Ed25519.

Ed25519 — наиболее широко распространённая реализация алгоритма подписи на кривых Эдвардса (EdDSA), описанная в RFC 8032. Она использует скрученную кривую Эдвардса edwards25519 (бирационально эквивалентную Curve25519) над простым полем 2²⁵⁵ − 19, давая 32-байтовые открытые ключи и 64-байтовые подписи при примерно 128 битах безопасности. Подпись детерминирована: нонс для каждой подписи выводится из закрытого ключа и сообщения через SHA-512, что исключает катастрофический сбой повторного использования нонса, сломавший подпись кода Sony PlayStation 3 и Android-кошельки Bitcoin, повторно применявшие k из ECDSA.

В феврале 2023 года NIST добавил EdDSA (Ed25519 и Ed448) в FIPS 186-5, завершив долгий период, когда схема была повсеместной на практике, но не одобрена FIPS, — разрыв, из-за которого её не пускали в некоторые регулируемые среды. Сегодня Ed25519 — значение по умолчанию в OpenSSH, WireGuard, GnuPG, TLS 1.3, Signal и современных системах подписи кода.

Тонкий подводный камень — семантика проверки. Поскольку кофактор кривой равен 8, реализации расходятся в том, принимать ли точки малого порядка и выполняется ли проверка с кофактором, так что подпись, принятую одной библиотекой, другая может отвергнуть, а некоторые допускают податливые (malleable) варианты. Статья 2020 года «Taming the Many EdDSA» (Chalkias, Garillot, Nikolaenko) каталогизировала эти расхождения, важные для систем консенсуса вроде блокчейнов (Solana, Cardano), где каждый валидатор должен совпадать бит в бит. RFC 8032 рекомендует более строгие проверки; библиотеки вроде libsodium применяют их по умолчанию.

flowchart TD
  SK["Закрытое зерно"] -->|SHA-512| H["Хэш h0..h63"]
  H --> A["Скаляр a, открытый ключ A = a*B"]
  H --> PR["Байты префикса"]
  PR --> R["r = SHA-512(префикс, M)"]
  R --> RP["R = r*B"]
  RP --> S["S = r + SHA-512(R, A, M)*a"]
  S --> SIG["Подпись = R, S<br/>64 байта, детерминированная"]
  SIG --> V{"Проверка:<br/>8*S*B == 8*R + 8*h*A ?"}
  A --> V
  V -->|да| OK["Верна"]
  V -->|нет| BAD["Отклонить"]