secp256k1 椭圆曲线点运算

本页计算了什么

这是一个直接操作比特币所用椭圆曲线 secp256k1 群运算的「裸机」试验台。它只提供三种运算：

• mul —— 标量 × 生成元：k · G，把私钥变成公钥的那一步。
• add —— 点 + 点：P + Q，群运算里的「弦」。
• double —— 点倍：2 · P，群运算里的「切线」。

全部计算都在本服务器上用纯 PHP + GMP 大整数实时完成。输出包括：按解析结果展示的操作数、实际用到的曲线常量、 结果点、它的奇偶性、两种标准序列化形式、结果是否为无穷远点，以及对结果独立执行的曲线方程校验。

1. 曲线，以及为什么它的点能构成群

secp256k1 是所有满足下面方程、坐标取模素数 p 的 (x, y) 对

再加上一个额外的元素——无穷远点 ∞——所组成的集合。由于方程是模 p 的， 它在纸上并不是一条光滑的弧线，而是散布在 256 位宽有限网格上约 n 个离散点。真正的奇迹在于：可以在这些 点上定义一种加法，它满足结合律、交换律，有单位元（∞），并且每个点都有逆元 −P。 凡是满足这四条性质的集合就叫做阿贝尔群，而群正是「可以把一个运算反复迭代」所需要的结构—— 「乘以一个整数」的全部含义就在于此。

逆元是免费的：如果 (x, y) 在曲线上，那么 (x, −y) 也在曲线上，因为曲线方程里只有 y²。所以 −P = (x, p − y)。注意 p − y 与 y 的奇偶性必然相反， 这一点正是压缩编码所利用的。

2. 群运算的几何解释：弦与切线

经典构造是在实数域上作图。取曲线上的两点 P、Q，作过它们的直线。三次曲线与一条直线 恰好交于三点（按重数计），于是有第三个交点 R。把 R 沿 x 轴翻转，就定义为和：

为什么要翻转？因为曲线上的点关于 x 轴对称后仍在曲线上，而且如果不翻转，这个构造就不满足结合律—— 只有翻转后的版本才能让 (P+Q)+R = P+(Q+R) 成立。有三种特殊情况值得单独命名，因为它们正好是 实现里必须分支的地方：

1. P = Q。 过一个点的直线不唯一，极限情形就是该点处的切线。这就是「弦与切线」里的 「切线」，也是点倍运算所做的事。
2. Q = −P（x 相同、y 相反）。过这两点的直线是竖直的，它与曲线只交于这两点，第三个交点就是 无穷远点。所以 P + (−P) = ∞，完全符合「加法逆元」的定义。
3. P = ∞ 或 Q = ∞。 既然 ∞ 是单位元，和就等于另一个操作数。

在有限域上，「过 P、Q 的直线」依然有意义——它是满足某个一次方程（模 p）的点集——同样的 「三交点」论证依然成立。图不好画了，但代数毫发无损。

3. 群运算的代数解释

模 p 下除以一个非零元素，等于乘以它的模逆元，所以下面每一个「斜率」都是真实可计算的域元素。 设 λ 为过两点的弦（或切线）的斜率，结果点为 (x₃, y₃)：

整套群运算就这些公式。x₃ 只依赖 λ 和两个 x 坐标，而 y₃ 随后由 「关于直线翻转」唯一确定。还要注意：公式关于 x₁ ↔ x₂ 对称，但 y 项不对称——这正是 P + Q = Q + P 成立、而 P + (−P) 必须单独处理的原因。

一次点加的成本是 1 次模逆元（最贵的部分：本实现用费马小定理做幂运算 a^(p−2)）加上 2–3 次模乘/模平方。 真正的库会改用射影坐标或雅可比坐标来「推迟」求逆，用更多乘法换掉逆元，因为一次逆元的代价大约是乘法的上百倍。

4. 为什么 ∞ 是单位元，以及它何时出现

无穷远点不是一对坐标，也无法被序列化成公钥——标准编码里根本没有它的位置。它存在的意义是回答 「当直线竖直时第三个交点是什么」，而它的行为与普通算术中的零完全一致：

有三种情形会产生它，本页会明确显示「结果是否为无穷远点」：

• 把一个点与它的相反数相加。 P + (−P) = ∞。你可以自己看： 把演示公钥与它的相反数相加 —— 两个输入 x 坐标相同，只有 02／03 前缀不同。
• 对一个 y = 0 的点做点倍。 切线竖直，结果为 ∞。但 secp256k1 上 不存在这样的点：y = 0 的点满足 2P = ∞，即它是一个 2 阶元素；而阶为奇素数 n 的群中根本没有 2 阶元素。代码里保留这个分支是为了安全，而不是因为你真能走到它。
• 把生成元乘以 n 的倍数。 按阶的定义 n · G = ∞，于是 (n+1) · G = G。这正是私钥被限制在 [1, n−1] 的原因：一个等于 n+1 的「私钥」是合法的 32 字节数字，行为上却悄悄等同于 1。

5. 余因子为 1、循环群，以及为什么每个公钥都是 G 的倍数

曲线上的点数等于 h · n，其中 h 是余因子。secp256k1 的 h = 1， 所以群的阶就是 n，而 n 是素数。这带来几个非常舒服的推论：

• 没有小子群。 素数阶的群只有两个子群：{∞} 和整个群。余因子大于 1 的曲线 （例如 Curve25519 的 h = 8）含有小阶点，一旦攻击者能让受害者在这些小阶点上做运算， 就能通过「无效曲线攻击」套出秘密的若干比特。那些实现必须乘以余因子或拉黑这些点；这里没有任何东西需要清除。
• 群是 n 阶循环群。 每个非单位元点的阶都恰好是 n（它的阶整除 n 且不为 1）。所以除 ∞ 之外的任何点都能生成整个群—— 在数学上 G 并不特殊，它只是大家公开约定好的起点。
• 每个公钥都是某个 k · G，其中 k ∈ [1, n−1]，而且这个 k 唯一。存在性来自循环性；唯一性来自：若 k₁·G = k₂·G，则 (k₁−k₂)·G = ∞，这只可能在 k₁ ≡ k₂ (mod n) 时发生。
• 标量可以分配。 (a + b)·G = a·G + b·G，且 (a·b)·G = a·(b·G)。 这正是 BIP32 子密钥可以用标量加法计算的原因，也是「把点倍一下」等于「用两倍的标量」的原因——两者都写在 下面的实例演算里。

6. 倍点-加点：k · G 到底怎么算出来

标量乘法没有闭式捷径，所以实现只能逐位迭代标量。本项目里的版本从最高位到最低位遍历 256 个比特：

R = ∞                          # 单位元
for bit in bits_of(k):         # 256 位标量 → 256 次循环
    R = double(R)              # R = R + R
    if bit == 1:
        R = add(R, G)          # R = R + G
return R                       # R = k · G

成本是每位一次点倍，外加每个为 1 的比特一次点加。演示私钥 0824c314…171ca 的比特普查结果是： 256 位中有 116 位为 1，因此循环执行 256 次点倍 + 116 次点加——共 372 次点运算，而每一次内部又是 一次求逆加若干次乘法。生产级实现使用窗口法（预先算出 G, 2G, …, 15G，一次处理 4 位）把次数减少约三分之一； 当标量必须保密时则改用 Montgomery 阶梯。

7. 时间侧信道，以及这里的「常数时间」是什么意思

如果标量是真的私钥，上面的伪代码就是一个安全隐患，因为它的控制流依赖秘密：比特为 0 就跳过点加， 为 1 就执行点加。任何能测量签名或派生耗时、或观察芯片功耗的人，都可以一个比特一个比特地把标量还原出来。 这不是纸上谈兵：对朴素 ECDSA 实现的计时攻击已经成功跨网络恢复过私钥。

常数时间的意思是：执行的操作序列与内存访问模式不依赖秘密值——只有数据依赖。具体做法包括： 无论如何都同时执行点倍与点加，然后用算术方式挑选正确结果；使用没有特殊分支的统一加法公式；标量盲化 （对随机 r 计算 (k + r·n)·G，点不变但比特模式变了）；以及点盲化。libsecp256k1 综合使用了 其中若干手段，并且专门为了避免依赖秘密的分支而编写。

8. 实例演算：对 G 做点倍

任何 secp256k1 实现最经典的健全性检查就是 2G。用上面的真实常量代入切线公式，本页算出：

另外两个可以用上方表单复现的检查，它们正好验证第 5 节的恒等式：

• 标量乘法与点倍相容：在 mul 模式下输入演示私钥，得到 k·G = 02ff812e…8c67ee80，正是演示公钥。在 double 模式下对这个点做点倍，得到的压缩结果 以 028c65af… 开头；而结果面板里的 (2k mod n) · G 交叉验证行给出的正是同一个值 —— 这就是恒等式 2·(k·G) = (2k)·G 的实际体现（两个值都会完整打印在面板里，可以逐位比对）。
• 互逆点相加归零：在 add 模式下输入 02ff812e…8c67ee80 与 03ff812e…8c67ee80，结果为无穷远点，并且没有任何序列化输出，因为 ∞ 没有坐标。

9. 常见错误

• 把标量丢给点的解析器。 一个 64 位十六进制字符串既是合法的标量，也是合法的 x-only 公钥。 本页根据模式判断你的意图，每个字段下方的提示也写明了这一点。判断错了，得到的是一个看起来合法却毫不相干的结果。
• 跳过曲线方程校验。 把任意的 (x, y) 当作点接受，正是无效曲线攻击的起点。 这里每次解析都会验证 y² ≡ x³ + 7 (mod p)，否则抛出可读错误——故意输入一个曲线外的非压缩公钥试试， 你会看到红色错误框。
• 以为小标量是安全的。 1·G = G 是公开的。像 1、2、3、0x1234 这样的标量可以被 轻易穷举；这正是真实密钥必须来自 256 位熵、而不能是「我喜欢的某个数字」的原因。
• 指望把 ∞ 序列化。 它没有前缀。没有做检查的代码要么崩溃，要么吐出一个伪造的 04 公钥。
• 把本页和 ECDSA 混为一谈。 签名需要随机数与模 n 的算术；本页只讲群运算， 也就是它下面那一层算术。

10. 速查表