1、ECC密码学基础：椭圆曲线数学原理、有限域上的点加与标量乘、ECC vs RSA 性能对比
各位做嵌入式开发的同行，咱们今天聊聊ECC。说实话，我刚接触椭圆曲线时也被那堆数学公式吓到过。但后来发现，在MCU上部署ECC其实没那么玄乎——你不需要成为数学家，只需要理解它怎么算、为什么快、坑在哪。
1.1 椭圆曲线到底长什么样？
先看数学定义。我们用的椭圆曲线方程是：
y² = x³ + ax + b (4a³ + 27b² ≠ 0)这个限制条件保证曲线没有尖点或自交。在实数域上，它是一条光滑曲线。但在密码学里，我们不在实数域上玩——太慢，精度也难控。我们把它搬到有限域上。
什么叫有限域？说白了就是一个元素个数有限的集合，里面的数做加减乘除结果还在集合里。MCU上最常用的是素数域 GF(p)，p是一个大素数。所有运算都在模p下进行。
关键点：椭圆曲线上的点构成一个阿贝尔群。两个点可以"相加"，结果还是曲线上的点。这个"加法"不是坐标相加，而是有几何意义的操作。
1.2 点加运算：几何直觉与代数公式
点加是ECC最核心的操作。我画个图帮你理解：
几何上，P+Q是这样算的：过P和Q画一条直线，它会和曲线交于第三点R'，然后取R'关于x轴的对称点R，R就是P+Q的结果。如果P=Q，那就画切线。
但在MCU上，我们不用几何画图，用代数公式。点加公式分两种情况：
// 情况1：P ≠ Q（点加）
λ = (yQ - yP) / (xQ - xP) mod p
xR = λ² - xP - xQ mod p
yR = λ(xP - xR) - yP mod p
// 情况2：P = Q（倍点）
λ = (3xP² + a) / (2yP) mod p
xR = λ² - 2xP mod p
yR = λ(xP - xR) - yP mod p注意：这里的除法是模逆运算，不是普通除法。在MCU上，模逆是性能瓶颈之一。我曾在STM32F4上踩过坑——直接用扩展欧几里得算法算模逆，结果点加耗时翻倍。后来改用费马小定理配合预计算，才把性能拉回来。
1.3 标量乘：ECC的核心运算
标量乘就是计算 kP，其中k是一个大整数，P是曲线上的点。说白了就是P自己加自己k次。但真要加k次，k是256位的数，MCU得算到天荒地老。
实际用的是双倍-加算法（Double-and-Add）。原理很简单：把k写成二进制，从高位到低位遍历，遇到0就倍点，遇到1就先倍点再加P。
// 双倍-加算法伪代码
function scalar_mult(k, P):
Q = 无穷远点
for i from 最高位 downto 0:
Q = double(Q) // 倍点
if k的第i位 == 1:
Q = add(Q, P) // 点加
return Q举个例子，k=13（二进制1101）：
- 初始Q=O（无穷远点）
- 第3位=1：Q=O+P=P
- 第2位=1：Q=2P+P=3P
- 第1位=0：Q=2(3P)=6P
- 第0位=1：Q=2(6P)+P=13P
256位的标量乘，只需要256次倍点和平均128次点加。比起直接加2²⁵⁶次，效率提升了天文数字级别。
我的经验：在Cortex-M4上实现时，我建议把基点P的坐标预计算成雅可比投影坐标。这样能避免每次点加都做模逆，把模逆次数从O(n)降到O(1)。我曾在项目中用这个优化，把一次ECDSA签名从12ms降到3.8ms。
1.4 ECC vs RSA：性能对比
很多初学者问我：ECC到底比RSA快多少？咱们用数据说话。以常见的MCU（Cortex-M4 @ 168MHz）为参考：
| 操作 | ECC-256 (secp256r1) | RSA-2048 | 性能比 |
|---|---|---|---|
| 密钥生成 | ~2 ms | ~80 ms | ECC快40倍 |
| 签名 | ~4 ms | ~2 ms | RSA稍快 |
| 验签 | ~8 ms | ~0.3 ms | RSA快26倍 |
| 密钥长度 | 32字节 | 256字节 | ECC小8倍 |
| 安全强度 | ~128位 | ~112位 | ECC更高 |
看到没？ECC签名比RSA慢，但验签快得多。密钥和证书也小得多。在IoT场景下，设备端做签名（比如固件更新签名），服务器端做验签——这正好发挥ECC的优势。
但有个坑：ECC验签比RSA慢。为什么？因为验签需要做两次标量乘（u1*G + u2*Q），而RSA验签只需要一次模幂运算。我曾在项目中遇到设备验签耗时过长的问题，后来改用预计算+窗口法优化，才把验签时间压到可接受范围。
选型建议：
- 资源受限的MCU（Flash < 128KB）：优先ECC，密钥小、握手快
- 需要频繁验签的服务器：RSA更合适
- 安全等级要求高：ECC-256 ≈ RSA-3072，但ECC密钥小得多
- 兼容性要求高：RSA仍是主流，但ECC正在快速普及
1.5 本章小结
咱们把这一章的核心点捋一捋：
- 椭圆曲线在有限域GF(p)上构成一个循环群，点加是群运算
- 标量乘用双倍-加算法实现，复杂度O(log k)
- ECC-256的安全强度相当于RSA-3072，但密钥只有32字节
- ECC签名快、验签慢，RSA正好相反——选型要看场景