金发姑娘算法

跟25519一样，448曲线得名于它使用的一个448位的素数：p= 2448− 2224− 1。

它另有一个好听的名字叫做“金发姑娘”（Goldilocks）。发明者说这是因为他选择的素数在形式上具有“黄金比例（golden ratio）”，但是也可能他妈妈小时候给他讲过太多遍金发姑娘和三只熊的故事。

除了前面谈到的蒙哥马利曲线，也有其它曲线可以避免魏尔斯塔拉斯曲线的安全隐患。金发姑娘用的曲线名为爱德华兹曲线，方程式为：

y2+x2= 1 - 39081x2y2

金发姑娘的一大优势是运算速度非常快，原因就在于“黄金比例”，具体这里就不展开了。根据作者自己做的测试，在ARM平台上甚至比OpenSSL实现的NIST P-256曲线运算得还要快，要知道这是448位对256位的较量，简直是移动平台的密码闪电侠。

安全性嘛，当然是更加安全了，否则怎么进入TLS 1.3标准。其448位素数提供了远超NIST P256、SM2*、secp256k1以及25519曲线的安全性，虽然后者也都被公认是安全的（其中前三者在不考虑边信道攻击的情况下）。在安全性上的极度保守，是发明者的首要考虑。

如果要设计一个未来十几年乃至几十年都能持续安全稳定应用的区块链，那么448曲线至少在抵抗量子计算机方面或者新的密码分析学进展方面能够比其它曲线多赢取若干年的时间。也就是说，下一代公链项目应该使用448曲线或类似强度的椭圆曲线了。至于区块链当红炸子鸡EOS居然还在用secp256k1，对此我真是无话可说，你用个25519也算跟上时代嘛。

最后再八一八发明者Mike Hamburg。他供职于Rambus Cryptography Research。Rambus这名字看着眼熟，其实就是DDR内存规范的专利发明者。

没想到吧？

Rambus创办于1990年，专注于技术授权。在DDR内存专利技术上打过几次官司之后，被一些业内人士目为专利流氓。但可能鲜为人知的是，除了内存部门，Rambus还有一个密码学研究部门，其产品包括类Apple Pay的移动支付解决方案、物联网安全解决方案、知识产权保护等等。

* SM2参考曲线发布的时候，25519曲线已经问世多年

TLS 1.3就聊到这里了。下篇文章讲蓝牙。敬请关注。