c++ - Crypto++ 和压缩 EC key

Question

如何在 Crypto++ 中生成压缩的 ECDSA key ？

AutoSeededRandomPool prng;
ECDSA<ECP, SHA1>::PrivateKey privateKey;
ECDSA<ECP, SHA1>::PublicKey publicKey;
privateKey.Initialize( prng, CryptoPP::ASN1::secp256r1());

const Integer& x1 = privateKey.GetPrivateExponent();
cout << "priv:  " << std::hex << x1 << endl;
privateKey.MakePublicKey( publicKey );
const ECP::Point& q = publicKey.GetPublicElement();
const Integer& qx = q.x;
const Integer& qy = q.y;
cout << "pub x: " << std::hex << qx << endl;
cout << "pub y: " << std::hex << qy << endl;

此代码生成一个 key 对并打印公钥的 X 和 Y 组件。

我需要知道是否有办法打印压缩 key 的 Y 分量，或者我是否需要从未压缩的 y 分量生成它。如果我需要生成它，有人可以将我链接到一个关于如何使用 Integer 类的很好的解释吗？

Answer 1

How can I generate compressed ECDSA keys in CryptoPP?

您不创建压缩 key 。您生成一个公钥，然后在需要时压缩它。来自 How to construct a public ECDSA key with point compression turned on?在 Crpyto++ 用户组:

ECDSA<ECP, SHA1>::Verifier verifier(...);
verifier.AccessKey().AccessGroupParameters().SetPointCompression(true); 

在您的情况下，它将是:

publicKey.AccessGroupParameters().SetPointCompression(true);

因为 verifier.AccessKey() 返回 ECDSA 公钥。

---

I need to know if there is a way to print the Y component of the compressed key

压缩是一种演示格式选项或优化。您不能在带有压缩的序列化 key 上打印 Y 组件，因为它不存在(请参阅下面的 ASN.1 转储)。

启用压缩后，Y“速记”将为 1 或 -1，具体取决于组件的符号(符号表示该点位于哪个象限)。这个想法是有人给你发送一对 {1,X} 或 {-1,X} 对，你可以求解 Y，因为你知道它应该在哪个象限。如果 Y 只允许为正，你只需要序列化 {X}(而不是 {-1,X} 或 {1,X})。 (我没有深入研究书籍或标准，所以这里可能会有一些勘误)。

---

... or if I need to generate it from the uncompressed y component. If I need to generate it, can someone link me to a good explanation of how to work with the Integer class?

我不知道你在这里说什么。点压缩影响呈现。如果你打开点压缩并获取 Y，你仍然会得到 Y。您无法在压缩点上进行计算。您需要 X 和 Y 坐标。

---

将以下内容添加到您的程序中:

publicKey.AccessGroupParameters().SetPointCompression(false);
ByteQueue q1;
publicKey.Save(q1);
cout << "Uncompressed size: " << dec << q1.MaxRetrievable() << endl;

publicKey.AccessGroupParameters().SetPointCompression(true);
ByteQueue q2;
publicKey.Save(q2);
cout << "Compressed size: " << dec << q2.MaxRetrievable() << endl;

这是我得到的输出:

$ ./cryptopp-test.exe
priv:  4ce30d22d9593d9c7f4406eda1ce0740c7486106374d0abe7e352e1d5b1d5622h
pub x: 41a9bc936b6d1dd3a1ded997d7da08f1df990e9b50f9b58e9e4fd9319758ea34h
pub y: 4ad39ffb79c402063a99ecbc0cac8fde606db6764ace90933feee5f8d65937a2h
Uncompressed size: 311
Compressed size: 246

如果在打开点压缩后获取 Y，您仍然会得到 4ad39ffb79c402063a99ecbc0cac8fde606db6764ace90933feee5f8d65937a2h，因为压缩会影响呈现。

---

现在，添加以下内容以转储未压缩和压缩的 key :

FileSink fs1("key-1.der", true);
q1.TransferTo(fs1);

FileSink fs2("key-2.der", true);
q2.TransferTo(fs2);

key 以 ASN.1 的 DER 编码转储并符合 Certicom 的 SEC 1: Elliptic Curve Cryptography (在较小程度上，ANSI 9.62 和 RFC 5480, ECC SubjectPublicKeyInfo Format - 参见下面字段元素的 OCTET STRING 与 BIT STRING)。

您可以运行 Peter Gutmann 的 dumpasn1在他们身上:

$ dumpasn1.exe key-1.der 
  0 307: SEQUENCE {
  4 236:   SEQUENCE {
  7   7:     OBJECT IDENTIFIER ecPublicKey (1 2 840 10045 2 1)
 16 224:     SEQUENCE {
 19   1:       INTEGER 1
 22  44:       SEQUENCE {
 24   7:         OBJECT IDENTIFIER prime-field (1 2 840 10045 1 1)
 33  33:         INTEGER
       :           00 FF FF FF FF 00 00 00 01 00 00 00 00 00 00 00
       :           00 00 00 00 00 FF FF FF FF FF FF FF FF FF FF FF
       :           FF
       :         }
 68  68:       SEQUENCE {
 70  32:         OCTET STRING
       :           FF FF FF FF 00 00 00 01 00 00 00 00 00 00 00 00
       :           00 00 00 00 FF FF FF FF FF FF FF FF FF FF FF FC
104  32:         OCTET STRING
       :           5A C6 35 D8 AA 3A 93 E7 B3 EB BD 55 76 98 86 BC
       :           65 1D 06 B0 CC 53 B0 F6 3B CE 3C 3E 27 D2 60 4B
       :         }
138  65:       OCTET STRING
       :         04 6B 17 D1 F2 E1 2C 42 47 F8 BC E6 E5 63 A4 40
       :         F2 77 03 7D 81 2D EB 33 A0 F4 A1 39 45 D8 98 C2
       :         96 4F E3 42 E2 FE 1A 7F 9B 8E E7 EB 4A 7C 0F 9E
       :         16 2B CE 33 57 6B 31 5E CE CB B6 40 68 37 BF 51
       :         F5
205  33:       INTEGER
       :         00 FF FF FF FF 00 00 00 00 FF FF FF FF FF FF FF
       :         FF BC E6 FA AD A7 17 9E 84 F3 B9 CA C2 FC 63 25
       :         51
240   1:       INTEGER 1
       :       }
       :     }
243  66:   BIT STRING
       :     04 41 A9 BC 93 6B 6D 1D D3 A1 DE D9 97 D7 DA 08
       :     F1 DF 99 0E 9B 50 F9 B5 8E 9E 4F D9 31 97 58 EA
       :     34 4A D3 9F FB 79 C4 02 06 3A 99 EC BC 0C AC 8F
       :     DE 60 6D B6 76 4A CE 90 93 3F EE E5 F8 D6 59 37
       :     A2
       :   }

$ dumpasn1.exe key-2.der 
  0 243: SEQUENCE {
  3 204:   SEQUENCE {
  6   7:     OBJECT IDENTIFIER ecPublicKey (1 2 840 10045 2 1)
 15 192:     SEQUENCE {
 18   1:       INTEGER 1
 21  44:       SEQUENCE {
 23   7:         OBJECT IDENTIFIER prime-field (1 2 840 10045 1 1)
 32  33:         INTEGER
       :           00 FF FF FF FF 00 00 00 01 00 00 00 00 00 00 00
       :           00 00 00 00 00 FF FF FF FF FF FF FF FF FF FF FF
       :           FF
       :         }
 67  68:       SEQUENCE {
 69  32:         OCTET STRING
       :           FF FF FF FF 00 00 00 01 00 00 00 00 00 00 00 00
       :           00 00 00 00 FF FF FF FF FF FF FF FF FF FF FF FC
103  32:         OCTET STRING
       :           5A C6 35 D8 AA 3A 93 E7 B3 EB BD 55 76 98 86 BC
       :           65 1D 06 B0 CC 53 B0 F6 3B CE 3C 3E 27 D2 60 4B
       :         }
137  33:       OCTET STRING
       :         03 6B 17 D1 F2 E1 2C 42 47 F8 BC E6 E5 63 A4 40
       :         F2 77 03 7D 81 2D EB 33 A0 F4 A1 39 45 D8 98 C2
       :         96
172  33:       INTEGER
       :         00 FF FF FF FF 00 00 00 00 FF FF FF FF FF FF FF
       :         FF BC E6 FA AD A7 17 9E 84 F3 B9 CA C2 FC 63 25
       :         51
207   1:       INTEGER 1
       :       }
       :     }
210  34:   BIT STRING
       :     02 41 A9 BC 93 6B 6D 1D D3 A1 DE D9 97 D7 DA 08
       :     F1 DF 99 0E 9B 50 F9 B5 8E 9E 4F D9 31 97 58 EA
       :     34
       :   }

注意区别:

# key-1.der
243  66:   BIT STRING
       :     04 41 A9 BC 93 6B 6D 1D D3 A1 DE D9 97 D7 DA 08
       :     F1 DF 99 0E 9B 50 F9 B5 8E 9E 4F D9 31 97 58 EA
       :     34 4A D3 9F FB 79 C4 02 06 3A 99 EC BC 0C AC 8F
       :     DE 60 6D B6 76 4A CE 90 93 3F EE E5 F8 D6 59 37
       :     A2

对比:

# key-2.der
210  34:   BIT STRING
       :     02 41 A9 BC 93 6B 6D 1D D3 A1 DE D9 97 D7 DA 08
       :     F1 DF 99 0E 9B 50 F9 B5 8E 9E 4F D9 31 97 58 EA
       :     34
       :   }

第一个有两个整数编码，而第二个有一个整数编码。常用值为 41 A9 BC 93 ... 97 58 EA 34，这就是上面的 pub x。 key-2 中缺少的字符串是 4A D3 9F FB ... D6 59 37 A2，也就是上面的 pub y。为了完整起见，这些值被编码为 {X,Y} 或 {X}，而不是 ASN.1 的整数编码。

最后的区别是 BIT STRING 的第一个八位组:02 与 04(或 03)。 04 表示它是一个未压缩的点。来自 RFC 5480，第 2.2 节:

    The first octet of the OCTET STRING indicates whether the key is
    compressed or uncompressed.  The uncompressed form is indicated
    by 0x04 and the compressed form is indicated by either 0x02 or
    0x03 (see 2.3.3 in [SEC1]).  The public key MUST be rejected if
    any other value is included in the first octet.

在查看标准和第 2.2 节后，Crypto++ 可能有一个错误:它写了一个 BIT STRING，但标准显然在讨论 OCTET STRING。

编辑 1:看来这是 ANSI 9.62 下的 Crypto++ 错误， 也。第 6.2 节，有限域元素和椭圆曲线点的语法(第 20 页)

    A finite field element shall be represented by a value of type FieldElement:
      FieldElement ::= OCTET STRING
    The value of FieldElement shall be the octet string representation of a field
    elementfollowing the conversion routine in Section 4.3.1.
    An elliptic curve point shall be represented by a value of type ECPoint:
      ECPoint ::= OCTET STRING

编辑 2:Crypto++ 使用 Certicom 的 SEC 1: Elliptic Curve Cryptography 指定的格式.附录 C(第 77 页)指出:

    Finally, a specific field element is represented by the following type
      FieldElement ::= OCTET STRING
    whose value is the octet string obtained from the conversion routines
    given in Section 2.3.5.