Dạng phương trình chữ ký số đường cong elip có thể đơn giản hơn không?

Tôi tò mò tại sao các phương trình để ký/xác thực với ECDSA lại có các dạng như vậy. Có thể sử dụng phương trình đơn giản hơn có cùng tính chất.

Ví dụ: đây là một phương trình tôi tìm thấy trong cuốn sách về Bitcoin:

$$ s = (z + lại)/k $$ ở đâu,

$r = x\_coordinate\_of(k \cdot G)$,

$e$ - khóa riêng,

$z$ - băm tin nhắn,

$k$ - số ngẫu nhiên,

$(s, r)$ - Chữ ký

Điều thú vị là bài báo gốc cho ECDSA sử dụng một công thức hơi khác một chút:

$$ s = k / (z + lại) $$

Câu hỏi

Nhưng có thể sử dụng một cái gì đó đơn giản hơn? Ví dụ:

$$ s = k/ze $$

Và sau đó chúng ta có thể kiểm tra tính hợp lệ mà phương trình tiếp theo nắm giữ:

$$ s \cdot z \cdot P = r, $$ ở đâu $P = e \cdot G$ là khóa công khai.

Tại sao chúng ta cần kết hợp $r$ trong công thức? Và tại sao nó nên được kết hợp thông qua phép cộng, mà không phải phép nhân chẳng hạn?

Vấn đề ở đây là kiến ​​thức về khóa riêng sẽ không cần thiết để tạo chữ ký. Nói cách khác, việc sản xuất đồ giả sẽ rất tầm thường.

Nếu quá trình xác minh là $$\mathrm{x\_coordinate}(szP)=r$$ sau đó tôi có thể chỉ cần chọn bất kỳ giá trị nào của $s$, tính toán RHS và tuyên bố rằng $r$ giá trị cho chữ ký của tôi. Lưu ý rằng kiến ​​thức về $e$ đã không được sử dụng.

Tương tự, nếu quá trình xác minh là $$\mathrm{x\_coordinate}(srzP)=r$$ Tôi có thể chọn bất kỳ giá trị nào của $t$, tính toán $tzP$ và chọn $x$-phối hợp cho $r$ sau đó thiết lập $s=t/r$.

Bằng cách không bao gồm cả hai $G$ và $P$ trong quá trình xác minh, về cơ bản bạn loại bỏ mọi sự phụ thuộc vào $e$. Các vấn đề tương tự phát sinh với lỗ hổng đường cong.