以太坊的ecrecover预编译合约-Toy模板网

这篇具有很好参考价值的文章主要介绍了以太坊的ecrecover预编译合约。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

1. 引言

前序博客：

ECDSA VS Schnorr signature VS BLS signature

ECDSA，全称为Elliptic curve Digital Signature Algorithm，采用Elliptic curve cryptography来实现的数字签名算法。

公私钥对 $(p k, P)$ ，其中公钥 $P=pk\times G$ ， $G$ 为所选椭圆曲线的base point。（elliptic curve base point: a point on the curve that generates a subgroup of large prime order $n$ 。 $n\times G=\mathcal{O}$ , $\mathcal{O}$ is the identity element。）

1.1 ECDSA签名

ECDSA对消息 $m$ 的签名流程为：

1）计算消息 $m$ 的hash值： $e = ha s h (m)$ 。（hash函数可为SHA-2，输出转换为数值。）
2）若group order $n$ 的bit length为 $L_n$ ，则取 $e$ 值最左侧的 $L_n$ bits赋值给 $z$ 。（注意， $z$ 值可以比 $n$ 大，但bit length不能比 $n$ 的长。）
3）选择随机数 $k\in_R [1,n-1]$ 。（注意，不信任一般的随机数生成器，因为不好的RNG有太多的failures和vulnerabilities，可采用RFC6979 根据 $p k$ 和 $m$ 来计算deterministic $k$ 。）（如：2013年8月，安卓Bit0coin钱包因使用了错误的随机数生成器，引起私钥泄露，导致资金损失；2010年12月，索尼PS3游戏机因错误的使用了静态而不是随机的 $k$ 值，导致其ECDSA私钥泄露。）
4）计算curve point $(x_1,y_1)=k\times G$ 。
5）计算 $r=x_1\mod n$ ，若 $r = 0$ ，则跳转继续执行步骤3）。
6）计算 $s=(z+r\cdot pk)/k \mod n$ ，若 $s = 0$ ，则跳转继续执行步骤3）。
7）最终的签名为 $(r, s)$ 。（注意， $(r,-s\mod n)$ 也为有效签名。）
【根据 BIP-62 以及EIP-2可知，为了解决ECDSA签名的malleability问题，可对签名中的 $s$ 值进行约束，限定 $s$ 值不高于曲线order的一半。】

整个ECDSA签名流程中，要求：

$k$ 值应为secret。
不同的签名应选择不同的 $k$ 值，否则会泄露私钥 $p k$ 。

1.2 ECDSA验签

对收到的签名 $(r, s)$ ，采用公钥 $P$ 进行验签的流程为：

1）验证公钥 $P$ 不等于identity element $\mathcal{O}$ ，且为其坐标为valid。
2）验证公钥 $P$ lies on the curve。
3）验证公钥 $P$ 的order为 $n$ ，即 $n\times P=\mathcal{O}$ 。
4）验证签名 $(r, s)$ 有效，即满足 $r\in [1,n-1],s\in [1,n-1]$ 。
5）计算消息 $m$ 的hash值，所采用的hash函数应与签名时一致。 $e = ha s h (m)$ 。
6）取 $e$ 的最左侧 $L_n$ bits赋值给 $z$ 。
7）计算 $u_1=z/s\mod n,u_2=r/s\mod n$ 。
8）计算curve point $(x_1,y_1)=u_1\times G+u_2\times P$ 。若 $(x_1,y_1)=\mathcal{O}$ ，则签名无效。
9）若 $r\equiv x_1(\mod n)$ 成立，则签名有效，否则签名无效。

注意，以上ECDSA验签算法可做如下改进：

只计算一次 $1/s\mod n$ 。
使用Shamir’s trick，a sum of two scalar multiplication $u_1\times G+u_2\times P$ can be calculated faster than two scalar multiplications done independently。（参考2014年论文《The Double-Base Number System in Elliptic Curve Cryptograhy》）

ECDSA总的签名和验签流程可以如下图示意：
以太坊的ecrecover预编译合约

1.3 ECDSA的public key recovery

ECDSA也支持public key recovery算法，前提是提前知道签名方的公钥或者公钥hash值，否则有可能恢复出错误的公钥信息。
以太坊的ecrecover预编译合约

以太坊在0x01地址实现了ecrecover预编译合约，其函数原型为：

function ecrecover(bytes32 hash, bytes8 v, bytes32 r, bytes32 s) returns (address);

ecrecover会返回根据给定的签名计算ECDSA recovery函数获得的地址address。
solidity合约中的调用示例为：

function recoverSignerFromSignature(uint8 v, bytes32 r, bytes32 s, bytes32 hash) external {
    address signer = ecrecover(hash, v, r, s);
    require(signer != address(0), "ECDSA: invalid signature");
}

在以太坊交易中，最后的65字节为ecdsa签名，依次为：

32字节的 $r$
32字节的 $s$
1字节的 $v$ ：其中 $v$ 为recovery identifier。根据以太坊黄皮书可知， $v$ 的取值范围为27~30（即0x1b~0x1e）。

参考资料

[1] What is ecrecover in Solidity?
[2] Ethereum Virtual Machine (EVM) ECRECOVER PRECOMPILED CONTRACT
[3] Ethereum Digital Signatures
[4] ECRecover and Signature Verification in Ethereum
[5] ECDSA Malleability
[6] Precompiled
[7] ECDSA: Elliptic Curve Signatures文章来源地址https://www.toymoban.com/news/detail-434754.html

到了这里，关于以太坊的ecrecover预编译合约的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！