ECDSA（橢圓曲線數位簽章演算法）

什麼是 ECDSA？

ECDSA 是 Elliptic Curve Digital Signature Algorithm（橢圓曲線數位簽章演算法）的縮寫。

這是一種使用橢圓曲線數學建立及驗證數位簽章的公開金鑰密碼學演算法。

加密貨幣錢包會使用 ECDSA 證明交易已獲得特定私鑰持有者授權。

私鑰用來建立簽章，相對應的公鑰則讓區塊鏈節點驗證簽章。

驗證期間不需要揭露私鑰。

有效的 ECDSA 簽章也能證明簽署後的交易資料未曾遭到修改。

目前的 NIST 數位簽章標準將 ECDSA 列為適用於其涵蓋之聯邦密碼學應用的核准數位簽章技術。

ECDSA 是一種演算法，不是區塊鏈、錢包、加密貨幣、加密方法或橢圓曲線。

完整實作還需要選定曲線、域參數、雜湊函數、私鑰產生方法、簽章編碼及訊息格式規則。

加密貨幣為什麼使用 ECDSA

去中心化加密貨幣網路必須在不依賴單一中心帳戶資料庫的情況下驗證支出授權。

ECDSA 讓每位使用者能透過秘密私鑰控制帳戶或可支出的輸出。

使用者要轉移加密資產時，錢包會建立交易並簽署所需的交易資料。

其他網路參與者會使用公鑰及協議驗證規則檢查簽章。

在目前的傳統運算假設下，若簽章產生正確，沒有私鑰就極難偽造簽章。

因此，區塊鏈節點可以拒絕未經授權的轉帳，同時讓有效交易在公開網路中傳送。

在相近的傳統安全強度下，ECDSA 的金鑰與簽章也比某些較舊的公開金鑰系統精簡。

精簡的簽章很重要，因為每增加一個位元組，都可能提高網路頻寬、區塊鏈儲存及交易成本。

ECDSA 是簽章演算法，不是加密

ECDSA 可以證明授權及訊息完整性，但不會隱藏簽署資料。

大多數公開的加密貨幣交易仍會向區塊鏈參與者公開，即使交易包含 ECDSA 簽章也是如此。

簽章不會加密收款地址、轉帳金額、交易費或智能合約指令。

加密會將可讀資訊轉換為密文，必須使用解密金鑰才能還原。

ECDSA 則會產生數學證據，證明私鑰已授權特定訊息。

隱私必須透過其他密碼學技術、協議設計或應用程式控管來提供。

橢圓曲線基礎

ECDSA 在由有限域上橢圓曲線點形成的數學群組中運作。

常見的曲線形式寫作

，所有座標計算都採用模算術。

曲線的域參數會定義有限域、曲線係數、產生點、產生點階數及餘因子。

產生點通常以

表示。

產生點的階數通常以

表示。

安全的實作會採用標準化且經過仔細分析的參數，而不是為單一應用自行建立新曲線。

NIST 橢圓曲線域參數建議記載該標準涵蓋之應用所核准的曲線。

私鑰與公鑰

ECDSA 私鑰是秘密整數，通常以

表示。

其數值必須在有效範圍 1 至

之間。

公鑰是透過橢圓曲線純量乘法計算而得。

兩者的關係通常寫作

。

根據

與 計算 是有效率的。

若曲線安全且金鑰產生正確，從

還原 被認為在運算上不可行。

這種單向關係建立在橢圓曲線離散對數問題的困難度上。

任何取得私鑰的人都能產生有效簽章，通常也能控制相關加密資產。

什麼是 secp256k1？

secp256k1 是加密貨幣中最常與 ECDSA 聯想到的橢圓曲線。

Bitcoin 傳統交易簽章及 Ethereum 外部擁有帳戶簽章都會使用這條曲線。

其曲線方程式為大質數有限域上的

。

該曲線的有限域大小與群組階數都接近 256 位元。

其估計的傳統安全等級通常描述為可抵禦通用離散對數攻擊的約 128 位元安全性。

secp256k1 與 NIST P-256 不同，儘管兩者都常被稱為 256 位元橢圓曲線。

以其中一條曲線建立的金鑰與簽章，不能直接用另一條曲線驗證。

持續維護的 libsecp256k1 專案為 secp256k1 提供經最佳化的 ECDSA 簽署、驗證、金鑰產生、解析及公鑰還原功能。

ECDSA 簽章如何建立

簽署流程需要私鑰、訊息、密碼學雜湊函數及選定的曲線參數。

訊息會依照加密貨幣協議的確切序列化規則處理。

序列化後的訊息會經過雜湊，產生通常以

表示的摘要。

簽署者會選取一個每次簽章使用的秘密值，通常稱為 nonce，並以

表示。

nonce 必須是小於曲線階數且有效、非零的整數。

簽署者會計算曲線點

。

第一個簽章值

會由 的 x 座標推導，並對 取模。

如果

等於零，簽署者必須重新選取 nonce。

第二個簽章值的計算方式為

。

如果

等於零，簽署者也必須重新選取 nonce。

最終的 ECDSA 簽章由一組數值

組成，不過加密貨幣可能會額外加入編碼或還原資訊。

如何驗證 ECDSA 簽章

驗證者需要訊息、簽章、公鑰、曲線參數及必要的雜湊規則。

若

或 超出有效範圍，驗證者便會拒絕簽章。

驗證者會計算

。

接著計算

及 。

驗證者會計算曲線點

。

若

是無窮遠點，簽章便驗證失敗。

若

的 x 座標對 取模後等於 ，簽章便有效。

此關係成立，是因為簽署方程式將訊息摘要、nonce、私鑰及公鑰連結在一起。

驗證不會揭露私鑰或簽署 nonce。

ECDSA 簽章能證明什麼

有效的 ECDSA 簽章可以證明，某人控制相對應的私鑰並簽署了指定資料。

簽章也讓驗證者能偵測簽署訊息是否遭到修改。

簽章本身無法獨立證明簽署者的法律身分。

只有透過額外證據、註冊、通訊或交易歷史，才能將公鑰與個人或組織連結起來。

遭竊的私鑰所產生的簽章，在數學上與原持有者建立的簽章無法區分。

區塊鏈節點驗證密碼學，而不會判斷簽署者是否自願簽署。

使用者簽署惡意交易，該簽章仍然有效。

ECDSA nonce 的關鍵作用

簽署 nonce

是 ECDSA 中最需要重視安全性的部分之一。

使用同一個私鑰簽署不同訊息時，絕不可重複使用 nonce。

若兩個簽章使用相同 nonce，其方程式包含足夠的關聯資訊，能用來計算 nonce 並還原私鑰。

在這種情況下，攻擊者不需要解決橢圓曲線離散對數問題。

nonce 若部分可預測、有偏差或外洩，攻擊者也可能在觀察足夠多簽章後取得私鑰。

即使選用的橢圓曲線在數學上仍然安全，nonce 失誤仍曾導致真實的密碼學金鑰遭到破解。

Nonce 一詞表示只使用一次的值；不過，ECDSA 的 nonce 除了必須唯一，也必須保密。

確定性 ECDSA

確定性 ECDSA 會根據私鑰及訊息摘要產生簽署 nonce，而不是每次簽章都另外產生新亂數。

RFC 6979 確定性簽署程序定義了一種廣泛採用的金鑰雜湊建構方法。

在相同確定性程序下，同一私鑰與訊息通常會產生相同 nonce 及簽章。

這能降低每次簽署作業都依賴獨立亂數產生器品質的程度。

確定性簽署不會讓弱私鑰產生方式變得安全。

原始私鑰仍須具備足夠的熵。

確定性實作也必須能抵禦時間側通道攻擊、故障攻擊、記憶體外洩及訊息處理錯誤。

部分實作會在確定性 nonce 產生過程加入額外亂數，以防範特定故障或側通道情況。

雜湊的重要性

ECDSA 通常會簽署密碼學摘要，而不是直接處理任意長度的訊息。

區塊鏈協議會明確定義雜湊前納入哪些交易欄位，以及如何序列化這些欄位。

變更任何一個已簽署欄位，都應產生不同摘要，並使舊簽章失效。

不同加密貨幣可使用不同雜湊函數及交易承諾規則，同時使用相同 ECDSA 曲線。

因此，同一段人類可讀的訊息在不同應用程式中可能產生不同簽章。

開發者不得自行制定非正式序列化規則，因為含糊的編碼可能讓兩個系統對同一組簽署位元組產生不同解讀。

安全協議也會使用域分離，避免為某種用途建立的簽章被用來授權其他用途。

ECDSA 簽章編碼

ECDSA 簽章在數學上包含兩個整數：

與 。

軟體必須將這些整數編碼為位元組，才能傳送或儲存簽章。

常見方法之一是使用 Distinguished Encoding Rules，通常稱為 DER。

DER 會將這些值表示為結構化序列中的編碼整數。

由於正整數有時需要在前面加上零位元組，因此最終簽章長度可能不同。

其他加密貨幣系統會使用固定寬度的精簡編碼，其中

與 各佔 32 位元組。

即使數學上有效，若位元組編碼不符合協議的標準格式，簽章仍可能遭到拒絕。

Bitcoin 與 ECDSA

Bitcoin 傳統上會使用 secp256k1 上的 ECDSA，授權支出多種交易輸出。

錢包會依適用的指令碼與簽章雜湊規則，簽署特定交易摘要。

Bitcoin 節點會驗證公鑰、簽章、指令碼條件及所有其他共識要求。

簽章本身不能證明輸入具有足夠價值，或交易符合所有協議規則。

Bitcoin 的 BIP 66 規範針對其涵蓋的指令碼操作，將嚴格 DER 編碼列為 ECDSA 簽章的共識要求。

這項變更降低解析器之間的差異，並避免共識行為取決於第三方解析規則的變化。

Bitcoin Taproot 支出路徑採用 BIP 340 定義的 Schnorr 簽章，而不是 ECDSA。

傳統 ECDSA 輸出類型仍然存在，也仍可支出。

為什麼嚴格解析簽章很重要

共識軟體不只必須對簽章方程式取得一致結果，也必須就哪些位元組序列代表有效簽章達成一致。

如果某個節點接受特殊編碼，另一個節點卻拒絕，節點對交易或區塊有效性的判斷就可能不同。

這種分歧可能使網路對區塊鏈的認知分裂。

嚴格解析能排除代表相同數學值的其他編碼方式。

加密貨幣實作應明確規定整數正負號、前置零、長度、數值範圍及尾隨資料。

共識關鍵密碼學要求不同軟體版本及程式語言在位元組層級完全一致。

Ethereum 與 ECDSA

Ethereum 外部擁有帳戶使用 secp256k1 上的 ECDSA 授權交易。

發送者會簽署交易摘要，該摘要包含 nonce、目的地、價值、資料、費用參數及交易類型等欄位。

Ethereum 簽章包含

與 值，以及公鑰還原資訊。

舊版說明通常將還原值稱為

；較新的型別化交易則通常以 y 奇偶值表示。

還原資訊讓軟體能根據簽章與訊息摘要推導候選公鑰。

接著可推導帳戶地址，並與聲稱的發送者比對。

EIP-2 協議變更會拒絕

值大於 secp256k1 曲線階數一半的一般交易簽章。

Ethereum 重放保護

如果同一筆已簽署交易在多個區塊鏈環境中都有效，簽章便可能帶來風險。

Ethereum 的EIP-155 重放保護設計會將鏈識別碼納入交易簽署流程。

這會使授權綁定至特定鏈的情境。

現代 Ethereum 型別化交易也會將交易類型及特定鏈欄位納入簽署內容。

要求鏈下簽章的應用程式仍須設置自己的域分離、nonce、有效期限及合約識別碼。

若不了解 ECDSA 簽章涵蓋的確切訊息與域，絕不可直接將其視為安全。

公鑰還原

標準 ECDSA 驗證假設驗證者已知道公鑰。

可還原式 ECDSA 會額外提供少量資訊，協助識別與簽章及訊息相對應的公鑰。

可能有數個候選曲線點符合簽章方程式的部分條件，因此還原識別碼會指出預期的候選點。

在某些交易格式中，這項功能可減少傳送完整公鑰的需求。

公鑰還原不會揭露私鑰。

libsecp256k1中的選用還原模組支援適用於特定應用的可還原 secp256k1 簽章。

應用程式仍須驗證還原後的金鑰、簽章範圍、訊息格式及域。

ECDSA 簽章延展性

ECDSA 在數學上具有一種固有的簽章延展性。

若

對某訊息及公鑰有效，則在基本驗證方程式下， 也有效。

第三方不需要知道私鑰，就能建立另一種有效簽章。

這不會讓攻擊者能簽署其他訊息或多花資產。

如果交易識別碼包含簽章位元組，交易識別碼可能因此改變。

協議可透過只接受一種標準格式來降低此問題，通常會採用較小的

值。

標準化也讓簽章更容易比較及一致儲存。

Low-S 簽章

Low-

規則要求 不得大於曲線階數的一半。

若簽署者算出較大的值，可用

取代。

轉換後的數值在數學上仍然有效，且符合較低範圍。

Ethereum 透過 EIP-2 對一般交易簽章強制執行此規則。

Bitcoin 軟體通常會產生經標準化的 low-

ECDSA 簽章，但確切的共識與政策處理方式取決於支出情境。

開發者應遵循目標協議的精確規則，不要假設所有 ECDSA 系統都接受相同格式。

ECDSA 與 Schnorr 簽章比較

ECDSA 與 Schnorr 是不同的簽章演算法，但可使用相同的 secp256k1 橢圓曲線。

Schnorr 簽章具有較簡單的線性結構，可支援有效率的多重簽章及簽章聚合機制。

基本 ECDSA 並不具備同樣直接的線性聚合特性。

Bitcoin 的 BIP 340 規範定義 secp256k1 上固定長度為 64 位元組的 Schnorr 簽章。

BIP 340 也說明 ECDSA 固有的延展性，以及正式分析 ECDSA 時採用的較複雜安全性假設。

導入 Schnorr 不代表既有 ECDSA 簽章已失效或實際上可被偽造。

它是另一種具有新協議功能所需優點的簽章設計。

ECDSA 與 EdDSA 比較

EdDSA 是以 Edwards 曲線數學為基礎的另一種簽章家族。

Ed25519 是常見的 EdDSA 實例。

EdDSA 的重要設計目標包括確定性簽署及簡化實作行為。

若沒有另外設計的轉換機制，Ed25519 金鑰不能當作 secp256k1 ECDSA 金鑰使用；隨意轉換並不安全。

兩者的簽章大小、公鑰格式、曲線運算、雜湊程序及驗證規則都不同。

同時支援兩種演算法的系統，必須明確指出各金鑰及簽章採用哪種方案。

ECDSA 與 BLS 簽章比較

BLS 簽章使用適合配對運算的橢圓曲線，其數學特性與 ECDSA 不同。

在特定安全規則下，BLS 可支援將多個簽章精簡地聚合。

Ethereum 驗證者使用 BLS 簽章執行權益證明共識任務，而一般 Ethereum 外部擁有帳戶則使用 secp256k1 ECDSA。

因此，驗證者金鑰不能與執行帳戶金鑰互換使用。

在許多參與者簽署相關訊息時，BLS 聚合可減少資料量，但也需要配對運算及不同的驗證要求。

ECDSA 與多重簽章錢包

區塊鏈指令碼可以要求多個獨立 ECDSA 簽章，才能支出資產。

這是傳統多重簽章設計，因為每位必要簽署者都會產生獨立簽章。

門檻 ECDSA 使用更複雜的互動式協議，由多位參與者共同建立一個外觀一般的 ECDSA 簽章。

只要運作正確，就不需要任何參與者還原完整私鑰。

門檻 ECDSA 的設計相當困難，因為參與者必須協調 nonce 產生並防範惡意行為。

即使基本 ECDSA 演算法安全，門檻協議的缺陷仍可能暴露共用私鑰。

正式上線的系統應採用經充分審查的協議，而不是自行設計多方簽署方程式。

硬體錢包與 ECDSA

硬體錢包可以在專用裝置中產生及儲存 ECDSA 私鑰。

裝置會接收交易資料、顯示可用資訊，並在使用者核准後於內部建立簽章。

私鑰預期會留在受保護的環境中。

這種隔離可降低連線手機或電腦上的惡意軟體直接接觸私鑰的風險。

若使用者核准了誤導性資訊，硬體錢包也無法讓惡意交易變安全。

安全的交易資訊顯示、韌體完整性、助記詞保護及供應鏈安全仍然十分重要。

側通道攻擊及故障攻擊防護也很重要，因為實體測量或刻意造成的錯誤可能暴露秘密簽署值。

側通道攻擊

側通道攻擊會從 ECDSA 實作的實體行為中取得資訊。

可能的訊號包括執行時間、耗電量、電磁輻射、快取存取及記憶體模式。

依賴機密資料的分支或查表操作，可能洩露私鑰或 nonce 的資訊。

常數時間實作會嘗試讓可觀察的操作模式不受秘密值影響。

目前的 libsecp256k1 專案指出，簽署與公鑰產生採用常數時間及常數記憶體存取行為。

常數時間程式碼可降低重要風險，但無法應對所有實體、編譯器、硬體或作業系統攻擊。

故障攻擊

故障攻擊會在裝置產生 ECDSA 簽章時刻意造成錯誤。

攻擊者可能操控電壓、時脈、溫度、記憶體或運算流程。

在某些實作中，錯誤簽章可能揭露足夠的數學資訊，讓攻擊者還原私鑰。

高安全性簽署裝置可能會在簽章輸出前，於內部驗證所產生的簽章。

裝置也可使用冗餘計算、故障感測器、強化晶片及受限制的錯誤訊息。

實體接觸簽署裝置應始終視為重要的安全事件。

無效公鑰與曲線點

ECDSA 驗證者不應盲目接受任意位元組字串作為公鑰。

實作可能需要確認編碼有效，而且該點位於預期曲線上。

系統應拒絕無窮遠點，並執行任何必要的子群檢查。

在秘密金鑰操作中使用攻擊者控制的無效點，可能造成無效曲線或小子群攻擊。

確切的驗證要求取決於曲線、協議及操作。

相較於非正式的自訂實作，經審查的密碼學程式庫更能安全地處理這些細節。

私鑰產生

ECDSA 私鑰必須透過密碼學安全的熵來源產生。

人為選定的短語、生日、名言、重複數字及一般亂數函數都不安全。

金鑰也必須落在所選曲線的有效純量範圍內。

外觀看似 256 位元的數值，不代表它就是安全產生的私鑰。

錢包通常會透過階層式確定性推導程序，從主種子推導出多個 ECDSA 金鑰。

任何取得主種子的人都可能重建所有衍生帳戶。

若助記詞外洩或可被預測，ECDSA 的安全性無法彌補這項風險。

ECDSA 與錢包地址

公鑰不一定等同於加密貨幣地址。

Bitcoin 地址通常會編碼與公鑰資訊相關的雜湊或指令碼條件。

Ethereum 地址則由未壓縮 secp256k1 公鑰的部分雜湊值推導而來。

地址格式可以加入網路識別碼及錯誤偵測資訊。

錢包可能透過不同推導路徑，從同一個主種子顯示多個地址。

使用者不應假設每種協議狀態下，知道地址就能取得完整公鑰。

即使知道公鑰，只要金鑰與曲線安全，以傳統運算還原私鑰仍不可行。

交易簽章與訊息簽章

交易簽章會依照協議定義的規則授權區塊鏈操作。

訊息簽章可能用來證明金鑰控制權，而不會直接傳送區塊鏈交易。

錢包登入請求、代幣授權、委託單、治理投票及許可訊息都可能使用 ECDSA 簽章。

若智能合約或服務之後會提交鏈下簽章，該簽章仍可能授權具有價值的操作。

若所簽署的實際資料授予資產轉移權限，標示為登入的請求也可能很危險。

錢包應盡可能顯示簽署域、合約、鏈、nonce、有效期限及易讀的操作說明。

使用者應拒絕包含無法解釋資料或意外權限的簽章請求。

重放攻擊

重放攻擊是將有效簽章用在簽署者原本無意授權的其他情境。

攻擊者並未偽造簽章。

攻擊者利用的是訊息綁定不完整。

安全的簽署訊息會納入鏈識別碼、帳戶 nonce、合約地址、應用程式域、操作類型及有效期限等值。

一次性 nonce 可防止同一授權在同一應用程式中重複使用。

開發者應確認 nonce 只會在授權操作成功後才被消耗。

實作錯誤

ECDSA 失效通常源於實作或金鑰管理錯誤，而非直接解出橢圓曲線離散對數問題。

常見錯誤包括重複使用 nonce、亂數有偏差、接受無效金鑰、雜湊錯誤、序列化含糊、缺少範圍檢查及簽章解析不安全。

其他問題包括側通道、故障攻擊、除錯紀錄外洩、相依套件遭入侵及記憶體洩漏。

開發者應使用持續維護、經過大量測試且具備明確安全模型的程式庫。

密碼學程式碼應與一般應用程式程式碼分開審查，因為小錯誤就可能暴露由金鑰保護的所有資產。

為什麼自訂 ECDSA 程式碼很危險

ECDSA 公式看似簡單，容易讓人以為能用短程式完成實作。

正式環境中的安全需求遠超過重現簽署及驗證方程式。

實作必須具備常數時間純量運算、安全求逆、正確模數化簡、嚴格解析、曲線點驗證及安全的記憶體處理。

實作也必須正確處理零值及無效點等罕見情況。

即使程式通過多項一般簽章測試，仍可能透過時間資訊或 nonce 偏差洩露私鑰。

開發者應使用成熟程式庫及官方測試向量，而不是將教學程式碼改用於加密貨幣託管。

ECDSA 安全強度

ECDSA 的安全性取決於曲線、雜湊函數、私鑰熵、nonce 產生及實作方式。

安全的 256 位元橢圓曲線，通常相當於約 128 位元的傳統安全強度。

這不代表攻擊者有六十四分之一的機率猜中金鑰。

這是對相關攻擊模型下所需計算量的近似描述。

雜湊函數也必須具備符合協議安全目標的抗碰撞性及抗原像能力。

薄弱的操作控管可能使實際安全性遠低於數學層級所代表的強度。

ECDSA 與量子運算

ECDSA 被認為無法抵禦運算能力足夠且具備容錯能力的量子電腦。

Shor 演算法可解出橢圓曲線離散對數問題，並從公鑰還原私鑰。

目前沒有公開已知的量子電腦能在實際加密貨幣規模下破解完整規格的 secp256k1 ECDSA。

長期運作的區塊鏈系統仍需制定遷移計畫，因為協議升級、錢包變更及移轉閒置資金可能耗時多年。

若未來開發出具備密碼學相關能力的量子硬體，已在鏈上公開的公鑰可能成為較優先的攻擊目標。

對於聲稱目前的 ECDSA 已遭破解的未經證實說法，應謹慎看待。

後量子簽章替代方案

後量子數位簽章仰賴被認為能抵禦傳統與大型量子電腦的數學問題。

NIST 於 2024 年 8 月定稿發布 ML-DSA 的 FIPS 204及 SLH-DSA 的 FIPS 205。

這些簽章系統的金鑰大小、簽章大小、運算成本及實作要求都與 ECDSA 不同。

在區塊鏈上取代 ECDSA，並非只要更換一個錢包程式庫就能完成。

遷移可能影響地址格式、交易大小、硬體錢包、智能合約、網路驗證、帳戶復原及閒置資金。

部分協議可能在過渡期間採用混合式授權，要求同時提供既有 ECDSA 簽章與後量子簽章。

開發者如何安全使用 ECDSA

開發者應使用目標協議所要求的確切曲線、雜湊函數、訊息格式及簽章編碼。

私鑰必須透過密碼學安全的產生或推導程序建立。

簽署 nonce 應採用經審查的確定性方法，或具備相當防護力的安全亂數設計。

程式庫應依照協議要求，執行嚴格簽章解析、純量範圍檢查、公鑰驗證及標準化。

秘密金鑰操作應採用常數時間實作。

應用程式必須具備域分離、重放保護、清楚的交易資訊顯示及適當的 nonce 管理。

測試套件應涵蓋無效簽章、高

格式、格式錯誤的編碼、零值、遭修改的訊息、錯誤網路及重複授權等情況。

高價值系統應接受獨立的密碼學及實作稽核。

加密貨幣使用者如何保護 ECDSA 金鑰

使用者應透過信譽良好的軟體或專用簽署硬體建立錢包。

助記詞及私鑰應離線保存，絕不可與客服人員或網站分享。

簽署前，應在可信任的顯示裝置上檢查交易詳細資訊。

使用者應確認目的地址、網路、金額、費用、合約及權限範圍。

高價值資產可透過多重簽章政策、分散式備份、硬體隔離及分開的支出錢包保護。

不應將同一助記詞匯入不必要的應用程式。

在許多區塊鏈系統中，有效簽章是不可撤銷的授權證據，因此事前預防比事後復原更可靠。

常見的 ECDSA 錯誤

常見錯誤之一，是認為 ECDSA 會加密加密貨幣交易。

另一個錯誤是認為公鑰在所有情況下都等同錢包地址。

第三個錯誤是對兩則訊息重複使用相同簽署 nonce。

第四個錯誤是使用一般亂數函數產生私鑰或 nonce。

第五個錯誤是未嚴格解析，就接受非標準或格式錯誤的簽章。

第六個錯誤是忘記

與 都可能符合基本 ECDSA 方程式。

第七個錯誤是簽署資料時未檢查其網路、域、nonce 及有效期限。

第八個錯誤是在不相關的應用程式及區塊鏈中共用同一私鑰。

第九個錯誤是未經專家審查，就為正式錢包撰寫自訂橢圓曲線程式碼。

第十個錯誤是認為有效簽章可以證明交易安全、公平，或符合金鑰原持有者的意願。

常見問題

ECDSA 是什麼的縮寫？

ECDSA 是 Elliptic Curve Digital Signature Algorithm（橢圓曲線數位簽章演算法）的縮寫。

ECDSA 在加密貨幣中有什麼用途？

ECDSA 用於產生及驗證授權區塊鏈交易和其他錢包操作的簽章。

ECDSA 會加密交易嗎？

不會。ECDSA 可證明授權及完整性，但不會隱藏一般公開的區塊鏈資料。

什麼是 ECDSA 私鑰？

這是一個用來建立簽章及推導相對應公鑰的秘密整數。

什麼是 ECDSA 公鑰？

這是從私鑰推導而來的橢圓曲線點，用於驗證簽章。

Bitcoin 使用哪條曲線進行 ECDSA？

Bitcoin 的傳統 ECDSA 交易簽章使用 secp256k1 橢圓曲線。

Ethereum 帳戶簽章使用哪條曲線？

Ethereum 外部擁有帳戶使用 secp256k1 上的 ECDSA。

ECDSA 中的 r 與 s 是什麼？

這是 ECDSA 簽章中的兩個整數組成值。

什麼是 ECDSA nonce？

這是簽章產生期間使用的秘密簽章純量。

為什麼 ECDSA nonce 絕不能重複使用？

不同訊息重複使用 nonce，可能讓觀察者計算出私鑰。

什麼是確定性 ECDSA？

這是一種依照 RFC 6979 等既定程序，從私鑰及訊息摘要推導 nonce 的簽署方法。

確定性 ECDSA 能免除對亂數的需求嗎？

不能。原始私鑰仍須具備足夠熵，且實作仍須防範故障及側通道攻擊。

什麼是 ECDSA 簽章延展性？

這是指對同一訊息及公鑰而言，

與 都可能有效的特性。

什麼是 low-s 簽章？

這是指

值不大於曲線階數一半的標準化 ECDSA 簽章。

什麼是 DER 編碼？

DER 是一種結構化二進位編碼，常用於表示 ECDSA 簽章中的

與 整數。

ECDSA 簽章會洩露私鑰嗎？

正確產生的簽章不應洩露私鑰，但 nonce 重複使用、nonce 有偏差、側通道及實作錯誤都可能暴露金鑰。

ECDSA 可以找回遺失的私鑰嗎？

不行。簽章與公鑰無法實際用來還原安全產生但已遺失的私鑰。

有人可以偽造 ECDSA 簽章嗎？

若使用安全參數、金鑰、nonce、雜湊及實作，偽造簽章在運算上被認為不可行。

ECDSA 等同 ECC 嗎？

不等同。ECC 是橢圓曲線密碼學的廣泛家族，ECDSA 則是其中一種數位簽章演算法。

ECDSA 等同 Schnorr 嗎？

不等同。即使兩者都使用 secp256k1，它們仍是不同的簽章演算法。

Taproot 使用 ECDSA 嗎？

Taproot 的新簽章路徑使用 BIP 340 Schnorr 簽章，而不是 ECDSA。

智能合約可以驗證 ECDSA 簽章嗎？

可以。許多區塊鏈環境都提供原生操作或程式庫，供使用者驗證 secp256k1 ECDSA 簽章。

有效的 ECDSA 簽章能證明法律身分嗎？

不能。簽章只能證明對私鑰的控制，除非有其他證據將該金鑰與法律身分連結。

有效簽章能保證交易安全嗎？

不能。使用者可能有效簽署惡意轉帳、無限制授權、具誤導性的委託單或不安全的智能合約操作。

量子電腦可以破解 ECDSA 嗎？

具備足夠能力且容錯的量子電腦可以破解 ECDSA，但目前沒有公開已知的系統能在加密貨幣規模下做到這件事。

ECDSA 目前仍然安全嗎？

只要實作正確且金鑰與 nonce 安全，ECDSA 仍能抵禦已知的實際傳統攻擊。

結論

ECDSA 是一種基礎數位簽章演算法，可在不揭露私鑰的情況下授權加密貨幣交易。

它結合私有純量、橢圓曲線公鑰、訊息摘要及秘密簽署 nonce，產生

與 簽章值。

區塊鏈節點會先以數學方式驗證這些值，再接受已簽署的操作。

Bitcoin 傳統上使用 secp256k1 上的 ECDSA；Ethereum 外部擁有帳戶則使用相同曲線，並附帶可還原簽章資訊。

嚴格編碼、low-

規則、鏈識別碼、訊息域及重放保護，都有助於提升 ECDSA 在加密貨幣協議中的安全性。

ECDSA 在實際應用中的最大弱點，不是橢圓曲線核心問題，而是實作與金鑰管理錯誤。

nonce 重複使用、亂數薄弱、助記詞外洩、側通道、無效點處理及不清楚的簽署請求，都可能破壞原本堅實的數學安全性。

開發者應採用經審查的程式庫、確定性 nonce 程序、常數時間運算、嚴格驗證及精確的協議規格。

使用者應妥善保護復原資料，並在可信任的簽署顯示裝置上確認每筆交易或訊息。

若實作正確，ECDSA 仍能抵禦已知的實際傳統攻擊；不過，長期運作的加密貨幣系統必須為遷移至後量子簽章技術做好準備。