Eine benannte Kurve legt die Domainparameter fest: die Primzahl p des Körpers, die Koeffizienten der Gleichung, einen Basispunkt G, die Primordnung n von G und den Kofaktor h (die Kurve hat h·n Punkte). Die Sicherheit beträgt etwa die Hälfte der Bitlänge von n, weil der beste generische Angriff (die Pollard-Rho-Methode) etwa √n Schritte braucht; eine 256-Bit-Kurve bietet also eine Sicherheit von etwa 128 Bit.
Kurven gibt es in drei Formen mit unterschiedlichen Formeln: kurze Weierstraß-Form (P-256, P-384, P-521, secp256k1, Brainpool), Montgomery-Form (Curve25519 und Curve448, genutzt für X25519 und X448) und Twisted-Edwards-Form (Edwards25519 und Edwards448, genutzt für EdDSA); NIST SP 800-186 §2.1 definiert alle drei.
Bezeichner, die dir begegnen: X.509-OIDs für benannte Kurven 1.2.840.10045.3.1.7 (P-256), 1.3.132.0.34 (P-384), 1.3.132.0.35 (P-521) und 1.3.132.0.10 (secp256k1); JOSE-Werte für crv: P-256, P-384, P-521, secp256k1, Ed25519, X25519; Supported Groups in TLS: secp256r1 (23), secp384r1 (24), secp521r1 (25), x25519 (29), x448 (30). RFC 5480 schreibt in PKIX benannte Kurven vor, und viele Bibliotheken lehnen Zertifikate mit expliziten Kurvenparametern ab.
In der Praxis entscheidet das Ökosystem: P-256 für die WebPKI, WebAuthn und Hardware-Schlüssel, Ed25519 und X25519 für SSH und moderne Protokolle, secp256k1 für Blockchains. Der Playground für elliptische Kurven zeigt dieselbe Arithmetik auf kleinen Kurven, die sich zeichnen lassen.