curve25519

Curve25519 是素数 2^255 − 19 上的 Montgomery 曲线 y² = x³ + 486662x² + x，由 Daniel J. Bernstein 于2006年设计，并在 RFC 7748 中定义。它的群阶为 8·n，其中 n 是 253 位素数，安全强度约为 128 位；它的二次扭曲曲线同样是安全的。

X25519 是这条曲线上的 Diffie–Hellman 函数，只使用 u 坐标：密钥是 32 字节的字符串，私钥按照 RFC 7748 §5 的规定进行“钳制”（clamping），使余因子无法泄露信息。该函数接受任意 32 字节作为公钥；低阶输入会产生全零的共享密钥，协议应当拒绝这种结果。

TLS 1.3 将 x25519 列为推荐（Recommended）组，并把它用作 X25519MLKEM768 混合方案中的经典部分；SSH 以 curve25519-sha256 的名称使用它（RFC 8731），WireGuard、Signal 和 age 也都构建在它之上。与它对应的扭曲 Edwards 曲线是 edwards25519，用于 Ed25519 签名。