Curve25519 ist die Montgomery-Kurve y² = x³ + 486662x² + x über der Primzahl 2^255 − 19, 2006 von Daniel J. Bernstein entworfen und in RFC 7748 spezifiziert. Die Gruppe der Kurve hat die Ordnung 8·n mit einer 253-Bit-Primzahl n, was ein Sicherheitsniveau von etwa 128 Bit ergibt, und auch ihr quadratischer Twist ist sicher.
X25519, die Diffie-Hellman-Funktion auf dieser Kurve, verwendet nur u-Koordinaten: Schlüssel sind 32-Byte-Strings, und private Schlüssel durchlaufen das in RFC 7748 §5 vorgeschriebene „Clamping“, damit der Kofaktor keine Informationen preisgeben kann. Die Funktion akzeptiert beliebige 32 Byte als öffentlichen Schlüssel; Eingaben niedriger Ordnung ergeben ein gemeinsames Geheimnis aus lauter Nullen, das Protokolle ablehnen sollten.
TLS 1.3 führt x25519 als empfohlene Gruppe („Recommended“) und nutzt sie als klassische Hälfte des Hybrids X25519MLKEM768; SSH verwendet sie als curve25519-sha256 (RFC 8731), und WireGuard, Signal und age bauen auf ihr auf. Der Zwilling in Twisted-Edwards-Form ist edwards25519, die Kurve der Ed25519-Signaturen.