カーブ25519

暗号学において、Curve25519は楕円曲線暗号（ECC）で使用される楕円曲線であり、128ビットのセキュリティ（256ビットのキーサイズ）を提供し、楕円曲線Diffie-Hellman （ECDH）鍵共有スキームで使用するように設計されています。これはECCで最も高速な曲線の1つであり、既知の特許で保護されていません。^[1]参照実装はパブリックドメインソフトウェアです。^{[2] [3]}

オリジナルのCurve25519論文では、これをDiffie-Hellman（DH）関数として定義しました。Daniel J. Bernsteinは、基礎となる曲線にCurve25519という名前を使用し、 DH関数にX25519という名前を使用することを提案しました。^[4]

使用される曲線は、素数（そのため、名前に数字の「25519」がある）によって定義される素体上のモンゴメリ曲線であり、基点 を使用する。この点は、位数が素数 である巡回部分群を生成する。この部分群は の余因子を持ち、これは部分群の要素数が楕円曲線群の要素数であることを意味する。素数位数の部分群を使用すると、ポーリッヒ・ヘルマンアルゴリズム攻撃を仕掛けるのを防ぐことができる。^[5]${\displaystyle y^{2}=x^{3}+486662x^{2}+x}$ ${\displaystyle 2^{255}-19}$${\displaystyle x=9}$${\displaystyle 2^{252}+27742317777372353535851937790883648493}$${\displaystyle 8}$${\displaystyle 1/8}$

このプロトコルは圧縮された楕円点（X座標のみ）を使用するため、 XZ座標のみを使用してECDHのモンゴメリラダーを効率的に使用できます。^[6]

Curve25519は、多くの潜在的な実装上の落とし穴を回避するように構築されています。^[7]

この曲線は、Ed25519 ^{[8] [9]}署名方式で使用されるねじれエドワーズ曲線と双有理的に同等である。^[10]

2005年にCurve25519はダニエル・J・バーンスタインによって初めてリリースされました。^[5]

2013年、NSAがP-256曲線に基づくDual_EC_DRBGアルゴリズムにバックドアを実装した可能性があることが発覚し、関心が高まり始めました。 ^[11]直接関係はありませんが、^[12] NISTのP曲線定数の疑わしい側面^[13]により、NSAが暗号解読に有利な値を選択したのではないかという懸念^[14]が生じました。 ^{[15] [16]}

「私はもう定数を信用していない。NSAが産業界との関係を通じて定数を操作したと信じている。」

— ブルース・シュナイアー、NSA はインターネット上のほとんどの暗号を破っている (2013)

2013年以降、Curve25519はP-256の事実上の代替となり、さまざまなアプリケーションで使用されています。^[17] 2014年から、OpenSSH ^[18]はCurve25519ベースのECDHをデフォルトとし、GnuPGは署名と暗号化にEd25519鍵のサポートを追加しました。^[19]この曲線の使用は、2020年に鍵交換と署名の両方で標準化されました。^{[20] [21]}

2017年、NISTは、米国連邦政府が使用する承認済み楕円曲線を規定する特別刊行物800-186にCurve25519とCurve448を追加すると発表しました。 ^[22]両方ともRFC 7748に記載されています。 ^{[23] 2019年の「FIPS 186-5」の草案では、デジタル署名に}Ed25519 ^[24]の使用を許可する意向が示されています。2023年の特別刊行物800-186の更新では、Curve25519の使用が許可されています。^[25]

2018年にDKIM仕様が改正され、このアルゴリズムによる署名が可能になった。^[26]

また、2018年には、新しいトランスポート層セキュリティv1.3標準としてRFC 8446が公開されました。この標準では、 X25519、Ed25519、X448、Ed448アルゴリズムのサポートが推奨されています。 ^[27]

• OMEMO 、 XMPP（Jabber）の拡張提案^[42]
• セキュアシェル
• 信号プロトコル
• マトリックス（プロトコル）
• トックス
• ジーキャッシュ
• トランスポート層セキュリティ
• ワイヤーガード

• 公式サイト