一、tryecc
1.1 题目信息
附件是一个sage脚本与一个文本文件，Gitee备份在此
1.2 分析
\(E_{1}: y^{2}\equiv x^{3}+ax+c\ \textrm{mod}\ N ; E_{2}: y^{2}\equiv x^{3}+ax+b\ \textrm{mod}\ N\)
我们总结一下已知量和未知量：
| 已知 | 未知 |
|---|---|
| N,C,P1,P2,P3,P4 | A,B,m1,m2 |
那么已知\(P_{1}(x_{1},y_{1}),P_{2}(x_{2},y_{2})\)就可以计算出\(a,b\)：
\( y_{1}^{2}\equiv x_{1}^{3}+a\cdot x_{1}+c\ \textrm{mod}\ N \\ y_{2}^{2}\equiv x_{2}^{3}+a\cdot x_{2}+b\ \textrm{mod}\ N \\ a=[y_{1}^{2}-x_{1}^{3}-c]\cdot x_{1}^{-1}\ \textrm{mod}\ N \\ b=y_{2}^{2}-x_{2}^{3}-a\cdot x_{2}\ \textrm{mod}\ N \\ \)
好在\(x_{1}\)在模\(N\)下有逆，于是\(a,b\)就可以解出，到此得到了\(E_{1},E_{2}\)；
\(P_{3}=m_{1}\cdot P_{2}\ in\ E_{2},P_{4}=m_{2}\cdot P_{2}\ in\ E_{2}\)
丢到sgae里面去解离散对数，结果发现解不出来！
但是发现N不是素数，用yafu分解一下N，发现N是两个素数的乘积，记为\(N=p\cdot q\)，那么椭圆曲线\(E_{2}\)可重写为
\(E_{2}: y^{2}\equiv x^{3}+ax+b\ \textrm{mod}\ p\cdot q\)，这样\(E_{2}\)上的点也满足下面两个等式：
\( E_{p}: y^{2}\equiv x^{3}+ax+b\ \textrm{mod}\ p \\ E_{q}: y^{2}\equiv x^{3}+ax+b\ \textrm{mod}\ q \)
即\(E_{2}\)上的点同时在\(E_{p}\)与\(E_{q}\)上(试了一下，我们可以求解\(P_{3},P_{4}\)在椭圆曲线\(E_{p},E_{q}\)上关于基点\(P_{2}\)的离散对数)
\(P_{3}=m_{1}\cdot P_{2}\ in\ E_{2}\) 则有
\( P_{3}=m_{1}\cdot P_{2}\ \ in\ E_{p} \\ P_{3}=m_{1}\cdot P_{2}\ \ in\ E_{q} \)
那是不是意味着我们解出\(P_{3}\)在椭圆曲线\(E_{p}\)上关于基点\(P_{2}\)的离散对数就是\(m_{1}\)呢？非也！我们解出的只是\(m_{1}\ \textrm{mod}\ order_{E_{p}}(P_{2})\)，即\(m_{1}\)模了\(P_{2}\)在椭圆曲线\(E_{p}\)上的阶之后的值！
要想解出\(M_{1}\)，需要将\(P_{3}\)在椭圆曲线\(E_{p},E_{q}\)上关于基点\(P_{2}\)的离散对数结合起来！
\( m_{1}\equiv s_{p}(1)\ \textrm{mod}\ order_{E_{p}}(P_{2}) \\ m_{1}\equiv s_{q}(1)\ \textrm{mod}\ order_{E_{q}}(P_{2}) \)
这里\(s_{p}(1),s_{q}(1)\)分别是\(P_{3}\)在椭圆曲线\(E_{p},E_{q}\)上关于基点\(P_{2}\)的离散对数；
使用中国剩余定理解上述方程组即可解出\(m_{1}\)，同理解出\(m_{2}\)
1.3 解题
上述链接中的solve.sage为解题的脚本；程序运行结果如下(运行时间有点长，稍微等一下)：
$ sage solve.sage
*** Warning: increasing stack size to 2000000.
flag{de7a89ab1d074ef3930fb3054c0e3ac8}
后记
一直在等师傅们关于密码学题目的writeup，结果一直没有找到；就只能把自己唯一做出来的一道题目的writeup写一下。