ed25519 ECDH 加密可能且安全？答案

【问题标题】：ed25519 ECDH encryption possible and safe?ed25519 ECDH 加密可能且安全？
【发布时间】：2015-05-01 23:21:48
【问题描述】：

据我所知，每个人都使用curve25519 进行公共/私人加密（ECDH）和ed25519 进行签名（ECDSA）。这会创建双倍大小的键或一些可能不安全的特殊转换技巧：

难道不能对 ECDH 和 ECDSA 都使用曲线 ed25519 并且只有一半的密钥大小吗？

难道不能只对 ECDH 使用曲线 ed25519 吗？

我承认我对ECC的了解非常有限，所以上面的原因可能是出于安全考虑，但在网上很难找到任何提示！

注意：我知道curve25519不能用于签名！

本尼

【问题讨论】：

我对curve25519和ed25519不熟悉，但是为了不同的目的重复使用密钥通常是不行的，因为它可能会泄露可能危及整个系统的信息。至少对于 RSA 加密和签名 1 2 来说是这样。

【解决方案1】：

我认为您找不到比Using same keypair for Diffie-Hellman and signing 链接的论文更好的东西了。

我怀疑，只要您认为 SHA-512（用于 Ed25519 签名）和 HSalsa（用作 KDF 与 NaCl 的基于 Curve25519 的框）是独立的散列函数（我愿意），这种密钥重用就可以了.但是使用具有不同前缀的相同哈希函数可能会更干净。

我听说 Bernstein、Lange 和 Schwabe（NaCl 的作者）正在撰写一篇关于这些问题的论文，但不知道什么时候会发表。

【讨论】：

ECDH 使用曲线 Ed25519 可以吗？
@Beast 我相信它不会导致实际中断，只要您正确使用散列共享的 DH 机密。但是根据哈希值，它可能需要在安全证明中做出一些丑陋的假设。当然，它扩大了攻击面。例如，其中一个程序集实现中的进位错误对签名几乎无害，但在与长期 DH 密钥一起使用时可能允许密钥恢复。