As curvas brainpoolP160r1 a brainpoolP512r1 (mais as variantes torcidas “t1”, com a = −3) usam primos e coeficientes derivados dos dígitos de π e de e, de modo que ninguém poderia tê-los escolhido com uma propriedade oculta. O preço é a velocidade: os primos delas não têm forma especial. OIDs comuns: 1.3.36.3.3.2.8.1.1.7 (brainpoolP256r1), …1.1.11 (P384r1) e …1.1.13 (P512r1).
Suporte em protocolos: grupos 26, 27 e 28 do TLS 1.2 (RFC 7027); grupos brainpoolP256r1tls13 (31), 32 e 33 do TLS 1.3, com esquemas de assinatura como ecdsa_brainpoolP256r1tls13_sha256 (0x081A) (RFC 8734); chaves OpenPGP (RFC 9580). Os navegadores não as oferecem por padrão, e a WebCrypto não oferece suporte a elas. São comuns nos ecossistemas alemães de eID e de cartões inteligentes, em ePassports e em gateways de medidores inteligentes. O apêndice H.1 do NIST SP 800-186 permite as curvas brainpoolP224r1 a P512r1 “por razões de interoperabilidade”.
Em um núcleo do Apple M4 Max, o OpenSSL 3.6.5 assina cerca de 7.800 mensagens por segundo com a brainpoolP256r1, contra cerca de 87.000 com a P-256, porque só a P-256 tem uma implementação otimizada dedicada. Nenhuma fraqueza é conhecida; a brainpoolP256r1 oferece cerca de 128 bits de segurança.