EdDSA

En cryptographie à clé publique , l'algorithme de signature numérique à courbe d'Edwards ( EdDSA ) est un schéma de signature numérique utilisant une variante de la signature de Schnorr basée sur des courbes d'Edwards torsadées . Il est conçu pour être plus rapide que les schémas de signature numérique existants sans sacrifier la sécurité. Il a été développé par une équipe comprenant Daniel J. Bernstein , Niels Duif, Tanja Lange , Peter Schwabe et Bo-Yin Yang. L' implémentation de référence est un logiciel du domaine public .

Résumé

Ce qui suit est une description simplifiée d'EdDSA, ignorant les détails de l'encodage des entiers et des points de courbe sous forme de chaînes de bits ; les détails complets se trouvent dans les articles et la RFC.

Un schéma de signature EdDSA est un choix :

de corps fini sur puissance première impaire ; ${\displaystyle \mathbb {F} _{q <semantics> <mrow> <mstyle> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation>{\displaystyle \mathbb {F} _{q}}</annotation> </semantics> </math><img src=$ ${\displaystyle q <semantics> <mrow> <mstyle> <mi>q</mi> </mstyle> </mrow> <annotation>{\displaystyle q}</annotation> </semantics> </math><img src=$
de courbe elliptique sur laquelle le groupe de points rationnels est d'ordre , où est un grand nombre premier et est appelé le cofacteur ; ${\displaystyle E <semantics> <mrow> <mstyle> <mi>E</mi> </mstyle> </mrow> <annotation>{\displaystyle E}</annotation> </semantics> </math><img src=$ ${\displaystyle \mathbb {F} _{q <semantics> <mrow> <mstyle> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation>{\displaystyle \mathbb {F} _{q}}</annotation> </semantics> </math><img src=$ ${\displaystyle E(\mathbb {F} _{q}) <semantics> <mrow> <mstyle> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle E(\mathbb {F} _{q})}</annotation> </semantics> </math><img src=$ ${\displaystyle \mathbb {F} _{q <semantics> <mrow> <mstyle> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation>{\displaystyle \mathbb {F} _{q}}</annotation> </semantics> </math><img src=$ ${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell <semantics> <mrow> <mstyle> <mi>#</mi> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }</annotation> </semantics> </math><img src=$ ${\displaystyle \ell <semantics> <mrow> <mstyle> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle \ell }</annotation> </semantics> </math><img src=$ ${\displaystyle 2^{c <semantics> <mrow> <mstyle> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> </mstyle> </mrow> <annotation>{\displaystyle 2^{c}}</annotation> </semantics> </math><img src=$
du point de base avec ordre ; et ${\displaystyle B\in E(\mathbb {F} _{q}) <semantics> <mrow> <mstyle> <mi>B</mi> <mo>∈</mo> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle B\dans E(\mathbb {F} _{q})}</annotation> </semantics> </math><img src=$ ${\displaystyle \ell <semantics> <mrow> <mstyle> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle \ell }</annotation> </semantics> </math><img src=$
de fonction de hachage cryptographique avec des sorties à -bits, où les éléments de et les points de courbe dans peuvent être représentés par des chaînes de bits. ${\displaystyle H <semantics> <mrow> <mstyle> <mi>H</mi> </mstyle> </mrow> <annotation>{\displaystyle H}</annotation> </semantics> </math><img src=$ ${\displaystyle 2b <semantics> <mrow> <mstyle> <mn>2</mn> <mi>b</mi> </mstyle> </mrow> <annotation>{\displaystyle 2b}</annotation> </semantics> </math><img src=$ $q 2^{b - 1} > q$ q}" data-src="https://wikimedia.org/api/rest_v1/media/math/render/svg/23bc6e19b13051fae668f48de2e6e03045d60c35"> ${\displaystyle \mathbb {F} _{q <semantics> <mrow> <mstyle> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation>{\displaystyle \mathbb {F} _{q}}</annotation> </semantics> </math><img src=$ ${\displaystyle E(\mathbb {F} _{q}) <semantics> <mrow> <mstyle> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle E(\mathbb {F} _{q})}</annotation> </semantics> </math><img src=$ ${\displaystyle b <semantics> <mrow> <mstyle> <mi>b</mi> </mstyle> </mrow> <annotation>{\displaystyle b}</annotation> </semantics> </math><img src=$

Ces paramètres sont communs à tous les utilisateurs du schéma de signature EdDSA. La sécurité du schéma de signature EdDSA dépend essentiellement du choix des paramètres, à l'exception du choix arbitraire du point de base. Par exemple, l'algorithme rho de Pollard pour les logarithmes devrait prendre environ additions de courbes avant de pouvoir calculer un logarithme discret, il doit donc être suffisamment grand pour que cela soit impossible, et est généralement considéré comme supérieur à 2 ²⁰⁰ . Le choix de est limité par le choix de , car selon le théorème de Hasse , ne peut pas différer de de plus de . La fonction de hachage est normalement modélisée comme un oracle aléatoire dans les analyses formelles de la sécurité d'EdDSA. ${\displaystyle {\sqrt {\ell \pi /4 <semantics> <mrow> <mstyle> <mrow> <msqrt> <mi>ℓ</mi> <mi>π</mi> <mrow> <mo>/</mo> </mrow> <mn>4</mn> </msqrt> </mrow> </mstyle> </mrow> <annotation>{\displaystyle {\sqrt {\ell \pi /4}}}</annotation> </semantics> </math><img src=$ ${\displaystyle \ell <semantics> <mrow> <mstyle> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle \ell }</annotation> </semantics> </math><img src=$ ${\displaystyle \ell <semantics> <mrow> <mstyle> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle \ell }</annotation> </semantics> </math><img src=$ ${\displaystyle q <semantics> <mrow> <mstyle> <mi>q</mi> </mstyle> </mrow> <annotation>{\displaystyle q}</annotation> </semantics> </math><img src=$ ${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell <semantics> <mrow> <mstyle> <mi>#</mi> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }</annotation> </semantics> </math><img src=$ ${\displaystyle q+1 <semantics> <mrow> <mstyle> <mi>q</mi> <mo>+</mo> <mn>1</mn> </mstyle> </mrow> <annotation>{\displaystyle q+1}</annotation> </semantics> </math><img src=$ ${\displaystyle 2{\sqrt {q <semantics> <mrow> <mstyle> <mn>2</mn> <mrow> <msqrt> <mi>q</mi> </msqrt> </mrow> </mstyle> </mrow> <annotation>{\displaystyle 2{\sqrt {q}}}</annotation> </semantics> </math><img src=$ ${\displaystyle H <semantics> <mrow> <mstyle> <mi>H</mi> </mstyle> </mrow> <annotation>{\displaystyle H}</annotation> </semantics> </math><img src=$

Dans un schéma de signature EdDSA,

Clé publique: Une clé publique EdDSA est un point de courbe , codé en bits. ${\displaystyle A\in E(\mathbb {F} _{q}) <semantics> <mrow> <mstyle> <mi>UN</mi> <mo>∈</mo> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle A\dans E(\mathbb {F} _{q})}</annotation> </semantics> </math><img src=$ ${\displaystyle b <semantics> <mrow> <mstyle> <mi>b</mi> </mstyle> </mrow> <annotation>{\displaystyle b}</annotation> </semantics> </math><img src=$
Vérification de signature: Une signature EdDSA sur un message par clé publique est le couple , codé en bits, d'un point de courbe et d'un entier satisfaisant l'équation de vérification suivante, où désigne la concaténation : ${\displaystyle M <semantics> <mrow> <mstyle> <mi>M</mi> </mstyle> </mrow> <annotation>{\displaystyle M}</annotation> </semantics> </math><img src=$ ${\displaystyle A <semantics> <mrow> <mstyle> <mi>UN</mi> </mstyle> </mrow> <annotation>{\displaystyle A}</annotation> </semantics> </math><img src=$ ${\displaystyle (R,S) <semantics> <mrow> <mstyle> <mo>(</mo> <mi>R</mi> <mo>,</mo> <mi>S</mi> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle (R,S)}</annotation> </semantics> </math><img src=$ ${\displaystyle 2b <semantics> <mrow> <mstyle> <mn>2</mn> <mi>b</mi> </mstyle> </mrow> <annotation>{\displaystyle 2b}</annotation> </semantics> </math><img src=$ ${\displaystyle R\in E(\mathbb {F} _{q}) <semantics> <mrow> <mstyle> <mi>R</mi> <mo>∈</mo> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle R\dans E(\mathbb {F} _{q})}</annotation> </semantics> </math><img src=$ ${\displaystyle 0<S<\ell <semantics> <mrow> <mstyle> <mn>0</mn> <mo><</mo> <mi>S</mi> <mo><</mo> <mi>ℓ</mi> </mstyle> </mrow> <annotation>{\displaystyle 0<S<\ell }</annotation> </semantics> </math><img src=$ ${\displaystyle \parallel <semantics> <mrow> <mstyle> <mo>∥</mo> </mstyle> </mrow> <annotation>{\displaystyle \parallèle }</annotation> </semantics> </math><img src=$

${\displaystyle 2^{c}SB=2^{c}R+2^{c}H(R\parallel A\parallel M)A. <semantics> <mrow> <mstyle> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>S</mi> <mi>B</mi> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>R</mi> <mo>+</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>H</mi> <mo>(</mo> <mi>R</mi> <mo>∥</mo> <mi>UN</mi> <mo>∥</mo> <mi>M</mi> <mo>)</mo> <mi>UN</mi> <mo>.</mo> </mstyle> </mrow> <annotation>{\displaystyle 2^{c}SB=2^{c}R+2^{c}H(R\parallèle A\parallèle M)A.}</annotation> </semantics> </math><img src=$

Clé privée: Une clé privée EdDSA est une chaîne de bits qui doit être choisie uniformément au hasard. La clé publique correspondante est , où est le nombre de bits de poids faible interprété comme un entier en little-endian . ${\displaystyle b <semantics> <mrow> <mstyle> <mi>b</mi> </mstyle> </mrow> <annotation>{\displaystyle b}</annotation> </semantics> </math><img src=$ ${\displaystyle k <semantics> <mrow> <mstyle> <mi>k</mi> </mstyle> </mrow> <annotation>{\displaystyle k}</annotation> </semantics> </math><img src=$ ${\displaystyle A=sB <semantics> <mrow> <mstyle> <mi>UN</mi> <mo>=</mo> <mi>m</mi> <mi>B</mi> </mstyle> </mrow> <annotation>{\displaystyle A=sB}</annotation> </semantics> </math><img src=$ ${\displaystyle s=H_{0,\dots ,b-1}(k) <semantics> <mrow> <mstyle> <mi>m</mi> <mo>=</mo> <msub> <mi>H</mi> <mrow> <mn>0</mn> <mo>,</mo> <mo>…</mo> <mo>,</mo> <mi>b</mi> <mo>−</mo> <mn>1</mn> </mrow> </msub> <mo>(</mo> <mi>k</mi> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle s=H_{0,\dots ,b-1}(k)}</annotation> </semantics> </math><img src=$ ${\displaystyle b <semantics> <mrow> <mstyle> <mi>b</mi> </mstyle> </mrow> <annotation>{\displaystyle b}</annotation> </semantics> </math><img src=$ ${\displaystyle H(k) <semantics> <mrow> <mstyle> <mi>H</mi> <mo>(</mo> <mi>k</mi> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle H(k)}</annotation> </semantics> </math><img src=$
Signature: La signature d'un message est calculée de manière déterministe comme où pour , et Ceci satisfait l'équation de vérification ${\displaystyle M <semantics> <mrow> <mstyle> <mi>M</mi> </mstyle> </mrow> <annotation>{\displaystyle M}</annotation> </semantics> </math><img src=$ ${\displaystyle (R,S), <semantics> <mrow> <mstyle> <mo>(</mo> <mi>R</mi> <mo>,</mo> <mi>S</mi> <mo>)</mo> <mo>,</mo> </mstyle> </mrow> <annotation>{\displaystyle (R,S),}</annotation> </semantics> </math><img src=$ ${\displaystyle R=rB <semantics> <mrow> <mstyle> <mi>R</mi> <mo>=</mo> <mi>l</mi> <mi>B</mi> </mstyle> </mrow> <annotation>{\displaystyle R=rB}</annotation> </semantics> </math><img src=$ ${\displaystyle r=H(H_{b,\dots ,2b-1}(k)\parallel M) <semantics> <mrow> <mstyle> <mi>l</mi> <mo>=</mo> <mi>H</mi> <mo>(</mo> <msub> <mi>H</mi> <mrow> <mi>b</mi> <mo>,</mo> <mo>…</mo> <mo>,</mo> <mn>2</mn> <mi>b</mi> <mo>−</mo> <mn>1</mn> </mrow> </msub> <mo>(</mo> <mi>k</mi> <mo>)</mo> <mo>∥</mo> <mi>M</mi> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle r=H(H_{b,\points ,2b-1}(k)\parallèle M)}</annotation> </semantics> </math><img src=$ ${\displaystyle S\equiv r+H(R\parallel A\parallel M)s{\pmod {\ell }}. <semantics> <mrow> <mstyle> <mi>S</mi> <mo>≡</mo> <mi>l</mi> <mo>+</mo> <mi>H</mi> <mo>(</mo> <mi>R</mi> <mo>∥</mo> <mi>UN</mi> <mo>∥</mo> <mi>M</mi> <mo>)</mo> <mi>m</mi> <mrow> <mspace></mspace> <mo>(</mo> <mi>mod</mi> <mspace></mspace> <mi>ℓ</mi> <mo>)</mo> </mrow> <mo>.</mo> </mstyle> </mrow> <annotation>{\displaystyle S\equiv r+H(R\parallèle A\parallèle M)s{\pmod {\ell }}.}</annotation> </semantics> </math><img src=$

${\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallel A\parallel M)s)B\\&=2^{c}rB+2^{c}H(R\parallel A\parallel M)sB\\&=2^{c}R+2^{c}H(R\parallel A\parallel M)A.\end{aligned <semantics> <mrow> <mstyle> <mrow> <mtable> <mtr> <mtd> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>S</mi> <mi>B</mi> </mtd> <mtd> <mi></mi> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mo>(</mo> <mi>l</mi> <mo>+</mo> <mi>H</mi> <mo>(</mo> <mi>R</mi> <mo>∥</mo> <mi>UN</mi> <mo>∥</mo> <mi>M</mi> <mo>)</mo> <mi>m</mi> <mo>)</mo> <mi>B</mi> </mtd> </mtr> <mtr> <mtd></mtd> <mtd> <mi></mi> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>l</mi> <mi>B</mi> <mo>+</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>H</mi> <mo>(</mo> <mi>R</mi> <mo>∥</mo> <mi>UN</mi> <mo>∥</mo> <mi>M</mi> <mo>)</mo> <mi>m</mi> <mi>B</mi> </mtd> </mtr> <mtr> <mtd></mtd> <mtd> <mi></mi> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>R</mi> <mo>+</mo> <msup> <mn>2</mn> <mrow> <mi>c</mi> </mrow> </msup> <mi>H</mi> <mo>(</mo> <mi>R</mi> <mo>∥</mo> <mi>UN</mi> <mo>∥</mo> <mi>M</mi> <mo>)</mo> <mi>UN</mi> <mo>.</mo> </mtd> </mtr> </mtable> </mrow> </mstyle> </mrow> <annotation>{\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallèle A\parallèle M)s)B\\&=2^{c}rB+2^{c}H(R\parallèle A\parallèle M)sB\\&=2^{c}R+2^{c}H(R\parallèle A\parallèle M)A.\end{aligned}}}</annotation> </semantics> </math><img src=$

Ed25519

Ed25519 est le schéma de signature EdDSA utilisant SHA-512 (SHA-2) et Curve25519 où

${\displaystyle q=2^{255}-19, <semantics> <mrow> <mstyle> <mi>q</mi> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mn>255</mn> </mrow> </msup> <mo>−</mo> <mn>19</mn> <mo>,</mo> </mstyle> </mrow> <annotation>{\displaystyle q=2^{255}-19,}</annotation> </semantics> </math><img src=$
${\displaystyle E/\mathbb {F} _{q <semantics> <mrow> <mstyle> <mi>E</mi> <mrow> <mo>/</mo> </mrow> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation>{\displaystyle E/\mathbb {F} _{q}}</annotation> </semantics> </math><img src=$

${\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2}, <semantics> <mrow> <mstyle> <mo>−</mo> <msup> <mi>x</mi> <mrow> <mn>2</mn> </mrow> </msup> <mo>+</mo> <msup> <mi>et</mi> <mrow> <mn>2</mn> </mrow> </msup> <mo>=</mo> <mn>1</mn> <mo>−</mo> <mrow> <mfrac> <mn>121665</mn> <mn>121666</mn> </mfrac> </mrow> <msup> <mi>x</mi> <mrow> <mn>2</mn> </mrow> </msup> <msup> <mi>et</mi> <mrow> <mn>2</mn> </mrow> </msup> <mo>,</mo> </mstyle> </mrow> <annotation>{\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2},}</annotation> </semantics> </math><img src=$

${\displaystyle \ell =2^{252}+27742317777372353535851937790883648493 <semantics> <mrow> <mstyle> <mi>ℓ</mi> <mo>=</mo> <msup> <mn>2</mn> <mrow> <mn>252</mn> </mrow> </msup> <mo>+</mo> <mn>27742317777372353535851937790883648493</mn> </mstyle> </mrow> <annotation>{\displaystyle \ell =2^{252}+27742317777372353535851937790883648493}</annotation> </semantics> </math><img src=$ ${\displaystyle c=3 <semantics> <mrow> <mstyle> <mi>c</mi> <mo>=</mo> <mn>3</mn> </mstyle> </mrow> <annotation>{\displaystyle c=3}</annotation> </semantics> </math><img src=$
est le point unique dont les coordonnées sont et dont les coordonnées sont positives. « positif » est défini en termes de codage binaire :
${\displaystyle E(\mathbb {F} _{q}) <semantics> <mrow> <mstyle> <mi>E</mi> <mo>(</mo> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> <mo>)</mo> </mstyle> </mrow> <annotation>{\displaystyle E(\mathbb {F} _{q})}</annotation> </semantics> </math><img src=$ ${\displaystyle y <semantics> <mrow> <mstyle> <mi>y</mi> </mstyle> </mrow> <annotation>{\displaystyle y}</annotation> </semantics> </math><img src=$ ${\displaystyle 4/5 <semantics> <mrow> <mstyle> <mn>4</mn> <mrow> <mo>/</mo> </mrow> <mn>5</mn> </mstyle> </mrow> <annotation>{\displaystyle 4/5}</annotation> </semantics> </math><img src=$ ${\displaystyle x <semantics> <mrow> <mstyle> <mi>x</mi> </mstyle> </mrow> <annotation>{\displaystyle x}</annotation> </semantics> </math><img src=$
les coordonnées « positives » sont des coordonnées paires (le bit le moins significatif est effacé)

Les coordonnées « négatives » sont des coordonnées impaires (le bit le moins significatif est défini)
${\displaystyle H <semantics> <mrow> <mstyle> <mi>H</mi> </mstyle> </mrow> <annotation>{\displaystyle H}</annotation> </semantics> </math><img src=$ ${\displaystyle b=256 <semantics> <mrow> <mstyle> <mi>b</mi> <mo>=</mo> <mn>256</mn> </mstyle> </mrow> <annotation>{\displaystyle b=256}</annotation> </semantics> </math><img src=$

La courbe est birationnellement équivalente à la courbe de Montgomery connue sous le nom de Curve25519 . L'équivalence est ${\displaystyle E/\mathbb {F} _{q <semantics> <mrow> <mstyle> <mi>E</mi> <mrow> <mo>/</mo> </mrow> <msub> <mrow> <mi>F</mi> </mrow> <mrow> <mi>q</mi> </mrow> </msub> </mstyle> </mrow> <annotation>{\displaystyle E/\mathbb {F} _{q}}</annotation> </semantics> </math><img src=$ ${\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}. <semantics> <mrow> <mstyle> <mi>x</mi> <mo>=</mo> <mrow> <mfrac> <mi>u</mi> <mi>v</mi> </mfrac> </mrow> <mrow> <msqrt> <mo>−</mo> <mn>486664</mn> </msqrt> </mrow> <mo>,</mo> <mspace></mspace> <mi>y</mi> <mo>=</mo> <mrow> <mfrac> <mrow> <mi>u</mi> <mo>−</mo> <mn>1</mn> </mrow> <mrow> <mi>u</mi> <mo>+</mo> <mn>1</mn> </mrow> </mfrac> </mrow> <mo>.</mo> </mstyle> </mrow> <annotation>{\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}.}</annotation> </semantics> </math><img src=$

Performance

L'équipe d'origine a optimisé Ed25519 pour la famille de processeurs x86-64 Nehalem / Westmere . La vérification peut être effectuée par lots de 64 signatures pour un débit encore plus élevé. Ed25519 est destiné à fournir une résistance aux attaques comparable à celle des chiffrements symétriques 128 bits de qualité .

Les clés publiques ont une longueur de 256 bits et les signatures ont une longueur de 512 bits.

Codage sécurisé

Ed25519 est conçu pour éviter les implémentations qui utilisent des conditions de branche ou des indices de tableau qui dépendent de données secrètes, afin d'atténuer les attaques par canal auxiliaire .

Comme pour d'autres schémas de signature basés sur des logarithmes discrets, EdDSA utilise une valeur secrète appelée nonce unique à chaque signature. Dans les schémas de signature DSA et ECDSA , ce nonce est traditionnellement généré de manière aléatoire pour chaque signature. Si le générateur de nombres aléatoires est cassé et prévisible lors de la création d'une signature, la signature peut divulguer la clé privée, comme cela s'est produit avec la clé de signature de mise à jour du micrologiciel de la Sony PlayStation 3.

En revanche, EdDSA choisit le nonce de manière déterministe comme hachage d'une partie de la clé privée et du message. Ainsi, une fois qu'une clé privée est générée, EdDSA n'a plus besoin d'un générateur de nombres aléatoires pour créer des signatures, et il n'y a aucun risque qu'un générateur de nombres aléatoires défectueux utilisé pour créer une signature révèle la clé privée.

Incohérences dans la normalisation et la mise en œuvre

Il convient de noter qu'il existe deux efforts de normalisation pour EdDSA, l'un de l'IETF, un RFC 8032 informatif et l'autre du NIST dans le cadre de la norme FIPS 186-5. Les différences entre les normes ont été analysées, et des vecteurs de test sont disponibles.

Logiciel

Les utilisations notables d'Ed25519 incluent OpenSSH , GnuPG et diverses alternatives, ainsi que l' outil signify d' OpenBSD . L'utilisation d'Ed25519 (et Ed448) dans le protocole SSH a été normalisée. En 2023, la version finale de la norme FIPS 186-5 incluait Ed25519 déterministe comme schéma de signature approuvé.

Apple Watch et iPhone utilisent les clés Ed25519 pour l'authentification mutuelle IKEv2
Botanique
Crypto++
Protocole de crypto-monnaie CryptoNote
Dropbear SSH
Implémentation I2Pd d'EdDSA
Kit de développement Java 15
Libgcrypt
Minisign et Minisign Miscellanea pour macOS
NaCl / libsodium
OpenSSL 1.1.1
Python - Une implémentation alternative lente mais concise, n'inclut pas de protection contre les attaques par canal auxiliaire
Implémentation de référence de Supercop ( langage C avec assembleur en ligne )
Virgil PKI utilise les clés Ed25519 par défaut
loupSSL

Ed448

Ed448 est le schéma de signature EdDSA utilisant SHAKE256 et Curve448 défini dans la RFC 8032. Il a également été approuvé dans la version finale de la norme FIPS 186-5.