Matthew Green 揭 NIST 椭圆曲线种子疑点:P-256 曾跳过可用候选曲线

matthew_d_green · x · 2026-10-17

密码学家 Matthew Green 分享了一段关于 NIST 椭圆曲线生成过程「Open questions」的分析:并非每个 20 字节候选种子都能生成可用曲线,且部分可用曲线被跳过。P-256 公布的种子是第 1842 号候选,但同一次运行中的第 876 号候选同样能给出阶为素数、参数选取方式一致的曲线;P-224 的运行跳过了三条这样的曲线,ANSI X9.62 示例曲线背后的两次运行还跳过了七条。作者指出: unknown 选取标准是什么、这是否为无意产物,目前无法确认。