Saltar al contenido
ecdsa.com

Curve25519

La curva de Montgomery y² = x³ + 486662x² + x sobre el primo 2²⁵⁵ − 19, propuesta por Daniel J. Bernstein en 2005, base del intercambio de claves X25519 y, en forma de Edwards, de las firmas Ed25519.
También se escribeCurve25519 curveedwards2551925519

Parámetros (RFC 7748 §4.1, NIST SP 800-186 §3.2.2.1): A = 486662, p = 2²⁵⁵ − 19, cofactor 8, punto base u = 9. La curva es twist-secure (su curva torcida también es segura), así que la escalera de Montgomery, que solo usa la coordenada u, no necesita validar los puntos, y su forma de Edwards torcida birracionalmente equivalente, Edwards25519 (SP 800-186 §3.2.3.1), tiene fórmulas de suma completas, adecuadas para las firmas.

La nomenclatura sigue el RFC 7748: Curve25519 es la curva, X25519 la función Diffie–Hellman y Ed25519 el esquema de firma. El cofactor 8 implica que existen puntos de orden pequeño; el ajuste (clamping) de X25519 y las comprobaciones con cofactor de EdDSA los neutralizan, y los protocolos que necesitan un grupo de orden primo usan ristretto255 (RFC 9496).

Los parámetros se eligieron con criterios explícitos y rígidos, no a partir de una semilla sin explicar, y la aritmética es rápida en tiempo constante. Por eso se convirtió en la opción por defecto para los key shares de TLS 1.3, SSH, WireGuard, Signal, Tor, age y los protocolos basados en Noise, y NIST la añadió a SP 800-186 en 2023.

Estándares y referencias

Todos los términos