# 8 比特币的公钥算法

前面我们一起学习了《比特币的私钥是怎么产生的》，今天我们再来学另一个重要的概念——公钥。比特币的公钥和私钥是一对秘钥对，你用私钥签名的交易（transaction），可以通过公开的公钥进行验证，以此保证私钥不被泄露出去。这种用一把秘钥签名，再用另一把秘钥对其验证的方式，被称作非对称加密算法。在比特币中，这种算法有一个独特的名字——椭圆曲线算法，如下图所示

椭圆曲线

椭圆曲线的定义非常简单，满足下面公式的所有 $(x,y)$ 坐标的集合，就是我们所说的椭圆曲线

$y^2 \mod{p} = (x^3+7)\mod{p}$

上面公式中， $\mod{}$ 是取余符号，而 $p$ 是一个很大的素数，到这一步，公式中就只剩下自变量 $x$ 和因变量 $y$ 了，你完全可以把它看成初中学过的二元多次函数，不过，并不是所有实数 $x$ 都满足这个曲线，所以实际上椭圆曲线是一个散点图，下图是当 $p$ 为17时，满足上述公式的图形：

spec256k1 椭圆曲线

实际上， $p$ 取不同的素数，椭圆曲线会呈现出完全不同的形态， $p$ 越大，这个椭圆也就越大，可承载的数值范围也就越大，冲突率会降低，乃至于更安全，所以出于安全性考虑，比特币中采用的是一个特定的椭圆曲线，我们叫它 spec256k1，它是由 NIST（National Institute of Standards and Technology）这个组织确定的。

刚才说 $p$ 是一个很大的素数，那么 spec256k1 所选的 $p$ 有多大呢？我们可以看一下

p = 115792089237316195423570985008687907853269984665640564039457584007908834671663

这个 $p$ 可以确定一个椭圆，我们再在其中取一个点 $(x,y)$

x = 55066263022277343669578718895168534326250603453777594175500187360389116729240
y = 32670510020758816978083085130507043184471273380659243275938904335757337482424

把该点中的 $x$ 和 $y$ 带入上面的公式中，看等式两边是否成立：

Python 2.7.10 (default, Jul 15 2017, 17:16:57)
[GCC 4.2.1 Compatible Apple LLVM 9.0.0 (clang-900.0.31)] on darwin
Type "help", "copyright", "credits" or "license" for more information.
>>> x=55066263022277343669578718895168534326250603453777594175500187360389116729240
>>> y=32670510020758816978083085130507043184471273380659243275938904335757337482424
>>> p=115792089237316195423570985008687907853269984665640564039457584007908834671663
>>> (x**3+7)%p - y**2%p
0L

上面是我用 Python 算出的结果，可以看到时符合预期的。