2017-11-28

secp256k1における逆数計算

secp256k1

secp256k1における逆数つまり1/aの計算方法を解説します。
法素数qに対して、 ${a}^{q-2}$ が1/aとなります。
なぜなら ${a}^{q-2} {a} = {a}^{q-1} = 1 \mod q$
最後の等号は、フェルマーの小定理を使っています。

やることはaをq-2回ベキ乗することです。
pythonでq-2を2進表現してみましょう。

>>> q = 2 ** 256 - 2 ** 32 - 2 ** 9 - 2** 8 - 2 ** 7 - 2 ** 6 - 2 ** 4 -1
115792089237316195423570985008687907853269984665640564039457584007908834671663
>>> print(q-2)
115792089237316195423570985008687907853269984665640564039457584007908834671661
>>> print(format(q-2, 'b'))
1111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111011111111111111111111110000101101

1が223個,1が22個,1が1個,1が2個,最後に1が2個という5つの1の連続領域に分かれています。あとは、

secp256k1における平方剰余計算 - Pebble Coding

でやったのと同じ手法で、計算すればよいだけです。

2017-11-28

平方剰余とは

整数論

平方剰余 http://nakano.math.gakushuin.ac.jp/~shin/html-files/Algebra_Introduction/2011/11.pdf

について簡単に説明しておきます。

整数aと整数pを与えた時に
${x}^{2} = a \mod p$
の式を満たす解xは存在する場合と、存在しない場合があります。
解が存在する時、a は p を法として平方剰余であるといいます。
解が存在しない時、a は p を法として平方非剰余であるといいます。

例えば、p=5の場合を考えると、
x=1のとき、 ${x}^{2} = 1 \mod 5$
x=2のとき、 ${x}^{2} = 4 \mod 5$
x=3のとき、 ${x}^{2} = 9 \mod 5 = 4 \mod 5$
x=4のとき、 ${x}^{2} = 16 \mod 5 = 1 \mod 5$
となるので、
a=1,4の時は解が存在し、a=2,3の時は解が存在しません。

楕円曲線暗号において、平方剰余計算が出てくるのはなぜでしょうか？
法素数 q における楕円曲線 ${y}^{2} = {x}^{3} + 7$ の乗法群で、楕円曲線上の点{x, y}が決まっているとします。
ここでx,yは整数です。
点の２倍算で先にxの値を計算し、楕円曲線の右辺を計算すれば、あとは、
${y}^{2} = a \mod q$ を満たすyを求めればいいということになります。
２倍算なので、このような解yが存在することは分かっています。
これはまさに平方剰余の解計算です。

はじめての数論原著第3版発見と証明の大航海‐ピタゴラスの定理から楕円曲線まで

作者:Joseph H. Silverman
出版社/メーカー: 丸善出版
発売日: 2014/05/13
メディア: 単行本（ソフトカバー）

2017-11-26

secp256k1における平方剰余計算

secp256k1

secp256k1における平方剰余計算を考えてみます。

secp256k1の法素数
$q = {2}^{256} - {2}^{32} - {2}^{9} - {2}^{8} - {2}^{7} - {2}^{6} - {2}^{4} - 1$
はこの形をみてわかる通り、 $q \mod 4 = 3$ なので、
この記事mod p での平方剰余を計算する(p mod 4 = 3の場合) - Pebble Coding
で示したように、解は(存在する場合は)
$x = {a} ^ { \frac {q+1} {4} }$
と書けます。
コンピュータで計算する場合は、次のように計算します。
まず、pythonで値を見てみます。
q+1は4で割り切れるので、python3での整数の割り算には//が使用できます。

>>> q = 2 ** 256 - 2 ** 32 - 2 ** 9 - 2** 8 - 2 ** 7 - 2 ** 6 - 2 ** 4 -1
>>> print(q)
115792089237316195423570985008687907853269984665640564039457584007908834671663
>>> print((q+1)//4)
28948022309329048855892746252171976963317496166410141009864396001977208667916

この値の２進表現(バイナリ表現)を見てみます。

>>> print(format((q+1)//4, 'b'))
11111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111110111111111111111111111100001100

とても綺麗な形をしており、1が連続する箇所が3箇所しかありません。
最初の1は223個、次の1は22個、最後の1は2個が連続で続いています。
やることはaをこの値分だけベキ乗することです。
問題を少し単純化してみてみましょう。

この２進数が仮に
10010 だったとしましょう。
計算すべきは ${a}^{10010}$ です。
${a}^{1001}$ を2乗すると ${a}^{10010}$ になります。
上位へビットシフトしたら2倍になるので、こうなります。
手順は、まず ${a}^{1}$ を計算し、3回ビットシフトつまり ${a}^{1}$ の2乗を3回行い、それにaを掛け、その値を1回ビットシフト、つまりその値を2乗すると ${a}^{10010}$ が得られます。
この考えを用いて今度は、 ${a}^{1が223個並んだもの}$ を計算したいのですが、効率よく計算するには次のようにします。

表現を簡単にするため、 ${a}^{2進表現}$ のことを以後、x111001...001のように表現します。
まず、x1を2乗するとx10となります、これにaを掛けるとx11となります。
これを2乗しx110となり、それにaを掛け、x111とします。
これの2乗を3回して、x111_000としますが、先ほど計算したx111と掛けx111_111となります。
これの2乗を3回して、x111_111_000となりますが、先ほど計算したx111を掛け、x111_111_111となります。
これの2乗を2回して、x11_111_111_100となりますが、先ほど計算したx11を掛け、x11_111_111_111となります。
これの2乗を11回して,...
これの2乗を22回して,...
これの2乗を44回して,...
これの2乗を88回して,...
...
こんな感じで、1が223個並んだ値が計算でき、このロジックを利用して、最終的に、
${a}^{11111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111111110111111111111111111111100001100}$ を計算します。

コンピュータで解があるかどうかはこうして計算したxを使って $x^{2} mod q$ を計算してaに等しければ解あり、等しくなければ解なしと判断します。

参考:

secp256k1/field_impl.h at master · bitcoin-core/secp256k1 · GitHub

2017-11-04

素体Fp上の楕円曲線 y^2 = x^3 + D の有理点の数

暗号

${y}^{2} = {x}^{3} + D$ の素体 $F_p$ 上の有理点の数を調べます。
楕円曲線Eの有理点の数を#Eと書きます。

素数pを3で割って2余る場合は、有理点の数は無限遠点を含み、#E= p + 1 であることが知られています。

${y}^{2} = {x}^{3} + 7$ の場合の、有理点の数をpythonで調べた結果がこちらです。

p, p mod 3, #E
2, 2, 3 = (p+1)
3, 0,4
5,2,6
7,1,8
11,2,12 = (p+1)
13,1,7
17,2,18 = (p+1)
19,1,12
23,2,24 = (p+1)
29,2,30 = (p+1)
31,1,21
37,1,39
41,2,42 = (p+1)
43,1,31
47,2,48 = (p+1)

確かにp mod 3 = 2 の場合は成り立っていることが分かります。
この曲線はsecp256k1で使われている曲線ですが、secp256k1の素数
$q = {2}^{256} - {2}^{32} - 977 = {2}^{256} - {2}^{32} - {2}^{9} - {2}^{8} - {2}^{7} - {2}^{6} - {2}^{4} - 1$ はどうなっているでしょうか？
q mod 3 = 1
残念ながら余りが1なので、単純な式では出てきません。

pを3で割って1余る場合の有理点の数を算出する計算式は知られていますが、6乗根と、２次体を使った複雑なものです。
興味がある方は参考の文献を参照ください。難しすぎて鼻血が出るレベルです。。

有理点の数の計算はこちらのpythonコードを使いました。

pebble8888.hatenablog.com

参考: Kenneth Ireland Michael Rosen / A Classical Introduction to Modern Number Theory Springer-Verlag 1990

2017-11-04

素体Fpの乗法群

群環体

素体 $F_p$ は体であり、元は{0, 1, ..., p-1}のp個あります。
素体という時、pは素数です。
体なので、加法と乗法について閉じているわけですが、乗法演算の部分のみを取り出した群のことを、
素体 $F_p$ の乗法群と呼び $F^*_p$ と書きます。
この乗法群 $F^*_p$ には加法の単位元0は含まれないことに注意します。
この乗法群 $F^*_p$ の元は{1, 2, ..., p-1}のp-1個となります。
巡回群の定義は、全ての元が一つの元のみを使った演算で全ての元を作れることですが、
この乗法群 $F^*_p$ は巡回群です。
群の位数が素数なら、その群は巡回群であることが知られています。

任意の元gを一つとったときに、 ${ g, {g}^{2}, {g}^{3}, ..., {g}^{p-1} }$ で全ての元を渡るということです。
例えば $F^*_5$ の場合、g=3をとると、
${3}^{1} = 3$
${3}^{2} = 9 = 4$
${3}^{3} = 27 = 2$
${3}^{4} = 81 = 1$
となり右辺の{3, 4, 2, 1}が全ての元になっています。
また、この最後のp-1乗すると1になるのはフェルマーの小定理として知られています。

$F^*_p$ における写像 $f(x) = {x}^{3}$ を考えます。

この写像はどのようなものかpythonで調べて見ます。
関連があるため、乗法群の位数(元の数) p-1 を3で割った余りも同時に調べます。

#!/usr/bin/env python

ps = [2, 3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37, 41, 43, 47, 53]  

for p in ps: 
    print("p {0}".format(p))
    print("(p-1)%3 {0}".format((p-1) % 3)) 
    l = []
    for x in range(1, p): 
        a = (x**3) % p 
        l.append(a)
    print(l)
    print(sorted(l))
    print("")

p 2
(p-1)%3 1
[1]
[1]

p 3
(p-1)%3 2
[1, 2]
[1, 2]

p 5
(p-1)%3 1
[1, 3, 2, 4]
[1, 2, 3, 4]

p 7
(p-1)%3 0
[1, 1, 6, 1, 6, 6]
[1, 1, 1, 6, 6, 6]

p 11
(p-1)%3 1
[1, 8, 5, 9, 4, 7, 2, 6, 3, 10]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10]

p 13
(p-1)%3 0
[1, 8, 1, 12, 8, 8, 5, 5, 1, 12, 5, 12]
[1, 1, 1, 5, 5, 5, 8, 8, 8, 12, 12, 12]

p 17
(p-1)%3 1
[1, 8, 10, 13, 6, 12, 3, 2, 15, 14, 5, 11, 4, 7, 9, 16]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16]

p 19
(p-1)%3 0
[1, 8, 8, 7, 11, 7, 1, 18, 7, 12, 1, 18, 12, 8, 12, 11, 11, 18]
[1, 1, 1, 7, 7, 7, 8, 8, 8, 11, 11, 11, 12, 12, 12, 18, 18, 18]

p 23
(p-1)%3 1
[1, 8, 4, 18, 10, 9, 21, 6, 16, 11, 20, 3, 12, 7, 17, 2, 14, 13, 5, 19, 15, 22]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22]

p 29
(p-1)%3 1
[1, 8, 27, 6, 9, 13, 24, 19, 4, 14, 26, 17, 22, 18, 11, 7, 12, 3, 15, 25, 10, 5, 16, 20, 23, 2, 21, 28]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28]

p 31
(p-1)%3 0
[1, 8, 27, 2, 1, 30, 2, 16, 16, 8, 29, 23, 27, 16, 27, 4, 15, 4, 8, 2, 23, 15, 15, 29, 1, 30, 29, 4, 23, 30]
[1, 1, 1, 2, 2, 2, 4, 4, 4, 8, 8, 8, 15, 15, 15, 16, 16, 16, 23, 23, 23, 27, 27, 27, 29, 29, 29, 30, 30, 30]

p 37
(p-1)%3 0
[1, 8, 27, 27, 14, 31, 10, 31, 26, 1, 36, 26, 14, 6, 8, 26, 29, 23, 14, 8, 11, 29, 31, 23, 11, 1, 36, 11, 6, 27, 6, 23, 10, 10, 29, 36]
[1, 1, 1, 6, 6, 6, 8, 8, 8, 10, 10, 10, 11, 11, 11, 14, 14, 14, 23, 23, 23, 26, 26, 26, 27, 27, 27, 29, 29, 29, 31, 31, 31, 36, 36, 36]

p 41
(p-1)%3 1
[1, 8, 27, 23, 2, 11, 15, 20, 32, 16, 19, 6, 24, 38, 13, 37, 34, 10, 12, 5, 36, 29, 31, 7, 4, 28, 3, 17, 35, 22, 25, 9, 21, 26, 30, 39, 18, 14, 33, 40]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40]

p 43
(p-1)%3 0
[1, 8, 27, 21, 39, 1, 42, 39, 41, 11, 41, 8, 4, 35, 21, 11, 11, 27, 22, 2, 16, 27, 41, 21, 16, 32, 32, 22, 8, 39, 35, 2, 32, 2, 4, 1, 42, 4, 22, 16, 35, 42]
[1, 1, 1, 2, 2, 2, 4, 4, 4, 8, 8, 8, 11, 11, 11, 16, 16, 16, 21, 21, 21, 22, 22, 22, 27, 27, 27, 32, 32, 32, 35, 35, 35, 39, 39, 39, 41, 41, 41, 42, 42, 42]

p 47
(p-1)%3 1
[1, 8, 27, 17, 31, 28, 14, 42, 24, 13, 15, 36, 35, 18, 38, 7, 25, 4, 44, 10, 2, 26, 41, 6, 21, 45, 37, 3, 43, 22, 40, 9, 29, 12, 11, 32, 34, 23, 5, 33, 19, 16, 30, 20, 39, 46]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44, 45, 46]

p 53
(p-1)%3 1
[1, 8, 27, 11, 19, 4, 25, 35, 40, 46, 6, 32, 24, 41, 36, 15, 37, 2, 22, 50, 39, 48, 30, 44, 43, 33, 20, 10, 9, 23, 5, 14, 3, 31, 51, 16, 38, 17, 12, 29, 21, 47, 7, 13, 18, 28, 49, 34, 42, 26, 45, 52]
[1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 40, 41, 42, 43, 44, 45, 46, 47, 48, 49, 50, 51, 52]

実験結果を見ると、p-1を3で割ったあまりが0でない時は、全ての元が出てくるようです。
これを、写像 $f(x)= {x}^{3}$ が自己同型写像であるといいます。
群 $F^*_p$ の元を群 $F^*_p$ の元に移していますし、変換前と変換後の元が１対１対応しているからです。

この現象は次の群論の定理とも関係があります。
定理 Gを群、aをGの位数nの元とし、kを整数、d=gcd(k, n)とする。このとき、 ${a}^{k}$ の位数は $\frac {n} {d}$ である。

k=3,nを3で割った余りが0でない場合は、d=1となるので、 ${a}^{3}$ の位数はnとなります。