libsecp256k1 (Bitcoin Core)

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/libsecp256k1/run.sh 于2026年10月20日在容器镜像 alpine:3.24.2 中运行了 libsecp256k1 (Bitcoin Core) 0.5.0；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  structured

  签名是不透明的结构体；serialize_compact 写出 64 字节的 r‖s，serialize_der 写出 DER。

  检查记录

  fact ecdsa-signature-encoding = structured
  evidence ecdsa-signature-encoding: secp256k1_ecdsa_signature is opaque: serialize_compact gives 64 bytes, serialize_der 70 bytes

• ECDSA 的 nonce

  rfc6979

  RFC 6979：签名与一个独立的 RFC 6979 实现给出的签名（s 已规范化）相同。

  检查记录

  fact ecdsa-nonce = rfc6979
  evidence ecdsa-nonce: two signatures identical: yes; equal to the reference RFC 6979 signature with s normalized: yes

• 签名时的 low-S

  low-s

  64 个签名中没有 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = low-s

• 验证时的 high-S

  rejects-high-s

  secp256k1_ecdsa_verify 拒绝了 (r, n − s)；经 secp256k1_ecdsa_signature_normalize 处理后验证通过。

  检查记录

  fact ecdsa-low-s-verify = rejects-high-s
  evidence ecdsa-low-s-verify: verify on (r, n - s): 0; signature_normalize reports it was high: 1; normalized verifies: 1

• 签名调用对哪些内容做哈希

  takes-digest

  secp256k1_ecdsa_sign 接收 32 字节的消息哈希。

  检查记录

  fact ecdsa-prehash = takes-digest
  evidence ecdsa-prehash: secp256k1_ecdsa_sign takes a 32-byte message hash (msghash32)

• 默认哈希

  none

  签名和验证过程中都不计算哈希。

  检查记录

  fact ecdsa-default-hash = none

• DER 严格程度

  rejects-non-minimal

  parse_der 接受最简 DER，拒绝了 r 带有多余前导零字节的编码。

  检查记录

  fact der-strictness = rejects-non-minimal
  evidence der-strictness: parse_der on minimal DER: 1; with a redundant leading zero in r: 0

• 格式错误的 ECDSA 签名

  returns-error

  格式错误的输入在解析阶段就会失败（parse_der 返回 0）；verify 只接收已解析的签名。

  检查记录

  fact ecdsa-malformed-signature = returns-error
  evidence ecdsa-malformed-signature: parsing is a separate call: parse_der on 3 bytes returned 0; verify only ever sees parsed signatures

• ECDSA 曲线

  secp256k1

  仅支持 secp256k1。

  检查记录

  fact ecdsa-curves = secp256k1

• 公钥恢复

  supported

  recovery 模块从可恢复签名中恢复出了签名者的公钥。

  检查记录

  fact public-key-recovery = supported

• Schnorr 签名

  BIP-340

  schnorrsig 模块生成了 BIP-340 签名，并用仅含 x 坐标的公钥（x-only）验证通过。

  检查记录

  fact schnorr = BIP-340

• EdDSA

  none

  不支持 EdDSA。

  检查记录

  fact eddsa = none

• 后量子算法

  none

  不支持后量子算法。

  检查记录

  fact pqc = none

• 公钥格式

  sec1-uncompressedsec1-compressed

  ec_pubkey_parse 接受 65 字节的 SEC1 未压缩点和 33 字节的 SEC1 压缩点；64 字节的 x‖y 被拒绝。

  检查记录

  fact public-key-formats = sec1-uncompressed, sec1-compressed
  evidence public-key-formats: ec_pubkey_parse: 65-byte uncompressed 1, 33-byte compressed 1, 64-byte x||y 0

• 私钥格式

  raw-scalar

  私钥是 32 字节的原始标量。

  检查记录

  fact private-key-formats = raw-scalar

用法

#include <secp256k1.h>
#include <stdio.h>
#include <string.h>

int main(void) {
    secp256k1_context *ctx = secp256k1_context_create(SECP256K1_CONTEXT_NONE);
    unsigned char seckey[32], msghash[32];
    memset(seckey, 0x11, 32);   /* use a random 32-byte key in real code */
    memset(msghash, 0x22, 32);  /* the caller hashes: libsecp256k1 signs a 32-byte digest */

    secp256k1_pubkey pub;
    secp256k1_ecdsa_signature sig;
    if (!secp256k1_ec_pubkey_create(ctx, &pub, seckey) || !secp256k1_ecdsa_sign(ctx, &sig, msghash, seckey, NULL, NULL)) return 1;

    /* A signature from elsewhere: parse (strict DER or 64-byte compact), then normalize s,
       because verify rejects high-S signatures that OpenSSL or Java produce half the time. */
    unsigned char compact[64];
    secp256k1_ecdsa_signature_serialize_compact(ctx, compact, &sig);
    secp256k1_ecdsa_signature parsed;
    if (!secp256k1_ecdsa_signature_parse_compact(ctx, &parsed, compact)) return 1;
    secp256k1_ecdsa_signature_normalize(ctx, &parsed, &parsed);

    printf("verified: %d\n", secp256k1_ecdsa_verify(ctx, &parsed, msghash, &pub));
    secp256k1_context_destroy(ctx);
    return 0;
}