什么是 Elliptic Curve Discrete Logarithm Problem (ECDLP)？
Elliptic Curve Discrete Logarithm Problem (ECDLP) 是在你只知道椭圆曲线上的两个点 G 和 P，且 P 等于 k 乘以 G 时，找出秘密数字 k 的问题。从 k 得到 P 很容易也很快，但从 P 逆推到 k 就像试图把奶昔还原回原料：味道很好，但难以逆转。
误解
人们常以为 Elliptic Curve Discrete Logarithm Problem (ECDLP) 与经典的离散对数问题完全相同，因此任何已有的捷径都能破解它。事实并非如此：曲线带来特殊性，目前尚未在 密码学 中发现针对该情形的亚指数级攻击。
Elliptic Curve Discrete Logarithm Problem (ECDLP) 的工作流程
下面是你在曲线上创建密钥对或验证交易时实际使用的流程。
- 步骤 1：你选择一个秘密数字 k 和曲线上一个公用基点 G（安全曲线）。
- 步骤 2：你通过重复点加法计算 P 等于 k 乘以 G。把 G 想象成一个跳跃，P 就是跳 k 次后落到的位置。
- 步骤 3：所有人都能看到 G 和 P。挑战在于从它们中恢复出 k。这就是难题所在。
- 步骤 4：已知的攻击复杂度大致按群大小的平方根增长，对实际使用的曲线来说仍然非常缓慢。
- 步骤 5：这种单向性正是 椭圆曲线密码学 (ECC) 在短密钥下发挥作用的原因。
简短来说：正向容易，逆向极其困难。
为什么 Elliptic Curve Discrete Logarithm Problem (ECDLP) 很重要
你为什么要关心？因为它关系到你的币和登录，比你想象的要多。
- 好处：它允许区块链使用更短的密钥达到相同的安全性，从而节省字节并加快验证。
- 视角：比特币、以太坊及许多钱包依赖 数字签名，这些签名依靠该难题的难度来保护资金安全。
- 相关性：当节点检查交易、去中心化应用验证消息或多签钱包签名时，你都会遇到它。
提示
保护你的随机数并且绝不重用签名随机数，把你的 加密密钥 当作重要资产。随机数管理不当可能导致 k 泄露，而无需有人去解决那个难题。
Elliptic Curve Discrete Logarithm Problem (ECDLP) 的主要特性
一目了然的区别点：
- 难：已知 G 和 P 后，在标准曲线和常用参数下找回 k 在计算上非常困难。
- 紧凑：与 RSA 相比，可以用更短的密钥获得同等安全性，从而使区块和消息更小。
- 量子：大型量子计算机运行 Shor 算法可能破解它，这也是后量子研究活跃的原因。
变种
这个问题会出现在不同的曲线家族上。相同的概念，不同的数学细节。
- 素数域：在比特币和以太坊中常用的曲线。
- 二元域：在一些协议和硬件相关设置中出现的曲线。
- Edwards：Edwards 风格曲线提供快速、安全的运算和简洁的公式。
- Koblitz：特殊曲线允许加速，但需要谨慎选择参数。
提醒
安全性来自安全的曲线选择和正确的实现。攻破一个薄弱的部署并不意味着所有曲线都不安全，签名中的随机数错误会泄露秘密，即便该难题依然难以攻克。
示例
当比特币钱包通过将私有数字 k 与曲线基点 G 相乘导出公钥时，你可以广泛分享该公钥，因为从该公钥恢复 k 在计算上不可行。
趣闻
研究人员已经用大型团队和数月计算破解了玩具规模的曲线挑战，群大小约一百位，而常用曲线如 secp256k1 远超那个范围。另外，未来的量子突破可能改变局面，这也是后量子签名备受关注的原因。
总结
把它看作一种单向数学，让链上系统更信任数学而非中间人，奢侈品遇上网络讨论串。