本文へスキップ
ecdsa.com

Brainpool 曲線

パラメーターが検証可能な擬似乱数として生成された楕円曲線のファミリー(RFC 5639、2010年)で、NIST 曲線の代替として、ドイツをはじめとするヨーロッパ各国の政府系プロファイルで好まれています。
別表記brainpoolP256r1brainpoolP384r1brainpoolP512r1RFC 5639

brainpoolP160r1〜brainpoolP512r1 の各曲線(と、a = −3 とした「t1」のツイスト版)は、π と e の数字列から導出した素数と係数を使うため、隠れた性質を持つ値を誰かが意図的に選んだ可能性はありません。その代償は速度です。素数が特殊な形をしていないためです。よく使われる OID は、1.3.36.3.3.2.8.1.1.7(brainpoolP256r1)、…1.1.11(P384r1)、…1.1.13(P512r1)です。

対応プロトコル:TLS 1.2 のグループ 26、27、28(RFC 7027)、TLS 1.3 のグループ brainpoolP256r1tls13(31)、32、33 と、ecdsa_brainpoolP256r1tls13_sha256(0x081A)などの署名方式(RFC 8734)、OpenPGP の鍵(RFC 9580)。ブラウザーはデフォルトではこれらの曲線を提示せず、WebCrypto も対応していません。ドイツの eID やスマートカードのエコシステム、ePassports(電子パスポート)、スマートメーターのゲートウェイで広く使われています。NIST SP 800-186 の付録 H.1 は、「相互運用性のため」に brainpoolP224r1〜P512r1 の使用を認めています。

Apple M4 Max の 1 コアで OpenSSL 3.6.5 が 1 秒間に署名できるメッセージは、brainpoolP256r1 では約 7,800 件、P-256 では約 87,000 件です。専用に最適化された実装があるのは P-256 だけだからです。既知の弱点はなく、brainpoolP256r1 のセキュリティは約 128 ビットです。

規格と参考文献

すべての用語