Une courbe nommée fixe les paramètres de domaine : le nombre premier p qui définit le corps, les coefficients de l’équation, un point de base G, l’ordre premier n de G et le cofacteur h (la courbe compte h·n points). La sécurité vaut environ la moitié de la longueur en bits de n, car la meilleure attaque générique (rho de Pollard) demande environ √n étapes : une courbe de 256 bits offre donc une sécurité d’environ 128 bits.
Les courbes se présentent sous trois formes aux formules différentes : Weierstrass courte (P-256, P-384, P-521, secp256k1, Brainpool), Montgomery (Curve25519 et Curve448, utilisées pour X25519 et X448) et Edwards tordue (Edwards25519 et Edwards448, utilisées pour EdDSA) ; la NIST SP 800-186 §2.1 définit les trois.
Identifiants que vous rencontrerez : les OID de courbes nommées X.509 1.2.840.10045.3.1.7 (P-256), 1.3.132.0.34 (P-384), 1.3.132.0.35 (P-521) et 1.3.132.0.10 (secp256k1) ; les valeurs crv de JOSE P-256, P-384, P-521, secp256k1, Ed25519, X25519 ; dans TLS, les groupes pris en charge secp256r1 (23), secp384r1 (24), secp521r1 (25), x25519 (29), x448 (30). La RFC 5480 exige des courbes nommées dans PKIX, et de nombreuses bibliothèques rejettent les certificats aux paramètres de courbe explicites.
En pratique, c’est l’écosystème qui décide : P-256 pour la WebPKI, WebAuthn et les clés matérielles, Ed25519 et X25519 pour SSH et les protocoles modernes, secp256k1 pour les blockchains. Le bac à sable des courbes elliptiques montre la même arithmétique sur de petites courbes que vous pouvez tracer.