EdDSA

En cryptographie à clé publique , l'algorithme de signature numérique à courbe d'Edwards ( EdDSA ) est un schéma de signature numérique utilisant une variante de la signature de Schnorr basée sur des courbes d'Edwards torsadées . Il est conçu pour être plus rapide que les schémas de signature numérique existants sans compromettre la sécurité. Il a été développé par une équipe comprenant Daniel J. Bernstein , Niels Duif, Tanja Lange , Peter Schwabe et implémentation de référence est un logiciel du domaine public .

Résumé

Ce qui suit est une description simplifiée d'EdDSA, omettant les détails de l'encodage des entiers et des points de courbe sous forme de chaînes binaires ; les détails complets se trouvent dans les articles et RFC.

Un schéma de signature EdDSA est un choix :

de champ fini ${\displaystyle \mathbb {F} _{q <semantics><mrow><mstyle><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub></mstyle></mrow><annotation>{\displaystyle \mathbb {F} _{q}}</annotation></semantics></math><img src=$ ${\displaystyle q <semantics><mrow><mstyle><mi>q</mi></mstyle></mrow><annotation>{\displaystyle q}</annotation></semantics></math><img src=$
de courbe elliptique ${\displaystyle E <semantics><mrow><mstyle><mi>E</mi></mstyle></mrow><annotation>{\displaystyle E}</annotation></semantics></math><img src=$ ${\displaystyle \mathbb {F} _{q <semantics><mrow><mstyle><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub></mstyle></mrow><annotation>{\displaystyle \mathbb {F} _{q}}</annotation></semantics></math><img src=$ ${\displaystyle E(\mathbb {F} _{q}) <semantics><mrow><mstyle><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo></mstyle></mrow><annotation>{\displaystyle E(\mathbb {F} _{q})}</annotation></semantics></math><img src=$ ${\displaystyle \mathbb {F} _{q <semantics><mrow><mstyle><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub></mstyle></mrow><annotation>{\displaystyle \mathbb {F} _{q}}</annotation></semantics></math><img src=$ ${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell <semantics><mrow><mstyle><mi>#</mi><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo><mo>=</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }</annotation></semantics></math><img src=$ ${\displaystyle \ell <semantics><mrow><mstyle><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle \ell }</annotation></semantics></math><img src=$ ${\displaystyle 2^{c <semantics><mrow><mstyle><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup></mstyle></mrow><annotation>{\displaystyle 2^{c}}</annotation></semantics></math><img src=$
point de base ${\displaystyle B\in E(\mathbb {F} _{q}) <semantics><mrow><mstyle><mi>B</mi><mo>∈</mo><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo></mstyle></mrow><annotation>{\displaystyle B\in E(\mathbb {F} _{q})}</annotation></semantics></math><img src=$ ${\displaystyle \ell <semantics><mrow><mstyle><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle \ell }</annotation></semantics></math><img src=$
de fonction de hachage cryptographique ${\displaystyle H <semantics><mrow><mstyle><mi>H</mi></mstyle></mrow><annotation>{\displaystyle H}</annotation></semantics></math><img src=$ ${\displaystyle 2b <semantics><mrow><mstyle><mn>2</mn><mi>b</mi></mstyle></mrow><annotation>{\displaystyle 2b}</annotation></semantics></math><img src=$ $q 2^{b - 1} > q$ q de sorte que les éléments de ${\displaystyle \mathbb {F} _{q <semantics><mrow><mstyle><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub></mstyle></mrow><annotation>{\displaystyle \mathbb {F} _{q}}</annotation></semantics></math><img src=$ ${\displaystyle E(\mathbb {F} _{q}) <semantics><mrow><mstyle><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo></mstyle></mrow><annotation>{\displaystyle E(\mathbb {F} _{q})}</annotation></semantics></math><img src=$ ${\displaystyle b <semantics><mrow><mstyle><mi>b</mi></mstyle></mrow><annotation>{\displaystyle b}</annotation></semantics></math><img src=$

Ces paramètres sont communs à tous les utilisateurs du schéma de signature EdDSA. La sécurité de ce schéma dépend crucialement du choix des paramètres, à l'exception du choix arbitraire du point de base ; par exemple, l'algorithme rho de Pollard pour les logarithmes devrait avoir une complexité temporelle d'environ ${\displaystyle {\sqrt {\ell \pi /4 <semantics><mrow><mstyle><mrow><msqrt><mi>ℓ</mi><mi>π</mi><mrow><mo>/</mo></mrow><mn>4</mn></msqrt></mrow></mstyle></mrow><annotation>{\displaystyle {\sqrt {\ell \pi /4}}}</annotation></semantics></math><img src=$ ${\displaystyle \ell <semantics><mrow><mstyle><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle \ell }</annotation></semantics></math><img src=$ ${\displaystyle \ell <semantics><mrow><mstyle><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle \ell }</annotation></semantics></math><img src=$ ${\displaystyle q <semantics><mrow><mstyle><mi>q</mi></mstyle></mrow><annotation>{\displaystyle q}</annotation></semantics></math><img src=$ ${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell <semantics><mrow><mstyle><mi>#</mi><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo><mo>=</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }</annotation></semantics></math><img src=$ ${\displaystyle q+1 <semantics><mrow><mstyle><mi>q</mi><mo>+</mo><mn>1</mn></mstyle></mrow><annotation>{\displaystyle q+1}</annotation></semantics></math><img src=$ ${\displaystyle 2{\sqrt {q <semantics><mrow><mstyle><mn>2</mn><mrow><msqrt><mi>q</mi></msqrt></mrow></mstyle></mrow><annotation>{\displaystyle 2{\sqrt {q}}}</annotation></semantics></math><img src=$ ${\displaystyle H <semantics><mrow><mstyle><mi>H</mi></mstyle></mrow><annotation>{\displaystyle H}</annotation></semantics></math><img src=$

Dans le cadre d'un système de signature EdDSA,

Clé publique: Une clé publique EdDSA est un point de courbe ${\displaystyle A\in E(\mathbb {F} _{q}) <semantics><mrow><mstyle><mi>UN</mi><mo>∈</mo><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo></mstyle></mrow><annotation>{\displaystyle A\in E(\mathbb {F} _{q})}</annotation></semantics></math><img src=$ ${\displaystyle b <semantics><mrow><mstyle><mi>b</mi></mstyle></mrow><annotation>{\displaystyle b}</annotation></semantics></math><img src=$
Vérification de signature: Une signature EdDSA sur un message ${\displaystyle M <semantics><mrow><mstyle><mi>M</mi></mstyle></mrow><annotation>{\displaystyle M}</annotation></semantics></math><img src=$ ${\displaystyle A <semantics><mrow><mstyle><mi>UN</mi></mstyle></mrow><annotation>{\displaystyle A}</annotation></semantics></math><img src=$ ${\displaystyle (R,S) <semantics><mrow><mstyle><mo>(</mo><mi>R</mi><mo>,</mo><mi>S</mi><mo>)</mo></mstyle></mrow><annotation>{\displaystyle (R,S)}</annotation></semantics></math><img src=$ ${\displaystyle 2b <semantics><mrow><mstyle><mn>2</mn><mi>b</mi></mstyle></mrow><annotation>{\displaystyle 2b}</annotation></semantics></math><img src=$ ${\displaystyle R\in E(\mathbb {F} _{q}) <semantics><mrow><mstyle><mi>R</mi><mo>∈</mo><mi>E</mi><mo>(</mo><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub><mo>)</mo></mstyle></mrow><annotation>{\displaystyle R\in E(\mathbb {F} _{q})}</annotation></semantics></math><img src=$ ${\displaystyle 0<S<\ell <semantics><mrow><mstyle><mn>0</mn><mo><</mo><mi>S</mi><mo><</mo><mi>ℓ</mi></mstyle></mrow><annotation>{\displaystyle 0<S<\ell }</annotation></semantics></math><img src=$ ${\displaystyle \parallel <semantics><mrow><mstyle><mo>∥</mo></mstyle></mrow><annotation>{\displaystyle \parallel }</annotation></semantics></math><img src=$

${\displaystyle 2^{c}SB=2^{c}R+2^{c}H(R\parallel A\parallel M)A. <semantics><mrow><mstyle><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>S</mi><mi>B</mi><mo>=</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>R</mi><mo>+</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>H</mi><mo>(</mo><mi>R</mi><mo>∥</mo><mi>UN</mi><mo>∥</mo><mi>M</mi><mo>)</mo><mi>UN</mi><mo>.</mo></mstyle></mrow><annotation>{\displaystyle 2^{c}SB=2^{c}R+2^{c}H(R\parallel A\parallel M)A.}</annotation></semantics></math><img src=$

Clé privée: Une clé privée EdDSA est une ${\displaystyle b <semantics><mrow><mstyle><mi>b</mi></mstyle></mrow><annotation>{\displaystyle b}</annotation></semantics></math><img src=$ ${\displaystyle k <semantics><mrow><mstyle><mi>k</mi></mstyle></mrow><annotation>{\displaystyle k}</annotation></semantics></math><img src=$ ${\displaystyle A=sB <semantics><mrow><mstyle><mi>UN</mi><mo>=</mo><mi>s</mi><mi>B</mi></mstyle></mrow><annotation>{\displaystyle A=sB}</annotation></semantics></math><img src=$ ${\displaystyle s=H_{0,\dots ,b-1}(k) <semantics><mrow><mstyle><mi>s</mi><mo>=</mo><msub><mi>H</mi><mrow><mn>0</mn><mo>,</mo><mo>…</mo><mo>,</mo><mi>b</mi><mo>−</mo><mn>1</mn></mrow></msub><mo>(</mo><mi>k</mi><mo>)</mo></mstyle></mrow><annotation>{\displaystyle s=H_{0,\dots ,b-1}(k)}</annotation></semantics></math><img src=$ ${\displaystyle b <semantics><mrow><mstyle><mi>b</mi></mstyle></mrow><annotation>{\displaystyle b}</annotation></semantics></math><img src=$ ${\displaystyle H(k) <semantics><mrow><mstyle><mi>H</mi><mo>(</mo><mi>k</mi><mo>)</mo></mstyle></mrow><annotation>{\displaystyle H(k)}</annotation></semantics></math><img src=$
Signature: La signature d'un message ${\displaystyle M <semantics><mrow><mstyle><mi>M</mi></mstyle></mrow><annotation>{\displaystyle M}</annotation></semantics></math><img src=$ ${\displaystyle (R,S), <semantics><mrow><mstyle><mo>(</mo><mi>R</mi><mo>,</mo><mi>S</mi><mo>)</mo><mo>,</mo></mstyle></mrow><annotation>{\displaystyle (R,S),}</annotation></semantics></math><img src=$ ${\displaystyle R=rB <semantics><mrow><mstyle><mi>R</mi><mo>=</mo><mi>r</mi><mi>B</mi></mstyle></mrow><annotation>{\displaystyle R=rB}</annotation></semantics></math><img src=$ ${\displaystyle r=H(H_{b,\dots ,2b-1}(k)\parallel M) <semantics><mrow><mstyle><mi>r</mi><mo>=</mo><mi>H</mi><mo>(</mo><msub><mi>H</mi><mrow><mi>b</mi><mo>,</mo><mo>…</mo><mo>,</mo><mn>2</mn><mi>b</mi><mo>−</mo><mn>1</mn></mrow></msub><mo>(</mo><mi>k</mi><mo>)</mo><mo>∥</mo><mi>M</mi><mo>)</mo></mstyle></mrow><annotation>{\displaystyle r=H(H_{b,\dots ,2b-1}(k)\parallel M)}</annotation></semantics></math><img src=$ ${\displaystyle S\equiv r+H(R\parallel A\parallel M)s{\pmod {\ell }}. <semantics><mrow><mstyle><mi>S</mi><mo>≡</mo><mi>r</mi><mo>+</mo><mi>H</mi><mo>(</mo><mi>R</mi><mo>∥</mo><mi>UN</mi><mo>∥</mo><mi>M</mi><mo>)</mo><mi>s</mi><mrow><mspace></mspace><mo>(</mo><mi>mod</mi><mspace></mspace><mi>ℓ</mi><mo>)</mo></mrow><mo>.</mo></mstyle></mrow><annotation>{\displaystyle S\equiv r+H(R\parallel A\parallel M)s{\pmod {\ell }}.}</annotation></semantics></math><img src=$

${\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallel A\parallel M)s)B\\&=2^{c}rB+2^{c}H(R\parallel A\parallel M)sB\\&=2^{c}R+2^{c}H(R\parallel A\parallel M)A.\end{aligned <semantics><mrow><mstyle><mrow><mtable><mtr><mtd><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>S</mi><mi>B</mi></mtd><mtd><mi></mi><mo>=</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mo>(</mo><mi>r</mi><mo>+</mo><mi>H</mi><mo>(</mo><mi>R</mi><mo>∥</mo><mi>UN</mi><mo>∥</mo><mi>M</mi><mo>)</mo><mi>s</mi><mo>)</mo><mi>B</mi></mtd></mtr><mtr><mtd></mtd><mtd><mi></mi><mo>=</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>r</mi><mi>B</mi><mo>+</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>H</mi><mo>(</mo><mi>R</mi><mo>∥</mo><mi>UN</mi><mo>∥</mo><mi>M</mi><mo>)</mo><mi>s</mi><mi>B</mi></mtd></mtr><mtr><mtd></mtd><mtd><mi></mi><mo>=</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>R</mi><mo>+</mo><msup><mn>2</mn><mrow><mi>c</mi></mrow></msup><mi>H</mi><mo>(</mo><mi>R</mi><mo>∥</mo><mi>UN</mi><mo>∥</mo><mi>M</mi><mo>)</mo><mi>UN</mi><mo>.</mo></mtd></mtr></mtable></mrow></mstyle></mrow><annotation>{\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallel A\parallel M)s)B\\&=2^{c}rB+2^{c}H(R\parallel A\parallel M)sB\\&=2^{c}R+2^{c}H(R\parallel A\parallel M)A.\end{aligned}}}</annotation></semantics></math><img src=$

Ed25519

Ed25519 est le schéma de signature EdDSA utilisant SHA-512 (SHA-2) et une courbe elliptique liée à Curve25519 où

${\displaystyle q=2^{255}-19, <semantics><mrow><mstyle><mi>q</mi><mo>=</mo><msup><mn>2</mn><mrow><mn>255</mn></mrow></msup><mo>−</mo><mn>19</mn><mo>,</mo></mstyle></mrow><annotation>{\displaystyle q=2^{255}-19,}</annotation></semantics></math><img src=$
${\displaystyle E/\mathbb {F} _{q <semantics><mrow><mstyle><mi>E</mi><mrow><mo>/</mo></mrow><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub></mstyle></mrow><annotation>{\displaystyle E/\mathbb {F} _{q}}</annotation></semantics></math><img src=$

${\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2}, <semantics><mrow><mstyle><mo>−</mo><msup><mi>x</mi><mrow><mn>2</mn></mrow></msup><mo>+</mo><msup><mi>y</mi><mrow><mn>2</mn></mrow></msup><mo>=</mo><mn>1</mn><mo>−</mo><mrow><mfrac><mn>121665</mn><mn>121666</mn></mfrac></mrow><msup><mi>x</mi><mrow><mn>2</mn></mrow></msup><msup><mi>y</mi><mrow><mn>2</mn></mrow></msup><mo>,</mo></mstyle></mrow><annotation>{\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2},}</annotation></semantics></math><img src=$

${\displaystyle \ell =2^{252}+27742317777372353535851937790883648493 <semantics><mrow><mstyle><mi>ℓ</mi><mo>=</mo><msup><mn>2</mn><mrow><mn>252</mn></mrow></msup><mo>+</mo><mn>27742317777372353535851937790883648493</mn></mstyle></mrow><annotation>{\displaystyle \ell =2^{252}+27742317777372353535851937790883648493}</annotation></semantics></math><img src=$ ${\displaystyle c=3 <semantics><mrow><mstyle><mi>c</mi><mo>=</mo><mn>3</mn></mstyle></mrow><annotation>{\displaystyle c=3}</annotation></semantics></math><img src=$
est le point unique dans
dont
les coordonnées sont
${\displaystyle 4/5 <semantics><mrow><mstyle><mn>4</mn><mrow><mo>/</mo></mrow><mn>5</mn></mstyle></mrow><annotation>{\displaystyle 4/5}</annotation></semantics></math><img src=$ ${\displaystyle x <semantics><mrow><mstyle><mi>x</mi></mstyle></mrow><annotation>{\displaystyle x}</annotation></semantics></math><img src=$
Les coordonnées « positives » sont des coordonnées paires (le bit de poids faible est mis à zéro).
Les coordonnées «négatives» sont des coordonnées impaires (le bit de poids faible est à 1).
${\displaystyle H <semantics><mrow><mstyle><mi>H</mi></mstyle></mrow><annotation>{\displaystyle H}</annotation></semantics></math><img src=$ ${\displaystyle b=256 <semantics><mrow><mstyle><mi>b</mi><mo>=</mo><mn>256</mn></mstyle></mrow><annotation>{\displaystyle b=256}</annotation></semantics></math><img src=$

La courbe d'Edwards tordue ${\displaystyle E/\mathbb {F} _{q <semantics><mrow><mstyle><mi>E</mi><mrow><mo>/</mo></mrow><msub><mrow><mi>F</mi></mrow><mrow><mi>q</mi></mrow></msub></mstyle></mrow><annotation>{\displaystyle E/\mathbb {F} _{q}}</annotation></semantics></math><img src=$ edwards25519 , et est birationnellement équivalente à la courbe de Montgomery connue sous le nom de Curve25519 . L'équivalence est ${\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}. <semantics><mrow><mstyle><mi>x</mi><mo>=</mo><mrow><mfrac><mi>vous</mi><mi>v</mi></mfrac></mrow><mrow><msqrt><mo>−</mo><mn>486664</mn></msqrt></mrow><mo>,</mo><mspace></mspace><mi>y</mi><mo>=</mo><mrow><mfrac><mrow><mi>vous</mi><mo>−</mo><mn>1</mn></mrow><mrow><mi>vous</mi><mo>+</mo><mn>1</mn></mrow></mfrac></mrow><mo>.</mo></mstyle></mrow><annotation>{\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}.}</annotation></semantics></math><img src=$

Performance

L'équipe d'origine a optimisé Ed25519 pour la famille de processeurs x86-64 Nehalem / Westmere . La vérification peut être effectuée par lots de 64 signatures pour un débit encore plus élevé. Ed25519 est conçu pour offrir une résistance aux attaques comparable à celle des chiffrements symétriques 128 bits de haute qualité .

Les clés publiques ont une longueur de 256 bits et les signatures ont une longueur de 512 bits.

Codage sécurisé

Ed25519 est conçu pour éviter les implémentations qui utilisent des conditions de branchement ou des indices de tableau qui dépendent de données secrètes, afin d'atténuer les attaques par canal auxiliaire .

Comme d'autres schémas de signature basés sur le logarithme discret, EdDSA utilise une valeur secrète appelée nonce , unique à chaque signature. Dans les schémas de signature DSA et ECDSA , ce nonce est traditionnellement généré aléatoirement pour chaque signature. Si le générateur de nombres aléatoires est compromis et devient prévisible lors de la création d'une signature, celle-ci peut divulguer la clé privée, comme ce fut le cas pour la clé de signature de la mise à jour du firmware de la PlayStation 3 de Sony .

À l'inverse, EdDSA choisit le nonce de manière déterministe comme le hachage d'une partie de la clé privée et du message. Ainsi, une fois la clé privée générée, EdDSA n'a plus besoin de générateur de nombres aléatoires pour effectuer les signatures, et il n'y a aucun risque qu'un générateur de nombres aléatoires défectueux utilisé pour la signature révèle la clé privée.

Incohérences de normalisation et de mise en œuvre

Il convient de noter qu’il existe deux initiatives de normalisation pour EdDSA : l’une émanant de l’IETF ( RFC 8032 à titre informatif ) et l’autre du NIST (dans le cadre de la norme FIPS 186-5). Les différences entre ces normes ont été analysées et des vecteurs de test sont disponibles.

Logiciel

Parmi les utilisations notables d'Ed25519 figurent OpenSSH , GnuPG et diverses alternatives, ainsi que l' outil signify d' OpenBSD . L'utilisation d'Ed25519 (et d'Ed448) dans le protocole SSH a été normalisée . En 2023, la version finale de la norme FIPS 186-5 a inclus Ed25519 déterministe comme schéma de signature approuvé

Apple Watch et iPhone utilisent des clés Ed25519 pour l'authentification mutuelle IKEv2
Botan
Crypto++
Protocole de cryptomonnaie CryptoNote
Dropbear SSH
Implémentation I2Pd d'EdDSA
Kit de développement Java 15
Libgcrypt
Minisign et Minisign Miscellanea pour macOS
NaCl / libsodium
OpenSSL 1.1.1
Python - Une implémentation alternative lente mais concise, n'inclut pas de protection contre les attaques par canal auxiliaire
Implémentation de référence Supercop ( Langage C avec assembleur en ligne )
Virgil PKI utilise par défaut des clés Ed25519
wolfSSL

Ed448

Ed448 est le schéma de signature EdDSA défini dans la RFC 8032 utilisant la fonction de hachage SHAKE256 et la courbe elliptique edwards448 , une courbe d'Edwards (non torsadée) apparentée à Curve448 dans la RFC 7748. Ed448 a également été approuvé dans la version finale de la norme FIPS 186-5.