EdDSA

La siguiente es una descripción simplificada de EdDSA, ignorando los detalles de codificación de números enteros y puntos de curva como cadenas de bits; los detalles completos están en los documentos y RFC.[1]

Un esquema de firma EdDSA es una elección:

• de campo finito ${\displaystyle \mathbb {F} _{q}}$ sobre potencia prima impar ${\displaystyle q}$;
• de curva elíptica ${\displaystyle E}$ sobre ${\displaystyle \mathbb {F} _{q}}$ cuyo grupo ${\displaystyle E(\mathbb {F} _{q})}$ de <span about="#mwt52" class="mwe-math-element" data-mw="{&quot;name&quot;:&quot;math&quot;,&quot;attrs&quot;:{},&quot;body&quot;:{&quot;extsrc&quot;:&quot;\\mathbb{F}_q&quot;}}" id="14" typeof="mw:Extension/math"><span class="mwe-math-mathml-inline mwe-math-mathml-a11y" style="display: none;"><math xmlns="http://www.w3.org/1998/Math/MathML"> <semantics> <mrow class="MJX-TeXAtom-ORD"> <mstyle displaystyle="true" scriptlevel="0"> <msub> <mrow class="MJX-TeXAtom-ORD"> <mi mathvariant="double-struck">F</mi> </mrow> <mrow class="MJX-TeXAtom-ORD"> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation encoding="application/x-tex">{\displaystyle \mathbb {F} _{q}}</annotation> </semantics> </math></span><img alt="\mathbb {F} _{q}" aria-hidden="true" class="mwe-math-fallback-image-inline" data-cx="{&quot;adapted&quot;:false}" src="https://wikimedia.org/api/rest_v1/media/math/render/svg/dbb96e056c071d13fc7702013f9273e7f5cd88a7" style="vertical-align: -1.005ex; width:2.409ex; height:2.843ex;"></span> -los puntos racionales tienen orden ${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }$, dónde ${\displaystyle \ell }$ es un primo grande y ${\displaystyle 2^{c}}$ se llama el cofactor;
• de punto base ${\displaystyle B\in E(\mathbb {F} _{q})}$ Con orden ${\displaystyle \ell }$; y
• de la función hash criptográfica ${\displaystyle H}$ con salidas de ${\displaystyle 2b}$ bits, donde ${\displaystyle 2^{b-1}>q}$ para que elementos de ${\displaystyle \mathbb {F} _{q}}$ y puntos de curva en ${\displaystyle E(\mathbb {F} _{q})}$ pueda ser representado por cadenas de ${\displaystyle b}$ bits

Estos parámetros son comunes a todos los usuarios del esquema de firma EdDSA. La seguridad del esquema de firma EdDSA depende de manera crítica de las elecciones de parámetros, excepto por la elección arbitraria del punto base; por ejemplo, se espera que el algoritmo rho de Pollard para logaritmos tome aproximadamente ${\displaystyle {\sqrt {\ell \pi /4}}}$ adiciones de curvas antes de que pueda calcular un logaritmo discreto, por lo que ${\displaystyle \ell }$ debe ser lo suficientemente grande para que esto no sea factible y, por lo general, se considera que supera los 2²⁰⁰. [3] La elección de ${\displaystyle \ell }$ está limitada por la elección de ${\displaystyle q}$, ya que por el teorema de Hasse, ${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }$ no puede diferir de ${\displaystyle q+1}$ por más de ${\displaystyle 2{\sqrt {q}}}$ . la función hash ${\displaystyle H}$ normalmente se modela como un oráculo aleatorio en los análisis formales de la seguridad de EdDSA. En la variante HashEdDSA, una función hash adicional resistente a colisiones ${\displaystyle H'}$ se necesita

Dentro de un esquema de firma EdDSA,

Clave pública

Una clave pública EdDSA es un punto de curva ${\displaystyle A\in E(\mathbb {F} _{q})}$, codificado en ${\displaystyle b}$ bits

Firma

Una firma EdDSA en un mensaje ${\displaystyle M}$ por clave pública ${\displaystyle A}$ es el par ${\displaystyle (R,S)}$, codificado en ${\displaystyle 2b}$ bits, de un punto de curva ${\displaystyle R\in E(\mathbb {F} _{q})}$ y un entero ${\displaystyle 0<S<\ell }$ satisfaciendo la siguiente ecuación de verificación. ${\displaystyle \parallel }$ denota concatenación.

$${\displaystyle 2^{c}SB=2^{c}R+2^{c}H(R\parallel A\parallel M)A}$$

Clave privada

Una clave privada EdDSA es una cadena de ${\displaystyle b}$ bits ${\displaystyle k}$ que debe elegirse uniformemente al azar. La clave pública correspondiente es ${\displaystyle A=sB}$, donde ${\displaystyle s=H_{0,\dots ,b-1}(k)}$ es el menos significativo ${\displaystyle b}$ pedazos de ${\displaystyle H(k)}$ interpretado como un número entero en little-endian. La firma en un mensaje ${\displaystyle M}$ es ${\displaystyle (R,S)}$ dónde ${\displaystyle R=rB}$ por ${\displaystyle r=H(H_{b,\dots ,2b-1}(k)\parallel M)}$, y

$${\displaystyle S\equiv r+H(R\parallel A\parallel M)s{\pmod {\ell }}.}$$

$${\displaystyle {\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallel A\parallel M)s)B\\&=2^{c}rB+2^{c}H(R\parallel A\parallel M)sB\\&=2^{c}R+2^{c}H(R\parallel A\parallel M)A.\end{aligned}}}}$$

Ed25519 es el esquema de firma EdDSA que utiliza SHA-512 (SHA-2) y Curve25519[1] donde

• ${\displaystyle q=2^{255}-19,}$
• ${\displaystyle E/\mathbb {F} _{q}}$ es la curva torcida de Edwards

$${\displaystyle {\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2},}}$$

• ${\displaystyle \ell =2^{252}+27742317777372353535851937790883648493}$ y ${\displaystyle c=3}$
• ${\displaystyle B}$ es el único punto en ${\displaystyle E(\mathbb {F} _{q})}$ cuyo ${\displaystyle y}$ coordenada es ${\displaystyle 4/5}$ y de quien ${\displaystyle x}$ coordenada es positiva. "positivo" se define en términos de codificación de bits:
  • Las coordenadas "positivas" son coordenadas pares (se borra el bit menos significativo)
  • Las coordenadas "negativas" son coordenadas impares (se establece el bit menos significativo)
• ${\displaystyle H}$ es SHA-512, con ${\displaystyle b=256}$ .

La curva ${\displaystyle E(\mathbb {F} _{q})}$ es biracionalmente equivalente a la curva de Montgomery conocida como Curve25519. La equivalencia es [1] [4]

$${\displaystyle {\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}.}}$$

Ed448 es el esquema de firma EdDSA que utiliza SHAKE256 y Curve448 definido en la RFC 8032. También ha sido aprobado en el borrador del estándar FIPS 186-5.[10]