BONDLY:密码专栏 | 动手计算双线性对（下）_BON

前言

上一篇文章中，我们在"F_101"上找到了17个点满足椭圆曲线方程，他们构成一个循环。那么在"F_101"中元素作为坐标的点中还有没有其他的点也满足方程呢？换句话说，上篇文章列出的17个点是不是就是满足方程的全部的解呢？并非如此，比如可以验证(3,38)也满足椭圆曲线的方程，但是他不是上面17个点中的一个。另一个子群

实际上，我们甚至可以通过将(6,44)作为生成元来得到一个102个元素的循环群，这个循环群涵盖了曲线在"F_101"上的全部点。但是，曲线在"F_101"上的循环周期为17的循环群却只有中篇列出的一个，也就是说在"F_101"上讨论的话，循环周期为17的点已经被我们全部找到了。

在中篇中，我们也提到数域的扩张会直接影响我们需要讨论的点的多少，那么如果我们对"F_101"进行扩张，是否能够得到更多的循环周期为17的点呢？METASTATE的博客中给出这样一个例子，我们将用这个例子说明这个命题的真假。首先我们选择满足j^2mod17=15的j用于对"F_101"的扩张，过程就像我们上一篇文章中进行的那样，扩张后的域记为“F_101的二次扩域”。在这个扩张下，我们可以找到另一个循环周期为17的群，下面的表格列出这个群的全部元素：

密码管理平台LastPass部分源码泄露，暂无安全风险:8月26日消息，密码管理平台LastPass发布公告，部分源代码和一些专有的LastPass技术信息泄露，但表示用户数据及保管库中密码无安全风险。目前已部署了遏制和缓解措施，并聘请了一家领先的网络安全和取证公司。[2022/8/26 12:49:47]

我们随机选择(66,0+23j)这个元素来验证其满足曲线方程：

左侧：y^2mod101=^2mod101=23×15mod101=42

右侧：x^3+3mod101=41^3=3mod101=42

左侧等于右侧，验证完毕。

在发现通过域扩张后还能找到更多的17阶点后，我们不禁会想：

Bondly Finance官方：原CEO密码账户被盗导致被攻击，将对新BONDLY代币推出多签合约:官方消息，数字收藏品市场平台BondlyFinance发布此前遭攻击的分析报告，经过初步调查，Bondly Finance认为，攻击者通过精心策划的策略获得了属于Bondly首席执行官BrandonSmith的密码帐户的访问权限。密码帐户包含他的硬件钱包的助记词恢复短语，复制后允许攻击者访问BONDLY智能合约，以及也被泄露的公司钱包。Brandon保持对Bondly大部分企业钱包的独家访问权。这些钱包包括所有去中心化交易所流动性池代币、投资账户代币、抵押储备代币、生态基金代币、工资单、公司储备金、所有NFT钱包和Opensea储备金。下一步，Bondly将继续跟进追踪调查并将在适当的时候公布更多结果。Bondly将为修订后的BONDLY代币推出一个完全安全的多签ERC20合约，并根据事件发生前拍摄的快照向所有者提供新代币。正在考虑针对黑客攻击后购买代币的人采取其他补救措施，并将在未来的通讯中详细说明。此前消息，数字收藏品市场平台Bondly Finance发推称，其联合创始人Harry Liu将担任该组织的首席执行官，原CEO Brandon Smith目前主动要求暂停职务，并辅助追踪黑客。[2021/7/20 1:04:41]

继续对”F_101的二次扩域”进行扩张，能否找到更多的17阶点呢？

HyperPay钱包引入基于ECDSA算法的门限签名密码技术:据官方消息，HyperPay钱包日前引入了基于ECDSA算法的门限签名高级密码技术，并在高安全硬件密码机中应用，升级钱包链上链下服务安全性能。该套技术方案通过多台HSM加密交互，联合算出最终签名，避免链上多签漏洞，降低链上多签手续费。

这是业内首次实现将TSS技术和HSM技术结合，打造出最高安全等级的托管产品和钱包产品。该技术的应用，可有效规避类似2017年Ethereum爆发的因多签合约漏洞造成的上亿美金损失的案例。[2020/7/22]

或者是：为了找到全部的17阶点，我们需要对F_101进行几次扩张呢？

嵌入度其实就是描述这个问题的一个概念。E是定义在F_101上的椭圆曲线，我们已经有一个包含n=17个点的子群，我们称这个子群的嵌入度是满足17整除q^k-1的最小的k。在这个例子中，k=2。计算嵌入度的价值在于事实证明，当对F_101进行扩张以期其上的椭圆曲线包含全部17阶点时，最小的扩张次数就等于嵌入度。也就是说在”F_101的二次扩域”上，我们已经找到全部的17阶元素。

动态 | Block.one发文“区块链将作为密码不安全性的解决方案”:据IMEOS报道，Block.one在中平台发表文章“区块链将作为密码不安全性的解决方案”。文章主要描述密码的不安全性和区块链如何创建更安全，无密码的体验。提到，根据Deloitte 2018年的全球区块链调查，84％的公司高管认为基于区块链的解决方案比传统的信息技术更加安全。[2019/2/1]

Millier循环

下面给出计算双线性映射的Millier算法，当计算e(P,Q)时，该算法根据P的坐标创建一个二元多项式，然后将P坐标的x和y分量带入求值：

METASTATE的博客中作者已经计算了e((1,2),(90,82u))点的结果为97+89j。我们给出另外一个计算的例子，并且稍后通过对比这两个例子的结果说明双线性对的一些属性。

现场 | 元道：通证是凝结在密码学基础设施上的人类共识符号:金色财经现场报道，在中国区块链行业发展论坛现场，中关村区块链产业联盟理事长、通证派创始人元道表示，行业数字化通证第一、区块链第二。通证是凝结在密码学基础设施上的人类共识符号，全球发行，全球流通。通证应用在于：第一、协作，行业上下游的强协作激励机制（包括负激励）；第二、品牌，通证全球流通，便于建立全球品牌；第三、组织，新一代行业协会，社群自治组织。自金融，自带金融的数字化变革，从自媒体到自金融。[2018/7/11]

其中f_17是二元的多项式，通过一个称为Millier循环的过程我们可以生成该多项式，这个过程类似于计算指数运算时的mul-and-square操作。但是为了更直观的展示原理，我们选择根据上文定义直接展开计算f_17，这会增加一些计算量。

因此我们需要计算

的表达式。通过查询上一篇文章的列表我们可以找出P，±2P，±4P，±8P,±16P的值,其中P=(12，32)=5G：

接下来我们来计算这些直线的方程：

这样我们已经可以计算f_17的结果：

最后我们计算(81+52j)^600

完全解决curve101配对问题

实际上，我们可以计算出GT的生成元e(G1,G2)，也就是e((1,2),(36,31j))，其值为7+28j。这样我们能够完全掌握GT中全部的元素：

可以看到GT也是一个循环群，他其实是在“F_101的二次扩域”上满足方程x^17=1的17个根。根据该表我们不加以计算就可以知道这个配对的任何一个计算结果，例如e((12,32),(36,31u))=e(5G1,G2),因此其值就是上表的第5个元素：93+25j。我们之所以能够完全解决curve101的配对问题，是因为curve101的一系列参数决定其足够简单，而实际零知识证明算法中使用的配对就要复杂很多。例如一些标准中要求其配对曲线的嵌入度至少为12，这意味着GT的元素至少是基础素域的12次扩张！如果其素域特征为常见的256位，那么为了表示一个GT元素就需要256*12/8=384字节的大小。对于任何一个实际使用的曲线，其计算复杂度和规模都使我们当前绝无可能计算出其映射表，这也是离散对数问题困难的所在。

通过系列文章，我们计算了一个简单的配对曲线，加深了对双线性映射的理解。后续，我们继续使用这个配对曲线来讲解和演示零知识证明中Groth16算法的过程和原理，敬请期待。

乔沛杨趣链科技基础平台区块链底层密码学小组

标签：BONDLYBONDNDLBONbondly币什么时候恢复交易WBONDbondly币什么时候恢复交易Carbon Browser

莱特币最新价格热门资讯