Именованная кривая фиксирует доменные параметры: простой модуль поля p, коэффициенты уравнения, базовую точку G, простой порядок n точки G и кофактор h (всего на кривой h·n точек). Стойкость составляет примерно половину битовой длины n, потому что лучшая универсальная атака (ро-метод Полларда) требует около √n шагов, так что 256-битная кривая даёт стойкость около 128 бит.
Кривые бывают трёх форм с разными формулами: короткая форма Вейерштрасса (P-256, P-384, P-521, secp256k1, Brainpool), форма Монтгомери (Curve25519 и Curve448, на которых построены X25519 и X448) и скрученная форма Эдвардса (Edwards25519 и Edwards448, на которых построен EdDSA); все три определены в NIST SP 800-186, § 2.1.
Идентификаторы, которые встречаются на практике: OID именованных кривых в X.509 — 1.2.840.10045.3.1.7 (P-256), 1.3.132.0.34 (P-384), 1.3.132.0.35 (P-521) и 1.3.132.0.10 (secp256k1); значения crv в JOSE — P-256, P-384, P-521, secp256k1, Ed25519, X25519; поддерживаемые группы TLS — secp256r1 (23), secp384r1 (24), secp521r1 (25), x25519 (29), x448 (30). RFC 5480 требует использовать в PKIX именованные кривые, и многие библиотеки отклоняют сертификаты с явно заданными параметрами кривой.
На практике всё решает экосистема: P-256 — для WebPKI, WebAuthn и аппаратных ключей, Ed25519 и X25519 — для SSH и современных протоколов, secp256k1 — для блокчейнов. Песочница эллиптических кривых показывает ту же арифметику на малых кривых, которые можно нарисовать.