swift-crypto

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/swift-crypto/run.sh запустила swift-crypto 5.0.3 в образе контейнера swift:6.4.1-noble; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Кодировка подписи ECDSA

  structured

  У ECDSASignature есть 64-байтовое представление rawRepresentation и представление derRepresentation; байты самого значения (withUnsafeBytes) — это форма raw.

  Что записала проверка

  fact ecdsa-signature-encoding = structured
  evidence ecdsa-signature-encoding: signature(for:) returns P256.Signing.ECDSASignature: rawRepresentation 64 bytes, derRepresentation starts with 0x30 and converts back: yes, withUnsafeBytes yields the raw form: yes

• Nonce в ECDSA

  random

  Две подписи одного сообщения различались, а ключ и сообщение из раздела A.2.5 RFC 6979 не дали значения r, приведённого в RFC.

  Что записала проверка

  fact ecdsa-nonce = random
  evidence ecdsa-nonce: two signatures of one message are different; r for the RFC 6979 A.2.5 key and message equals the RFC's r: no

• Low-S при подписи

  either

  s не нормализуется: среди 64 подписей встретились значения high-S.

  Что записала проверка

  fact ecdsa-low-s-sign = either
  evidence ecdsa-low-s-sign: signatures with s > n/2 among 64: yes

• High-S при проверке

  accepts-high-s

  Подпись, в которой s заменили на n − s, прошла проверку.

  Что записала проверка

  fact ecdsa-low-s-verify = accepts-high-s
  evidence ecdsa-low-s-verify: isValidSignature with s replaced by n - s: true

• Что хеширует вызов подписи

  hashes-message-or-digest

  signature(for: data) хеширует данные; подпись signature(for: SHA256.hash(data: message)) прошла проверку по сообщению.

  Что записала проверка

  fact ecdsa-prehash = hashes-message-or-digest
  evidence ecdsa-prehash: signature(for: SHA256.hash(data: message)) verifies with isValidSignature(_:for: message): yes

• Хеш-функция для сообщений

  curve-matched

  Подписи данных прошли проверку как подписи хеша SHA-256 на P-256, SHA-384 на P-384 и SHA-512 на P-521.

  Что записала проверка

  fact ecdsa-message-hash = curve-matched
  evidence ecdsa-message-hash: signature(for: data) verifies as a signature over SHA-256 on P-256: yes, SHA-384 on P-384: yes, SHA-512 on P-521: yes

• Хеш-функция, привязанная к кривой

  none

  Ключом P-384 подписан дайджест SHA-256, и подпись прошла проверку.

  Что записала проверка

  fact ecdsa-hash-curve-binding = none
  evidence ecdsa-hash-curve-binding: a P-384 key signed a SHA-256 digest, and the signature verifies: yes

• Дайджест длиннее порядка кривой

  truncated

  Ключом P-256 подписан дайджест SHA-512; openssl pkeyutl успешно проверил подпись по первым 32 байтам дайджеста.

  Что записала проверка

  fact ecdsa-long-input = truncated
  evidence ecdsa-long-input: a P-256 key signed a SHA-512 digest without an error
  evidence ecdsa-long-input: openssl pkeyutl verifies that signature over the first 32 digest bytes: yes

• Некорректная подпись ECDSA

  throws

  init(derRepresentation:) выбросил truncatedASN1Field для подписи raw r‖s и для 3 байт; init(rawRepresentation:) выбросил incorrectParameterSize для DER и для 3 байт.

  Что записала проверка

  fact ecdsa-malformed-signature = throws
  evidence ecdsa-malformed-signature: ECDSASignature(derRepresentation:) with the RFC 6979 A.2.5 signature as raw r||s: threw CryptoKitASN1Error.truncatedASN1Field; with 3 bytes: threw CryptoKitASN1Error.truncatedASN1Field
  evidence ecdsa-malformed-signature: ECDSASignature(rawRepresentation:) with DER: threw CryptoKitError.incorrectParameterSize; with 3 bytes: threw CryptoKitError.incorrectParameterSize
  evidence ecdsa-malformed-signature: isValidSignature for a valid signature over another message: false

• Кривые ECDSA

  P-256P-384P-521

  P-256, P-384 и P-521: подпись и проверка прошли успешно; других кривых ECDSA в исходном коде не объявлено.

  Что записала проверка

  fact ecdsa-curves = P-256, P-384, P-521
  evidence ecdsa-curves: key types declared in Sources/Crypto and Sources/CryptoExtras: Curve25519 MLDSA65 MLDSA87 MLKEM1024 MLKEM768 P256 P384 P521 XWingMLKEM768X25519

• EdDSA

  Ed25519

  Curve25519.Signing (Ed25519); типа для Ed448 в исходном коде не объявлено.

  Что записала проверка

  fact eddsa = Ed25519

• Детерминированные подписи Ed25519

  yes

  Две подписи одного сообщения совпали друг с другом и с подписью из теста 1 RFC 8032; OpenSSL успешно проверил подпись swift-crypto.

  Что записала проверка

  fact ed25519-deterministic = yes
  evidence ed25519-deterministic: RFC 8032 test 1: the derived public key matches: yes, the RFC signature verifies: yes
  evidence ed25519-deterministic: swift-crypto's signature with the same key and message equals the RFC signature: yes; two signatures are identical: yes; both verify: yes
  evidence ed25519-deterministic: OpenSSL 3.0.13 pkeyutl on a swift-crypto Ed25519 signature: Signature Verified Successfully

• Подпись Ed25519 с неканоническим S

  rejected

  Подпись из теста 1 RFC 8032, в которой S заменили на S + L, была отклонена.

  Что записала проверка

  fact ed25519-non-canonical-s = rejected
  evidence ed25519-non-canonical-s: the RFC 8032 test 1 signature with S replaced by S + L

• Открытый ключ Ed25519 малого порядка

  accepted

  Нейтральная точка импортировалась как открытый ключ, а подпись с R, равным нейтральной точке, и S = 0 прошла проверку.

  Что записала проверка

  fact ed25519-small-order-key = accepted
  evidence ed25519-small-order-key: the identity point as public key: import accepted; signature R = identity, S = 0 verifies: yes

• Некорректная подпись Ed25519

  rejected

  Для 64 байт со значением 0xab и для 63-байтовой подписи проверка вернула false.

  Что записала проверка

  fact ed25519-malformed-signature = rejected
  evidence ed25519-malformed-signature: 64 bytes of 0xab: false; 63 bytes of the RFC signature: false

• Постквантовые алгоритмы

  ML-KEMML-DSAX-Wing

  Инкапсуляции ML-KEM и X-Wing прошли полный цикл с декапсуляцией, а подписи ML-DSA прошли проверку; X-Wing также сработал через HPKE.

  Что записала проверка

  fact pqc = ML-KEM, ML-DSA, X-Wing
  evidence pqc: ML-KEM-768: public key 1184 bytes, ciphertext 1088 bytes, shared secrets match: yes
  evidence pqc: ML-KEM-1024: public key 1568 bytes, ciphertext 1568 bytes, shared secrets match: yes
  evidence pqc: ML-DSA-65: public key 1952 bytes, signature 3309 bytes, verifies: yes; ML-DSA-87: signature 4627 bytes, verifies: yes
  evidence pqc: X-Wing (XWingMLKEM768X25519): public key 1216 bytes, ciphertext 1120 bytes, shared secrets match: yes
  evidence pqc: HPKE with XWingMLKEM768X25519_SHA256_AES_GCM_256 opens its own message: yes

• Наборы параметров ML-KEM

  ML-KEM-768ML-KEM-1024

  MLKEM768 и MLKEM1024 прошли полный цикл инкапсуляции и декапсуляции; типа для ML-KEM-512 в исходном коде не объявлено.

  Что записала проверка

  fact ml-kem-parameter-sets = ML-KEM-768, ML-KEM-1024

• Наборы параметров ML-DSA

  ML-DSA-65ML-DSA-87

  MLDSA65 и MLDSA87: подпись и проверка прошли успешно; типа для ML-DSA-44 в исходном коде не объявлено.

  Что записала проверка

  fact ml-dsa-parameter-sets = ML-DSA-65, ML-DSA-87

• Режим подписи ML-DSA

  hedged

  Две подписи ML-DSA-65 одного сообщения различались (подписание с подмешанной случайностью).

  Что записала проверка

  fact ml-dsa-signing = hedged
  evidence ml-dsa-signing: two ML-DSA-65 signatures of one message are different

• Строка контекста ML-DSA

  supported

  Подпись с контекстом invoice-v1 прошла проверку с этим контекстом и не прошла с invoice-v2 и без контекста.

  Что записала проверка

  fact ml-dsa-context-string = supported
  evidence ml-dsa-context-string: signed with context "invoice-v1": verifies with it yes, with "invoice-v2" no, without a context no

• Некорректная подпись ML-DSA

  returns-false

  Для усечённой подписи, 3 байт и неверного сообщения проверка вернула false.

  Что записала проверка

  fact ml-dsa-malformed-signature = returns-false
  evidence ml-dsa-malformed-signature: isValidSignature: truncated signature false, 3 bytes false, wrong message false

• Изменённый шифртекст ML-KEM

  implicit-rejection

  После инвертирования одного бита шифртекста decapsulate вернул ключ, отличный от ключа отправителя.

  Что записала проверка

  fact ml-kem-modified-ciphertext = implicit-rejection
  evidence ml-kem-modified-ciphertext: ML-KEM-768 with one ciphertext bit flipped: decapsulate returned a key that differs from the sender's

• Постквантовые закрытые ключи

  seed-only

  seedRepresentation занимает 64 байта для ML-KEM-768 и 32 для ML-DSA-65, и восстановленные из него ключи совпали с исходными.

  Что записала проверка

  fact pq-private-keys = seed-only
  evidence pq-private-keys: ML-KEM-768 seedRepresentation 64 bytes, integrityCheckedRepresentation 96 bytes; ML-DSA-65 seedRepresentation 32 bytes, integrityCheckedRepresentation 64 bytes
  evidence pq-private-keys: keys rebuilt from the seed alone have the same public key: ML-KEM-768 yes, ML-DSA-65 yes

• Форматы открытых ключей

  spki-pemspki-dersec1-uncompressedsec1-compressedraw-xyraw-32

  Для P-256 — SPKI в PEM и DER, SEC1 в несжатой и сжатой форме и raw x‖y, для Ed25519 — 32 байта raw; все форматы записаны и прочитаны обратно.

  Что записала проверка

  fact public-key-formats = spki-pem, spki-der, sec1-uncompressed, sec1-compressed, raw-xy, raw-32
  evidence public-key-formats: P-256 public key sizes: raw 64, x963 65, compressed 33, DER 91; PEM header -----BEGIN PUBLIC KEY-----; Ed25519 raw 32
  evidence public-key-formats: written and read back: spki-pem yes, spki-der yes, sec1-uncompressed yes, sec1-compressed yes, raw-xy yes, raw-32 yes

• Форматы закрытых ключей

  pkcs8-pempkcs8-dersec1-pemsec1-derraw-scalarseed-32

  Читает PKCS#8 и SEC1 в PEM или DER, скаляр P-256 в формате raw и seed Ed25519; записывает PKCS#8; зашифрованный PKCS#8 не принимается.

  Что записала проверка

  fact private-key-formats = pkcs8-pem, pkcs8-der, sec1-pem, sec1-der, raw-scalar, seed-32
  evidence private-key-formats: P-256 private key written as: derRepresentation PKCS#8 (138 bytes), pemRepresentation -----BEGIN PRIVATE KEY-----, rawRepresentation 32 bytes, x963Representation 97 bytes
  evidence private-key-formats: OpenSSL-written P-256 keys read: pkcs8-pem yes, pkcs8-der yes, encrypted-pkcs8 no, sec1-pem yes, sec1-der yes; encrypted PKCS#8: threw CryptoKitASN1Error.invalidPEMDocument

Использование

import Crypto
import Foundation

let message = Data("order #1042 approved".utf8)

// Ed25519 signatures are deterministic here but randomized under Apple's CryptoKit:
// compare signatures by verifying them, never byte for byte.
let signingKey = Curve25519.Signing.PrivateKey()
let signature = try signingKey.signature(for: message)
print("Ed25519 verified: \(signingKey.publicKey.isValidSignature(signature, for: message))")

// ML-KEM-768: the receiver publishes a public key, the sender encapsulates a fresh secret to it.
let receiver = try MLKEM768.PrivateKey()
let sent = try receiver.publicKey.encapsulate()
let received = try receiver.decapsulate(sent.encapsulated)
print("ML-KEM-768 secrets match: \(received == sent.sharedSecret)")