python-ecdsa 签名大小是否正确？

Question

在比特币维基上，我发现比特币使用 ECDSA 算法和 Secp256k1 曲线。

相关链接：

• https://en.bitcoin.it/wiki/Elliptic_Curve_Digital_Signature_Algorithm
• https://en.bitcoin.it/wiki/Secp256k1

在第一个链接上，它说私钥应该是 32 个字节，公钥应该是 64 个字节，签名通常在 71-73 个字节之间。它说签名可以小概率变小。

但是，当我运行以下 python3 代码时

>>> from ecdsa import SigningKey, SECP256k1
>>> private_key = SigningKey.generate(curve=SECP256k1)
>>> public_key = private_key.get_verifying_key()
>>> signature = private_key.sign(b'message')
>>> print((len(private_key.to_string()), len(public_key.to_string()), len(signature)))

我得到 (32, 64, 64) 作为输出。我希望得到类似 (32, 64, 72) 的东西。

我认为正在发生以下情况之一：

• 我误解了 wiki 文章。
• 我错误地使用了 python-ecdsa
• 比特币维基不正确
• python-ecdsa 未正确实现

前两个是最有可能的。

谁能向我解释为什么我的预期与实际得到的不匹配？

Answer 1

ECDSA 签名由两个数字 r 和 s 组成，它们是 [1..n-1] 范围内的数字，其中 n 是曲线的阶数。 n 是 [2^(k-1)..2^k-1] 范围内的（已知）数字，其中 k 是密钥大小。因此 r 和 s 的大小通常与密钥大小（以字节为单位）相同，有时会小一些。

现在r和s可以有多种编码方式，其中常见的有两种：

1. r 和 s 被 DER 编码为 ASN.1 序列中的两个 ASN.1 签名的 INTEGER 类型。
2. r 和 s 被编码为两个静态大小的无符号整数，其大小与密钥大小（或顺序）相同以八位字节或字节为单位。

所以大小的差异只是因为值 r 和 s 的编码不同。当然，在验证签名之前，你需要知道编码的类型。

由于 r 和 s 完全独立于编码，因此在两个版本之间进行转换相对简单（如果您可以将需要生成或解析 DER 编码的 ASN.1 结构的任何内容称为“简单”）。

类型 1 已在 ANSI X9.62 中标准化，类型 2（通常称为平面编码）通常用于嵌入式平台或智能卡。

---

r 和 s 非常可能与 n / 密钥大小相同，但原则上，它们可以是例如一个数字 3。这种情况发生的机会非常小。但是，您应该不对 r 和 s 的大小执行任何测试。如果它们中的任何一个比 8 字节小，那么您可能会开始摸不着头脑，因为发生这种情况的可能性在 1/2^63 和 1/2^64 之间，即极不可能。

---

所以：

• 我误解了 wiki 文章。

不，wiki 文章假定 ANSI X9.62 的标准化编码。

• 我错误地使用了 python-ecdsa

不，python-ecdsa 包只是使用了不同的编码，你很惊讶。

• 比特币维基不正确

不，比特币 wiki 假定为他们的协议选择了特定的编码。

• python-ecdsa 未正确实现

绝对不是；至少与签名的大小无关。

---

现在了解实现细节；文档中有以下内容：

还有多种表示签名的方式。默认的 sk.sign() 和 vk.verify() 方法将其显示为一个短字符串，以简化和最小化开销。要使用不同的方案，请使用 sk.sign(sigencode=) 和 vk.verify(sigdecode=) 参数。 “ecdsa.util”模块中有一些帮助函数在这里很有用。

所以尝试使用sigencode=sigencode_der 来获取wiki 文章所期望的格式。 util.py 源包含您可能需要的所有转换。它使用number_to_string 创建静态大小的数字。此函数在 PKCS#1 (RSA) 中也称为 I2OSP 或 Integer to Octet String 原语。请注意，代码中的“字符串”指的是 八位字节字符串，也称为 字节数组，而不是文本字符串。

Answer 2

python-ecdsa 唯一的问题是性能，因为它太慢了。

更好的库：starkbank-ecdsa

如何安装：

pip install starkbank-ecdsa

使用方法：

# Generate Keys
privateKey = PrivateKey()
publicKey = privateKey.publicKey()

message = "My test message"

# Generate Signature
signature = Ecdsa.sign(message, privateKey)

# Verify if signature is valid
print Ecdsa.verify(message, signature, publicKey)

完整参考：https://github.com/starkbank/ecdsa-python