libsodium

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/libsodium/run.sh запустила libsodium 1.0.22 в образе контейнера alpine:3.24.2; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Кривые ECDSA

  none

  ECDSA нет: crypto_sign_PRIMITIVE равен ed25519, и ни в одном заголовочном файле не объявлено функций ECDSA.

  Что записала проверка

  fact ecdsa-curves = none
  evidence ecdsa-curves: crypto_sign_PRIMITIVE is "ed25519"; the header set declares no ECDSA functions

• EdDSA

  Ed25519Ed25519ph

  Ed25519 через crypto_sign_*, Ed25519ph через crypto_sign_init, _update и _final_*; обычная функция проверки отклоняет подписи Ed25519ph.

  Что записала проверка

  fact eddsa = Ed25519, Ed25519ph
  evidence eddsa: crypto_sign_final_verify (Ed25519ph) accepts its signature: yes; the plain verifier rejects it: yes

• Детерминированные подписи Ed25519

  yes

  Две подписи одного сообщения одним и тем же ключом совпали.

  Что записала проверка

  fact ed25519-deterministic = yes

• Структура закрытого ключа Ed25519

  expanded-64

  crypto_sign_SECRETKEYBYTES равно 64: seed, за которым следует открытый ключ.

  Что записала проверка

  fact ed25519-private-key = expanded-64
  evidence ed25519-private-key: crypto_sign_SECRETKEYBYTES = 64: the 32-byte seed followed by the 32-byte public key (seed matches: yes)

• Подпись Ed25519 с неканоническим S

  rejected

  Подпись, в которой S заменили на S + L, отклонена.

  Что записала проверка

  fact ed25519-non-canonical-s = rejected

• Открытый ключ Ed25519 малого порядка

  rejected

  Подпись не прошла проверку, когда открытым ключом служил нейтральный элемент группы.

  Что записала проверка

  fact ed25519-small-order-key = rejected
  evidence ed25519-small-order-key: the identity point as public key with R = identity, S = 0

• Некорректная подпись Ed25519

  rejected

  На 64 байтах бессмысленных данных crypto_sign_verify_detached вернула -1.

  Что записала проверка

  fact ed25519-malformed-signature = rejected
  evidence ed25519-malformed-signature: 64 bytes of 0xab: crypto_sign_verify_detached returned -1; the function takes no length and reads exactly crypto_sign_BYTES = 64 bytes

• Режимы подписи

  detachedcombined

  Доступны и отделённые подписи (64 байта), и объединённые подписанные сообщения (подпись стоит перед сообщением).

  Что записала проверка

  fact signature-modes = detached, combined
  evidence signature-modes: crypto_sign prepends the 64-byte signature to the message: 82 bytes for a 18-byte message

• Постквантовые алгоритмы

  ML-KEMX-Wing

  ML-KEM-768 (crypto_kem_mlkem768_*) и X-Wing (crypto_kem_xwing_*, вариант по умолчанию для универсальных crypto_kem_*) прошли инкапсуляцию и декапсуляцию; постквантовых подписей нет.

  Что записала проверка

  fact pqc = ML-KEM, X-Wing
  evidence pqc: crypto_kem_mlkem768: public key 1184 bytes, ciphertext 1088 bytes
  evidence pqc: crypto_kem_xwing: public key 1216 bytes, ciphertext 1120 bytes; generic crypto_kem_primitive() is "xwing"

• Форматы открытых ключей

  raw-32

  Открытые ключи — 32 байта в формате raw; PEM, DER и JWK не поддерживаются.

  Что записала проверка

  fact public-key-formats = raw-32

• Форматы закрытых ключей

  seed-32expanded-64

  Ключи выводятся из 32-байтового seed (crypto_sign_seed_keypair) и хранятся в виде 64 байт; crypto_sign_ed25519_sk_to_seed извлекает seed обратно.

  Что записала проверка

  fact private-key-formats = seed-32, expanded-64
  evidence private-key-formats: crypto_sign_seed_keypair reproduces the key from the seed: yes; crypto_sign_ed25519_sk_to_seed recovers it: yes

Использование

#include <sodium.h>
#include <stdio.h>
#include <string.h>

int main(void) {
    if (sodium_init() < 0) return 1;
    const unsigned char msg[] = "order #1042 approved";
    unsigned char pk[crypto_sign_PUBLICKEYBYTES], sk[crypto_sign_SECRETKEYBYTES];
    unsigned char sig[crypto_sign_BYTES], seed[32];

    crypto_sign_keypair(pk, sk);
    /* Other libraries store the 32-byte seed; libsodium's secret key is seed || public key. */
    crypto_sign_ed25519_sk_to_seed(seed, sk);

    /* Detached signature: 64 bytes, deterministic per RFC 8032. */
    crypto_sign_detached(sig, NULL, msg, sizeof msg - 1, sk);
    int ok = crypto_sign_verify_detached(sig, msg, sizeof msg - 1, pk) == 0;

    printf("secret key %d bytes, seed %zu bytes, signature %d bytes, verified: %d\n",
           crypto_sign_SECRETKEYBYTES, sizeof seed, crypto_sign_BYTES, ok);
    return 0;
}