BoringSSL

Fakten und die Prüfungen dahinter

Nichts im Folgenden ist aus einer Dokumentation abgeschrieben. Das Prüfskript content/libraries/verify/boringssl/run.sh hat BoringSSL 2026-10-19-b50cad27ee80 am 20. Oktober 2026 im Container-Image debian:trixie-20261005-slim ausgeführt; die Seite muss mit seiner Ausgabe übereinstimmen, und jeder Fakt führt die zugehörigen Zeilen auf.

• Kodierung von ECDSA-Signaturen

  der

  EVP_DigestSign erzeugt ASN.1-DER.

  Von der Prüfung aufgezeichnet

  fact ecdsa-signature-encoding = der

• ECDSA-Nonce

  random

  Zufällige Nonce: Zwei Signaturen derselben Nachricht unterscheiden sich.

  Von der Prüfung aufgezeichnet

  fact ecdsa-nonce = random

• Low-S beim Signieren

  either

  s wird nicht normalisiert: Unter 64 Signaturen traten High-S-Werte auf.

  Von der Prüfung aufgezeichnet

  fact ecdsa-low-s-sign = either

• High-S bei der Prüfung

  accepts-high-s

  Eine DER-Signatur, in der s durch n − s ersetzt war, bestand die Prüfung.

  Von der Prüfung aufgezeichnet

  fact ecdsa-low-s-verify = accepts-high-s

• Was der Signaturaufruf hasht

  hashes-message-or-digest

  EVP_DigestSign hasht; ECDSA_sign signiert einen Digest, und diese Signatur bestand die Prüfung gegen die Nachricht.

  Von der Prüfung aufgezeichnet

  fact ecdsa-prehash = hashes-message-or-digest

• Fehlerhafte ECDSA-Signatur

  returns-false

  EVP_DigestVerify gab für eine rohe r‖s-Signatur und für einen 3-Byte-Blob 0 zurück.

  Von der Prüfung aufgezeichnet

  fact ecdsa-malformed-signature = returns-false
  evidence ecdsa-malformed-signature: EVP_DigestVerify returned 0 for raw r||s and 0 for 3 bytes (1 = valid, 0 = invalid)

• ECDSA-Kurven

  P-224P-256P-384P-521

  P-224, P-256, P-384 und P-521; eine Gruppe für secp256k1 gibt es nicht.

  Von der Prüfung aufgezeichnet

  fact ecdsa-curves = P-224, P-256, P-384, P-521
  evidence ecdsa-curves: EC_GROUP_new_by_curve_name(NID_secp256k1): NULL

• EdDSA

  Ed25519

  Ed25519 über ED25519_sign und ED25519_verify; EVP_PKEY_ED448 ist definiert, aber das Erzeugen eines Ed448-Schlüssels schlug fehl.

  Von der Prüfung aufgezeichnet

  fact eddsa = Ed25519
  evidence eddsa: EVP_PKEY_ED448 is defined; generating an Ed448 key through EVP: fails

• Post-Quanten-Algorithmen

  ML-KEMML-DSASLH-DSA

  Kapselung und Entkapselung mit ML-KEM-768 sowie Signieren und Prüfen mit ML-DSA-65 und SLH-DSA-SHA2-128s funktionierten, jeweils über die eigenen Header.

  Von der Prüfung aufgezeichnet

  fact pqc = ML-KEM, ML-DSA, SLH-DSA
  evidence pqc: ssl.h defines SSL_GROUP_X25519_MLKEM768 = 0x11ec
  evidence pqc: ML-DSA-65 signature 3309 bytes

Verwendung

#include <openssl/mldsa.h>
#include <openssl/mlkem.h>
#include <openssl/bytestring.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main(void) {
    /* ML-KEM-768: the receiver publishes the encoded public key. */
    uint8_t pub[MLKEM768_PUBLIC_KEY_BYTES], ct[MLKEM768_CIPHERTEXT_BYTES];
    uint8_t ss_sender[MLKEM_SHARED_SECRET_BYTES], ss_receiver[MLKEM_SHARED_SECRET_BYTES];
    struct MLKEM768_private_key priv;
    struct MLKEM768_public_key pk;
    MLKEM768_generate_key(pub, NULL, &priv);
    CBS cbs;
    CBS_init(&cbs, pub, sizeof pub);
    if (!MLKEM768_parse_public_key(&pk, &cbs)) return 1;
    MLKEM768_encap(ct, ss_sender, &pk);
    MLKEM768_decap(ss_receiver, ct, sizeof ct, &priv);
    printf("ML-KEM-768 secrets match: %d\n", memcmp(ss_sender, ss_receiver, sizeof ss_sender) == 0);

    /* ML-DSA-65 with an empty context string. */
    static const uint8_t msg[] = "release manifest";
    uint8_t dpub[MLDSA65_PUBLIC_KEY_BYTES], seed[MLDSA_SEED_BYTES];
    struct MLDSA65_private_key *dpriv = malloc(sizeof *dpriv);
    struct MLDSA65_public_key *dpk = malloc(sizeof *dpk);
    uint8_t *sig = malloc(MLDSA65_SIGNATURE_BYTES);
    MLDSA65_generate_key(dpub, seed, dpriv);
    MLDSA65_public_from_private(dpk, dpriv);
    MLDSA65_sign(sig, dpriv, msg, sizeof msg - 1, NULL, 0);
    printf("ML-DSA-65 verified: %d\n", MLDSA65_verify(dpk, sig, MLDSA65_SIGNATURE_BYTES, msg, sizeof msg - 1, NULL, 0));
    free(dpriv); free(dpk); free(sig);
    return 0;
}