libsodium

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/libsodium/run.sh 于2026年10月20日在容器镜像 alpine:3.24.2 中运行了 libsodium 1.0.22；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 曲线

  none

  不支持 ECDSA：crypto_sign_PRIMITIVE 为 ed25519，也没有任何头文件声明 ECDSA 函数。

  检查记录

  fact ecdsa-curves = none
  evidence ecdsa-curves: crypto_sign_PRIMITIVE is "ed25519"; the header set declares no ECDSA functions

• EdDSA

  Ed25519Ed25519ph

  通过 crypto_sign_* 支持 Ed25519，通过 crypto_sign_init、_update 和 _final_* 支持 Ed25519ph；普通验证器会拒绝 Ed25519ph 签名。

  检查记录

  fact eddsa = Ed25519, Ed25519ph
  evidence eddsa: crypto_sign_final_verify (Ed25519ph) accepts its signature: yes; the plain verifier rejects it: yes

• 确定性 Ed25519 签名

  yes

  用同一密钥对同一消息生成的两个签名完全相同。

  检查记录

  fact ed25519-deterministic = yes

• Ed25519 私钥布局

  expanded-64

  crypto_sign_SECRETKEYBYTES 为 64：种子后接公钥。

  检查记录

  fact ed25519-private-key = expanded-64
  evidence ed25519-private-key: crypto_sign_SECRETKEYBYTES = 64: the 32-byte seed followed by the 32-byte public key (seed matches: yes)

• S 值非规范的 Ed25519 签名

  rejected

  把 S 替换为 S + L 的签名被拒绝。

  检查记录

  fact ed25519-non-canonical-s = rejected

• Ed25519 小阶公钥

  rejected

  以单位元点作为公钥验证时，签名被拒绝。

  检查记录

  fact ed25519-small-order-key = rejected
  evidence ed25519-small-order-key: the identity point as public key with R = identity, S = 0

• 格式错误的 Ed25519 签名

  rejected

  传入 64 字节的垃圾数据时，crypto_sign_verify_detached 返回 -1。

  检查记录

  fact ed25519-malformed-signature = rejected
  evidence ed25519-malformed-signature: 64 bytes of 0xab: crypto_sign_verify_detached returned -1; the function takes no length and reads exactly crypto_sign_BYTES = 64 bytes

• 签名模式

  detachedcombined

  分离签名（64 字节）和组合式签名消息（签名附加在消息之前）都可使用。

  检查记录

  fact signature-modes = detached, combined
  evidence signature-modes: crypto_sign prepends the 64-byte signature to the message: 82 bytes for a 18-byte message

• 后量子算法

  ML-KEMX-Wing

  ML-KEM-768（crypto_kem_mlkem768_*）和 X-Wing（crypto_kem_xwing_*，通用 crypto_kem_* 的默认方案）的封装与解封装均成功；不支持后量子签名。

  检查记录

  fact pqc = ML-KEM, X-Wing
  evidence pqc: crypto_kem_mlkem768: public key 1184 bytes, ciphertext 1088 bytes
  evidence pqc: crypto_kem_xwing: public key 1216 bytes, ciphertext 1120 bytes; generic crypto_kem_primitive() is "xwing"

• 公钥格式

  raw-32

  公钥是 32 字节的原始数据；不支持 PEM、DER 或 JWK。

  检查记录

  fact public-key-formats = raw-32

• 私钥格式

  seed-32expanded-64

  密钥由 32 字节的种子派生（crypto_sign_seed_keypair），以 64 字节存储；crypto_sign_ed25519_sk_to_seed 可取回种子。

  检查记录

  fact private-key-formats = seed-32, expanded-64
  evidence private-key-formats: crypto_sign_seed_keypair reproduces the key from the seed: yes; crypto_sign_ed25519_sk_to_seed recovers it: yes

用法

#include <sodium.h>
#include <stdio.h>
#include <string.h>

int main(void) {
    if (sodium_init() < 0) return 1;
    const unsigned char msg[] = "order #1042 approved";
    unsigned char pk[crypto_sign_PUBLICKEYBYTES], sk[crypto_sign_SECRETKEYBYTES];
    unsigned char sig[crypto_sign_BYTES], seed[32];

    crypto_sign_keypair(pk, sk);
    /* Other libraries store the 32-byte seed; libsodium's secret key is seed || public key. */
    crypto_sign_ed25519_sk_to_seed(seed, sk);

    /* Detached signature: 64 bytes, deterministic per RFC 8032. */
    crypto_sign_detached(sig, NULL, msg, sizeof msg - 1, sk);
    int ok = crypto_sign_verify_detached(sig, msg, sizeof msg - 1, pk) == 0;

    printf("secret key %d bytes, seed %zu bytes, signature %d bytes, verified: %d\n",
           crypto_sign_SECRETKEYBYTES, sizeof seed, crypto_sign_BYTES, ok);
    return 0;
}