原根：是一个数学符号。设m是正整数，若a模m的阶等于φ(m),则称a为模m的一个原根。
假设一个数g是P的原根，那么g^i mod P的结果两两不同，且有 1<g<P，0<i<P，归根到底就是g^(P-1) = 1 (mod P)当且仅当指数为P-1的时候成立.(这里P是素数)。简单来说，g^i mod p ≠ g^j mod p （p为素数），其中i≠j且i, j介于1至(p-1)之间，则g为p的原根。
原根的性质：
（1） 对于任意正整数a，m，如果(a,m)=1,存在最小的正整数d满足a^d≡1(mod m)，则有 d 整除 φ(m)，因此Ordm(a)整除φ(m)。这里的d被称为a模m的阶，记为Ordm(a)。
例如:求3模7的阶时，我们仅需要验证 3 的 1 、2、3 和 6 次方模 7 的余数即可。
（2） 记δ = Ordm(a)，则a^1，……a(δ-1)模 m 两两不同余。因此当a是模m的原根时，a^0,a1，……a^(δ-1)构成模 m 的简化剩余系。
（3） 模m有原根的充要条件是m= 1,2,4,p,2p,p^n，其中p是奇质数，n是任意正整数。
（4） 对正整数(a,m) = 1，如果 a 是模 m 的原根，那么 a 是整数模n乘法群（即加法群 Z/mZ的可逆元，也就是所有与 m 互素的正整数构成的等价类构成的乘法群）Zn的一个生成元。由于Zn有 φ(m)个元素，而它的生成元的个数就是它的可逆元个数，即 φ(φ(m))个，因此当模m有原根时，它有φ(φ(m))个原根。

例子：设m= 7，则φ（7）等于6。
设a= 2，由于2^3=8≡1(mod 7)，2^{6=64≡1(mod7)，2}3≡2^6(mod7)，所以 2 不是模 7 的一个原根。
设a= 3，由于3^1≡3(mod 7)，3^2≡2(mod 7)，3^3≡6(mod 7)，3^4≡4(mod 7)，3^5≡5(mod 7)，3^6≡1(mod 7)，所以 3 是模 7 的一个原根。
补充一点，根据原根的性质1，只需要验证3^1，32，3^3，36即可，这样可以简化运算。
原根存在条件
原根存在的条件有以下几个：
定理一：设p是奇素数，则模p的原根存在； [3]
定理二：设g是模p的原根，则g或者g+p是模的原根；
定理三：设p是奇素数，则对任意a，模P^a的原根存在；
定理四：设a>1，若g是模p^{a的一个原根，则g与g+p}a中的奇数是模2p^a的一个原根

代换—置换网络SPN
简介：是一系列被应用于分组密码中相关的数学运算，高级加密标准、3-Way、Kuznyechik、PRESENT、SAFER、SHARK、Square都有涉用。这种加密网络使用明文块和密钥块作为输入，并通过交错的若干“轮”代换操作和置换操作产生密文块。代换和置换分别被称作S盒和P盒。由于其实施于硬件的高效性，SPN的应用十分广泛。
定义：一个SPN包括
密钥块：
明文块：明文：没有加密的文字
分组密码：的数学模型是将明文消息编码后的数字序列，划分成长度为n的组（可看成长度为n的矢量），
S盒（代替压缩）：S盒是对称密钥算法执行置换计算的基本结构。S盒用在分组密码算法中，是唯一的非线性结构，其S盒的指标的好坏直接决定了密码算法的好坏。
S盒的功能就是一种简单的“代替”操作。S盒是将48比特压缩成32比特，S盒接受特定数量的输入48比特，经过8个盒将其转换为32比特输出 ，如图1所示。
原理
压缩后的密钥与扩展分组异或以后得到48位的数据，将这个数据送入S盒 [3] ，进行替代运算。替代由8个不同的S盒完成，每个S盒有6位输入4位输出。48位输入分为8个6位的分组，一个分组对应一个S盒，对应的S盒对各组进行代替操作。
s盒原理
s盒原理
一个S盒就是一个4行16列的表，盒中的每一项都是一个4位二进制数表示的十进制数。S盒的6个输入确定了其对应的那个盒。输入的高低两位做为行数H，中间四位做为列数L，在S-BOX中查找第H行L列对应的数据。（S盒的行列计数都是从0开始。）
8个S盒变换如下：
S1盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 14 4 13 1 2 15 11 8 3 10 6 12 5 9 0 7
1 0 15 7 4 14 2 13 1 10 6 12 11 9 5 3 8
2 4 1 14 8 13 6 2 11 15 12 9 7 3 10 5 0
3 15 12 8 2 4 9 1 7 5 11 3 14 10 0 6 13
S2盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 15 1 8 14 6 11 3 4 9 7 2 13 12 0 5 10
1 3 13 4 7 15 2 8 14 12 0 1 10 6 9 11 5
2 0 14 7 11 10 4 13 1 5 8 12 6 9 3 2 15
3 13 8 10 1 3 15 4 2 11 6 7 12 0 5 14 9
S3盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 10 0 9 14 6 3 15 5 1 13 12 7 11 4 2 8
1 13 7 0 9 3 4 6 10 2 8 5 14 12 11 15 1
2 13 6 4 9 8 15 3 0 11 1 2 12 5 10 14 7
3 1 10 13 0 6 9 8 7 4 15 14 3 11 5 2 12
S4盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 7 13 14 3 0 6 9 10 1 2 8 5 11 12 4 15
1 13 8 11 5 6 15 0 3 4 7 2 12 1 10 14 9
2 10 6 9 0 12 11 7 13 15 1 3 14 5 2 8 4
3 3 15 0 6 10 1 13 8 9 4 5 11 12 7 2 14
S5盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 2 12 4 1 7 10 11 6 8 5 3 15 13 0 14 9
1 14 11 2 12 4 7 13 1 5 0 15 10 3 9 8 6
2 4 2 1 11 10 13 7 8 15 9 12 5 6 3 0 14
3 11 8 12 7 1 14 2 13 6 15 0 9 10 4 5 3
S6盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 12 1 10 15 9 2 6 8 0 13 3 4 14 7 5 11
1 10 15 4 2 7 12 9 5 6 1 13 14 0 11 3 8
2 9 14 15 5 2 8 12 3 7 0 4 10 1 13 11 6
3 4 3 2 12 9 5 15 10 11 14 1 7 6 0 8 13
S7盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 4 11 2 14 15 0 8 13 3 12 9 7 5 10 6 1
1 13 0 11 7 4 9 1 10 14 3 5 12 2 15 8 6
2 1 4 11 13 12 3 7 14 10 15 6 8 0 5 9 2
3 6 11 13 8 1 4 10 7 9 5 0 15 14 2 3 12
S8盒
0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
0 13 2 8 4 6 15 11 1 10 9 3 14 5 0 12 7
1 1 15 13 8 10 3 7 4 12 5 6 11 0 14 9 2
2 7 11 4 1 9 12 14 2 0 6 10 13 15 3 5 8
3 2 1 14 7 4 10 8 13 15 12 9 0 3 5 6 11
举例
我们以s8盒为例，输入110011，第一位和第六位（最高位和最低位）组合为11（二进制），转换为十进制为3，则在s8盒中行号为3。接下来我们计算列，原始数据第二位到第五位为1001（二进制），转换为十进制为9，则在s8盒中列号为9。s盒8的03行09列的数字为12，转换为二进制为1100，因此用二进制1100来代替110011。
S盒代替是DES算法 [4] 的关键步骤，所有的其他的运算都是线性的，易于分析，而S盒是非线性的，相比于其他步骤，提供了更好安全性。

P盒（打乱排序盒）：P盒的作用是扩散(Diffusion)，目的是让明文和密钥的影响迅速扩散到整个密文中。即1位的明文或密钥的改变会影响到密文的多个比特
在密码学中，一个P盒（Permutation-box，置换盒）是一个透过置换和转置将替换盒（S-boxes）输入进行位元洗牌的方法，在转置的过程中保持一定程度的扩散。
原理编辑
32位作为输入
该置换把输入的每位映射到输出位，任何一位不能被映射两次，也不能被略去，映射规则如下表：
16 7 20 21 29 12 28 17
1 15 23 26 5 18 31 10
2 8 24 14 32 27 3 9
19 13 30 6 22 11 4 25
表中的数字代表原数据中此位置的数据在新数据中的位置，即原数据块的第16位放到新数据的第1位，第7位放到第2位，……依此类推，第25位放到第32位。
举例编辑
例如十六进制10A1 0001进行P盒置换后变为8000 0886（十六进制）。
10A1 0001（十六进制）转换为32位二进制为0001 0000 1010 0001 0000 0000 0000 0001，填入表中（如下）。
0 0 0 1 0 0 0 0
1 0 1 0 0 0 0 1
0 0 0 0 0 0 0 0
0 0 0 0 0 0 0 1
经P盒变换后为（原来的第16位放到输出的第1位…）
1 0 0 0 0 0 0 0
0 0 0 0 0 0 0 0
0 0 0 0 1 0 0 0
1 0 0 0 0 1 1 0
经P盒变换后二进制为1000 0000 0000 0000 0000 1000 1000 0110，转换为十六进制为8000 0886。

散列函数：（哈希函数）把任意长度的输入通过散列算法变换成固定长度的输出。压缩映射，散列值的空间远小于输入的空间，不同输入可能散列成相同的输出，所以不能从散列值来确定唯一的输入值。
merkle tree:传输数据的时候，A收到B传过来的文件，需要确认收到的文件有没有损坏。文件很大的时候，往往需要把文件拆分很多的数据块各自传输，这时就需要知道每个数据块的哈希值。可以在下载数据之前先下载一份哈希列表，这个列表每一项对应一个数据块的哈希值。对这个list拼接后可以计算一个根hash。实际应用中，我们只要确保从一个可信的渠道获取正确的根hash，就可以确保下载正确的文件。

Zk-SNARKs
“零知识”证明允许一方（证明方）向另一方（验证方）证明一项声明是真实的，而不披露除声明本身的有效性之外的任何信息。
1. 同态隐藏 (HH)
具有HH属性 E(x) 是一个关于 x 的函数，它有如下特点：
对于大部分的 x，给定某个 E(x) 通常很难求解出 x.
不同输入将会得到不同输出 – 因此，如果 x≠y，则 E(x)≠E(y)。
如果某人知道了 E(x) 和 E(y)，则他可以生成x 和 y的算术表达式的 HH 函数。比如，他们可以使用 E(x) 和 E(y) 来计算 E(x+y)。
确实可以获取与 x 和 y 相关的一些信息。比如，他可以选择一个随机的 x’，并通过计算 E(x’) 的方式检查 x=x’ 等式是否成立。出于这种原因，上面的协议并不是一个真正的零知识证明协议，它仅仅用于解释。事实上，我们会在以后的文章中看到，HH 最终用在 snark 隐藏验证者挑战数时使用，而不在隐藏证明者秘密时使用。
从一个例子中了解匿数是如何构成的。事实上，我们不能使用常规的整数和常规的加法来构造他们，因此，我们需要看看“有限群”：
假设 n 是一个整数。当我们对整数 A 写下 A mod n 时，我们的意思是在 A 除以 n 后取余数。比如 9 mod 7=2 和 13 mod 12=1。 我们可以使用 mod n 在正数集 {0,…,n−1} 上定义加法操作：我们在做常规加法后，对结果应用(mod n)来获取一个在{0,…,n-1}范围中的数。 我们有时会在右边写下 (modn) 来声明我们使用的是此种类型的加法。 比如，2+3=1(mod4)。 我们称带有这种加法操作的集合 {0,…,n−1} 为 Z(+,n)。结果被限制在{0,…,n-1}范围内。

对于一个质数 p，我们可以使用 mod p 在集合{1,…,p-1}上定义一个乘法操作，这样操作的结果也会在集合 {1,…,p−1} 中 —— 通过对整数的常规乘法，并对结果进行mod p操作。
比如，2⋅4=1 (mod 7) .
[3]当 p 不是质数时，以上的方式定义乘法是有问题的。其中的一个问题是即便两个参数都不为零，乘积的结果仍可能为零。比如当 p = 4 是，我们可以得到 22=0 (mod 4)
这样的集合和操作一起被称为群 Z(,p)。 Z(*,p)具有以下这些有用的属性：

1. 它是一个循环群；这意味着，Z(*,p)其中有一些被称为生成器(generator)的元素g，当我们定义g^{0=1时，Z(*,p)所有的元素都能被写成g}a的形式，其中a是{0,…,p-2}的元素 。
   循环群：若—个群G的每—个元都是G的某—个固定元a的乘方，则称G为循环群，记作G=(a)={am |m∈Z}，a称为G的—个生成元。特别地，如果G的代数运算采用加号表示时，则有 (a)={ma | m∈Z}

2.离散对数问题在 Z(,p) 中被认为是困难的。这意味着，当 p 值较大时，给定一个在Z(,p)中的元素h，很难在 0,…,p−2 中找到整数 a ，满足 g^a=h (mod p)。
3.由于 “元素相乘时它们的指数会相加”，对于来自0,…,p-2的a,b，等式( g^a )⋅( g^b )=g^( a+b (mod p-1) )成立。

使用这些特性，我们现在建立一个“支持加法”的HH-这意味着E(x+y)可以由E(x)和E(y)计算得到。我们假设E的输入x来自Z(*,p-1),因此它的范围是{0,…,p-2}.我们对每个这样的x定义E(x)=g^{x,并称这样的E是一个HH：第一个特性表明，在Z(*,p-1)中的不同x会映射到不同的输出。第二个特性表明，给定一个E(x)=g}x,很难计算出x。最终，使用第三个特性，对于给定的E(x)和E(y)，我们可以计算出E(x+y)，因为E(x+y)=g^(x+y(mod p-1))=(g^x).(gy)=E(x).E(y).(因为x+y (mod p-1)=x+y因为y(mod p-1)=y)

2. 多项式盲估
我们使用Fp来表示p的域的大小；也就是说，跟第一部分说明的一样，Fp中的元素是{0,…,p-1},并且加法和乘法都会执行mop p。
多项式和线性组合
回忆一下具有在Fp上的d阶多项式，是一个下面这种形式的表达式：
P(X)=a0+a1.(x)+a2.(x^2)+…+ad.(xd) 其中a0,…,ad∈Fp
我们可以在点s（s ∈ Fp）上计算p（x），用s代替x，并计算总和。
P(s)=a0+a1.(s)+a2.(s^2)+…+ad.(sd)
根据大家所了解的 P，P(s) 的值是 1,(s),…,(s^d) 值的一个线性组合。—— 线性组合仅意味着“加权和”，在 P(s) 一例中权重就是 a0,…,ad。
在上一篇文章中，我们看到了用 E(x)=g^x 定义的带HH性质的 E，其中 g 是一个采用难离散对数问题的群生成器。我们提到，这种HH“加法支持”，能用E(x)和E(y)计算出E(x+y)。 我们在这儿指出，HH一样能“支持线性组合”；这意味着，给定 a,b,E(x),E(y) ，我们能计算出 E(ax+by)。原理很简单，因为：

E(ax+by)=g^( ax+by )=g^( ax )⋅g^( by )=( ( g^x )^a )⋅( ( g^y )^b )=( E(x)^a )⋅( E(y)^b )
某个多项式盲估
假设 Alice 有 d 阶多项式 P， 并且 Bob 可以随机地选择一个点 s∈Fp ， Bob 期望知道 E(P(s))，这就是于 s 点对 P 进行评估的同态隐藏(HH)，做到这点有两种简单的方式：
1.Alice 发送 P 给 Bob，从而 Bob 可以自行计算 E(P(s))。
2.Bob 发送 s 给 Alice；Alice计算 E(P(s)) 并发送给 Bob
然而，在盲估问题中，我们希望 Bob 在不了解 P 的情况下了解 E(P(s)) – 这将排除第一种选择； 更重要的是，我们不希望 Alice 了解 s ，这将排除第二种选择 [1]。

[1] 我们不想将 P 发送给 Bob 的主要原因是，仅仅是因为它太大了——(d+1)个元素，比如，现有的Zcash协议中 d 的值将近2百万；它最终会与“简洁的” SNARKs 协同工作。事实上，上面Bob发送给Alice的匿数序列也一样长，但是这个序列能够作为系统的参数硬编码到系统中，而每次SNARK证明时Alice的消息都不相同。

使用HH，我们可以像下面一样进行盲估。

1，Bob发送匿数 E(1),E(s),…,E(s^d) 给Alice。
2，Alice根据送达的匿数计算 E(P(s)) ，并且发送 E(P(s)) 给Bob。(Alice能够利用E对线性组合的支持进行计算，并且 P(s) 就是 1,s,…,s^d 的线性组合。)
3，可以注意到，因为只有匿数被发送，Alice不会了解 s[2],Bob也不会了解 P.

[2] 事实上，隐藏特性仅仅保证了 s 不能由 E(s) 反推得到，但在这里，我们想强调它同样不可能由序列 E(s),…,E(s^d) 反推得到，虽然这个序列包涵了很多 s 的信息。这样的判断缘于 Diffie-Hellman 假设，这个假设论证了 SNARK 的安全性。
为什么这是有用的方法
在后面的文章中，我们将详细讨论盲估技术如何被应用于 SNARKs。 大致的解释是，验证器在内部有一个 “正确的”多项式，它需要检查是否证明方知道这件事。这将使得证明方可以在一个他们不知道的随机的点上验证他们是否知道这个多项式，并保证证明方的多项式如果不正确，他有更高的几率得到一个报错。这种做法依赖于Schwartz-Zippel引理说明，即“不同多项式在大多数点是不同的”。
以上是为了定义一个集合，在这里加减乘除都可以得到集合内的结果，但是知道了加减乘除的结果（E(x+y)）无法倒退算出参数（x,y）的值。

加密货币：加密货币系统要满足6个条件：
1.这个系统不需要一个中心，而是通过分布式对自身状态达成共识。
2.该系统会对加密币单位和加密币所有权进行跟踪记录；
3.系统会判定是否生成新币。如可生成新币，则系统会定义新币源的条件以及新币的所有权。
4.只能通过密码学的方式来证明加密币的所有权。
5.系统允许加密币的交易，这样加密币的所有权发生改变。而交易清单只能由一个可以证明当前加密币所有权的实体来发布。
6.如果同一时间有两个指令要求改变同一个加密货币的所有权，则系统最多只能执行其中一个指令。
In March 2018, the word “cryptocurrency” was added to the Merriam-Webster Dictionary.[13]
去中心化的加密币是由整个加密币系统生成的，而且加密币产生的速度在系统创造之初就已经定义了，这一点为公众所知。在中心化的银行和经济体系中，诸如美联储，企业董事会或者政府通过印刷法币或者要求增加数字银行账本中的金额的方式来实现控制货币供应。而对于去中心化的加密币，公司或政府不能发生新币，同时迄今为止仍未向那些持有加密币资产的其它企业，银行或者企业实体提供背书。去中心化的加密币所全速的底层技术系统是由一个叫做中本聪的组织抑或个人创建的。
截止到2017年，世界上已经出现1000多个加密币标准。其中的绝大部分与比特币类似并直接衍生自比特币。比特币是世界上第一个全面应用的去中心化加密币。在加密货币系统中，分类账的安全性，完整性和余额由一群互不信任的被称为矿工的团体来维持：他们是普通公众，使用他们的计算机来帮助验证交易并为交易加盖时间戳，并按照特定的时间戳机制将交易信息添加到分类账本中。[15] 矿工有财务激励来维护加密货币分类账本的安全。
大多数加密货币在设计时就加入了逐步减少货币产量的生成机制。这种机制仿效贵金属，设定了可供流通的货币总量上限。[1] [16] 与金融机构持有的一般货币或是手持现金相比，加密货币更难以被执法部门扣押[1]。 这源于加密币采用了密码学技术。
架构-区块链
每个加密币的有效性由区块链提供。区块链是一个不断增长的记录列表，也被称为块。这些块使用密码学技术进行链接和保护。每个块通常包含一个哈希指针，作为前一个块，时间戳和交易数据的链接。根据设计，区块链内在特征是不允许对数据进行修改。它是“一个开放的分布式分类账本，可以有效记录双方交易，同时这些记录可核查且永久不变。”[19] 作为分布式分类账本，区块链通常由点对点网络进行管理，并遵守用于验证新块的协议。 一旦被记录，任何给定块中的数据都不能在后续块中的数据不被修改的情形下被回溯更改。而修改后续块中的内容则依赖网络中的多数人的“合谋”
这种设计机制下，区块链是安全的，并且是具有高Byzantine容错性的分布式计算系统的范例。 因此，通过区块链实现了去中心化共识。[20] 它解决了双重支出问题，而无需借助可信任的权威机构或中央服务器。
块时间是加密币网络在区块链中生成一个额外块所需的平均时间。[21] 一些区块链甚至可以每五秒创建一个新块[22]。块生成完成的时候，其所包含的数据具备验证性。这个过程和货币交易发生同步，所以，块生成时间越短，交易越迅速。
时间戳：加密币使用各种时间机制从保证无需受信任的第三方在区块链分类账本智能对交易加盖时间戳；时间戳可以理解为区块的“出厂日期”，它是指从格林威治时间1970年01月01日00时00分00秒起，截止到现在的总秒数，比如3600，表示的就是1970年01月01日01时00分00秒。时间戳使区块链上每一比交易都有时间记录，证明了区块链上发生的事情，任何人无法篡改，而且能作为交易证明的一个重要信息，时间戳在区块链中扮演了公证人的角色，比传统的公正制度更为可信。
时间戳服务器：时间戳服务器通过对以区块形式存在的一组数据实施随机散列而加上时间戳，并将该随机散列而加上时间戳，并将该随机散列进行广播，就像在新闻或世界性新闻组网络的发帖一样”
这里说的“时间戳服务器”是指所有运行全节点钱包的电脑，

工作证明机制
第一次时间戳（timestamping scheme）方案是工作量证明机制。其中应用最广泛的工作量证明方案是基于SHA-256和scrypt。[23] 而后者现在在加密货币领域占主导地位，至今至少有480个经确认的应用。[24]其他一些用于工作量证明的哈希算法包括CryptoNight，Blake，SHA-3和X11。一些加密货币使用综合使用了工作量证明/权益证明方案。权益证明是一种保护加密货币网络并通过要求用户显示一定数量货币的所有权来达成分布式共识的方法。它与工作量证明系统不同，工作证明系统是验证电子交易而运行高难度的哈希算法。该机制的运用再很大程度上取决于币种，且目前没有标准形式。

SNH-256算法：SHA-256算法单向Hash函数是密码学和信息安全领域中的一个非常重要的基本算法，它是把任意长的消息转化为较短的、固定长度的消息摘要的算法。
一个数字A通过SHA-256的计算后，将会变成一个长度为256位的数字B，此时B就叫做A的哈希值。
不同的数字的哈希值绝不会一样，并且这个过程不可逆，即A可以通过SHA-256得到B，而如果仅知道B，绝不能倒推出数字A。所以即使当系统给出一个值C（已被哈希计算过），没有任何人能够倒推出这个值在哈希前是一个什么数字，只能一个一个数字进行尝试计算。当某个人算出一个哈希后的数字比系统给出的值C小，即可认证计算成功。此时，矿工为了寻求答案而进行的计算尝试的过程，我们称之为工作量证明（proof-of-work）。
综上所述：
系统给出的值C即是目标值；矿工每计算一次，都是工作量证明（proof-of-work）的具体体现。所以工作量证明（proof-of-work）即是证明矿工们为了得到答案确实进行了计算；再具体一些，我们设定一个参数nonce，作为工作量证明的计数器。nonce初始值为0，每进行一次计算数值加1。

SHA加密标准，是至今国际上使用最为广泛的较为安全的压缩算法之一，由美国NIST和NSA两个组织共同开发的，此算法于1993年5月11日被美国NIST和NSA设定为加密标准。为了提高Hash函数的安全性能，陆续发布了改进Hash密码算法SHA-1，SHA-224，SHA-256，SHA-384，SHA-512等。但随着2004年中国密码专家王小云教授研究小组宣布对MD5，SHA-1等加密算法的破解，随着密码学研究的不断深入和计算机技术的快速发展，美国政府计划从2010年起不再使用SHA-1，全面推广使用SHA-256，SHA-384，SHA-512等加密算法。
SHA-256算法的安全性分析
Hah函数的安全性很大程度上取决于抗强碰撞的能力，即攻击者找出两个涓息M和M’(M≠M’),使得H(M)=H(M’)。因此，评价一个Hash函数的安全性，就是看攻击者在现有的条件下，是否能找到该函数的一对碰撞。目前已有的对Hash函数攻击的方法包括生日攻击，彩虹表攻击，差分攻击等。
生日攻击
生日攻击是一种可用于攻击任何类型Hash函数的攻击方法。从攻击原理上看，它没有利用Hash函数的结构和任何代数弱性质，只依赖于Hash值的长度。因此，抵御生日攻击最有效的方法是Hash值必须有足够的长度。
生日攻击步骤：
发送方用私钥对256位的Hash值加密，并将加密结果附于消息之后一并提交给接收者，攻击者可以按如下步骤实施攻击：
1）攻击者生成出消息M的2128钟不同的消息变形，每一种消息变形都与原消息M具有相同的含义，同时攻击者再伪造一个假冒的消息M’，并对假冒的消息生出2128个不同的消息，其目的是试图用假冒的消息代替真实消息。
2）比较上述两个集合，找出具有相同Hash值的一对消息Mi和M’j，依照生日悖论原理，攻击者找到碰撞的概率大于0.5.如果没找到，则重新伪造一个消息，并生成2128个变形，直至找到碰撞为止。
3）攻击者将消息Mi（与伪造消息M’j有相同Hash值）提交给A请求签名，后将该签名连同伪造消息M’j一起发送给接收者。
差分攻击
差分攻击时目前破译迭代Hash函数最有效的手法之一，其基本方法是利用明文的输入差值对输出差值的影响，运用差分的高概率继承或者消除来产生最终的相同输出。一个Hash函数的安全性高低最终要看能否找到函数的整体碰撞，由于SHN-256算法具有迭代型结构，根据迭代算法的雪崩效应，随着轮数的增加，相应的整体的碰撞复杂度会急剧上升，这就使得找到整体碰撞变得非常困难，直至目前现有的攻击还无法找到SHA-256的一个整体碰撞。因此，SHA-256算法被认为是目前最安全的Hash函数之一。

离散对数：离散对数是一种基于同余运算和原根的一种对数运算。
当模m有原根时，设l为模m的一个原根，则当 时： 此处的 为x以整数l为底，模 时的离散对数值。

参考：Matter实验室 https://www.jianshu.com/p/9f9546778ba9