Node.js node:crypto

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/node-crypto/run.sh запустила Node.js node:crypto 24.22.0 в среде OpenSSL 3.5.8 в образе контейнера node:24.22.0-bookworm-slim; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Кодировка подписи ECDSA

  der

  crypto.sign() возвращает ASN.1 DER SEQUENCE, обычно от 70 до 72 байт на P-256. С dsaEncoding: "ieee-p1363" в объекте ключа функция вместо этого возвращает форму r‖s фиксированной длины 64 байта; параметр нужно задать и на стороне подписи, и на стороне проверки.

  Что записала проверка

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: default output parses as DER: true; ieee-p1363 output length 64

• Low-S при подписи

  either

  Подписи не нормализуются: среди 64 подписей, созданных в ходе проверки, хотя бы у одной значение s оказалось в верхней половине диапазона, как и ожидается при случайном nonce.

  Что записала проверка

  fact ecdsa-low-s-sign = either
  evidence ecdsa-low-s-sign: high-S seen among 64 signatures

• High-S при проверке

  accepts-high-s

  crypto.verify() приняла подпись, в которой s заменили на n − s, и в DER, и в форме raw. Возразить может только сторона, которая строго требует low-S.

  Что записала проверка

  fact ecdsa-low-s-verify = accepts-high-s

• Nonce в ECDSA

  random

  Случайный nonce: две подписи одного и того же сообщения одним ключом дали разные байты, а с тестовым ключом из RFC 6979 подпись из RFC не воспроизвелась. Детерминированного режима ECDSA в Node.js нет.

  Что записала проверка

  fact ecdsa-nonce = random
  evidence ecdsa-nonce: same input twice gives identical bytes: false; r equals RFC 6979 A.2.5: false

• Что хеширует вызов подписи

  hashes-message

  Данные хешируются указанным вами алгоритмом — подпись прошла проверку по SHA-256 от сообщения в независимой реализации. Вызова, который подписывает заранее вычисленный дайджест, нет, поэтому передавайте само сообщение.

  Что записала проверка

  fact ecdsa-prehash = hashes-message
  evidence ecdsa-prehash: signature verifies against SHA-256(message) in @noble/curves: true

• Хеш-функция по умолчанию

  sha256

  Если алгоритм равен null или undefined, подпись ключом EC создаётся с SHA-256 независимо от кривой. Для ключей P-384 и P-521 указывайте хеш явно.

  Что записала проверка

  fact ecdsa-default-hash = sha256

• Некорректная подпись ECDSA

  returns-false

  Подпись raw r‖s там, где ожидается DER, DER там, где ожидается raw, и просто мусор — во всех случаях crypto.verify() возвращает false; исключений нет, поэтому проблема с форматом выглядит как неверная подпись.

  Что записала проверка

  fact ecdsa-malformed-signature = returns-false

• Кривые ECDSA

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  На кривых P-224, P-256, P-384, P-521, secp256k1 и Brainpool r1 сгенерировались ключи и прошёл полный цикл подписи и проверки. crypto.getCurves() перечисляет имена кривых, принятые в OpenSSL, например prime256v1 для P-256.

  Что записала проверка

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Подпись Ed25519 и Ed448 создаётся через crypto.sign(null, data, key); для Ed448 доступен и параметр context.

  Что записала проверка

  fact eddsa = Ed25519, Ed448

• Постквантовые алгоритмы

  ML-KEMML-DSASLH-DSA

  ML-KEM-512/768/1024 (через crypto.encapsulate() и crypto.decapsulate()), ML-DSA-44/65/87 и SLH-DSA работали в Node.js 24.22.0, который поставляется с OpenSSL 3.5.8.

  Что записала проверка

  fact pqc = ML-KEM, ML-DSA, SLH-DSA

• Форматы открытых ключей

  spki-pemspki-derx509jwksec1-uncompressedsec1-compressed

  crypto.createPublicKey() прочитала SPKI в PEM и в DER, сертификат X.509 в PEM, JWK и голую точку SEC1 — несжатую или сжатую — с format: "raw-public". 64-байтовое значение x‖y без префикса 0x04 было отклонено.

  Что записала проверка

  fact public-key-formats = spki-pem, spki-der, x509, jwk, sec1-uncompressed, sec1-compressed

• Форматы закрытых ключей

  pkcs8-pempkcs8-derencrypted-pkcs8sec1-pemsec1-derjwkraw-scalar

  crypto.createPrivateKey() прочитала PKCS#8 в PEM и DER, PKCS#8, зашифрованный парольной фразой, SEC1 EC PRIVATE KEY в PEM и DER, JWK с d и голый 32-байтовый скаляр с format: "raw-private".

  Что записала проверка

  fact private-key-formats = pkcs8-pem, pkcs8-der, encrypted-pkcs8, sec1-pem, sec1-der, jwk, raw-scalar

Использование

import { generateKeyPairSync, sign, verify } from "node:crypto";

const { privateKey, publicKey } = generateKeyPairSync("ec", { namedCurve: "P-256" });
const message = Buffer.from("order #1042 approved");

// Name the hash and the encoding explicitly, on both sides:
// "der" for OpenSSL, Java and Go peers, "ieee-p1363" (raw r||s) for WebCrypto and JOSE.
const signature = sign("sha256", message, { key: privateKey, dsaEncoding: "ieee-p1363" });
const ok = verify("sha256", message, { key: publicKey, dsaEncoding: "ieee-p1363" }, signature);

console.log("signature bytes:", signature.length);
console.log("verified:", ok);