Мне интересно, к чему могла привести мотивация или мыслительный процесс (ECDSA)
ECDSA возникла из подпись Эль-Гамаля. Первоначально это было определено в мультипликативная группа $\mathbb Z_p^*$ для премьер $р$. Это чем-то похоже на мультипликативную группу $\mathbb Z_n^*$ для композита $n$ используется РСА. Было два отдельных эволюционных шага:
- ДСА (около 1991 г.). Это использует подгруппу $\mathbb Z_p^*$ с гораздо меньшим порядком, что позволяет использовать гораздо более короткую подпись, чем в ElGamal. Такая подгруппа использовалась аналогичным подпись Шнорра (около 1989 г.) для той же цели и известен как Группа Шнорра.
- ЭЦДСА (около 2000 г.). По сути, это заменяет группу Шнорра группой эллиптических кривых, чтобы ускорить вычисления и сократить открытый ключ. Использование такой группы, а не (некоторой подгруппы) $\mathbb Z_p^*$ было предложено Миллер и независимо Коблитц еще в 1985 году, сначала в контексте Обмен ключами Диффи-Хеллмана. Цитаты Миллера Факторизация эллиптической кривой Лентры в качестве вдохновения для использования группы эллиптических кривых. Лентра использовала эллиптические кривые в качестве инструмента для атаки на RSA, что привело к использованию эллиптических кривых в области криптографии. Более века было известно, что эллиптические кривые на поле можно использовать для построения группа. Если поле конечно, группа конечна (необходимая характеристика для использования в криптографии).
Какими свойствами обладают эллиптические кривые, которые делают их устойчивыми к атакам?
Эллиптические кривые нет более устойчивы к атакам, чем группы Шнорра того же размера. Если бы речь шла только о размере подписи и безопасности, нам не понадобились бы эллиптические кривые, и мы бы использовали гораздо более простой DSA, а не ECDSA. Причина, по которой предпочтительны эллиптические кривые, заключается в том, что они обеспечивают более короткое представление элементов группы, а значит, более короткие открытые ключи и более быстрые вычисления (за счет сложности) при эквивалентном размере группы/подписи и безопасности.
Причина, по которой группы эллиптических кривых могут обойтись более коротким представлением элементов группы, чем группа Шнорра, заключается в том, что они не встроены в какое-либо поле (с законом группы - вторым законом поля). Другими словами, в группе эллиптических кривых нет операции, аналогичной сложению по модулю. $р$ в группу $\mathbb Z_p^*$. Следовательно, нет известного аналога, работающего в группе эллиптических кривых, для исчисление индекса алгоритм, позволяющий вычислять дискретные логарифмы в $\mathbb Z_p^*$ быстрее, чем общие методы, работающие в любой группе, такие как детский шаг / гигантский шаг или же Ро Полларда.
