Bouncy Castle (Java)

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/bouncy-castle-java/run.sh 于2026年10月20日在容器镜像 maven:3.9.16-eclipse-temurin-25 中运行了 Bouncy Castle (Java) 1.86；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  der

  SHA256withECDSA 返回 DER；SHA256withPLAIN-ECDSA 返回 64 字节的原始 r‖s。

  检查记录

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: SHA256withPLAIN-ECDSA output is 64 bytes, parses as DER: false

• ECDSA 的 nonce

  rfc6979-opt-in

  默认是随机的；SHA256withECDDSA 对相同输入给出相同的签名，ECDSASigner 搭配 HMacDSAKCalculator 复现了 RFC 6979 附录 A.2.5。

  检查记录

  fact ecdsa-nonce = rfc6979-opt-in
  evidence ecdsa-nonce: SHA256withECDSA repeats: false; ECDSASigner with HMacDSAKCalculator reproduces RFC 6979 A.2.5: true; SHA256withECDDSA repeats: true

• 签名时的 low-S

  either

  s 没有经过规范化：64 个签名中出现了 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = either

• 验证时的 high-S

  accepts-high-s

  把 s 替换为 n − s 的 DER 签名验证通过。

  检查记录

  fact ecdsa-low-s-verify = accepts-high-s

• 签名调用对哪些内容做哈希

  hashes-message-or-digest

  SHA256withECDSA 会先计算哈希；NONEwithECDSA 对摘要签名，该签名针对原消息验证通过。

  检查记录

  fact ecdsa-prehash = hashes-message-or-digest

• 格式错误的 ECDSA 签名

  throws

  原始 r‖s 签名和 3 字节的数据块传给 SHA256withECDSA 时，都会抛出 SignatureException。

  检查记录

  fact ecdsa-malformed-signature = throws
  evidence ecdsa-malformed-signature: raw r||s to SHA256withECDSA: throws SignatureException; 3 bytes: throws SignatureException

• ECDSA 曲线

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  P-224、P-256、P-384、P-521、secp256k1 和 brainpoolP256r1/P384r1/P512r1 的签名与验证均成功。

  检查记录

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Ed25519 和 Ed448。

  检查记录

  fact eddsa = Ed25519, Ed448

• 后量子算法

  ML-KEMML-DSASLH-DSAFalconLMSXMSS

  BC 提供程序中的 ML-KEM（通过 javax.crypto.KEM）、ML-DSA、SLH-DSA 和 LMS，以及 BCPQC 中的 Falcon 和 XMSS，在检查中均完成了往返测试。

  检查记录

  fact pqc = ML-KEM, ML-DSA, SLH-DSA, Falcon, LMS, XMSS

• 公钥格式

  spki-pemspki-der

  公钥可通过 PEMParser 从 SPKI PEM 读取，也可从 SPKI DER 读取。

  检查记录

  fact public-key-formats = spki-pem, spki-der

• 私钥格式

  pkcs8-dersec1-pem

  JcaPEMWriter 把 EC 私钥写成 SEC1 PEM（EC PRIVATE KEY），PEMParser 将其读取为 PEMKeyPair；PKCS#8 DER 通过 JCA 加载。

  检查记录

  fact private-key-formats = pkcs8-der, sec1-pem
  evidence private-key-formats: JcaPEMWriter writes an EC private key as -----BEGIN EC PRIVATE KEY-----; PEMParser returns PEMKeyPair

用法

import java.nio.charset.StandardCharsets;
import java.security.KeyPair;
import java.security.KeyPairGenerator;
import java.security.Security;
import java.security.Signature;
import java.security.spec.ECGenParameterSpec;
import org.bouncycastle.jce.provider.BouncyCastleProvider;

public class Usage {
    public static void main(String[] args) throws Exception {
        Security.addProvider(new BouncyCastleProvider());
        // secp256k1 is not in the JDK's SunEC; it is in BC.
        KeyPairGenerator generator = KeyPairGenerator.getInstance("EC", "BC");
        generator.initialize(new ECGenParameterSpec("secp256k1"));
        KeyPair pair = generator.generateKeyPair();
        byte[] message = "order #1042 approved".getBytes(StandardCharsets.UTF_8);

        // ECDDSA = deterministic ECDSA (RFC 6979); PLAIN-ECDSA = raw r||s instead of DER.
        Signature signer = Signature.getInstance("SHA256withECDDSA", "BC");
        signer.initSign(pair.getPrivate());
        signer.update(message);
        byte[] der = signer.sign();

        Signature verifier = Signature.getInstance("SHA256withECDSA", "BC");
        verifier.initVerify(pair.getPublic());
        verifier.update(message);
        System.out.println("verified: " + verifier.verify(der) + ", DER starts with 0x" + Integer.toHexString(der[0] & 0xff));
    }
}