GO Language ECDSA проверяет действительную подпись на недействительную

Обновлять:

Я обнаружил, что в моей библиотеке эллиптических кривых C++ есть ошибка при сжатии (упорядочивании) открытого ключа (точек) в форму SEC 1, версия 2.0, раздел 2.3.3. В некоторых точках первый байт неправильный (от нечетного к четному или от четного к нечетному).

1*G     GO buffer: 0x036b17d1f2e12c4247f8bce6e563a440f277037d812deb33a0f4a13945d898c296     C++ buffer: 0x026b17d1f2e12c4247f8bce6e563a440f277037d812deb33a0f4a13945d898c296
2*G     GO buffer: 0x037cf27b188d034f7e8a52380304b51ac3c08969e277f21b35a60b48fc47669978     C++ buffer: 0x037cf27b188d034f7e8a52380304b51ac3c08969e277f21b35a60b48fc47669978
3*G     GO buffer: 0x025ecbe4d1a6330a44c8f7ef951d4bf165e6c6b721efada985fb41661bc6e7fd6c     C++ buffer: 0x035ecbe4d1a6330a44c8f7ef951d4bf165e6c6b721efada985fb41661bc6e7fd6c
4*G     GO buffer: 0x02e2534a3532d08fbba02dde659ee62bd0031fe2db785596ef509302446b030852     C++ buffer: 0x02e2534a3532d08fbba02dde659ee62bd0031fe2db785596ef509302446b030852
5*G     GO buffer: 0x0251590b7a515140d2d784c85608668fdfef8c82fd1f5be52421554a0dc3d033ed     C++ buffer: 0x0251590b7a515140d2d784c85608668fdfef8c82fd1f5be52421554a0dc3d033ed
6*G     GO buffer: 0x02b01a172a76a4602c92d3242cb897dde3024c740debb215b4c6b0aae93c2291a9     C++ buffer: 0x03b01a172a76a4602c92d3242cb897dde3024c740debb215b4c6b0aae93c2291a9
7*G     GO buffer: 0x028e533b6fa0bf7b4625bb30667c01fb607ef9f8b8a80fef5b300628703187b2a3     C++ buffer: 0x038e533b6fa0bf7b4625bb30667c01fb607ef9f8b8a80fef5b300628703187b2a3
8*G     GO buffer: 0x0262d9779dbee9b0534042742d3ab54cadc1d238980fce97dbb4dd9dc1db6fb393     C++ buffer: 0x0362d9779dbee9b0534042742d3ab54cadc1d238980fce97dbb4dd9dc1db6fb393
9*G     GO buffer: 0x02ea68d7b6fedf0b71878938d51d71f8729e0acb8c2c6df8b3d79e8a4b90949ee0     C++ buffer: 0x02ea68d7b6fedf0b71878938d51d71f8729e0acb8c2c6df8b3d79e8a4b90949ee0

Поэтому некоторые открытые ключи (точки) экспортируются как {x,-y} вместо {x,y}.

Оригинал

Открытый ключ на эллиптической кривой (EC) соответствует Стандартам эффективной криптографии (SEC), SEC 1: Криптография на эллиптических кривых в разделе 2.3.3 Преобразование точек на эллиптических кривых в строки октетов.

Открытый ключ в сжатой форме (в виде байтов) имеет первый байт как 0x02, если координата y четная. В противном случае 0x03, если координата y нечетная.

Математически, учитывая только координату x

y^2 = x^3 + ax + b (mod p)

У приведенного выше уравнения есть два решения: (x, y) и (x, -y), поскольку y^2 = (-y)^2

Кроме того, -y равно (p - y), так как это поле целых чисел по простому модулю p.

Поскольку p простое число и p!=2, p нечетно. Тогда, если y нечетно, то -y (или (p-y)) четно, и наоборот.

Алгоритм проверки ECDSA не требует координаты y открытого ключа, поскольку ему требуется только его координата x. Поэтому, когда я проверяю кортеж подписи {r,s}, я буду сверять его с открытым ключом с той же координатой x, но с другой координатой y (переворачивать с нечетного на четное или наоборот). Я действительно не знаю, почему пакет GO Language ECDSA допускает только одно из двух значений координаты y.

Вот мой пример кода ниже. Допустим, у меня есть сжатый публичный ключ в качестве буфера publicKeyBuffer[:]

Затем я могу Разархивировать его, чтобы получить координаты x и y.

    pk := new(ecdsa.PublicKey)
    pk.Curve = elliptic.P256()    
    pk.X, pk.Y = elliptic.UnmarshalCompressed(elliptic.P256(), publicKeyBuffer[:])

Мы можем проверить, является ли кортеж подписи {r,s} допустимым или нет.

valid := ecdsa.Verify(pk, hash[:], r, s)

Если подпись недействительна, т. Е. valid == false, попробуйте изменить значение pk.Y на его аналог. Вы можете сделать это двумя простыми способами.

В первом случае вы меняете первый байт буфера открытого ключа с 0x02 на 0x03 или наоборот. Вы можете добиться этого, выполнив XOR первый байт с 0x01 (просто 1).

    valid = ecdsa.Verify(pk, hash[:], r, s)

    /* The 1st way */
    if !valid {
        publicKeyBuffer[0] ^= 1 // change the y-coordinate by switching 0x02 to 0x03 (or vice versa) of public key buffer
        pk.X, pk.Y = elliptic.UnmarshalCompressed(elliptic.P256(), publicKeyBuffer[:])
        valid = ecdsa.Verify(pk, hash[:], r, s)
    }
    fmt.Println("signature verified:", valid) 

2-м способом мы меняем координату y на ее (p-y) значение, т.е. меняем ее на (-y)

    valid = ecdsa.Verify(pk, hash[:], r, s)

    /* The 2nd way */
    if !valid {
        pk.Y = new(big.Int).Sub(pk.Curve.Params().P, pk.Y) // replace y-coordinate pk.Y with (-y), Note. (-y) is equal (p - y)
        valid = ecdsa.Verify(pk, hash[:], r, s)
    }
    fmt.Println("signature verified:", valid) 

Если подпись все же недействительна, то дело не в открытом ключе Unmarshal.

P.S. Я не знаю, почему язык GO ECDSA не допускает другое значение координаты y открытого ключа.