ed25519 ECDH шифрование возможно и безопасно?

Насколько я вижу, все используют кривую 25519 для шифрования общего и частного (ECDH) и ed25519 для подписания (ECDSA). Это создает двойной размер ключей или некоторых специальных трюков преобразования, которые не могут быть безопасными:ed25519 ECDH шифрование возможно и безопасно?

https://github.com/dchest/ed2curve-js

Разве это не представляется возможным использовать кривую ed25519 как для ECDH и ECDSA и имеют половину размера ключа?

Невозможно использовать кривую ed25519 только для ECDH?

Я признаю, что у меня очень ограниченное понимание ECC, поэтому причина выше может быть из соображений безопасности, но нелегко найти какой-либо намек об этом в Интернете!

NB: Я понимаю, что curve25519 не может использоваться для подписания!

Бенни

источник

2015-03-01 Beast

Я не знаком с curve25519 и ed25519, но, как правило, не рекомендуется повторно использовать ключ для разных целей, потому что это может привести к утечке информации, которая может поставить под угрозу всю систему. Это, по крайней мере, для шифрования RSA и подписания [1] (http://crypto.stackexchange.com/questions/15043/should-different-key-pairs-be-used-for-signing-and-encryption) [ 2] (http://crypto.stackexchange.com/questions/12090/using-the-same-rsa-keypair-to-sign-and-encrypt). –

-1

Я не думаю, что вы найдете что-нибудь лучше, чем бумага, связанный в Using same keypair for Diffie-Hellman and signing.

Я подозреваю, что повторное использование этого ключа прекрасное, если вы согласны с предположением, что SHA-512 (используется при подписании Ed25519) и HSalsa (используется как KDF с основами на основе NaCl на основе Curve25519) - это независимые хеш-функции). Но было бы, вероятно, более чистым использовать одну и ту же функцию хэша с разными префиксами.

Я слышал, что Бернштейн, Ланге и Швабе (авторы NaCl) работают над статьей об этих проблемах, но кто знает, когда она будет опубликована.

источник

2015-03-01 16:37:15 CodesInChaos

Возможно ли использовать кривую Ed25519 для ECDH? – Beast

@Beast Я считаю, что это не вызывает практического перерыва при условии, что вы правильно используете хэш в общем секретном DH. Но в зависимости от хеша может потребоваться некоторые уродливые предположения в доказательстве безопасности. И, конечно же, он расширяет поверхность атаки. Например, ошибка переноса в одной из сборочных реализаций в основном безвредна для сигнатур, но, вероятно, позволяет восстановить ключевые слова при использовании с долгосрочным ключом DH. – CodesInChaos

ed25519 ECDH шифрование возможно и безопасно?

ответ

Смежные вопросы