X25519(k, u) выполняет лестницу Монтгомери за постоянное время, работая только с координатами u. Закрытый ключ — 32 случайных байта, к которым функция применяет clamping (обнуляет три младших бита и бит 255 и устанавливает бит 254); открытый ключ — X25519(k, 9) (RFC 7748, § 5). Поскольку и кривая, и её кручение (twist) безопасны, любую 32-байтовую строку можно использовать как ключ другой стороны без проверки точки, но входные точки малого порядка дают общий секрет из одних нулей, и протоколам следует обнаруживать и отклонять такой результат (RFC 7748, § 6.1).
Идентификаторы: в TLS — поддерживаемая группа x25519 (29, 0x001D); в SSH — curve25519-sha256 (RFC 8731); OID 1.3.101.110 (RFC 8410); в JOSE — ECDH-ES с ключом OKP и crv X25519 (RFC 8037); в HPKE — DHKEM(X25519, HKDF-SHA256), идентификатор KEM 0x0020 (RFC 9180). На одном ядре Apple M4 Max OpenSSL 3.6.5 выполняет около 52 000 операций X25519 в секунду.
X25519 — это согласование ключей, а не подпись: подписывает Ed25519. У них общая кривая, и ключи можно преобразовывать из одной формы в другую, но использовать один ключ для обеих целей не рекомендуется. X25519 взламывается алгоритмом Шора, поэтому TLS теперь сочетает его с ML-KEM-768 в гибридной группе X25519MLKEM768 (0x11EC, RFC 10024), а OpenSSH по умолчанию использует mlkem768x25519-sha256.