P-384 — кривая в короткой форме Вейерштрасса y² = x³ + ax + b над 384-битным простым полем с 384-битной подгруппой простого порядка и кофактором 1; оценочный уровень стойкости — 192 бита. Статус: рекомендуется для новых систем.
P-384 — кривая y² = x³ − 3x + b над полем по модулю простого числа 2^384 − 2^128 − 2^96 + 2^32 − 1; её группа имеет простой порядок, а стойкость составляет около 192 бит. Кривая встречается как secp384r1 в TLS (с пометкой Recommended в реестре IANA), как ES384 в JOSE и COSE, как ecdsa-sha2-nistp384 в SSH и как алгоритм 14 в DNSSEC (RFC 6605).
Набор алгоритмов Commercial National Security Algorithm Suite (CNSA 1.0) от NSA требовал P-384 и для ECDH, и для ECDSA, поэтому эта кривая стала основным выбором для государственных PKI и PKI с высоким уровнем доверия. CNSA 2.0 заменяет её постквантовыми ML-KEM-1024 и ML-DSA-87; на переходный период гибридная группа TLS SecP384r1MLKEM1024 сочетает P-384 с ML-KEM-1024.
Подпись ECDSA на P-384 в формате raw занимает 96 байт. ES384 в JOSE и схема TLS ecdsa_secp384r1_sha384 сочетают кривую с SHA-384, так что размер хеша соответствует размеру кривой.
Параметры кривой
384-битное простое поле · примерно 192-битная стойкость
- Простой модуль поля p
- 0xfffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffeffffffff0000000000000000ffffffff
- Коэффициент a
- 0xfffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffffeffffffff0000000000000000fffffffc
- Коэффициент b
- 0xb3312fa7e23ee7e4988e056be3f82d19181d9c6efe8141120314088f5013875ac656398d8a2ed19d2a85c8edd3ec2aef
- Координата x базовой точки
- 0xaa87ca22be8b05378eb1c71ef320ad746e1d3b628ba79b9859f741e082542a385502f25dbf55296c3a545e3872760ab7
- Координата y базовой точки
- 0x3617de4a96262c6f5d9e98bf9292dc29f8f41dbd289a147ce9da3113b5f0b8c00a60b1ce1d7e819d7a431d7c90ea0e5f
- Порядок n базовой точки
- 0xffffffffffffffffffffffffffffffffffffffffffffffffc7634d81f4372ddf581a0db248b0a77aecec196accc52973
- Кофактор h
- 0x1
- Seed
- 0xa335926aa319a27a1d00896a6773a4827acdac73