Curve25519

在密码学中，Curve25519是一种椭圆曲线，被设计用于椭圆曲线迪菲-赫尔曼（ECDH）密钥交换方法，可用作提供256位元的安全金钥。它是不被任何已知专利覆盖的最快ECC曲线之一。^[1][2]

最初的Curve25519草稿将其定义成一个迪菲-赫尔曼（DH）函数。在那之后Daniel J. Bernstein提出Curve25519应被作为底层曲线的名称，而将X25519作为其DH函数的名称。^[3]

数学属性

所用的曲线是y² = x³ + 486662x² + x，蒙哥马利曲线，在由素数2²⁵⁵ − 19定义的素数场的二次扩展上，并且使用基点x = 9。这个基点的阶数是${\displaystyle (2^{252}+27742317777372353535851937790883648493)}$^[4].

该协议使用压缩椭圆点（仅X座标），因此它允许在ECDH中高效地使用Montgomery梯子，仅使用XZ座标。^[5]

Curve25519的构造使其避免了许多潜在的实现缺陷。^[6] 根据设计，它不受定时攻击的影响，并且它接受任何32字节的字符串作为有效的公钥，并且不需要验证。

该曲线在双有理几何上等同于Ed25519签名方案中使用的扭曲Edwards曲线。^[7]

普及

库

• Libgcrypt^[8]
• libssh^[9]
• NaCl^[10]
• GnuTLS^[11]
• mbed TLS (前称 PolarSSL)^[12]
• wolfSSL^[13]
• Botan^[14]
• SChannel^[a][15]
• Libsodium^[16]
• OpenSSL 自版本 1.1.0^[17]
• LibreSSL^[18]
• NaCl for Tcl — 一个对 Tcl 语言的端口^[19]
• NSS 自版本 3.28^[20]
• Monocypher^[21]
• Crypto++

协议

• OMEMO, 一个对XMPP (Jabber)的建议性扩展^[22]
• Secure Shell
• Signal Protocol
• Tox
• Zcash
• TLS

应用

• Conversations Android application^[b]
• Cryptocat^[23][b]
• DNSCrypt^[24]
• DNSCurve
• Dropbear^[9][25]
• Facebook Messenger ^[c][d]
• Gajim via plugin^[26][b]
• GNUnet^[27]
• GnuPG
• Google Allo^[e][d]
• I2P^[28]
• IPFS^[29]
• iOS^[30]
• Monero^[31]
• OpenBSD^[f]
• OpenSSH^[9][g]
• Peerio^[36]
• PuTTY^[37]
• Signal^[d]
• Silent Phone
• SmartFTP^[9]
• SSHJ^[9]
• Threema Instant Messenger^[38]
• TinySSH^[9]
• TinyTERM^[9]
• Tor^[39]
• Viber^[40]
• WhatsApp^[d]
• Wire
• WireGuard

脚注

1. 从Windows 10 (1607)及Windows Server 2016开始使用。
2. Via the OMEMO protocol
3. Only in "secret conversations"
4. Via the Signal Protocol
5. Only in "incognito mode"
6. Used to sign releases and packages^[32][33]
7. Exclusive key exchange in OpenSSH 6.7 when compiled without OpenSSL.^[34][35]

参见

• EdDSA