A geração de chaves calcula o hash de uma semente de 32 bytes com SHA-512: a primeira metade, após o ajuste (clamping), é o escalar secreto, e a segunda metade é o prefixo do nonce. A chave pública é a codificação little-endian de 32 bytes da coordenada y de um ponto, com o sinal de x no bit mais alto, e uma assinatura é R ‖ S, com 64 bytes. As APIs divergem sobre o que significa “chave privada”: a semente de 32 bytes (RFC 8032, PKCS #8 conforme a RFC 8410) ou 64 bytes da semente seguida da chave pública (NaCl, libsodium, ed25519.PrivateKey do Go), uma fonte frequente de bugs de conversão.
Identificadores: OID 1.3.101.112 sem parâmetros de algoritmo (RFC 8410); no JOSE, kty OKP, crv Ed25519 (RFC 8037) e alg Ed25519 (RFC 9864, que substitui o polimórfico EdDSA); no COSE, −19 (e o antigo −8); no TLS 1.3, ed25519 (0x0807); no SSH, ssh-ed25519 (RFC 8709); chaves nativas do OpenPGP v6 (RFC 9580). O WebCrypto oferece suporte a ele no Firefox 129, no Safari 17 e no Chrome 137 e posteriores.
Em um núcleo de Apple M4 Max, o OpenSSL 3.6.5 faz cerca de 59.800 assinaturas Ed25519 e 24.900 verificações por segundo. O FIPS 186-5 aprova o Ed25519. As bibliotecas divergem em casos-limite maliciosos (pontos de ordem pequena, codificações fora da forma canônica, verificação com cofator ou sem cofator), o que só importa quando muitas partes precisam concordar sobre a validade.
Em comparação com o ECDSA, ele não precisa de aleatoriedade na hora de assinar, não tem variante high-S e usa fórmulas de adição completas. Sua principal lacuna é o hardware: o Secure Enclave da Apple e muitos cartões inteligentes e HSMs oferecem apenas P-256, e é por isso que as chaves de acesso (passkeys) e as chaves vinculadas a dispositivos são, em sua maioria, ECDSA.