Pebble Coding

プログラマーの作業メモ

Crypto Currency(仮想通貨) ソースリポジトリ

Crypto Currencyの公開されているソースリポジトリと実装言語をまとめてみました。(2017年12月)
ご指摘ありましたら教えていただけると助かります。

Bitcoin(BTC)
Language:C++
Digital Signature: secp256k1 github.com

Bitcoin Cash(BCH)
Language: C++
Digital Signature: secp256k1 github.com

Ethereum(ETH)
Language:Go, C++
Digital Signature: secp256k1 github.com

Ethereum Classic(ETC)
github.com

Lisk(LISK)
Language: JavaScript github.com

Factom(FCT)
Language: Go github.com

Monero(XMR)
Language: C++ github.com

Augur(REP)
github.com

Ripple(XRP)
Language: C++
Digital Signature: Ed25519, secp256k1 github.com

Zcash(ZEC)
Language: C++
Digital Signature: secp256k1 github.com

NEM(XEM)
Language: Java Script github.com

Litecoin(LTC)
Language: C++
Digital Signature: secp256k1 github.com

Dash(DASH)
Language: C++
Digital Signature: secp256k1 github.com

Monacoin(MONA)
Language: C++
Algorithm: Lyra2RE github.com

secp256k1における体演算の最適化

secp256k1の体演算の最適化手法として、x,yが法素数q未満であることと256bit値の範囲内であることを用いて、
256bitサイズの値を9個の26bit値と1つの22bitの値(9*26+22=256bit)に分割する手法があります。
素数q=0x FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE FFFFFC2F

q未満の値のマスク値をビット表現すると、上位から
1111_1111_1111_1111_1111_1111_1111_1111 = 0x FFFFFFFF
1111_1111_1111_1111_1111_1111_1111_1111 = 0x FFFFFFFF
1111_1111_1111_1111_1111_1111_1111_1111 = 0x FFFFFFFF
1111_1111_1111_1111_1111_1111_1111_1111 = 0x FFFFFFFF
1111_1111_1111_1111_1111_1111_1111_1111 = 0x FFFFFFFF
1111_1111_1111_1111_1111_1111_1111_1111 = 0x FFFFFFFF
1111_1111_1111_1111_1111_1111_1111_1110 = 0x FFFFFFFE
1111_1111_1111_1111_1111_1100_0010_1111 = 0x FFFFFC2F
となり下位から26bitずつにわけ10個目を22ビットとします。
11_1111_1111_1111_1111_1111 = 0x 3FFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1111_1111 = 0x 3FFFFFF
11_1111_1111_1111_1111_1011_1111 = 0x 3FFFFBF
11_1111_1111_1111_1100_0010_1111 = 0x 3FFFC2F

26ビットの値は変数としてuint32_tを使い、32ビットの値の範囲内の演算であれば、そのまま計算できます。
元は法素数倍してもmod qの世界では同一値ですから、10個の要素に同時に、これらのマスク値の倍数を加えても、
値としては同じということになります。

なお、32bitの要素を8個使って(32*8=256bit)表現するものも使います。

secp256k1における逆数計算

secp256k1における逆数つまり1/aの計算方法を解説します。
素数qに対して、 {a}^{q-2}が1/aとなります。
なぜなら {a}^{q-2} {a} = {a}^{q-1} = 1 \mod q
最後の等号は、フェルマーの小定理を使っています。

やることはaをq-2回ベキ乗することです。
pythonでq-2を2進表現してみましょう。

>>> q = 2 ** 256 - 2 ** 32 - 2 ** 9 - 2** 8 - 2 ** 7 - 2 ** 6 - 2 ** 4 -1
115792089237316195423570985008687907853269984665640564039457584007908834671663
>>> print(q-2)
115792089237316195423570985008687907853269984665640564039457584007908834671661
>>> print(format(q-2, 'b'))
1111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111011111111111111111111110000101101

1が223個,1が22個,1が1個,1が2個,最後に1が2個という5つの1の連続領域に分かれています。 あとは、

secp256k1における平方剰余計算 - Pebble Coding

でやったのと同じ手法で、計算すればよいだけです。

平方剰余とは

平方剰余 http://nakano.math.gakushuin.ac.jp/~shin/html-files/Algebra_Introduction/2011/11.pdf

について簡単に説明しておきます。

整数aと整数pを与えた時に
 {x}^{2} = a \mod p
の式を満たす解xは存在する場合と、存在しない場合があります。
解が存在する時、a は p を法として平方剰余であるといいます。
解が存在しない時、a は p を法として平方非剰余であるといいます。

例えば、p=5の場合を考えると、
x=1のとき、 {x}^{2} = 1 \mod 5
x=2のとき、 {x}^{2} = 4 \mod 5
x=3のとき、 {x}^{2} = 9 \mod 5 = 4 \mod 5
x=4のとき、 {x}^{2} = 16 \mod 5 = 1 \mod 5
となるので、
a=1,4の時は解が存在し、a=2,3の時は解が存在しません。

楕円曲線暗号において、平方剰余計算が出てくるのはなぜでしょうか?
素数 q における楕円曲線  {y}^{2} = {x}^{3} + 7 の乗法群で、楕円曲線上の点{x, y}が決まっているとします。
ここでx,yは整数です。
点の2倍算で先にxの値を計算し、楕円曲線の右辺を計算すれば、あとは、
 {y}^{2} = a \mod q を満たすyを求めればいいということになります。
2倍算なので、このような解yが存在することは分かっています。
これはまさに平方剰余の解計算です。

secp256k1における平方剰余計算

secp256k1における平方剰余計算を考えてみます。

secp256k1の法素数
 q = {2}^{256} - {2}^{32} - {2}^{9} - {2}^{8} - {2}^{7} - {2}^{6} - {2}^{4} - 1
はこの形をみてわかる通り、 q \mod 4 = 3なので、
この記事mod p での平方剰余を計算する(p mod 4 = 3の場合) - Pebble Coding
で示したように、解は
 x = {a} ^ { \frac {q+1} {4} }
と書けます。
コンピュータで計算する場合は、次のように計算します。
まず、pythonで値を見てみます。
q+1は4で割り切れるので、python3での整数の割り算には//が使用できます。

>>> q = 2 ** 256 - 2 ** 32 - 2 ** 9 - 2** 8 - 2 ** 7 - 2 ** 6 - 2 ** 4 -1
>>> print(q)
115792089237316195423570985008687907853269984665640564039457584007908834671663
>>> print((q+1)//4)
28948022309329048855892746252171976963317496166410141009864396001977208667916

この値の2進表現(バイナリ表現)を見てみます。

>>> print(format((q+1)//4, 'b'))
11111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111110111111111111111111111100001100

とても綺麗な形をしており、1が連続する箇所が3箇所しかありません。
最初の1は223個、次の1は22個、最後の1は2個が連続で続いています。
やることはaをこの値分だけベキ乗することです。
問題を少し単純化してみてみましょう。

この2進数が仮に
10010 だったとしましょう。
計算すべきは {a}^{10010}です。
 {a}^{1001}を2乗すると {a}^{10010}になります。
上位へビットシフトしたら2倍になるので、こうなります。
手順は、まず {a}^{1}を計算し、3回ビットシフトつまり{a}^{1}の2乗を3回行い、それにaを掛け、 その値を1回ビットシフト、つまりその値を2乗すると {a}^{10010}が得られます。
この考えを用いて今度は、 {a}^{1が223個並んだもの}を計算したいのですが、効率よく計算するには次のようにします。

表現を簡単にするため、 {a}^{2進表現}のことを以後、x111001...001のように表現します。
まず、x1を2乗するとx10となります、これにaを掛けるとx11となります。
これを2乗しx110となり、それにaを掛け、x111とします。
これの2乗を3回して、x111_000としますが、先ほど計算したx111と掛けx111_111となります。
これの2乗を3回して、x111_111_000となりますが、先ほど計算したx111を掛け、x111_111_111となります。
これの2乗を2回して、x11_111_111_100となりますが、先ほど計算したx11を掛け、x11_111_111_111となります。
これの2乗を11回して,...
これの2乗を22回して,...
これの2乗を44回して,...
これの2乗を88回して,...
...
こんな感じで、1が223個並んだ値が計算でき、このロジックを利用して、最終的に、
 {a}^{11111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111110111111111111111111111100001100}を計算します。

参考:

secp256k1/field_impl.h at master · bitcoin-core/secp256k1 · GitHub

素体Fp上の楕円曲線 y^2 = x^3 + D の有理点の数

 {y}^{2} = {x}^{3} + Dの素体 F_p上の有理点の数を調べます。

素数pを3で割って2余る場合は、有理点の数は無限遠点を含み、#E= p + 1 であることが知られています。

 {y}^{2} = {x}^{3} + 7の場合の、有理点の数をpythonで調べた結果がこちらです。

p, p mod 3, #E
2, 2, 3 = (p+1)
3, 0,4
5,2,6
7,1,8
11,2,12 = (p+1)
13,1,7
17,2,18 = (p+1)
19,1,12
23,2,24 = (p+1)
29,2,30 = (p+1)
31,1,21
37,1,39
41,2,42 = (p+1)
43,1,31
47,2,48 = (p+1)

確かにp mod 3 = 2 の場合は成り立っていることが分かります。
この曲線はsecp256k1で使われている曲線ですが、secp256k1の素数
q = {2}^{256} - {2}^{32} - 977 = {2}^{256} - {2}^{32} - {2}^{9} - {2}^{8} - {2}^{7} - {2}^{6} - {2}^{4} - 1 はどうなっているでしょうか?
q mod 3 = 1
残念ながら余りが1なので、単純な式では出てきません。

pを3で割って1余る場合の有理点の数を算出する計算式は知られていますが、6乗根と、2次体を使った複雑なものです。

有理点の数の計算はこちらのpythonコードを使いました。

pebble8888.hatenablog.com

参考: Kenneth Ireland Michael Rosen / A Classical Introduction to Modern Number Theory Springer-Verlag 1990

素体Fpの乗法群

素体 F_pは体であり、元は{0, 1, ..., p-1}のp個あります。
素体という時、pは素数です。
体なので、加法と乗法について閉じているわけですが、乗法演算の部分のみを取り出した群のことを、
素体 F_pの乗法群と呼び F^*_pと書きます。
この乗法群 F^*_pには加法の単位元0は含まれないことに注意します。
この乗法群 F^*_pの元は{1, 2, ..., p-1}のp-1個となります。
巡回群の定義は、全ての元が一つの元のみを使った演算で全ての元を作れることですが、
この乗法群 F^*_p巡回群です。
群の位数が素数なら、その群は巡回群であることが知られています。

任意の元gを一つとったときに、 { g, {g}^{2}, {g}^{3}, ..., {g}^{p-1} }で全ての元を渡るということです。
例えば  F^*_5の場合、g=3をとると、
 {3}^{1} = 3
 {3}^{2} = 9 = 4
 {3}^{3} = 27 = 2
 {3}^{4} = 81 = 1
となり右辺の{3, 4, 2, 1}が全ての元になっています。
また、この最後のp-1乗すると1になるのはフェルマーの小定理として知られています。

 F^*_pにおける写像 f(x) = {x}^{3}を考えます。

この写像はどのようなものかpythonで調べて見ます。
関連があるため、乗法群の位数(元の数) p-1 を3で割った余りも同時に調べます。

#!/usr/bin/env python

ps = [2, 3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37, 41, 43, 47, 53]  

for p in ps: 
    print("p {0}".format(p))
    print("(p-1)%3 {0}".format((p-1) % 3)) 
    l = []
    for x in range(1, p): 
        a = (x**3) % p 
        l.append(a)
    print(l)
    print(sorted(l))
    print("")
p 2
(p-1)%3 1
[1]
[1]

p 3
(p-1)%3 2
[1, 2]
[1, 2]

p 5
(p-1)%3 1
[1, 3, 2, 4]
[1, 2, 3, 4]

p 7
(p-1)%3 0
[1, 1, 6, 1, 6, 6]
[1, 1, 1, 6, 6, 6]

p 11
(p-1)%3 1
[1, 8, 5, 9, 4, 7, 2, 6, 3, 10]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10]

p 13
(p-1)%3 0
[1, 8, 1, 12, 8, 8, 5, 5, 1, 12, 5, 12]
[1, 1, 1, 5, 5, 5, 8, 8, 8, 12, 12, 12]

p 17
(p-1)%3 1
[1, 8, 10, 13, 6, 12, 3, 2, 15, 14, 5, 11, 4, 7, 9, 16]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16]

p 19
(p-1)%3 0
[1, 8, 8, 7, 11, 7, 1, 18, 7, 12, 1, 18, 12, 8, 12, 11, 11, 18]
[1, 1, 1, 7, 7, 7, 8, 8, 8, 11, 11, 11, 12, 12, 12, 18, 18, 18]

p 23
(p-1)%3 1
[1, 8, 4, 18, 10, 9, 21, 6, 16, 11, 20, 3, 12, 7, 17, 2, 14, 13, 5, 19, 15, 22]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22]

p 29
(p-1)%3 1
[1, 8, 27, 6, 9, 13, 24, 19, 4, 14, 26, 17, 22, 18, 11, 7, 12, 3, 15, 25, 10, 5, 16, 20, 23, 2, 21, 28]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28]

p 31
(p-1)%3 0
[1, 8, 27, 2, 1, 30, 2, 16, 16, 8, 29, 23, 27, 16, 27, 4, 15, 4, 8, 2, 23, 15, 15, 29, 1, 30, 29, 4, 23, 30]
[1, 1, 1, 2, 2, 2, 4, 4, 4, 8, 8, 8, 15, 15, 15, 16, 16, 16, 23, 23, 23, 27, 27, 27, 29, 29, 29, 30, 30, 30]

p 37
(p-1)%3 0
[1, 8, 27, 27, 14, 31, 10, 31, 26, 1, 36, 26, 14, 6, 8, 26, 29, 23, 14, 8, 11, 29, 31, 23, 11, 1, 36, 11, 6, 27, 6, 23, 10, 10, 29, 36]
[1, 1, 1, 6, 6, 6, 8, 8, 8, 10, 10, 10, 11, 11, 11, 14, 14, 14, 23, 23, 23, 26, 26, 26, 27, 27, 27, 29, 29, 29, 31, 31, 31, 36, 36, 36]

p 41
(p-1)%3 1
[1, 8, 27, 23, 2, 11, 15, 20, 32, 16, 19, 6, 24, 38, 13, 37, 34, 10, 12, 5, 36, 29, 31, 7, 4, 28, 3, 17, 35, 22, 25, 9, 21, 26, 30, 39, 18, 14, 33, 40]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40]

p 43
(p-1)%3 0
[1, 8, 27, 21, 39, 1, 42, 39, 41, 11, 41, 8, 4, 35, 21, 11, 11, 27, 22, 2, 16, 27, 41, 21, 16, 32, 32, 22, 8, 39, 35, 2, 32, 2, 4, 1, 42, 4, 22, 16, 35, 42]
[1, 1, 1, 2, 2, 2, 4, 4, 4, 8, 8, 8, 11, 11, 11, 16, 16, 16, 21, 21, 21, 22, 22, 22, 27, 27, 27, 32, 32, 32, 35, 35, 35, 39, 39, 39, 41, 41, 41, 42, 42, 42]

p 47
(p-1)%3 1
[1, 8, 27, 17, 31, 28, 14, 42, 24, 13, 15, 36, 35, 18, 38, 7, 25, 4, 44, 10, 2, 26, 41, 6, 21, 45, 37, 3, 43, 22, 40, 9, 29, 12, 11, 32, 34, 23, 5, 33, 19, 16, 30, 20, 39, 46]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44, 45, 46]

p 53
(p-1)%3 1
[1, 8, 27, 11, 19, 4, 25, 35, 40, 46, 6, 32, 24, 41, 36, 15, 37, 2, 22, 50, 39, 48, 30, 44, 43, 33, 20, 10, 9, 23, 5, 14, 3, 31, 51, 16, 38, 17, 12, 29, 21, 47, 7, 13, 18, 28, 49, 34, 42, 26, 45, 52]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44, 45, 46, 47, 48, 49, 50, 51, 52]

実験結果を見ると、p-1を3で割ったあまりが0でない時は、全ての元が出てくるようです。
これを、写像  f(x)= {x}^{3} が自己同型写像であるといいます。
 F^*_p の元を 群F^*_p の元に移していますし、変換前と変換後の元が1対1対応しているからです。

この現象は次の群論の定理とも関係があります。
定理 Gを群、aをGの位数nの元とし、kを整数、d=gcd(k, n)とする。このとき、 {a}^{k}の位数は \frac {n} {d}である。

k=3,nを3で割った余りが0でない場合は、d=1となるので、 {a}^{3}の位数はnとなります。