ECDH：用于密钥交换的椭圆曲线
应用椭圆曲线标量乘法完成 ECDH 密钥协商
ECDH：用于密钥交换的椭圆曲线 是 CoddyKit 上的免费 Cryptology Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cryptology Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cryptology Academy 课程共包含 4 节课。
欢迎
ECDH 用椭圆曲线群取代了 DH 的乘法群。结果是：只需原来十分之一大小的密钥，即可获得相当的安全性，同时运算速度提高 10 倍。
EC 群运算
在 ECDH 中，“乘法”指的是椭圆曲线标量乘法：将点 P 乘以标量 k，意味着将 P 与自身相加 k 次，即 k×P。这是 EC 中 g^k mod p 所对应的运算。
ECDH 协议
约定曲线 E 和基点 G（公开）。
Alice：私钥 a，公钥 A = a×G
Bob：私钥 b，公钥 B = b×G
Alice：S = a×B = a×b×G
Bob：S = b×A = b×a×G
双方都能推导出相同的点 S。
ECDLP
给定椭圆曲线上的 A = a×G，求 a。这就是椭圆曲线离散对数问题。对于一般曲线，尚无已知的亚指数算法，因此在相同密钥长度下，ECDLP 比 DLP 更难。
Curve25519
由 Bernstein 于 2005 年设计。其 Montgomery 形式为：在素数 2^255-19 上的 y²=x³+486662x²+x。它的设计目标是速度快且不易出现实现错误。它应用于 WireGuard、Signal 和 SSH。
X25519 密钥交换
X25519 是使用 Curve25519 的 ECDH 函数。共享点只使用其 x 坐标（余因子乘法负责处理边界情况）。RFC 7748 将 X25519 和 X448 标准化。
在 Python 中实现 ECDH
from cryptography.hazmat.primitives.asymmetric.x25519 import X25519PrivateKey
alice_priv = X25519PrivateKey.generate()
bob_priv = X25519PrivateKey.generate()
alice_pub = alice_priv.public_key()
bob_pub = bob_priv.public_key()
shared_alice = alice_priv.exchange(bob_pub)
shared_bob = bob_priv.exchange(alice_pub)
assert shared_alice == shared_bob
从共享点到对称密钥
原始共享点不能直接用作密钥（它不是均匀分布的）。请使用 HKDF 派生合适的对称密钥：
from cryptography.hazmat.primitives.kdf.hkdf import HKDF
key = HKDF(SHA256, 32, salt, info).derive(shared_secret)
ECDH 与 DH 的密钥大小
128 位安全级别：
- DH：3072 位素数
- ECDH：256 位曲线
密钥大小比例：约为 12:1。ECDH 公钥：32 字节（Curve25519）。DH 公钥：384 字节。ECDH 私钥运算速度约快 50 倍。
不安全曲线上的余因子攻击
小子群攻击会利用具有非平凡余因子的曲线。Curve25519 的余因子为 8，但 X25519 能够正确处理这一点。NIST P 曲线的余因子为 1。请始终使用标准化实现。
TLS 1.3 中的 ECDH
TLS 1.3 支持以下用于密钥交换的曲线：X25519、X448、P-256、P-384、P-521。X25519 最为常见——速度快、安全，并且采用常数时间实现。双方都会为每个会话生成临时密钥。
快速检查
与经典 Diffie-Hellman 相比，ECDH 的主要优势是什么？
回顾
您已经掌握了 ECDH！接下来，我们将理解前向保密，以及为什么临时密钥交换在 TLS 中至关重要。
常见问题解答
「ECDH：用于密钥交换的椭圆曲线」课时是免费的吗？
是的 — 「ECDH：用于密钥交换的椭圆曲线」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cryptology Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cryptology Academy 课程共包含 4 节课。
「ECDH：用于密钥交换的椭圆曲线」这节课中我会学到什么？
应用椭圆曲线标量乘法完成 ECDH 密钥协商 你通过在浏览器中直接运行的动手代码来练习 Cryptology Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cryptology Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cryptology Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「ECDH：用于密钥交换的椭圆曲线」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cryptology Academy 课中编写并运行代码吗？
能。每节 Cryptology Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。
此课程中的所有课时
- 密钥分发问题
- Diffie-Hellman 密钥交换数学
- ECDH：用于密钥交换的椭圆曲线
- 前向保密与临时密钥交换