P-521 は、521 ビットの素体上の短縮ワイエルシュトラス形式の曲線 y² = x³ + ax + b で、位数が 521 ビットの素数である部分群とコファクター 1 を持ちます。推定セキュリティレベルは 256 ビットです。ステータス：新しいシステムに推奨。
P-521 は、メルセンヌ素数 2^521 − 1 を法とする有限体上の曲線 y² = x³ − 3x + b です。この素数のおかげで、剰余演算はシフトと加算だけで済みます。群の位数は 521 ビットの素数で、約 256 ビットのセキュリティを提供します。
この珍しいサイズは実装の落とし穴になります。座標と秘密鍵は 66 バイト、生の ECDSA 署名は 132 バイトです。また JOSE の ES512 は、どちらの名前も 512 ビットを連想させるにもかかわらず、P-521 と SHA-512 の組み合わせを意味します（RFC 7518 §3.4）。64 バイトにパディングしたり切り詰めたりするコードは、ほかのライブラリが拒否する鍵や署名を生成してしまいます。
TLS（secp521r1、IANA 推奨外）、JOSE、COSE（ES512、ESP512）、SSH（ecdsa-sha2-nistp521）に登録されていますが、実際の運用では、より高速な P-256 や P-384 が選ばれることがほとんどです。
規格での名称
| 規格 | 名称 |
|---|
| NIST FIPS 186-5 / SP 800-186 | P-521 |
| SEC 2 | secp521r1 |
| JOSE / COSE | P-521 |
| SSH | nistp521 |
ドメインパラメーター
521 ビットの素体 · 約 256 ビットセキュリティ
- 有限体の素数 p
- 0x1ffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffff
- 係数 a
- 0x1fffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffc
- 係数 b
- 0x51953eb9618e1c9a1f929a21a0b68540eea2da725b99b315f3b8b489918ef109e156193951ec7e937b1652c0bd3bb1bf073573df883d2c34f1ef451fd46b503f00
- ベースポイントの x 座標
- 0xc6858e06b70404e9cd9e3ecb662395b4429c648139053fb521f828af606b4d3dbaa14b5e77efe75928fe1dc127a2ffa8de3348b3c1856a429bf97e7e31c2e5bd66
- ベースポイントの y 座標
- 0x11839296a789a3bc0045c8a5fb42c7d1bd998f54449579b446817afbd17273e662c97ee72995ef42640c550b9013fad0761353c7086a272c24088be94769fd16650
- ベースポイントの位数 n
- 0x1fffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffa51868783bf2f966b7fcc0148f709a5d03bb5c9b8899c47aebb6fb71e91386409
- コファクター h
- 0x1
- シード
- 0xd09e8800291cb85396cc6717393284aaa0da64ba
採用例
- TLS 1.3
- X.509
- JOSE (ES512)
- COSE (ES512, ESP512)
- SSH (ecdsa-sha2-nistp521)
← すべての曲線