标量乘法与 ECDLP
理解重复点加法，以及为何逆运算十分困难
标量乘法与 ECDLP 是 CoddyKit 上的免费 Cryptology Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cryptology Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cryptology Academy 课程共包含 4 节课。
欢迎
标量乘法是 EC 的核心运算：通过反复应用群运算来计算 k×P。ECDLP——已知 k×P 求 k——是保障所有椭圆曲线密码学安全性的困难问题。
标量乘法定义
k×P = P + P + ... + P（共 k 次）。当 k=4 时：4P = P+P = 2P；2P+2P = 4P。当 k=2^256 时，直接迭代是不可行的。我们需要一种高效算法。
倍加算法
类似于平方乘法：\n对 k 从 MSB 到 LSB 的每一位执行：\n R = 2R（倍加）\n 如果该位为 1：R = R + P（加法）\n\nO(log k) 次群运算；对于 P-256 约为 O(256)。
示例：13×P
13 = 1101（二进制）\n开始：R = P\n1：R = 2P+P = 3P（该位为 1）\n0：R = 6P\n1：R = 12P+P = 13P ✓\n\nk=13 时需要 4 次倍加和 2 次加法。
椭圆曲线离散对数问题（ECDLP）
给定曲线上的点 G 和 Q = k×G，求 k。\n正向：容易（O(log k) 次运算）\n逆向：对于密码学曲线，尚无已知的多项式时间算法\n最佳一般算法：Pollard rho 算法，复杂度为 O(√n)；对于 P-256 约为 2^128。
ECDLP 为何比 DLP 更难
经典 DLP（g^k mod p）：指数演算算法可以在亚指数时间内运行。ECDLP：对于一般椭圆曲线，尚无已知的指数演算等价算法。密钥长度相同，但问题难度高得多。
Pohlig-Hellman 攻击
如果群的阶含有较小的素因子，就可以在每个子群中高效地求解 ECDLP。防御措施：使用群的阶为素数或接近素数的曲线；避免使用具有小子群的曲线。
MOV 攻击
MOV 攻击通过 Weil 配对，将 ECDLP 映射为有限域中的 DLP。它仅适用于超奇异曲线（嵌入次数 k=1,2）。所有 NIST 曲线都能抵抗 MOV 攻击。
常数时间标量乘法
朴素的倍加算法会通过计时信息（有条件的加法步骤）泄露 k。请使用 Montgomery 梯或组合算法，使其无论密钥位是什么，都执行相同的运算。对于安全实现而言，这是必不可少的。
ECDLP 安全级别
P-192：96 位安全性（已被 NIST 弃用）\nP-224：112 位安全性\nP-256：128 位安全性（当前标准）\nP-384：192 位安全性\nP-521：260 位安全性\nCurve25519：128 位安全性
从 ECDLP 到 ECDH 的安全性
ECDH 的安全性归约到 ECDLP：如果您能够求解 ECDLP（从 A=a×G 中求出 a），就可以计算共享秘密。计算 Diffie-Hellman 假设（CDH）认为这是困难的。
快速检查
对于群的阶为 n 的 ECDLP，最佳一般算法（Pollard rho）的时间复杂度是多少？
回顾
标量乘法和 ECDLP 已经理解。接下来我们将比较标准曲线：P-256、Curve25519 和 secp256k1。
常见问题解答
「标量乘法与 ECDLP」课时是免费的吗？
是的 — 「标量乘法与 ECDLP」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cryptology Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cryptology Academy 课程共包含 4 节课。
「标量乘法与 ECDLP」这节课中我会学到什么？
理解重复点加法，以及为何逆运算十分困难 你通过在浏览器中直接运行的动手代码来练习 Cryptology Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cryptology Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cryptology Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「标量乘法与 ECDLP」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cryptology Academy 课中编写并运行代码吗？
能。每节 Cryptology Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。