Bouncy Castle for .NET (BouncyCastle.Cryptography)

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/bouncy-castle-csharp/run.sh 于2026年10月20日在容器镜像 mcr.microsoft.com/dotnet/sdk:10.0.402-noble 中运行了 Bouncy Castle for .NET (BouncyCastle.Cryptography) 2.7.0；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  der

  SHA-256withECDSA 返回 DER；SHA-256withPLAIN-ECDSA 返回 64 字节的原始 r‖s。

  检查记录

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: SHA-256withPLAIN-ECDSA output: 64 bytes

• ECDSA 的 nonce

  rfc6979-opt-in

  通过 SignerUtilities 时是随机的；ECDsaSigner 搭配 HMacDsaKCalculator 复现了 RFC 6979 附录 A.2.5。

  检查记录

  fact ecdsa-nonce = rfc6979-opt-in
  evidence ecdsa-nonce: SHA-256withECDSA repeats: False; ECDsaSigner with HMacDsaKCalculator reproduces RFC 6979 A.2.5: True

• 签名时的 low-S

  either

  s 没有经过规范化：64 个签名中出现了 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = either

• 验证时的 high-S

  accepts-high-s

  把 s 替换为 n − s 的 DER 签名验证通过。

  检查记录

  fact ecdsa-low-s-verify = accepts-high-s

• 签名调用对哪些内容做哈希

  hashes-message-or-digest

  SHA-256withECDSA 会先计算哈希；NONEwithECDSA 对摘要签名，该签名针对原消息验证通过。

  检查记录

  fact ecdsa-prehash = hashes-message-or-digest

• 格式错误的 ECDSA 签名

  returns-false

  传给 SHA-256withECDSA 的原始 r‖s 签名和 3 字节的数据块都返回 false。

  检查记录

  fact ecdsa-malformed-signature = returns-false
  evidence ecdsa-malformed-signature: raw r||s to SHA-256withECDSA: false; 3 bytes: false

• ECDSA 曲线

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  P-224、P-256、P-384、P-521、secp256k1 和 brainpoolP256r1/P384r1/P512r1 的签名与验证均成功。

  检查记录

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Ed25519 和 Ed448。

  检查记录

  fact eddsa = Ed25519, Ed448

• 后量子算法

  ML-KEMML-DSASLH-DSA

  在托管代码中，ML-KEM-768 的封装与解封装、ML-DSA-65 和 SLH-DSA-SHA2-128f 的签名与验证均成功。

  检查记录

  fact pqc = ML-KEM, ML-DSA, SLH-DSA

• 公钥格式

  spki-pemspki-der

  通过 PemReader 读取 SPKI PEM，通过 PublicKeyFactory 读取 SPKI DER。

  检查记录

  fact public-key-formats = spki-pem, spki-der
  evidence public-key-formats: PublicKeyFactory.CreateKey(SPKI DER) verifies: True

• 私钥格式

  pkcs8-dersec1-pem

  PemWriter 写出、PemReader 读取 SEC1 PEM；PKCS#8 DER 通过 PrivateKeyFactory 加载。

  检查记录

  fact private-key-formats = pkcs8-der, sec1-pem
  evidence private-key-formats: PemWriter writes -----BEGIN EC PRIVATE KEY-----; PemReader returns AsymmetricCipherKeyPair; PKCS#8 DER round trip signs: True

用法

using System.Text;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Parameters;
using Org.BouncyCastle.Security;

var message = Encoding.UTF8.GetBytes("order #1042 approved");

// Ed25519, which the .NET base class library does not offer.
var generator = new Ed25519KeyPairGenerator();
generator.Init(new Ed25519KeyGenerationParameters(new SecureRandom()));
var pair = generator.GenerateKeyPair();

var signer = SignerUtilities.GetSigner("Ed25519");
signer.Init(true, pair.Private);
signer.BlockUpdate(message, 0, message.Length);
var signature = signer.GenerateSignature();

var verifier = SignerUtilities.GetSigner("Ed25519");
verifier.Init(false, pair.Public);
verifier.BlockUpdate(message, 0, message.Length);
Console.WriteLine($"signature: {signature.Length} bytes, verified: {verifier.VerifySignature(signature)}");