Solana 上的 Secp256r1

Secp256r1 是現代密碼學中最廣泛採用的橢圓曲線之一，支援從 TLS 連接到硬件安全密鑰的各種應用。這條曲線構成了無數應用程式中數字安全的基石。

由 Orion 在 SIMD 75 中提出的 secp256r1 預編譯功能閘，已於 Solana 的區塊 800 啟用。

什麼是 Secp256r1

我們所知的 secp256r1 是由高效密碼學標準組織（SECG）在 2000 年代初期標準化的。命名規則告訴了我們一切需要知道的資訊：

sec：高效密碼學標準
p：該曲線定義於素數域上
256：素數模數約為 2^256
r：隨機曲線（與 Koblitz 曲線相對）
1：此類別中的第一條曲線

Secp256r1 後來被 NIST 採用為 P-256，並成為 FIPS 186-2 的一部分。SECG 和 NIST 的雙重標準化賦予了該曲線廣泛的合法性，並促使其被眾多協議和應用採用——使其成為全球生產系統中最經得起考驗的曲線之一。

數學基礎

素數域與有限算術

要理解 secp256r1，我們必須首先掌握在有限域中運算的概念。與普通算術中數字可以無限增長不同，橢圓曲線密碼學在一個有限的數學空間中運作。

該曲線在素數域 𝔽p 上運行，其中：p = 2^256 - 2^224 + 2^192 + 2^96 - 1。

這不僅僅是任何隨機的 256 位素數；它被稱為偽梅森素數。梅森素數的形式為 2^n - 1，這允許使用位移和減法進行極快的模數約簡，而不需要昂貴的除法操作。偽梅森素數將這一概念擴展到“接近”2 的冪的數字，保持了大部分計算優勢，同時增加了額外的安全屬性。

對於 secp256r1 的質數，我們可以將其重寫為：p = 2^256 - c，其中 c = 2^224 - 2^192 - 2^96 + 1

這種結構意味著當我們需要對數字 mod p 進行約簡時（這在橢圓曲線操作中經常發生），我們可以使用快速約簡算法，而不是緩慢的通用除法。

這使得 secp256r1 的操作比使用任意質數的曲線快得多：對於像 TLS 握手和硬件安全模組這樣對性能要求極高的應用來說，這是一個關鍵優勢。

橢圓曲線方程

Secp256r1 遵循橢圓曲線的短 Weierstrass 形式：y² = x³ + ax + b (mod p)

對於 secp256r1，其參數為：

a = -3（或等價於 p-3）
b = 0x5ac635d8aa3a93e7b3ebbd55769886bc651d06b0cc53b0f63bce3c3e27d2604b

a = -3 並不是一個任意數字，而是能夠在點加法和倍點操作中實現顯著優化，減少所需的域乘法次數。

每個橢圓曲線加密系統都需要一個具有已知階的生成點 G。對於 secp256r1：

text
G = (Gx, Gy) where:
Gx = 0x6b17d1f2e12c4247f8bce6e563a440f277037d812deb33a0f4a13945d898c296
Gy = 0x4fe342e2fe1a7f9b8ee7eb4a7c0f9e162bce33576b315ececbb6406837bf51f5

這些值是通過“可驗證隨機”過程生成的，以確保沒有隱藏的後門。如果曲線設計者可以隨意選擇參數，他們可能會選擇包含只有他們知道的秘密數學關係的參數，從而創建後門，危及使用該曲線的所有系統。

曲線階與安全等級

曲線階 (n) 表示橢圓曲線上所有點的總數，包括無窮遠點：n = 0xffffffff00000000ffffffffffffffffbce6faada7179e84f3b9cac2fc632551

曲線階決定了私鑰空間的大小，並直接影響安全性。儘管被稱為“256 位”，secp256r1 實際上提供大約 128 位的安全性，而不是 256 位。這是因為針對橢圓曲線離散對數問題的最佳已知攻擊的複雜度大約為 √n，這意味著階為 ~2^256 的曲線提供 ~2^128 的安全性。

cofactor (h) 是 1，這意味著 secp256r1 是一條素數階曲線。這一點很重要，因為：

每個非單位點的階都是相同的 n
不會出現小子群攻擊
實現更加簡化，因為我們不需要擔心低階點

標量域

雖然曲線本身是定義在坐標域 𝔽p 上，但私鑰存在於另一個數學空間：標量域 𝔽n，其中 n 是曲線的階。

text
Private key ∈ [1, n-1]
Public key = private_key × G (scalar multiplication)

這一區別至關重要，因為：

私鑰是標量（整數 mod n）
曲線坐標是域元素（整數 mod p）
它們有不同的模數：n ≠ p

在生成私鑰時，我們從 [1, n-1] 中均勻取樣，而不是從 [1, p-1] 中取樣。這確保了每個私鑰都對應於有效的標量乘法操作，並防止某些數學攻擊。

為什麼 Secp256r1 佔主導地位

儘管存在像 Curve25519 這樣可能更優越的曲線，secp256r1 通過早期標準化、監管批准和廣泛的硬件優化實現了普遍採用。

與可能在數學上更優越的新曲線不同，secp256r1 代表了現實世界系統所需的密碼學強度、實現效率和生態系統兼容性之間的最佳平衡。

一旦硬件製造商、操作系統和安全標準都聚焦於 secp256r1，切換成本就變得難以承受。

我們探討的特定數學特性（偽梅森素數、a = -3 優化和可驗證參數生成）使得從智能手機安全元件到高性能服務器的實現都得到了高度優化。

這種硬件生態系統效應創造了一個自我強化的採用循環。