sm2p256椭圆曲线方程没有使用sm2国密标准规定的"y^2 = x^3 + ax + b"吗?

[zhaochuninhefei]

作者你好，我学习了您的sm2的实现代码，注意到一个细节：您似乎没有使用国密标准"GB/T 32918.5-2017"中规定的椭圆曲线方程:y² = x³ + ax + b，而是沿用了ecdsa的方程:y² = x³ - 3x + b。这是什么原因呢？
比如：

1. 您在定义sm2p256椭圆曲线参数时，没有指定方程参数a的值，比如"sm2/p256_asm.go"的"initP256"函数。
2. 在"sm2/util.go"中根据x计算y的函数"calculatePrimeCurveY"中，实际使用的方程是ecdsa的"y² = x³ - 3x + b"

[emmansun]

因为sm2曲线和NIST P256是同类曲线：a=p-3

[zhaochuninhefei]

感谢您的回答，但我还是很困惑。如您所说，a=p-3，但"p-3"不是"-3"啊。p是"FFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFF"，所以p-3应该是"FFFFFFFEFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF00000000FFFFFFFFFFFFFFFC"，这是个很大很大的数字，所以为什么能用"y² = x³ - 3x + b"代替"y² = x³ + ax + b"呢？

[emmansun]

建议你先看一下椭圆曲线以及有限域的一些基础，https://github.com/emmansun/gmsm/wiki/SM2%E6%80%A7%E8%83%BD%E4%BC%98%E5%8C%96， 这里就有一些。

[zhaochuninhefei]

好的，再次感谢您的回答。

[zhaochuninhefei]

终于弄明白了，方程两边对P求余的运算中，带入 a = p - 3 就可以将 y² ≡ x³ + ax + b (mod p) 转换为 y² ≡ x³ - 3x + b (mod p) 。