為無害登入請求的訊息，可能在其他地方被解讀成金融授權。

加密貨幣錢包應顯示簽章網域，並清楚區分交易與一般訊息。

開發者必須遵循目標區塊鏈確切的訊息編碼及網域分離規則。

重複使用私鑰

在互不相關的網路或應用程式中使用同一 ECC 私鑰會增加風險。

某個應用程式的簽章實作若有弱點，可能危及另一個應用程式中由同一金鑰控制的資產。

不同系統可能以不相容的方式雜湊、編碼或驗證訊息。

跨應用程式重複使用金鑰，也會讓使用者活動更容易被連結。

使用不同金鑰可降低單一裝置、函式庫或簽章協議遭入侵造成的影響。

錢包使用者應避免將高價值助記詞匯入不必要的應用程式。

ECC 與智能合約

若區塊鏈提供合適的運算功能，智能合約就能驗證橢圓曲線簽章。

Ethereum 透過

預先編譯合約，原生支援還原 secp256k1 簽署者。

其他預先編譯合約或合約函式庫也能支援其他曲線及證明系統。

若網路未提供專用預先編譯合約，鏈上橢圓曲線運算可能成本高昂。

合約也必須防範重播、編碼含糊、可塑性簽章、授權過期及簽署者網域錯誤等問題。

簽章驗證只能證明金鑰授權，不能證明簽署的操作在經濟上安全。

ECC 與零知識證明

許多零知識證明系統也會使用橢圓曲線。

配對友善曲線可支援精簡證明及有效率的驗證。

曲線上的點可代表承諾、證明元素或驗證金鑰。

證明系統的安全要求可能與交易簽章系統不同。

適合一般簽章的曲線，不一定適合配對式證明的效率或安全需求。

必須分別評估可信設定假設、電路設計、有限域相容性、子群檢查及證明系統可靠性。

ECC 在加密貨幣中的優點

ECC 能以相對精簡的金鑰及簽章，提供強大的傳統公鑰安全性。

它讓使用者能在不公開私鑰的情況下授權交易。

它支援去中心化網路參與者有效率地進行驗證。

它可用於金鑰協議、聚合簽章、門檻簽章、承諾及零知識證明運算。

不同應用可使用多種經充分研究的曲線及標準化演算法。

ECC 的效率使其成為現代加密貨幣錢包及共識系統的核心技術。

ECC 的限制

ECC 容易受到實作錯誤、隨機性不足、Nonce 重複使用及側通道資訊洩漏影響。

不同曲線及簽章方案不會自動相容。

ECC 本身不會加密一般公開的區塊鏈交易。

它無法阻止使用者核准惡意轉帳或洩漏復原助記詞。

若量子電腦的運算能力足夠強大，ECC 的安全性假設將受到威脅。

將運作中的區塊鏈遷移至另一種簽章系統，可能需要變更錢包、地址、硬體、交易格式、智能合約及共識軟體。

量子運算與 ECC

若量子電腦具備足夠的容錯能力，就可能使用 Shor 演算法有效率地求解橢圓曲線離散對數。

這會讓攻擊者能從已公開的公鑰計算出私鑰。

目前沒有公開已知的量子電腦，能以實際可行的規模對完整尺寸的加密貨幣曲線執行此類攻擊。

然而，生命週期長的區塊鏈系統必須在相關硬體問世前做好規劃。

Ethereum 目前的後量子安全指南指出，ECDSA、BLS 簽章及橢圓曲線承諾都是未來需要遷移的領域。

使用者應遵循官方協議指南，不要因缺乏根據的「ECC 已遭破解」說法而恐慌。

後量子密碼學

後量子密碼學使用的數學問題，被認為能抵禦傳統電腦及大型量子電腦。

2024 年 8 月，NIST 定稿 ML-KEM 的 FIPS 203、ML-DSA 的 FIPS 204，以及 SLH-DSA 的 FIPS 205。

NIST 後量子標準公告建議開始規劃遷移。

ML-KEM 用於建立共享密鑰，ML-DSA 及 SLH-DSA 則提供數位簽章。

與常見 ECC 系統相比，這些方案通常需要較大的金鑰或簽章。

區塊鏈遷移必須在安全性、交易大小、驗證成本、地址相容性及非活躍資金復原之間取得平衡。

密碼學敏捷性

密碼學敏捷性是指無須重建整個系統，就能替換或組合密碼學演算法的能力。

具密碼學敏捷性的錢包，可以辨識保護帳戶的簽章方案，並支援未來的遷移路徑。

在遷移期間，協議可能採用混合簽章，要求同時提供既有 ECC 簽章及後量子簽章。

相較於簽章規則直接固定於基礎協議的帳戶，智能帳戶有時能更彈性地支援演算法升級。

密碼學敏捷性必須審慎設計，因為不安全的遷移或降級路徑可能削弱整個系統。

開發者如何安全使用 ECC

開發者應選擇目標區塊鏈或標準要求的確切曲線及演算法。

應使用持續維護且具有良好審查紀錄的密碼學函式庫。

私鑰及簽章 Nonce 必須透過安全流程產生。

實作應驗證公鑰、曲線點、子群成員資格、簽章範圍及標準編碼。

依賴機密資料的運算應採用常數時間技術。

協議應具備明確的訊息編碼、鏈識別、應用程式情境、Nonce 管理及重播防護。

測試應涵蓋官方測試向量、格式錯誤的點、無效簽章、邊界值、Nonce 故障及跨網路重播嘗試。

高價值系統應接受獨立的密碼學及實作審查。

加密貨幣使用者如何保護 ECC 金鑰

使用者應透過可信賴的軟體或硬體錢包，並使用安全熵來源產生錢包。

絕不可在網站、訊息或客服表單中輸入復原助記詞或私鑰。

簽署前，應在可信賴的顯示器上核對重要交易細節。

高價值資金可透過硬體隔離、多重簽章政策、支出限制或分層儲存保護。

使用者應避免將同一組助記詞匯入多個應用程式。

測試備份時，不應將機密資訊暴露給不受信任的裝置。

錢包及協議更新應透過經驗證的官方管道取得。

ECC 簽署加密貨幣交易範例

假設 Alice 透過 ECC 私鑰控制一個加密貨幣帳戶。

她的錢包會建立一筆將代幣傳送至 Bob 地址的交易。

錢包會依照區塊鏈確切的簽署規則序列化交易。

接著依照簽章方案的要求，對序列化訊息進行雜湊或其他處理。

錢包使用 Alice 的私鑰及安全簽章 Nonce 或確定性簽署流程產生簽章。

交易及簽章接著會廣播至網路。

每個驗證節點都會取得或還原 Alice 的公鑰，並驗證簽章。

節點也會檢查 Alice 的餘額、Nonce、費用及所有其他共識規則。

有效 ECC 簽章可證明所需金鑰已授權，但不能取代其他交易有效性檢查。

ECC 常見錯誤

一種常見錯誤是認為 ECC 會加密每筆加密貨幣交易。

另一種錯誤是將公鑰當成錢包地址。

第三種錯誤是重複使用 ECDSA 簽署 Nonce。

第四種錯誤是使用一般隨機數函式產生私鑰。

第五種錯誤是接受攻擊者提供、未經驗證的公鑰點。

第六種錯誤是認為所有 256 位元橢圓曲線都能互換。

第七種錯誤是在未經專家審查的情況下，為生產環境資產保管自行撰寫曲線運算程式。

第八種錯誤是在互不相關的應用程式及網路中重複使用同一私鑰。

第九種錯誤是相信有效簽章就能證明簽署的交易在財務上安全。

第十種錯誤是認為沒有遷移計畫，ECC 仍能抵禦所有未來量子電腦。

常見問題

加密貨幣中的 ECC 是什麼意思？

ECC 是橢圓曲線密碼學的縮寫，是一系列公鑰方法，可用於加密貨幣金鑰、簽章、金鑰協議及進階證明。

ECC 在加密貨幣中的主要用途是什麼？

主要用途是建立及驗證授權區塊鏈交易的數位簽章。

ECC 會加密加密貨幣交易嗎？

通常不會，因為多數公有區塊鏈交易會透過簽章授權，且內容公開可讀，而非經過加密。

什麼是 ECC 私鑰？

ECC 私鑰是用來產生公鑰及授權簽章的機密純量。

什麼是 ECC 公鑰？

ECC 公鑰是由私鑰在數學上衍生而來的曲線點，可用於驗證簽章。

公鑰能揭露私鑰嗎？

若使用安全曲線及正確實作，以實際可行的傳統運算能力無法做到。

什麼是橢圓曲線離散對數問題？

這是從生成點及其對應公鑰點還原私密純量的困難問題。

什麼是 ECDSA？

ECDSA 是廣泛用於授權加密貨幣交易的橢圓曲線數位簽章演算法。

什麼是 secp256k1？

secp256k1 是 Bitcoin、Ethereum 執行帳戶及其他數種加密貨幣系統使用的標準化 256 位元橢圓曲線。

Bitcoin 使用 ECC 嗎？

使用。Bitcoin 使用 secp256k1 上的 ECDSA，也使用 secp256k1 Schnorr 簽章處理 Taproot 花費。

Ethereum 使用 ECC 嗎？

使用。Ethereum 執行帳戶使用 secp256k1 ECDSA，權益證明驗證者則使用 BLS12-381 上的 BLS 簽章。

Solana 使用 ECC 嗎？

使用。Solana 交易簽署者使用 Ed25519 簽章。

什麼是 Ed25519？

Ed25519 是使用 Edwards 曲線數學原理的 EdDSA 簽章方案，與 Curve25519 相關。

什麼是 Schnorr 簽章？

這是一種簽章建構方式，若透過安全協議實作，具有實用的線性及聚合特性。

什麼是 ECDH？

ECDH 是橢圓曲線金鑰協議方法，可讓兩方計算出共享密鑰。

什麼是壓縮公鑰？

這是一種精簡的曲線點編碼，會儲存一個座標及足以還原另一座標的資訊。

ECDSA 為什麼必須使用唯一 Nonce？

重複使用或預測 Nonce 可能讓攻擊者算出私鑰。

私鑰可能被猜中嗎？

安全產生的金鑰有極龐大的搜尋空間，但人為選取或隨機性不足的金鑰仍可能被猜中。

所有 ECC 曲線的安全性都一樣嗎？

不一樣。安全性取決於曲線參數、演算法設計、金鑰長度、實作、驗證及已知數學攻擊。

ECC 簽章可以被複製嗎？

簽章資料可以複製，但重播防護及訊息綁定機制會決定它能否授權其他操作。

有效簽章能保證交易安全嗎？

不能，它只能證明某把金鑰已授權，無法證明目的地、合約、價格或財務決策安全。

硬體錢包能保護 ECC 金鑰嗎？

硬體錢包可隔離金鑰及簽章操作，但使用者仍須核對交易細節並保護復原備份。

多重簽章錢包可以使用 ECC 嗎？

可以，可驗證多個 ECC 簽章，或使用經審查的聚合及門檻簽章協議。

量子電腦可以破解 ECC 嗎？

具備足夠容錯能力的量子電腦可能透過 Shor 演算法破解 ECC，但目前沒有公開已知的機器能以加密貨幣規模執行此類攻擊。

什麼技術將取代 ECC？

未來系統可能使用標準化的格基、雜湊基或其他後量子簽章方案；遷移期間也可能與 ECC 並用。

ECC 目前安全嗎？

正確選擇及實作的 ECC 仍能抵禦已知的實際傳統攻擊，但長期系統應準備好遷移至後量子密碼學。

結論

橢圓曲線密碼學是保護加密貨幣所有權及交易授權的核心技術之一。

它透過單向數學關係，將機密私鑰與可公開分享的公鑰連結起來。

數位簽章方案利用這種關係證明交易已獲授權，而不會揭露私鑰。

Bitcoin 使用 secp256k1 上的 ECDSA 及 Schnorr 簽章；Ethereum 執行帳戶使用 secp256k1，驗證者使用 BLS12-381；Solana 則以 Ed25519 簽署交易。

ECC 也可支援金鑰協議、多重簽章協議、門檻簽章、承諾及零知識證明系統。

安全性不只取決於曲線的數學原理。

安全的隨機性、唯一的簽署 Nonce、公鑰驗證、常數時間實作、網域分離、安全的金鑰儲存及經審查的函式庫都不可或缺。

有效 ECC 簽章能證明指定金鑰已授權特定資料，但不會加密公開交易，也不保證該操作在財務上安全。

若正確實作，ECC 仍能抵禦已知的實際傳統攻擊；但運算能力足夠強大的量子電腦將威脅其離散對數安全基礎。

因此，加密貨幣開發者必須保護目前的金鑰，同時規劃可信的遷移路徑，邁向後量子密碼學。