EdDSA - EdDSA

EdDSA

Genel
tasarımcılar	Daniel J. Bernstein , Niels Duif, Tanja Lange , Peter Schwabe, Bo-Yin Yang, et al.
İlk yayınlanan	26 Eylül 2011
Detay
yapı	Eliptik eğri şifreleme

Olarak açık anahtar şifrelemesi , Edwards eğrisi dijital imza algoritması ( EdDSA ) a, sayısal imza bir varyantını kullanarak Şema Schnorr imza göre bükülmüş Edwards eğrileri . Güvenlikten ödün vermeden mevcut dijital imza şemalarından daha hızlı olacak şekilde tasarlanmıştır. Daniel J. Bernstein , Niels Duif, Tanja Lange , Peter Schwabe ve Bo-Yin Yang gibi bir ekip tarafından geliştirildi . Referans uygulama olduğu kamuya açık yazılım .

Özet

Aşağıda, tamsayıları ve eğri noktalarını bit dizileri olarak kodlama ayrıntılarını göz ardı ederek EdDSA'nın basitleştirilmiş bir açıklaması yer almaktadır; tüm ayrıntılar belgelerde ve RFC'dedir.

Bir EdDSA imza şeması bir seçimdir:

• ait sonlu alanında tek asal güç üzerinde ;${\displaystyle \mathbb {F} _{q}}$${\görüntüleme stili q}$
• ve eliptik eğri üzerinde kimin grubu arasında -rational noktalarına sahip düzeni , büyük asal ve kofaktör olarak adlandırılır;${\görüntüleme stili E}$${\displaystyle \mathbb {F} _{q}}$${\displaystyle E(\mathbb {F} _{q})}$${\displaystyle \mathbb {F} _{q}}$${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }$${\görüntüleme stili\el }$${\ Displaystyle 2^{c}}$
• temel noktanın emriyle ; ve${\displaystyle B\in E(\mathbb {F} _{q})}$${\görüntüleme stili\el }$
• ve kriptografik hızlı arama fonksiyonu ile -bit çıkışları, elemanları ve böylece de ve destek noktası dizileri ile temsil edilebilir bit.${\görüntüleme stili H}$${\görüntüleme stili 2b}$${\ Displaystyle 2^{b-1}>q}$${\displaystyle \mathbb {F} _{q}}$${\displaystyle E(\mathbb {F} _{q})}$${\görüntüleme stili b}$

Bu parametreler, EdDSA imza şemasının tüm kullanıcıları için ortaktır. EdDSA imza şemasının güvenlik üssü keyfi seçim hariç, parametrelerin seçimler önemli unsurunu oluşturmaktadır noktadan-örneğin, logaritma için Pollard rho algoritması yaklaşık sürmesi bekleniyor böylece, bir ayrık logaritma hesaplamak için önce eğri eklemeler olmalıdır bunun mümkün olmaması için yeterince büyük ve tipik olarak 2 ^{200 '} ü aştığı kabul ediliyor . Seçimi seçimi ile sınırlıdır tarafından beri, Hasse teoremi , farklı olamaz fazla tarafından . Karma işlevi normalde EdDSA'nın güvenliğinin resmi analizlerinde rastgele bir kahin olarak modellenir . HashEdDSA varyantında, ek bir çarpışmaya dayanıklı hash fonksiyonu gereklidir. ${\displaystyle {\sqrt {\ell \pi /4}}}$${\görüntüleme stili\el }$${\görüntüleme stili\el }$${\görüntüleme stili q}$${\displaystyle \#E(\mathbb {F} _{q})=2^{c}\ell }$${\ Displaystyle q+1}$${\displaystyle 2{\sqrt {q}}}$${\görüntüleme stili H}$${\görüntüleme stili H'}$

Bir EdDSA imza şeması içinde,

Genel anahtar

EdDSA ortak anahtarı, bit olarak kodlanmış bir eğri noktasıdır .${\displaystyle A\in E(\mathbb {F} _{q})}$${\görüntüleme stili b}$

İmza

Genel anahtar tarafından iletideki bir EdDSA imzası, bir eğri noktasının ve aşağıdaki doğrulama denklemini sağlayan bir tamsayının bit olarak kodlanmış çiftidir . birleştirmeyi ifade eder .${\görüntüleme stili M}$${\görüntüleme stili A}$${\görüntüleme stili (R,S)}$${\görüntüleme stili 2b}$${\displaystyle R\in E(\mathbb {F} _{q})}$${\displaystyle 0<S<\ell }$${\görüntüleme stili\paralel }$

Özel anahtar

EdDSA özel anahtarı, rasgele bir şekilde seçilmesi gereken bir -bit dizesidir . Karşılık gelen ortak anahtar, küçük endian'da bir tamsayı olarak yorumlanan en az anlamlı bitlerin olduğu yerdir . Bir iletide imza olduğu yerlerde için , ve${\görüntüleme stili b}$${\görüntüleme stili k}$${\görüntüleme stili A=sB}$${\displaystyle s=H_{0,\dots ,b-1}(k)}$${\görüntüleme stili b}$${\görüntüleme stili H(k)}$${\görüntüleme stili M}$${\görüntüleme stili (R,S)}$${\görüntüleme stili R=rB}$${\displaystyle r=H(H_{b,\dots ,2b-1}(k)\paralel M)}$

$${\displaystyle S\equiv r+H(R\parallel A\parallel M)s{\pmod {\ell }}.}$$

Bu, doğrulama denklemini karşılar:

Ed25519

Ed25519 EdDSA imza kullanılarak şemasıdır SHA-512 (SHA-2) ve Curve25519

• ${\görüntüleme stili q=2^{255}-19,}$
• ${\displaystyle E/\mathbb {F} _{q}}$olan bükülmüş Edwards eğrisi

• ${\displaystyle \ell =2^{252}+27742317777372353535851937790883648493}$ ve ${\görüntüleme stili c=3}$
• ${\görüntüleme stili B}$benzersiz bir yer olan koordinat olan ve koordine pozitiftir. "pozitif", bit kodlaması açısından tanımlanır: ${\displaystyle E(\mathbb {F} _{q})}$${\görüntüleme stili y}$${\ Displaystyle 4/5}$${\görüntüleme stili x}$
  
  • "pozitif" koordinatlar çift koordinatlardır (en az anlamlı bit temizlenir)
  • "negatif" koordinatlar tek koordinatlardır (en az anlamlı bit ayarlanır)
• ${\görüntüleme stili H}$olan SHA-512 ile .${\görüntüleme stili b=256}$

Eğrisi olup birationally eşdeğer için Montgomery eğrisi olarak da bilinir Curve25519 . denklik ${\displaystyle E(\mathbb {F} _{q})}$

Verim

Orijinal ekip, x86-64 Nehalem / Westmere işlemci ailesi için Ed25519'u optimize etti . Doğrulama, daha da fazla verim için 64 imzalık gruplar halinde gerçekleştirilebilir. Ed25519, kaliteli 128 bit simetrik şifrelerle karşılaştırılabilir saldırı direnci sağlamayı amaçlamaktadır . Genel anahtarlar 256 bit uzunluğunda ve imzalar 512 bit uzunluğundadır.

Güvenli kodlama

Güvenlik özellikleri olarak, Ed25519, birçok yan kanal saldırısını yenmek için, gizli verilere bağlı olan şube işlemlerini ve dizi indeksleme adımlarını kullanmaz .

Diğer ayrık günlük tabanlı imza şemaları gibi, EdDSA her imza için benzersiz nonce adı verilen gizli bir değer kullanır . DSA ve ECDSA imza şemalarında , bu nonce geleneksel olarak her imza için rastgele oluşturulur ve rasgele sayı üreteci imza yaparken bozulur ve tahmin edilebilir olursa, Sony PlayStation 3 ürün yazılımında olduğu gibi imza özel anahtarı sızdırabilir. imzalama anahtarını güncelleyin. Buna karşılık, EdDSA, özel anahtarın ve mesajın bir bölümünün karma değeri olarak deterministik olmayanı seçer. Böylece, bir özel anahtar üretildikten sonra, EdDSA'nın imza yapmak için bir rasgele sayı üretecine artık ihtiyacı yoktur ve imza yapmak için kullanılan bozuk bir rasgele sayı üretecinin özel anahtarı açığa çıkarma tehlikesi yoktur.

Standardizasyon ve uygulama tutarsızlıkları

Not EdDSA, IETF dan biri, bilgilendirici için iki standardizasyon çalışmaları olduğunu RFC  8032 FIPS 186-5 (2019) bir parçası olarak NIST ve bir. Standartlar arasındaki farklar analiz edilmiştir ve test vektörleri mevcuttur.

Yazılım

Ed25519'un dikkate değer kullanımları arasında OpenSSH , GnuPG ve çeşitli alternatifler ve OpenBSD'nin Signify aracı yer alır . Ed25519'un SSH protokolünde kullanımı standart hale getiriliyor. 2019'da FIPS 186-5 standardının bir taslak versiyonu, onaylanmış bir imza şeması olarak deterministik Ed25519'u içeriyordu.

• SUPERCOP referans uygulaması ( satır içi birleştiricili C dili )
• Yavaş ama özlü bir alternatif uygulama, yan kanal saldırı koruması içermez ( Python )
• NaCl / libsodyum
• CryptoNote kripto para protokolü
• kurtSSL
• I2Pd'nin kendi EdDSA uygulaması vardır
• macOS için Minisign ve Minisign Miscellanea
• Virgil PKI, varsayılan olarak Ed25519 anahtarlarını kullanır
• Elma İzle ve iPhone için Ed25519 tuşlarını kullanarak IKEs2 birbirleriyle kimlik doğrulama
• Botanik
• 2013.61'den beri Dropbear SSH testi
• OpenSSL 1.1.1
• libgcrypt
• Java Geliştirme Kiti 15

Ed448

Ed448 , RFC 8032'de tanımlanan SHA-3 ve Curve448'i kullanan EdDSA imza şemasıdır . FIPS 186-5 standardının taslağında da onaylanmıştır.  

Referanslar

Dış bağlantılar

• Ed25519 ana sayfası