Ed25519.

O Ed25519 é a instância mais implantada do algoritmo de assinatura sobre curvas de Edwards (EdDSA), especificada no RFC 8032. Usa a curva twisted Edwards edwards25519 (biracionalmente equivalente à Curve25519) sobre o corpo primo 2²⁵⁵ − 19, com chaves públicas de 32 bytes e assinaturas de 64 bytes e cerca de 128 bits de segurança. A assinatura é determinista: o nonce por assinatura é derivado da chave privada e da mensagem via SHA-512, eliminando a falha catastrófica de reutilização de nonce que quebrou a assinatura de código da PlayStation 3 da Sony e as carteiras Bitcoin Android que reutilizavam o k do ECDSA.

Em fevereiro de 2023, o NIST adicionou o EdDSA (Ed25519 e Ed448) ao FIPS 186-5, encerrando um longo período em que o esquema era ubíquo na prática mas não aprovado pela FIPS — uma lacuna que o mantinha fora de certas implantações reguladas. Hoje o Ed25519 é o padrão em OpenSSH, WireGuard, GnuPG, TLS 1.3, Signal e sistemas modernos de assinatura de código.

Uma subtileza está na semântica de verificação. Como a curva tem cofator 8, as implementações divergem sobre aceitar pontos de ordem pequena e se a verificação é cofatorizada — uma assinatura que uma biblioteca aceita, outra pode rejeitar, e algumas permitem variantes maleáveis. O artigo de 2020 "Taming the Many EdDSA" (Chalkias, Garillot, Nikolaenko) catalogou estas divergências, que importam em sistemas de consenso como as blockchains (Solana, Cardano), onde cada validador tem de concordar bit a bit. O RFC 8032 recomenda as verificações mais estritas; bibliotecas como a libsodium aplicam-nas por omissão.

flowchart TD
  SK["Semente privada"] -->|SHA-512| H["Hash h0..h63"]
  H --> A["Escalar a, chave publica A = a*B"]
  H --> PR["Bytes de prefixo"]
  PR --> R["r = SHA-512(prefixo, M)"]
  R --> RP["R = r*B"]
  RP --> S["S = r + SHA-512(R, A, M)*a"]
  S --> SIG["Assinatura = R, S<br/>64 bytes, determinista"]
  SIG --> V{"Verificar:<br/>8*S*B == 8*R + 8*h*A ?"}
  A --> V
  V -->|sim| OK["Valida"]
  V -->|nao| BAD["Rejeitar"]