Ver el código de «EdDSA»

En [[Criptografía asimétrica|criptografía de clave pública]], el '''algoritmo de firma digital de curva de Edwards''' ('''EdDSA''') es un esquema de [[firma digital]] que utiliza una variante de la [[firma de Schnorr]] basada en [[curvas de Edwards torcidas]]. Está diseñado para ser más rápido que los esquemas de firma digital existentes sin sacrificar la seguridad. Fue desarrollado por un equipo que incluía a [[Daniel J. Bernstein]], Niels Duif, Tanja Lange, Peter Schwabe y Bo-Yin Yang.<ref name="DJB"/> La [[implementación de referencia]] es el software de dominio público.<ref>{{Cita web|url=https://ed25519.cr.yp.to/software.html|título=Software|fechaacceso=2016-10-07|fecha=2015-06-11|cita=The Ed25519 software is in the public domain.}}</ref>

== Resumen ==
La siguiente es una descripción simplificada de EdDSA, ignorando los detalles de codificación de números enteros y puntos de curva como cadenas de bits; los detalles completos están en los documentos y RFC.<ref name="DJB"/>

Un '''esquema de firma EdDSA''' es una elección:

* de [[Cuerpo finito|campo finito]] <math>\mathbb{F}_q</math> sobre potencia prima impar <math>q</math>;
* de [[Criptografía de curva elíptica|curva elíptica]] <math>E</math> sobre <math>\mathbb{F}_q</math> cuyo grupo <math>E(\mathbb{F}_q)</math> de -los puntos racionales tienen orden <math>\#E(\mathbb{F}_q) = 2^c \ell</math>, dónde <math>\ell</math> es un primo grande y <math>2^c</math> se llama el cofactor;
* de punto base <math>B \in E(\mathbb{F}_q)</math> Con orden <math>\ell</math>; y
* de la [[función hash criptográfica]] <math>H</math> con salidas de <math>2b</math> bits, donde <math>2^{b - 1} > q</math> para que elementos de <math>\mathbb{F}_q</math> y puntos de curva en <math>E(\mathbb{F}_q)</math> pueda ser representado por cadenas de <math>b</math> bits

Estos parámetros son comunes a todos los usuarios del esquema de firma EdDSA. La seguridad del esquema de firma EdDSA depende de manera crítica de las elecciones de parámetros, excepto por la elección arbitraria del punto base; por ejemplo, se espera que el [[Algoritmo rho de Pollard (logaritmos discretos)|algoritmo rho de Pollard para logaritmos]] tome aproximadamente <math>\sqrt{\ell\pi/4}</math> adiciones de curvas antes de que pueda calcular un logaritmo discreto, por lo que <math>\ell</math> debe ser lo suficientemente grande para que esto no sea factible y, por lo general, se considera que supera los {{Math|2<sup>200</sup>}}.<ref>{{Cita web|url=https://safecurves.cr.yp.to/rho.html|título=ECDLP Security: Rho|fechaacceso=2016-11-16|autor=Daniel J. Bernstein|serie=SafeCurves: choosing safe curves for elliptic-curve cryptography}}</ref> La elección de <math>\ell</math> está limitada por la elección de <math>q</math>, ya que por el [[teorema de Hasse]], <math>\#E(\mathbb{F}_q) = 2^c \ell</math> no puede diferir de <math>q + 1</math> por más de <math>2\sqrt{q}</math> . la función hash <math>H</math> normalmente se modela como un [[Modelo de oráculo aleatorio|oráculo aleatorio]] en los análisis formales de la seguridad de EdDSA. En la variante HashEdDSA, una función hash adicional [[Resistencia a colisiones|resistente a colisiones]] <math>H'</math> se necesita

Dentro de un esquema de firma EdDSA,

; Clave pública
: Una [[clave pública]] EdDSA es un punto de curva <math>A \in E(\mathbb{F}_q)</math>, codificado en <math>b</math> bits
; Firma
: Una firma EdDSA en un mensaje <math>M</math> por clave pública <math>A</math> es el par <math>(R, S)</math>, codificado en <math>2b</math> bits, de un punto de curva <math>R \in E(\mathbb{F}_q)</math> y un entero <math>0 < S < \ell</math> satisfaciendo la siguiente ecuación de verificación. <math>\parallel</math> denota [[concatenación]].
<math display="block">2^c S B = 2^c R + 2^c H(R \parallel A \parallel M) A</math>

; Clave privada
: Una [[Criptografía asimétrica|clave privada]] EdDSA es una cadena de <math>b</math> bits <math>k</math> que debe elegirse uniformemente al azar. La clave pública correspondiente es <math>A = s B</math>, donde <math>s = H_{0,\dots,b - 1}(k)</math> es el menos significativo <math>b</math> pedazos de <math>H(k)</math> interpretado como un [[número entero]] en little-endian. La firma en un mensaje <math>M</math> es <math>(R, S)</math> dónde <math>R = r B</math> por <math>r = H(H_{b,\dots,2b - 1}(k) \parallel M)</math>, y<math display="block">S \equiv r + H(R \parallel A \parallel M) s \pmod \ell.</math>
<math display="block">
{\displaystyle {\begin{aligned}2^{c}SB&=2^{c}(r+H(R\parallel A\parallel M)s)B\\&=2^{c}rB+2^{c}H(R\parallel A\parallel M)sB\\&=2^{c}R+2^{c}H(R\parallel A\parallel M)A.\end{aligned}}}
</math>

== Ed25519 ==
'''Ed25519''' es el esquema de firma EdDSA que utiliza [[SHA-2|SHA-512]] (SHA-2) y [[Curve25519]]<ref name="DJB">{{Cita publicación|url=https://ed25519.cr.yp.to/ed25519-20110926.pdf|título=High-speed high-security signatures|apellidos=Bernstein|nombre=Daniel J.|enlaceautor=Daniel J. Bernstein|apellidos2=Duif|nombre2=Niels|publicación=Journal of Cryptographic Engineering|volumen=2|número=2|páginas=77–89|doi=10.1007/s13389-012-0027-1|apellidos3=Lange|nombre3=Tanja|apellidos4=Schwabe|nombre4=Peter|apellidos5=Bo-Yin Yang|año=2012}}</ref> donde

* <math>q = 2^{255} - 19,</math>
* <math>E/\mathbb{F}_q</math> es la curva torcida de Edwards
<math display="block">{\displaystyle -x^{2}+y^{2}=1-{\frac {121665}{121666}}x^{2}y^{2},}</math>

* <math>\ell = 2^{252} + 27742317777372353535851937790883648493</math> y <math>c = 3</math>
* <math>B</math> es el único punto en <math>E(\mathbb{F}_q)</math> cuyo <math>y</math> coordenada es <math>4/5</math> y de quien <math>x</math> coordenada es positiva. "positivo" se define en términos de codificación de bits:
** Las coordenadas "positivas" son coordenadas pares (se borra el bit menos significativo)
** Las coordenadas "negativas" son coordenadas impares (se establece el bit menos significativo)
* <math>H</math> es [[SHA-2|SHA-512]], con <math>b = 256</math> .

La curva <math>E(\mathbb{F}_q)</math> es biracionalmente equivalente a la curva de Montgomery conocida como [[Curve25519]]. La equivalencia es<ref name="DJB"/><ref>{{Cita publicación|url=https://link.springer.com/chapter/10.1007/978-3-540-76900-2_3|título=Faster Addition and Doubling on Elliptic Curves|apellidos=Bernstein|nombre=Daniel J.|apellidos2=Lange|nombre2=Tanja|fecha=2007|publicación=Advances in Cryptology – ASIACRYPT 2007|editorial=Springer|volumen=4833|páginas=29–50|fechaacceso=2022-12-30|apellidos-editor=Kurosawa|nombre-editor=Kaoru|idioma=en|doi=10.1007/978-3-540-76900-2_3|isbn=978-3-540-76900-2}}</ref><math display="block">
{\displaystyle x={\frac {u}{v}}{\sqrt {-486664}},\quad y={\frac {u-1}{u+1}}.}
</math>

=== Rendimiento ===
El equipo original ha optimizado Ed25519 para la familia de procesadores [[x86-64]] [[Intel Nehalem|Nehalem]]/[[Westmere]] . La verificación se puede realizar en lotes de 64 firmas para un rendimiento aún mayor. Ed25519 está destinado a proporcionar una resistencia a los ataques comparable a los [[Criptografía simétrica|cifrados simétricos]] de 128 bits.<ref>{{Cita web|url=https://ed25519.cr.yp.to/|título=Ed25519: high-speed high-security signatures|fechaacceso=2019-09-27|autor=Daniel J. Bernstein|fecha=2017-01-22|cita=This system has a 2^128 security target; breaking it has similar difficulty to breaking NIST P-256, RSA with ~3000-bit keys, strong 128-bit block ciphers, etc.}}</ref> Las claves públicas tienen una longitud de 256 bits y las firmas tienen una longitud de 512 bits.<ref>{{Cita web|url=https://ed25519.cr.yp.to/|título=Ed25519: high-speed high-security signatures|fechaacceso=2020-06-01|autor=Daniel J. Bernstein|fecha=2017-01-22|cita=Signatures fit into 64 bytes. […] Public keys consume only 32 bytes.}}</ref>

=== Codificación segura ===
Como características de seguridad, Ed25519 no utiliza operaciones de rama ni pasos de indexación de matriz que dependan de datos secretos, a fin de derrotar muchos [[Ataque de canal lateral|ataques de canal lateral]].

Al igual que otros esquemas de firma basados en registros discretos, EdDSA utiliza un valor secreto llamado [[nonce]] único para cada firma. En los esquemas de firma [[DSA]] y [[ECDSA]], este nonce se genera tradicionalmente de forma aleatoria para cada firma, y si el generador de números aleatorios alguna vez se rompe y es predecible al realizar una firma, la firma puede filtrar la clave privada, como sucedió con el firmware [[PlayStation 3|de Sony PlayStation 3.]] actualizar la clave de firma.<ref>{{Cita noticia|apellidos=Johnston|nombre=Casey|título=PS3 hacked through poor cryptography implementation|periódico=Ars Technica|fecha=2010-12-30|url=https://arstechnica.com/gaming/2010/12/ps3-hacked-through-poor-implementation-of-cryptography/|fechaacceso=2016-11-15}}</ref><ref>{{Cita conferencia|autor=fail0verflow|conferencia=[[Chaos Communication Congress]]|fecha=2010-12-29|fechaarchivo=https://web.archive.org/web/20181026183945/https://events.ccc.de/congress/2010/Fahrplan/attachments/1780_27c3_console_hacking_2010.pdf}}</ref><ref>{{Cita web|url=https://www.cs.cmu.edu/~dst/GeoHot/1780_27c3_console_hacking_2010.pdf|título=27th Chaos Communication Congress: Console Hacking 2010: PS3 Epic Fail|fechaacceso=2019-08-04}}</ref> Por el contrario, EdDSA elige el nonce de manera determinista como el hash de una parte de la clave privada y el mensaje. Por lo tanto, una vez que se genera una clave privada, EdDSA ya no necesita un generador de números aleatorios para hacer firmas, y no hay peligro de que un generador de números aleatorios roto que se usa para hacer una firma revele la clave privada.

=== Inconsistencias de estandarización e implementación ===
Tenga en cuenta que hay dos esfuerzos de estandarización para EdDSA, uno de IETF informativo, y uno de NIST como parte de FIPS 186-5 (2019).<ref name="FIPS 186-5">{{Cita web|url=https://csrc.nist.gov/publications/detail/fips/186/5/draft|título=FIPS 186-5 (Draft): Digital Signature Standard (DSS)|fechaacceso=2022-07-11|fecha=October 2019|editorial=[[NIST]]|doi=10.6028/NIST.FIPS.186-5-draft}}</ref> Se han analizado las diferencias entre los estándares,<ref>{{Cita conferencia|autor=Konstantinos Chalkias, Francois Garillot and Valeria Nikolaenko|conferencia=Security Standardisation Research Conference (SSR 2020)|fecha=2020-10-01}}</ref><ref>{{Cita conferencia|autor=Jacqueline Brendel, Cas Cremers, Dennis Jackson, and Mang Zhao|conferencia=IEEE Symposium on Security and Privacy (S&P 2021)|fecha=2020-07-03}}
</ref> y los vectores de prueba están disponibles.<ref>{{Cita web|url=https://github.com/novifinancial/ed25519-speccheck|título=ed25519-speccheck|fechaacceso=2021-02-15}}</ref>

=== Software ===
Los usos notables de Ed25519 incluyen [[OpenSSH]],<ref>{{Cita web|url=http://www.openssh.com/txt/release-6.5|título=Changes since OpenSSH 6.4|fechaacceso=2016-10-07|fecha=2014-01-03}}</ref> [[GNU Privacy Guard|GnuPG]]<ref>{{Cita web|url=https://gnupg.org/faq/whats-new-in-2.1.html|título=What's new in GnuPG 2.1|fechaacceso=2016-10-07|fecha=2016-07-14}}</ref> y varias alternativas, y la herramienta signify de [[OpenBSD]].<ref>{{Cita web|url=https://ianix.com/pub/ed25519-deployment.html|título=Things that use Ed25519|fechaacceso=2016-10-07|fecha=2016-10-06}}</ref> Se ha estandarizado el uso de Ed25519 (y Ed448) en el protocolo SSH. En 2019, una versión preliminar del estándar [[Federal Information Processing Standard|FIPS]] 186-5 incluía el Ed25519 determinista como esquema de firma aprobado.<ref name="FIPS 186-5"/>

* Implementación de referencia SUPERCOP<ref>{{Cita web|url=https://bench.cr.yp.to/supercop.html|título=eBACS: ECRYPT Benchmarking of Cryptographic Systems: SUPERCOP|fechaacceso=2016-10-07|fecha=2016-09-10}}</ref> ([[C (lenguaje de programación)|lenguaje C]] con [[Lenguaje ensamblador|ensamblador]] lineal)
* Una implementación alternativa en [[Python]], lenta pero concisa,<ref>{{Cita web|url=https://ed25519.cr.yp.to/python/ed25519.py|título=python/ed25519.py: the main subroutines|fechaacceso=2016-10-07|fecha=2011-07-06}}</ref> no incluye protección [[Ataque de canal lateral|contra ataques de canal lateral]]<ref>{{Cita web|url=https://ed25519.cr.yp.to/software.html|título=Software: Alternate implementations|fechaacceso=2016-10-07|fecha=2015-06-11}}</ref>
* [[NaCl|NaCl/libsodium]]<ref>{{Cita web|url=https://github.com/jedisct1/libsodium/blob/a162c09b69075c467dfa985cd605a80955512c48/ChangeLog|título=libsodium/ChangeLog|fechaacceso=2016-10-07|autor=Frank Denis|fecha=2016-06-29}}</ref>
* [[Protocolo criptográfico|Protocolo]] de [[criptomoneda]]s [[CryptoNote]]
* [[WolfSSL|loboSSL]]<ref>{{Cita web|url=https://www.wolfssl.com/wolfSSL/Products-wolfssl.html|título=wolfSSL Embedded SSL Library (formerly CyaSSL)|fechaacceso=2016-10-07}}</ref>
* I2Pd tiene su propia implementación de EdDSA<ref>{{Cita publicación|url=http://algorithms.samsu.ru/-tom2-nom4.pdf|título=Heuristic Algorithms and Distributed Computing|fecha=2015|publicación=Èvrističeskie Algoritmy I Raspredelennye Vyčisleniâ|páginas=55–56|fechaacceso=2016-10-07|idioma=ru|issn=2311-8563|urlarchivo=https://web.archive.org/web/20161020120014/http://algorithms.samsu.ru/-tom2-nom4.pdf|fechaarchivo=2016-10-20}}</ref>
* Minisign<ref>{{Cita web|url=https://jedisct1.github.io/minisign|título=Minisign: A dead simple tool to sign files and verify signatures.|fechaacceso=2016-10-07|autor=Frank Denis}}
</ref> y Minisign Miscellanea<ref>{{GitHub|JayBrown/minisign-misc}}</ref> para [[macOS]]
* Virgil PKI usa claves Ed25519 por defecto<ref>{{Cita web|url=https://github.com/VirgilSecurity/virgil-crypto-c#library-foundation|título=Virgil Security Crypto Library for C: Library: Foundation|fechaacceso=2019-08-04}}</ref>
* [[Apple Watch]] y [[iPhone]] usan claves Ed25519 para [[autenticación]] mutua [[Internet key exchange|IKEv2]]<ref>{{Cita web|url=https://support.apple.com/guide/security/system-security-for-watchos-secc7d85209d/|título=System security for watchOS|fechaacceso=2021-06-07}}</ref>
* Botan
* Dropbear SSH desde 2013.61test<ref>{{Cita web|url=https://secure.ucc.asn.au/hg/dropbear/rev/DROPBEAR_2013.61test|título=DROPBEAR_2013.61test|autor=Matt Johnston|fecha=2013-11-14|fechaacceso=19 de octubre de 2022|fechaarchivo=5 de agosto de 2019|urlarchivo=https://web.archive.org/web/20190805012812/https://secure.ucc.asn.au/hg/dropbear/rev/DROPBEAR_2013.61test|deadurl=yes}}</ref>
* [[OpenSSL]] 1.1.1<ref>{{Cita web|url=https://www.openssl.org/news/cl111.txt|título=OpenSSL CHANGES|fecha=2019-07-31|fechaacceso=19 de octubre de 2022|fechaarchivo=18 de mayo de 2018|urlarchivo=https://web.archive.org/web/20180518200747/https://www.openssl.org/news/cl111.txt|deadurl=yes}}</ref>
* Libgcrypt
* [[Java Development Kit|Kit de desarrollo de Java]] 15
* [[Cardano (plataforma de cadena de bloques)|Cardano]]

== Ed448 ==
'''Ed448''' es el esquema de firma EdDSA que utiliza [[SHA-3|SHAKE256]] y [[Curva448|Curve448]] definido en la {{IETF RFC|8032}}. También ha sido aprobado en el borrador del estándar FIPS 186-5.<ref name="FIPS 186-5"/>

== Referencias ==
{{Listaref}}

{{Control de autoridades}}
[[Categoría:Sistemas de firma digital]]
[[Categoría:Criptografía de curva elíptica]]