什么是数字签名?
数字签名是用于验证数字和数据真实性和完整性的加密机制。我们可以将其视为传统手写签名方式的数字化版本，并且相比于签字具有更高的复杂性和安全性。
简而言之，我们可以将数字签名理解为附加到消息或文档中的代码。在生成数字签名之后，其可以作为证明消息从发送方到接收方的传输过程中没有被篡改的证据。
虽然使用密码学保护通信机密性的概念可以追溯到古代，但随着公钥密码学（PKC）的发展，数字签名方案在20世纪70年代才成为现实。因此，要了解数字签名的工作原理，我们首先需要了解散列函数和公钥加密的基础知识。
哈希是数字签名中的核心要素之一。哈希值的运算过程是指将任意长度的数据转换为固定长度。这是通过称为散列函数的特殊运算实现的。经过散列函数运算而生成的值称为哈希值或消息摘要。
当哈希值与加密算法相结合，即使用加密散列函数的方法来生成散列值（摘要），该值可作为唯一的数字指纹。这意味着对于输入数据（消息）的任何更改都会导致有完全不同的输出值（散列值）。这就是加密散列函数被广泛用于验证数字和数据真实性的原因。
公钥加密或PKC是指使用一对密钥的加密系统：公钥和私钥。这两个密钥在数学上是相关的，可用于数据加密和数字签名。
作为一种加密工具，PKC相比于对称加密具有更高的安全性。对称加密系统依赖于相同的密钥进行加密和解密信息，但PKC则使用公钥进行数据加密，并使用相应的私钥进行数据解密。
除此之外，PKC还可以应用于生成数字签名。本质上，该过程发送方使用自己的私钥对消息（数据）的哈希值进行加密。接下来，消息的接收者可以使用签名者提供的公钥来检查该数字签名是否有效。
在某些情况下，数字签名本身可能包括了加密的过程，但并非总是这样。例如，比特币区块链使用PKC和数字签名，而并不像大多数人所认为的，这个过程中并没有进行加密。从技术上讲，比特币又部署了所谓的椭圆曲线数字签名算法（ECDSA）来验证交易。
在加密货币的背景下，数字签名系统通常包含三个基本流程：散列、签名和验证。
第一步是对消息或数据进行散列。通过散列算法对数据进行运算，生成哈希值（即消息摘要）来完成的。如上所述，消息的长度可能会有很大差异，但是当消息被散列后，它们的哈希值都具有相同的长度。这是散列函数的最基本属性。
但是，仅仅将消息进行散列并不是生成数字签名的必要条件，因为也可以使用私钥对没有进行过散列的消息进行加密。但对于加密货币，消息是需要经过散列函数处理的，因为处理固定长度的哈希值有助于加密货币的程序运行。
对信息进行散列处理后，消息的发件人需要对其消息进行签名。这里就用到了公钥密码学。有几种类型的数字签名算法，每种算法都有自己独特的运行机制。本质上，都是使用私钥对经过散列的消息（哈希值）进行签名，然后消息的接收者可以使用相应的公钥（由签名者提供）来检查其有效性。
换句话说，如果在生成签名时不使用私钥，则消息的接收者将不能使用相应的公钥来验证其有效性。公钥和私钥都是由消息的发送者生成的，但仅将公钥共享给接收者。
需要注意的是，数字签名与每条消息的内容相关联。因此，与手写签名所不同，每条消息的数字签名都是不同的。
让我们举一个例子说明下整个过程，包括从开始直到最后一步的验证。我们假设Alice向Bob发送一条消息、并将该消息进行散列得到哈希值，然后将哈希值与她的私钥结合起来生成数字签名。数字签名将作为该消息的唯一数字指纹。
当Bob收到消息时，他可以使用Alice提供的公钥来检查数字签名的有效性。这样，Bob可以确定签名是由Alice创建的，因为只有她拥有与该公钥所对应的私钥（至少这与我们所假设的一致）。
因此，Alice需要保管好私钥至关重要。如果另一个人拿到了Alice的私钥，他们就同样可以创建数字签名并伪装成Alice。在比特币的背景下，这意味着有人可以使用Alice的私钥，并可在未经她知晓的情况下转移或使用她的比特币。
数字签名通常用于实现以下三方面目标：数据完整性、身份验证和不可否认性。
数字签名可以应用于各种数字文档和证书。因此，他们有几个应用程序。一些最常见的案例包括：
数字签名方案面临的主要挑战主要局限于以下三方面因素：
简而言之，数字签名可以理解为是一种特定类型的电子签名，特指使用电子化的方式签署文档和消息。因此，所有数字签名都可认为是电子签名，但反之并非如此。
它们之间的主要区别在于身份验证方式。数字签名需要部署加密系统，例如散列函数、公钥加密和加密技术。
散列函数和公钥加密是数字签名系统的核心，现已在各种案例中使用。如果实施得当，数字签名可以提高安全性，确保完整性，便于对各类数据进行身份验证。
在区块链领域，数字签名用于签署和授权加密货币交易。它们对比特币尤为重要，因为数字签名能够确保代币只能由拥有相应私钥的人使用。
虽然我们多年来一直使用电子和数字签名，但仍有很大的发展空间。如今大部分的公文仍然还是基于纸质材料，但随着更多的系统迁移到数字化中，我们还会看到更多的数字签名方案。
ECDSA(椭圆曲线数字签名算法)
ECDSA（Elliptic Curve Digital Signature Algorithm）
在现实工作和生活中，我们使用签名的方式表达对一份文件的认可，其他人可以识别出你的签名并且无法伪造你的签名。数字签名就是对显示签名的一种电子实现，它不仅可以完全达到现实签名的特点，甚至能够做的更好。
常用的数字签名算法有RSA（Rivest-Shamir-Adleman Scheme）、DSS（Digital Signature Standard）等。 比特币使用ECDSA来生成账户的公私钥以及对交易和区块进行验证。
1.Alice（密码学中常用A到Z开头的人名代替甲乙丙丁等，字母越靠后出现频率越低）生成一对密钥，一个是sk（signing key），是非公开的；另一个是vk（verification key），是公开的。
这一对密钥同时生成，并且在数学上是相互关联的，同时，根据vk无法推测出关于sk的任何信息。
2.数字签名算法接收两个输出：信息M和sk，生成一个数字签名Sm
3.验证函数接收信息M、Sm以及vk作为输入，，返回结果是yes或者no。这一步的目的是为了验证你看到的针对信息M的数字签名确实是由Alice的sk来签发的，用于确认信息与签名是否相符。
与手写签名不同，手写签名基本都是相似的，但是数字签名却受输入影响很大。对输入轻微的改变都会产生一个完全不同的数字签名。一般不会对信息直接进行数字签名，而是对信息的哈希值进行签名。由加密哈希函数的无碰撞性可知，这样和对原信息进行签名一样安全。
在数学上，任何满足以下方程的点所形成的曲线称为随机椭圆曲线： 并且 ，a和b可以为任意值。下面展示几个随机椭圆函数的示例：
在了解如何通过基于secp256k1椭圆曲线的ECDSA算法生成公私钥之前，我们需要了解在随机椭圆曲线里，点的加法是如何实现的。
首先定义椭圆曲线上点的加法。设椭圆曲线上有两点，A和B点，那么作过这两点的直线与该曲线相交于第三点（C点），然后关于X轴对称得到D点，则D为这两个点的和，记作D=A+BD=A+BD=A+B。很明显，D点也在该曲线上。所以椭圆曲线上两点之和也是曲线上的点。
特例：
1.如果两点重合，则做该点的切线，与曲线相交点的对称点为和，即A+A=C
如图：
有了加法以后，乘法实现是不过是进行多次加法运算。有了一个基准点P以后，我们可以对其进行乘法运算，最后可以得到曲线上的另外一个点。
设PPP是椭圆曲线上的一个点，那么正整数kkk乘以点PPP的结果由下面的式子定义，注意式子中的加法是上面提到的椭圆曲线上点的加法：
点的运算满足结合律：
很显然，通过累加 的方式计算 是一种很笨的办法，其时间复杂度是线性的。上面我们提到过，椭圆曲线上点的加法是满足结合律的，即 ，扩展一下，就有
于是就有这么一种骚操作，比如计算 ，我们可以先计算 ；然后计算 ；再计算 ；最后计算 。这里我们把15次加法减少到了4次。
当然，k的值不可能总是2的幂。实际上上面的操作可以推广到k为任意正整数的情况。比如计算23P，首先计算 ，然后
因为 ，所以 。总共只需要7次加法。
分析一下，对于任意正整数k，我们都可以利用这个方法将计算k?P所需的加法计算次数降低到
也就是说，从时间复杂度的角度来看，这个算法是一个 的算法。
这个方法被称为快速幂算法，原本常用于快速计算某个数的k次幂，这里将其推广到椭圆曲线点乘的快速计算中。
为什么要在介绍了椭圆曲线上点的乘法后突然冒出一个快速幂算法？快速幂算法对于椭圆曲线加密有什么意义？因为数学家/密码学家发现，利用快速幂算法计算 的时间复杂度是对数级的，但是要在知道 和 的前提下，倒推出 的值，没有比挨个尝试 的值快太多的算法。于是椭圆曲线加密依赖的数学难题就这么诞生了。
如果我们改一种记法，把椭圆曲线上点的加法记作乘法，原来的乘法就变成了幂运算，那么上述难题的形式跟离散对数问题应该是一致的。即：
所以这个难题叫椭圆曲线上的离散对数问题。
尽管两者形式一致，但是他们并不等价。实际上这个问题比大整数质因子分解（RSA）和离散对数（DH）难题都要难得多，目前还没有出现亚指数级时间复杂度的算法（大整数质因子分解和离散对数问题都有），以致于同样的安全强度下，椭圆曲线加密的密钥比RSA和DH的短不少，这是椭圆曲线加密的一大优势。
假设随机取一个 ~ 位之间的值x，计算 ，最后的结果一定会落在曲线上的一点。假设该点为 ，在公开 以及具体曲线的方程的情况下，能否反推出最初的随机值 ？
证：寻找 的过程只能通过暴力计算， 的可能值为 ~ 中的一个，平均来说需要计算 次能够找到一次 值。那么问题来了，运行一次 的计算需要多长的时间呢？
假设我们使用的是超级计算机，主频为 （一秒钟可以进行一万亿次运算），从宇宙诞生的那一刻开始计算，到现在也就进行了 次。找到 值的概率为 。这个概率和下一秒地球被巨型陨石撞击而毁灭的概率接近，既然我们读到了这里，那么说明这件事没有发生。
在上面的案例中， 是 ~ 位的一个随机数，可以作为私钥。 是随机椭圆曲线上的一个点，也就是由私钥生成的公钥，因此优点可以1得证。
但是密码学中，并不能使用上面介绍的实数域上的椭圆曲线。因为
所以我们需要引入有限域上的椭圆曲线。
要证明优点2，还需要将随机椭圆曲线做一些改动：为了保证最后计算出来的点的坐标值相加是512位，secp256k1引入了一个对质数取模的机制。具体来说，随机椭圆曲线从
变为了 其中 ，是小于 的最大质数。
此时的随机椭圆曲线函数图如下：
具体来说，就是向别人证明我知道 ，但不暴露 的任何信息。（有些类似于零知识证明）
证：前面介绍过结合律： 添加一个hash函数，简单修改可以得出： 使 ，那么可知 为 。此时方程为： 为了简单起见，我们记 和 。此时方程化简为： 上面这个方程是什么意思呢？
可以这样假设：在已知 的情况下，如果能够提供一个 和 满足上面的方程，就可以证明一个人拥有 。这个假设有一个前提，如果一个人不知道x，那么他就无法提供 和 满足上面的等式。
详细探讨这个前提：如果一个人不知道x，又想计算出 和 ，能够办到吗？结论是不能，首先我们无法从 计算出 （在有限时间内）。
还有一个问题：在已知 和 的情况下，能否计算出关于 的任何信息？
根据公式： 只要解出 就可以了。
要想计算出x，就需要知道r，但是在r没有公开的情况下，有什么办法可以计算r吗？我们知道R=r*P；但是根据这个公式无法倒推出r（刚才介绍的那个数学难题），所以x也是安全的。
至此，可以证明算法的第二个优点。
什么是量子计算?
量子计算是一种基于量子物理学的计算形式。经典计算机依靠位（零或一）进行计算，而量子计算机使用利用量子力学以“叠加”形式存在的量子位（量子位）：零和一的组合，每个都有一定的概率。例如，一个量子位可能有 80% 的几率为零，20% 的几率为零。或者 60% 的机会为零，40% 的机会成为 1。等等。
1980 年代，物理学家保罗·贝尼奥夫 (Paul Benioff) 首次提出了量子计算的概念。不久之后，理论物理学家理查德·费曼和数学家尤里·曼宁率先提出量子计算机可以解决经典计算机无法解决的问题。事实上，在 1990 年代，数学家 Peter Shor 开发了一种算法，量子计算机可以用它来破解公钥密码学：“ Shor 算法”——如果量子计算机变得足够强大的话。
2019 年 10 月，经过数十年的研究，谷歌正式宣称已达到“量子霸权”。这实质上意味着量子计算机解决了经典计算机无法解决的问题。或者，更具体地说，它在 200 秒内解决了一个问题，即使是最强大的经典超级计算机也需要 10,000 年才能解决。
虽然这是一个重大突破，但量子计算机似乎离运行 Shor 的算法还有很长的路要走。一方面，目前的量子计算机还不够强大，而且不清楚扩大这项技术的难易程度。此外，要真正发挥作用，量子计算机依赖于一种称为“纠错”的技术解决方案，这仍然是一个挑战。
预测这项技术的未来发展很困难，但可以运行 Shor 算法的量子计算机可能需要数年甚至数十年的时间——也许它们根本不可能实现。
如果量子计算机能够运行 Shor 算法并破解公钥密码学，那么比特币确实可能会受到攻击。具体来说，一些硬币可能会被盗。
然而，有些人认为盗窃会受到一定程度的限制。虽然所有硬币都由公钥加密（目前是 ECDSA 算法）保护，但大多数硬币也由 SHA256 散列算法保护。只有当这两种算法都被破解时，所有硬币才能彻底被盗，但目前看来 SHA256（或任何其他哈希算法）似乎无法被量子计算机破解。
也就是说，大量的硬币只能通过公钥密码术来保护。目前的估计表明，如果公钥密码体制被破解，大约 500 万比特币将被盗。以下是比特币可能面临风险的一些情况：
事实上，即使比特币同时受到公钥和哈希的保护，在“量子世界”中安全地使用这种比特币也可能是一个挑战。当用户尝试花费他们的比特币并通过比特币网络传输交易时，攻击者将有机会尝试窃取资金。此时，攻击者可以在交易确认之前尝试破解公钥加密，然后将比特币重新发送到他自己的地址之一。
我只想说，如果量子计算机突然变得比任何人预期的都要强大，比特币就会有问题。
需要注意的是，如果可以运行肖尔算法的量子计算机突然出现，比特币不太可能成为第一个或主要的目标。公钥加密可以保护世界上几乎所有其他数字信息，包括军事情报、银行数据和其他现有金融基础设施、通信网络等。
是的，比特币协议可以升级为抗量子。
简而言之，比特币的签名算法将不得不被量子抗性签名算法所取代。由于隔离见证的激活，比特币的签名算法可以通过向后兼容的软分叉升级相对容易地被替换。（当前的 ECDSA 签名算法可能会在不久的将来通过软分叉被 Schnorr 签名算法部分取代。）
升级后，用户应该将他们的比特币迁移到新地址，以便受到抗量子签名算法的保护。在量子计算机可以运行 Shor 算法之前，没有及时迁移的用户将面临比特币以某种方式被盗的风险。
如果比特币没有及时转移到安全地址，比特币协议也可能会升级以阻止比特币被消费。这种措施意味着原始所有者也会丢失比特币——但是，当然，无论如何，他们很可能会将比特币丢失给攻击者。（有人建议，这些比特币可能会被其合法所有者通过零知识证明密码术解锁——但这仍然是非常投机的。）
鉴于量子计算的当前发展状况，预计比特币将有足够的提前警告，表明需要进行升级。专家认为，我们还没有接近那个时间点。
量子计算机或许能够比传统计算机更快地挖掘比特币。然而，因为比特币挖掘是基于散列（而不是公钥密码学），所以它可能不会被破坏到任何有意义的程度。
相反，量子计算的出现可能会导致一场新的军备竞赛，以建立最快的采矿硬件，直到找到新的平衡点。当 GPU 取代 CPU 和 ASIC 取代 GPU 时，比特币挖矿格局已经发生了类似的演变。
比特币的数字签名是什么?
比特币的数字签名，就是只有比特币转账的转出方生成的，一段防伪造的字符串。通过验证该数字串，一方面证明该交易是转出方发起的，另一方面证明交易信息在传输中没有被更改。
数字签名通过数字摘要技术把交易信息缩短成固定长度的字符串。举个栗子，牛牛发起一笔比特币转账，需要先将该交易进行数字摘要，缩短成一段字符串，然后用自己的私钥对摘要进行加密，形成数字签名。完成后，牛牛需要将原文（交易信息）和数字签名一起广播给矿工，矿工用牛牛的公钥进行验证，如果验证成功，说明该笔交易确实是牛牛发出的，且信息未被更改。
同时，数字签名加密的私钥和解密的公钥不一致，采用非对称加密技术。看起来好复杂，其实转账只需要你输入私钥就瞬间完成啦！
什么是比特币加密技术?
比特币和区块链的诞生需要依赖于很多核心技术的突破：一是拜占庭容错技术；二是非对称加密技术；三是点对点支付技术。下面会依次介绍。
拜占庭容错技术
比特币和区块链诞生的首要难点在于如何创建分布式共识机制，也就是菜斯利·兰伯特等人1982年提出的拜占庭将军问题。所谓拜占庭将军问题是指，把战争中互不信任的各城邦军队如何达成共识并决定是否出兵的决策过程。延伸至计算机领域，试图创建具有容错性的分布式系统，即使部分节点失效仍可确保系统正常运行，也可让多个基于零信任基础的节点达成共识，并确保信息传递的一致性。
中本聪所提到的“拜占庭将军问题”解决方法起始于亚当﹒拜克在1997年发明的哈希现金算法机制，起初该设计是用于限制垃圾邮件发送与拒绝服务攻击。2004年，密码朋克运动早期和重要成员哈尔·芬尼将亚当﹒拜克的哈希现金算法改进为可复用的工作量证明机制。他们的研究又是基于达利亚·马凯与迈克尔·瑞特的学术成果：拜占庭容错机制。正是哈尔·芬尼的可复用的工作量证明机制后来成为比特币的核心要素之一。哈尔·芬尼是中本聪的最早支持者，同时也是第一笔比特币转账的接受者，在比特币发展的早期与中本聪有大量互动与交流。
非对称加密技术
比特币的非对称加密技术来源于以下几项密码学的技术创新：1976年，Sun公司前首席安全官Whitfield Diffie与斯坦福大学教授Martin Hell，在开创性论文《密码学的新方向》首次提出公开钥匙密码学的概念，发明了非对称加密算法。1978年省理工学院的伦纳德·阿德曼、罗纳德·李维斯特、阿迪·萨莫尔三名研究人员，共同发明了公开钥匙系统“RSA”可用于数据加密和签名，率先开发第一个具备商业实用性的非对称RSA加密算法。1985年，Neal Koblitz和Victor Miller俩人，首次提出将椭圆曲线算法（ECC），应用于密码学，并建立公钥加密的算法，公钥密码算法的原理是利用信息的不对称性，公钥对应的是私钥，私钥是解开所有信息的钥匙，公钥可以由私钥反推算出。ECC能够提供比RSA更高级别的安全。比特币使用的就是椭圆曲线算法公钥用于接收比特币，而私钥则是比特币支付时的交易签名。这些加密算法奠定了当前非对称加密理论的基础，被广泛应用于网络通信领域。但是，当时这些加密技术发明均在NSA严密监视的视野之内。NSA最初认为它们对国家安全构成威胁，并将其视为军用技术。直到20世纪90年代末，NSA才放弃对这些非对称加密技术的控制，RSA算法、ECC算法等非对称加密技术最终得以走进公众领域。
不过，中本聪并不信任NSA公布的加密技术，在比特币系统中没有使用RSA公钥系统，原因除了ECC能够提供比RSA更高级别的安全性能外，还担心美国安全部门在RSA留有技术后门。2013年9月，斯诺登就曾爆料NSA采用秘密方法控制加密国际标准，比特币采用的RSA可能留有后门，NSA能以不为人知的方法弱化这条曲线。所幸的是，中本聪神一般走位避开了RSA的陷阱,使用的加密技术不是NSA的标准，而是另一条鲜为人知的椭圆曲线，这条曲线并不在美国RSA的掌握之下。全世界只有极少数程序躲过了这一漏洞，比特币便是其中之一。
