.NET System.Security.Cryptography

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/dotnet-crypto/run.sh 于2026年10月20日在容器镜像 mcr.microsoft.com/dotnet/sdk:10.0.402-noble 中运行了 .NET System.Security.Cryptography 10.0.13（运行时为 .NET 10.0.13 on Ubuntu 24.04.5 LTS）；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  raw

  SignData 默认返回 64 字节的 IEEE P1363 r‖s；DSASignatureFormat.Rfc3279DerSequence 生成 DER。

  检查记录

  fact ecdsa-signature-encoding = raw
  evidence ecdsa-signature-encoding: SignData default: 64 bytes; with Rfc3279DerSequence: parses as DER True

• ECDSA 的 nonce

  random

  随机 nonce：用 RFC 6979 的密钥对同一条消息签名两次，结果不同。

  检查记录

  fact ecdsa-nonce = random

• 签名时的 low-S

  either

  s 没有经过规范化：64 个签名中出现了 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = either

• 验证时的 high-S

  accepts-high-s

  把 s 替换为 n − s 的签名验证通过。

  检查记录

  fact ecdsa-low-s-verify = accepts-high-s

• 签名调用对哪些内容做哈希

  hashes-message-or-digest

  SignData 会先计算哈希；SignHash 对你自行计算的摘要签名，该签名针对原消息验证通过。

  检查记录

  fact ecdsa-prehash = hashes-message-or-digest

• 格式错误的 ECDSA 签名

  returns-false

  按 P1363 检查的 DER 签名、按 DER 检查的原始签名，以及 3 字节的数据块，都返回 false。

  检查记录

  fact ecdsa-malformed-signature = returns-false
  evidence ecdsa-malformed-signature: DER to the default verifier: false; raw to the DER verifier: false; 3 bytes: false

• ECDSA 曲线

  P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  在 Linux 上，P-256、P-384、P-521、secp256k1 和 brainpoolP256r1/P384r1/P512r1 的签名与验证均成功。

  检查记录

  fact ecdsa-curves = P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  none

  System.Security.Cryptography 中没有 Ed25519 类。

  检查记录

  fact eddsa = none
  evidence eddsa: System.Security.Cryptography.Ed25519 type present: False

• 后量子算法

  none

  在该平台上，MLKem.IsSupported、MLDsa.IsSupported、SlhDsa.IsSupported 以及复合 ML-DSA 的支持情况均为 false。

  检查记录

  fact pqc = none
  evidence pqc: MLKem.IsSupported False, MLDsa.IsSupported False, SlhDsa.IsSupported False, CompositeMLDsa.IsSupported(MLDsa65WithECDsaP256) False

• 平台自带的 OpenSSL

  3.0.13

  在 Linux 上，这些类使用系统的 OpenSSL，这里是 Ubuntu 24.04 自带的 3.0.13，该版本早于 ML-KEM 和 ML-DSA 的加入。

  检查记录

  fact platform-openssl = 3.0.13
  evidence platform-openssl: OpenSSL 3.0.13 30 Jan 2024 (Library: OpenSSL 3.0.13 30 Jan 2024)

• 公钥格式

  spki-pemspki-derraw-xy

  公钥可从 SPKI PEM（ImportFromPem）、SPKI DER 以及 ECParameters 中的原始 X、Y 坐标导入。

  检查记录

  fact public-key-formats = spki-pem, spki-der, raw-xy
  evidence public-key-formats: ImportParameters takes Q.X and Q.Y separately; there is no SEC1 point or JWK import in the BCL

• 私钥格式

  pkcs8-pempkcs8-derencrypted-pkcs8sec1-pemsec1-derraw-scalar

  私钥可从 PKCS#8 PEM 和 DER、加密的 PKCS#8、SEC1 PEM 和 DER，以及 ECParameters 中的原始标量导入。

  检查记录

  fact private-key-formats = pkcs8-pem, pkcs8-der, encrypted-pkcs8, sec1-pem, sec1-der, raw-scalar

用法

using System.Security.Cryptography;
using System.Text;

using var key = ECDsa.Create(ECCurve.NamedCurves.nistP256);
var message = Encoding.UTF8.GetBytes("order #1042 approved");

// .NET signs raw r||s (IEEE P1363) by default; OpenSSL, Java and Go expect DER.
var raw = key.SignData(message, HashAlgorithmName.SHA256);
var der = key.SignData(message, HashAlgorithmName.SHA256, DSASignatureFormat.Rfc3279DerSequence);

// Verifying a DER signature needs the same format argument, or VerifyData returns false.
var ok = key.VerifyData(message, der, HashAlgorithmName.SHA256, DSASignatureFormat.Rfc3279DerSequence);
var wrongFormat = key.VerifyData(message, der, HashAlgorithmName.SHA256);
Console.WriteLine($"raw: {raw.Length} bytes, DER verified: {ok}, DER as raw: {wrongFormat}");
Console.WriteLine(key.ExportSubjectPublicKeyInfoPem().Split('\n')[0]);