secp256r1比secp256k1更安全吗？

Question

曲线secp256r1和secp256k1都是在各种非对称密码学中使用的两种椭圆曲线的例子。

谷歌搜索这些节目的结果大多与比特币相关。我听说过…

Satoshi选择了非标准密码，传统的智慧说它将在5-10年后被破解。

有这一讨论关于bitcointalk与不同的意见，双方的论点(也请参阅这篇文章)。我想把它从比特币中移开，进入一般的密码学问题:在某种意义上，secp256r1确实比secp256k1更安全吗？

Answer 1

主要的区别是secp256k1是一条Koblitz曲线，而secp256r1不是。众所周知，Koblitz曲线比其他曲线要弱一些，但是由于我们谈论的是256位曲线，除非有突破，否则在"5-10年“内都不会被破坏。

另一个不同之处是如何选择参数。在secp256r1中，它们被认为是随机数，然而，不可能证明这是真的。参见伯恩斯坦和兰格的这些幻灯片，以获得易于理解的治疗。

另一方面，Koblitz曲线的参数选择为相对僵化。注释中链接到的帖子运行程序对为什么选择它们有解释。

因此，我要说的是风险是不同的，而不是说一个更安全。如果曲线没有后门或偶然的弱点，两者都是安全的。除非您碰巧拥有一台中等大小的量子计算机，它只能够管理其中一台，而不能管理另一台，否则这几个额外的安全secp256r1就不重要了。借壳secp256r1曲线会更容易，但另一方面，Koblitz曲线作为一个类可能在某种程度上是完全弱的，目前还不知道。

也就是说，选择哪一种有点主观。如果您不喜欢Koblitz曲线，但担心secp256r1是反向的，则始终可以选择使用其他根据您喜欢的标准设计的曲线。(当然，您不能更改BTC使用的内容。)

Answer 2

以下是大量关于各种曲线的硬数据，分析得很好，并以一种可读的方式总结了这些发现：

http://safecurves.cr.yp.to/

这篇来自这个答案的文章并没有达到相同的分析标准，我认为，这篇文章具有欺骗性，无论是恶意的(不太可能的)，还是仅仅因为缺乏对基础研究方法的理解。

Answer 3

首先，secp256r1是随机的，secp256k1是Koblitz曲线。因此，根据这篇文章：

应避免Koblitz曲线，...，因为它们对密码分析活动没有足够的保证，实际上它们是：

• 不是国安局套房-B密码选择的一部分
• 非ECC脑池选择的一部分
• 非ANSI X9.62选择的一部分
• 不属于OpenPGP ECC扩展选择的一部分
• 非ECC曲线选择Kerberos扩展的一部分