libsecp256k1 (Bitcoin Core)

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/libsecp256k1/run.sh запустила libsecp256k1 (Bitcoin Core) 0.5.0 в образе контейнера alpine:3.24.2; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Кодировка подписи ECDSA

  structured

  Подпись хранится в непрозрачной структуре; serialize_compact записывает 64 байта r‖s, а serialize_der — DER.

  Что записала проверка

  fact ecdsa-signature-encoding = structured
  evidence ecdsa-signature-encoding: secp256k1_ecdsa_signature is opaque: serialize_compact gives 64 bytes, serialize_der 70 bytes

• Nonce в ECDSA

  rfc6979

  RFC 6979: с учётом нормализации s подпись совпала с результатом независимой реализации RFC 6979.

  Что записала проверка

  fact ecdsa-nonce = rfc6979
  evidence ecdsa-nonce: two signatures identical: yes; equal to the reference RFC 6979 signature with s normalized: yes

• Low-S при подписи

  low-s

  Среди 64 подписей нет ни одного значения high-S.

  Что записала проверка

  fact ecdsa-low-s-sign = low-s

• High-S при проверке

  rejects-high-s

  secp256k1_ecdsa_verify отклонила (r, n − s); после secp256k1_ecdsa_signature_normalize подпись прошла проверку.

  Что записала проверка

  fact ecdsa-low-s-verify = rejects-high-s
  evidence ecdsa-low-s-verify: verify on (r, n - s): 0; signature_normalize reports it was high: 1; normalized verifies: 1

• Что хеширует вызов подписи

  takes-digest

  secp256k1_ecdsa_sign принимает 32-байтовый хеш сообщения.

  Что записала проверка

  fact ecdsa-prehash = takes-digest
  evidence ecdsa-prehash: secp256k1_ecdsa_sign takes a 32-byte message hash (msghash32)

• Хеш-функция по умолчанию

  none

  Внутри функций подписи и проверки хеширование не выполняется.

  Что записала проверка

  fact ecdsa-default-hash = none

• Строгость разбора DER

  rejects-non-minimal

  parse_der принял минимальный DER и отклонил кодировку с лишним ведущим нулевым байтом в r.

  Что записала проверка

  fact der-strictness = rejects-non-minimal
  evidence der-strictness: parse_der on minimal DER: 1; with a redundant leading zero in r: 0

• Некорректная подпись ECDSA

  returns-error

  Некорректные входные данные отсеиваются на этапе разбора (parse_der возвращает 0); в verify попадают только разобранные подписи.

  Что записала проверка

  fact ecdsa-malformed-signature = returns-error
  evidence ecdsa-malformed-signature: parsing is a separate call: parse_der on 3 bytes returned 0; verify only ever sees parsed signatures

• Кривые ECDSA

  secp256k1

  Только secp256k1.

  Что записала проверка

  fact ecdsa-curves = secp256k1

• Восстановление открытого ключа

  supported

  Модуль recovery восстановил открытый ключ подписанта по подписи с возможностью восстановления ключа.

  Что записала проверка

  fact public-key-recovery = supported

• Подписи Schnorr

  BIP-340

  Модуль schnorrsig создал подпись BIP-340 и проверил её по открытому ключу x-only.

  Что записала проверка

  fact schnorr = BIP-340

• EdDSA

  none

  EdDSA нет.

  Что записала проверка

  fact eddsa = none

• Постквантовые алгоритмы

  none

  Постквантовых алгоритмов нет.

  Что записала проверка

  fact pqc = none

• Форматы открытых ключей

  sec1-uncompressedsec1-compressed

  ec_pubkey_parse принимает 65-байтовые несжатые и 33-байтовые сжатые точки SEC1; 64-байтовое значение x‖y было отклонено.

  Что записала проверка

  fact public-key-formats = sec1-uncompressed, sec1-compressed
  evidence public-key-formats: ec_pubkey_parse: 65-byte uncompressed 1, 33-byte compressed 1, 64-byte x||y 0

• Форматы закрытых ключей

  raw-scalar

  Секретные ключи — 32-байтовые скаляры в формате raw.

  Что записала проверка

  fact private-key-formats = raw-scalar

Использование

#include <secp256k1.h>
#include <stdio.h>
#include <string.h>

int main(void) {
    secp256k1_context *ctx = secp256k1_context_create(SECP256K1_CONTEXT_NONE);
    unsigned char seckey[32], msghash[32];
    memset(seckey, 0x11, 32);   /* use a random 32-byte key in real code */
    memset(msghash, 0x22, 32);  /* the caller hashes: libsecp256k1 signs a 32-byte digest */

    secp256k1_pubkey pub;
    secp256k1_ecdsa_signature sig;
    if (!secp256k1_ec_pubkey_create(ctx, &pub, seckey) || !secp256k1_ecdsa_sign(ctx, &sig, msghash, seckey, NULL, NULL)) return 1;

    /* A signature from elsewhere: parse (strict DER or 64-byte compact), then normalize s,
       because verify rejects high-S signatures that OpenSSL or Java produce half the time. */
    unsigned char compact[64];
    secp256k1_ecdsa_signature_serialize_compact(ctx, compact, &sig);
    secp256k1_ecdsa_signature parsed;
    if (!secp256k1_ecdsa_signature_parse_compact(ctx, &parsed, compact)) return 1;
    secp256k1_ecdsa_signature_normalize(ctx, &parsed, &parsed);

    printf("verified: %d\n", secp256k1_ecdsa_verify(ctx, &parsed, msghash, &pub));
    secp256k1_context_destroy(ctx);
    return 0;
}