ECDSA 算法有多強？

一些加密算法與其密鑰的大小一樣強大，而另一些則具有一些限制其強度的弱點（例如 SHA-1）。ECDSA 算法的強度如何，這種強度是否取決於任何因素（例如，使用的曲線等）？

首先，我不是這方面的專家。一般來說 $ n $ bit ECC 的安全級別似乎約為 $ n/2 $ ，但我發現有人聲稱它對於某些類型的曲線較低。

---

RFC4492 - 橢圓曲線加密 (ECC) 密碼套件包含下表：

              for Transport Layer Security (TLS)

               Symmetric  |   ECC   |  DH/DSA/RSA
              ------------+---------+-------------
                   80     |   163   |     1024
                  112     |   233   |     2048
                  128     |   283   |     3072
                  192     |   409   |     7680
                  256     |   571   |    15360

它似乎無法區分不同的曲線類型。

---

我發現了一個聲稱以下安全級別的RFC 草案（不是真正的標準 RFC）：

Symmetric  |  ECC2N  |  ECP  |  DH/DSA/RSA
      80  |   163   |  192  |     1024
     128  |   283   |  256  |     3072
     192  |   409   |  384  |     7680
     256  |   571   |  521  |    15360

這與其他將 ECC 的安全級別置於 $ n/2 $ . 二元曲線似乎比素數曲線差一些。

部落格條目並非每條橢圓曲線都是相同的：ECC 安全性的低谷詳細闡述：

此外，大多數人不知道但與我們的分析極為相關的是，存在不同類型的 ECC 曲線加密，它們的“大小”根據曲線的類型而有所不同：

• Prime Field 上的 ECC 曲線（通常稱為橢圓曲線，由 P-keysize 表示）
• 二進制場上的 ECC 曲線（通常稱為 Koblitz 曲線，由 K-keysize 表示）

鑑於安全強度等效，橢圓曲線和 Kobliz 曲線具有不同的密鑰大小，例如，當我們閱讀 ECC 571 時，我們指的是具有與 ECC 521 Prime 曲線等效強度的 Koblitz 曲線。

對於某些曲線（如超奇異曲線），存在特定的攻擊，這使得它們明顯變弱。

引用自：https://crypto.stackexchange.com/questions/2482