EdDSA

En criptografía de clave pública , el algoritmo de firma digital de curva de Edwards ( EdDSA ) es un esquema de firma digital que utiliza una variante de la firma de Schnorr basada en curvas de Edwards retorcidas . ^{[ 1 ]} Está diseñado para ser más rápido que los esquemas de firma digital existentes sin sacrificar la seguridad. Fue desarrollado por un equipo que incluía a Daniel J. Bernstein , Niels Duif, Tanja Lange , Peter Schwabe y Bo-Yin Yang . ^{[ 2 ]} La implementación de referencia es software de dominio público . ^{[ 3 ]}

A continuación se presenta una descripción simplificada de EdDSA, omitiendo detalles sobre la codificación de enteros y puntos de curva como cadenas de bits; los detalles completos se encuentran en los artículos y RFC. ^{[ 4 ] [ 2 ] [ 1 ]}

Un esquema de firma EdDSA es una opción: ^{[ 4 ] : 1–2 [ 2 ] : 5–6 [ 1 ] : 5–7}

• de campo finito${\displaystyle \mathbb {F} _{q}}$sobre potencia prima impar${\displaystyle q}$;
• de curva elíptica${\displaystyle E}$encima${\displaystyle \mathbb {F} _{q}}$cuyo grupo${\displaystyle E(\mathbb {F} _{q})}$de${\displaystyle \mathbb {F} _{q}}$-Los puntos racionales tienen orden${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }$, dónde${\displaystyle \ell }$es un número primo grande y${\displaystyle 2^{c}}$se denomina cofactor;
• del punto base${\displaystyle B\in E(\mathbb {F} _{q})}$con orden${\displaystyle \ell }$; y
• de función hash criptográfica${\displaystyle H}$con${\displaystyle 2b}$Salidas de bits, donde${\displaystyle 2^{b-1}>q}$para que los elementos de${\displaystyle \mathbb {F} _{q}}$y puntos de curva en${\displaystyle E(\mathbb {F} _{q})}$se puede representar mediante cadenas de${\displaystyle b}$bits.

Estos parámetros son comunes a todos los usuarios del esquema de firma EdDSA. La seguridad del esquema de firma EdDSA depende críticamente de la elección de los parámetros, excepto por la elección arbitraria del punto base; por ejemplo, se espera que el algoritmo rho de Pollard para logaritmos tome aproximadamente${\displaystyle {\sqrt {\ell \pi /4}}}$sumas de curvas antes de que pueda calcular un logaritmo discreto, ^{[ 5 ]} así${\displaystyle \ell }$^{debe ser lo suficientemente grande para que} esto sea inviable, y normalmente se considera que supera los ^{2200. [} 6 ^] La elección de${\displaystyle \ell }$está limitado por la elección de${\displaystyle q}$, puesto que por el teorema de Hasse ,${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }$no puede diferir de${\displaystyle q+1}$por más${\displaystyle 2{\sqrt {q}}}$La función hash${\displaystyle H}$Normalmente se modela como un oráculo aleatorio en los análisis formales de la seguridad de EdDSA.

Dentro de un esquema de firma EdDSA,

Clave pública

Una clave pública EdDSA es un punto de curva.${\displaystyle A\in E(\mathbb {F} _{q})}$, codificado en${\displaystyle b}$bits.

Verificación de firma

Una firma de EdDSA en un mensaje${\displaystyle M}$mediante clave pública${\displaystyle A}$es el par${\displaystyle (R,S)}$, codificado en${\displaystyle 2b}$bits, de un punto curvo${\displaystyle R\in E(\mathbb {F} _{q})}$y un número entero${\displaystyle 0<S<\ell }$que satisface la siguiente ecuación de verificación, donde${\displaystyle \parallel }$denota concatenación :

$${\displaystyle 2^{c}SB=2^{c}R+2^{c}H(R\parallel A\parallel M)A.}$$

Clave privada

Una clave privada EdDSA es una${\displaystyle b}$cadena de bits${\displaystyle k}$que debe elegirse uniformemente al azar. La clave pública correspondiente es${\displaystyle A=sB}$, dónde${\displaystyle s=H_{0,\dots ,b-1}(k)}$es el menos significativo${\displaystyle b}$trozos de${\displaystyle H(k)}$interpretado como un entero en little-endian .

Firma

La firma en un mensaje${\displaystyle M}$se calcula de forma determinista como${\displaystyle (R,S),}$dónde${\displaystyle R=rB}$para${\displaystyle r=H(H_{b,\dots ,2b-1}(k)\parallel M)}$, y$${\displaystyle S\equiv r+H(R\parallel A\parallel M)s{\pmod {\ell }}.}$$Esto satisface la ecuación de verificación.

$${\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallel A\parallel M)s)B\\&=2^{c}rB+2^{c}H(R\parallel A\parallel M)sB\\&=2^{c}R+2^{c}H(R\parallel A\parallel M)A.\end{aligned}}}$$

Ed25519 es el esquema de firma EdDSA que utiliza SHA-512 (SHA-2) y una curva elíptica relacionada con Curve25519 ^{[ 2 ]} donde

• ${\displaystyle q=2^{255}-19,}$
• ${\displaystyle E/\mathbb {F} _{q}}$es la curva de Edwards retorcida

$${\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2},}$$

• ${\displaystyle \ell =2^{252}+27742317777372353535851937790883648493}$y${\displaystyle c=3}$
• ${\displaystyle B}$es el punto único en${\displaystyle E(\mathbb {F} _{q})}$cuyo${\displaystyle y}$La coordenada es${\displaystyle 4/5}$y cuyo${\displaystyle x}$La coordenada es positiva. "Positivo" se define en términos de codificación de bits:
  • Las coordenadas "positivas" son coordenadas pares (el bit menos significativo se borra).
  • Las coordenadas "negativas" son coordenadas impares (el bit menos significativo está activado).
• ${\displaystyle H}$es SHA-512 , con${\displaystyle b=256}$.

La curva retorcida de Edwards${\displaystyle E/\mathbb {F} _{q}}$se conoce como edwards25519 , ^{[ 7 ] [ 1 ]} y es birracionalmente equivalente a la curva de Montgomery conocida como Curve25519 . La equivalencia es ^{[ 2 ] [ 7 ] [ 8 ]}$${\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}.}$$

Ed448 es el esquema de firma EdDSA definido en RFC 8032 que utiliza la función hash SHAKE256 y la curva elíptica edwards448 , una curva de Edwards (sin torsión) relacionada con Curve448 en RFC 7748. Ed448 también ha sido aprobado en la versión final del estándar FIPS 186-5. ^{[ 15 ]}  

• Página principal de Ed25519