Java JCA (SunEC, JDK 25)

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/java-jca/run.sh 于2026年10月20日在容器镜像 maven:3.9.16-eclipse-temurin-25 中运行了 Java JCA (SunEC, JDK 25) 25.0.4.1（运行时为 Eclipse Adoptium 25.0.4.1+1-LTS）；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  der

  SHA256withECDSA 返回 ASN.1 DER；SHA256withECDSAinP1363Format 返回 64 字节的原始 r‖s。

  检查记录

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: SHA256withECDSAinP1363Format output is 64 bytes

• ECDSA 的 nonce

  random

  nonce 随机：用 RFC 6979 的测试密钥对同一消息签名两次，结果不同。

  检查记录

  fact ecdsa-nonce = random

• 签名时的 low-S

  either

  s 没有经过规范化：64 个签名中出现了 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = either

• 验证时的 high-S

  accepts-high-s

  把 s 替换为 n − s 的 DER 签名验证通过。

  检查记录

  fact ecdsa-low-s-verify = accepts-high-s

• 签名调用对哪些内容做哈希

  hashes-message-or-digest

  SHA256withECDSA 会先对数据计算哈希；NONEwithECDSA 对预先计算好的摘要签名，该签名用 SHA256withECDSA 针对原消息验证通过。

  检查记录

  fact ecdsa-prehash = hashes-message-or-digest

• 哈希与曲线绑定

  none

  算法名称中的哈希与曲线不绑定：SHA256withECDSA 用 P-384 密钥签名和验证均成功。

  检查记录

  fact ecdsa-hash-curve-binding = none

• 格式错误的 ECDSA 签名

  throws

  把原始签名或 3 字节的数据块传给 SHA256withECDSA 时都会抛出 SignatureException；把 DER 签名传给 P1363 变体则返回 false。

  检查记录

  fact ecdsa-malformed-signature = throws
  evidence ecdsa-malformed-signature: raw r||s to SHA256withECDSA: throws SignatureException; DER to the P1363 algorithm: false; 3 bytes: throws SignatureException

• ECDSA 曲线

  P-256P-384P-521

  secp256r1、secp384r1 和 secp521r1；secp224r1、secp256k1 和 brainpoolP256r1 不可用。

  检查记录

  fact ecdsa-curves = P-256, P-384, P-521
  evidence ecdsa-curves: P-224 (secp224r1) not available
  evidence ecdsa-curves: secp256k1 (secp256k1) not available
  evidence ecdsa-curves: brainpoolP256r1 (brainpoolP256r1) not available

• EdDSA

  Ed25519Ed448

  Ed25519 和 Ed448，以这两个名称通过 KeyPairGenerator 和 Signature 使用。

  检查记录

  fact eddsa = Ed25519, Ed448

• 后量子算法

  ML-KEMML-DSA

  通过 javax.crypto.KEM 使用的 ML-KEM-512/768/1024 和通过 Signature 使用的 ML-DSA-44/65/87 均可正常工作；没有 SLH-DSA 的 KeyPairGenerator。

  检查记录

  fact pqc = ML-KEM, ML-DSA
  evidence pqc: SLH-DSA KeyPairGenerator available: false

• 公钥格式

  spki-der

  公钥从 X.509 SPKI DER 加载；getEncoded() 返回同样的格式。

  检查记录

  fact public-key-formats = spki-der
  evidence public-key-formats: getEncoded() of 256-bit key returns X.509 SPKI DER; format X.509

• 私钥格式

  pkcs8-derraw-scalar

  私钥可从 PKCS#8 DER 加载，也可通过 ECPrivateKeySpec 从原始标量加载。

  检查记录

  fact private-key-formats = pkcs8-der, raw-scalar

• PEM API

  preview

  java.security.PEMDecoder 以预览 API 的形式存在（JEP 470），只有加上 --enable-preview 才能解码 PEM 公钥。

  检查记录

  fact pem-api = preview
  evidence pem-api: java.security.PEMDecoder present: true (JEP 470, preview in JDK 25; needs --enable-preview)
  evidence pem-api: PEMDecoder.of().decode(PEM text) with --enable-preview: true

用法

import java.nio.charset.StandardCharsets;
import java.security.KeyPair;
import java.security.KeyPairGenerator;
import java.security.Signature;
import java.security.spec.ECGenParameterSpec;

public class Usage {
    public static void main(String[] args) throws Exception {
        KeyPairGenerator generator = KeyPairGenerator.getInstance("EC");
        generator.initialize(new ECGenParameterSpec("secp256r1"));
        KeyPair pair = generator.generateKeyPair();
        byte[] message = "order #1042 approved".getBytes(StandardCharsets.UTF_8);

        // The algorithm name picks the hash AND the encoding:
        // SHA256withECDSA = DER, SHA256withECDSAinP1363Format = raw r||s (JWS, WebCrypto).
        Signature signer = Signature.getInstance("SHA256withECDSAinP1363Format");
        signer.initSign(pair.getPrivate());
        signer.update(message);
        byte[] raw = signer.sign();

        Signature verifier = Signature.getInstance("SHA256withECDSAinP1363Format");
        verifier.initVerify(pair.getPublic());
        verifier.update(message);
        System.out.println("raw bytes: " + raw.length + ", verified: " + verifier.verify(raw));
    }
}