aws-lc-rs

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/aws-lc-rs/run.sh 于2026年10月20日在容器镜像 rust:1.99.1-trixie 中运行了 aws-lc-rs 1.18.2；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  der-or-raw

  *_FIXED 常量生成 64 字节的原始 r‖s 签名，*_ASN1 常量生成 DER 签名；原始签名在 ASN1 常量下没有验证通过。

  检查记录

  fact ecdsa-signature-encoding = der-or-raw
  evidence ecdsa-signature-encoding: FIXED signs 64 bytes; the same bytes verify under the ASN1 constant: false

• ECDSA 的 nonce

  random

  随机 nonce：同一条消息的两个签名不同。

  检查记录

  fact ecdsa-nonce = random

• 签名时的 low-S

  either

  s 没有经过规范化：64 个签名中出现了 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = either

• 验证时的 high-S

  accepts-high-s

  FIXED 验证器接受了把 s 替换为 n − s 的签名。

  检查记录

  fact ecdsa-low-s-verify = accepts-high-s

• 签名调用对哪些内容做哈希

  hashes-message

  消息按常量所指定的算法计算哈希（SHA-2 或 SHA-3 变体）。

  检查记录

  fact ecdsa-prehash = hashes-message

• 格式错误的 ECDSA 签名

  returns-error

  对于格式错误或不正确的签名，验证返回错误值。

  检查记录

  fact ecdsa-malformed-signature = returns-error

• ECDSA 曲线

  P-256P-384P-521secp256k1

  P-256、P-384、P-521 和 secp256k1 的签名与验证均成功。

  检查记录

  fact ecdsa-curves = P-256, P-384, P-521, secp256k1

• EdDSA

  Ed25519

  Ed25519。

  检查记录

  fact eddsa = Ed25519

• Ed25519 PKCS #8 v1 密钥

  accepted

  Ed25519KeyPair::from_pkcs8 接受了 48 字节的 PKCS#8 v1 Ed25519 密钥，而 ring 会拒绝这种密钥。

  检查记录

  fact ed25519-pkcs8-v1 = accepted
  evidence ed25519-pkcs8-v1: 48-byte PKCS#8 v1 Ed25519 key with from_pkcs8: Ok("ok")

• 后量子算法

  ML-KEMML-DSA

  在未启用 unstable 特性的构建中，ML-KEM-512/768/1024 的封装与解封装、ML-DSA-44/65/87 的签名与验证均成功。

  检查记录

  fact pqc = ML-KEM, ML-DSA
  evidence pqc: ML-KEM-512/768/1024 via aws_lc_rs::kem; ML-DSA-44/65/87 via aws_lc_rs::signature

• 公钥格式

  spki-dersec1-uncompressedsec1-compressed

  通过 ParsedPublicKey 加载 SPKI DER，也支持压缩或未压缩的 SEC1 点。

  检查记录

  fact public-key-formats = spki-der, sec1-uncompressed, sec1-compressed

• 私钥格式

  pkcs8-dersec1-derraw-scalar

  PKCS#8 DER、SEC1（RFC 5915）DER，以及原始标量连同其公钥。

  检查记录

  fact private-key-formats = pkcs8-der, sec1-der, raw-scalar

用法

use aws_lc_rs::kem::{DecapsulationKey, ML_KEM_768};
use aws_lc_rs::signature::{self, KeyPair, PqdsaKeyPair, UnparsedPublicKey};

fn main() {
    // ML-DSA-65 (FIPS 204) through the stable signature API.
    let key = PqdsaKeyPair::generate(&signature::ML_DSA_65_SIGNING).unwrap();
    let message = b"release v2.0 manifest";
    let mut sig = vec![0u8; signature::ML_DSA_65_SIGNING.signature_len()];
    let len = key.sign(message, &mut sig).unwrap();
    let ok = UnparsedPublicKey::new(&signature::ML_DSA_65, key.public_key().as_ref()).verify(message, &sig[..len]);
    println!("ML-DSA-65: public key {} bytes, signature {len} bytes, verified {}", key.public_key().as_ref().len(), ok.is_ok());

    // ML-KEM-768 (FIPS 203): the receiver publishes the encapsulation key.
    let receiver = DecapsulationKey::generate(&ML_KEM_768).unwrap();
    let (ciphertext, sender_secret) = receiver.encapsulation_key().unwrap().encapsulate().unwrap();
    let receiver_secret = receiver.decapsulate(ciphertext.as_ref().into()).unwrap();
    println!("ML-KEM-768: ciphertext {} bytes, shared secrets match {}", ciphertext.as_ref().len(), sender_secret.as_ref() == receiver_secret.as_ref());
}