Les courbes brainpoolP160r1 à brainpoolP512r1 (plus les variantes tordues « t1 », avec a = −3) utilisent des nombres premiers et des coefficients dérivés des décimales de π et de e, si bien que personne n’a pu les choisir de manière à y cacher une propriété. Le prix à payer est la vitesse : leurs nombres premiers n’ont pas de forme particulière. OID courants : 1.3.36.3.3.2.8.1.1.7 (brainpoolP256r1), …1.1.11 (P384r1) et …1.1.13 (P512r1).
Prise en charge par les protocoles : groupes 26, 27 et 28 de TLS 1.2 (RFC 7027) ; groupes brainpoolP256r1tls13 (31), 32 et 33 de TLS 1.3, avec des schémas de signature tels que ecdsa_brainpoolP256r1tls13_sha256 (0x081A) (RFC 8734) ; clés OpenPGP (RFC 9580). Les navigateurs ne les proposent pas par défaut, et WebCrypto ne les prend pas en charge. Elles sont courantes dans les écosystèmes allemands de l’eID et des cartes à puce, dans les passeports électroniques (ePassports) et dans les passerelles de compteurs intelligents. L’annexe H.1 de la NIST SP 800-186 autorise brainpoolP224r1 à P512r1 « pour des raisons d’interopérabilité ».
Sur un cœur d’Apple M4 Max, OpenSSL 3.6.5 signe environ 7800 messages par seconde avec brainpoolP256r1, contre environ 87 000 avec P-256, car seule P-256 dispose d’une implémentation optimisée dédiée. Aucune faiblesse n’est connue ; brainpoolP256r1 offre une sécurité d’environ 128 bits.