Etwas, auf das bisher keine Antwort direkt eingegangen ist, ist, dass Ihre Fragen mehrere mehr oder weniger unabhängige Namen miteinander vermischen, als wären dies gleichwertige Alternativen zueinander, was nicht wirklich der Fall ist.
ECDH und ECDSA sind nur Namen kryptografischer Methoden.
ECDH ist eine Schlüsselaustauschmethode, mit der zwei Parteien einen sicheren Schlüssel über einen unsicheren aushandeln können Kommunikationskanal. Es ist eine Variation der DH (Diffie-Hellman) -Schlüsselaustauschmethode. ECDH steht für Elliptic-Curve Diffie-Hellman . ECDH ist jedoch nur eine Methode, dh Sie können es nicht nur mit einer bestimmten elliptischen Kurve verwenden, sondern auch mit vielen verschiedenen elliptischen Kurven.
ECDSA ist ein Signaturalgorithmus, der kann verwendet werden, um ein Datenelement so zu signieren, dass eine Änderung der Daten dazu führen würde, dass die Signaturüberprüfung fehlschlägt. Ein Angreifer kann die Daten nach einer solchen Änderung jedoch nicht korrekt neu signieren. Es ist eine Variation von DSA (Digital Signature Algorithm). ECDSA steht für Elliptic Curve Digital Signature Algorithm . Außerdem beschreibt ECDSA nur eine Methode, die mit unterschiedlichen elliptischen Kurven verwendet werden kann.
Die Sicherheit von ECDH und ECDSA hängt daher von zwei Faktoren ab:
- Wie sicher ist die Methode selbst? ? Wenn die Methode nicht sicher ist, würde die beste Kurve im Wort dies nicht ändern.
- Wie sicher ist die verwendete Kurve? Wenn die Kurve nicht sicher ist, spielt sie keine Rolle, wenn die Methode theoretisch lautet.
ol> Curve25519 ist der Name einer bestimmten elliptischen Kurve. Andere Kurven heißen Curve448, P-256, P-384 und P-521.
Ed25519 ist der Name einer konkreten Variation von EdDSA . Bei der Durchführung von EdDSA mit SHA-512 und Curve25519 wird diese Variante als Ed25519 bezeichnet. EdDSA ist genau wie ECDSA ein Signaturalgorithmus.
Wenn eine Implementierung nur sagt, dass sie ECDH für den Schlüsselaustausch oder ECDSA zum Signieren von Daten verwendet, ohne eine bestimmte Kurve zu erwähnen, können Sie normalerweise davon ausgehen, dass die NIST-Kurven (P-256, P-384 oder P-) verwendet werden. 512), dennoch sollte die Implementierung die verwendete Kurve eigentlich immer explizit benennen.
Um Ihre Frage zur Sicherheit zu beantworten: ECDH und ECDSA haben sich als konzeptionelle sichere Schlüsselaustausch- und Signaturmethoden erwiesen, daher die Sicherheit von ECDH und ECDSA hängt ziemlich stark von der Tatsache ab, ob jemand einen Weg findet, die elliptische Kryptographie im Allgemeinen zu brechen (wenig wahrscheinlich, aber nicht unmöglich) oder einen Fehler in den verwendeten Kurven zu finden (wahrscheinlicher).
Der Grund, warum manche Leute Curve25519 gegenüber den NIST-Standardkurven bevorzugen, ist die Tatsache, dass das NIST nicht klar dokumentiert hat, warum es diese Kurven zugunsten bestehender Alternativen gewählt hat. Die generische Aussage " Die Kurven wurden angeblich für optimale Sicherheit und Implementierungseffizienz ausgewählt" klingt sehr nach Marketing-Balderdash und wird kryptografische Experten nicht überzeugen.
Das NIST standardisierte 2006 auch eine auf Zufallszahlengeneratoren basierende Kryptographie mit elliptischen Kurven (Dual_EC_DRB), und die New Yorker Zeiten behaupteten (nach Überprüfung der von Edward Snowden durchgesickerten Memos), dass es die NSA war, die das NIST zur Standardisierung beeinflusste dieser spezifische Zufallszahlengenerator. In diesem Generator wurden große Schwachstellen entdeckt, und es wird angenommen, dass es sich um eine absichtliche Hintertür handelt, die von der NSA platziert wurde, um die TLS-Verschlüsselung basierend auf diesem Generator zu unterbrechen. Die ANSI hat die Schwachstelle offenbar entdeckt, als Dual_EC_DRB zum ersten Mal bei ihnen eingereicht wurde. Obwohl sie sich darüber im Klaren waren, wie sie vermieden werden können, haben sie weder den Algorithmus verbessert noch die Schwachstellen veröffentlicht ). Als die Schwäche öffentlich bekannt wurde, wurde der Standard 2014 zurückgezogen.
Mit diesem Hintergrundwissen fragten sich die Leute natürlich, ob die Quelle der mysteriösen NIST-Kurvenparameter tatsächlich auch die NSA ist, da diese Kurven möglicherweise auch verborgene Schwächen aufweisen, die noch nicht öffentlich bekannt sind, die NSA jedoch möglicherweise kennt über sie und somit in der Lage sein, Kryptographie basierend auf diesen Kurven zu brechen. Es gibt keine Beweise für diese Behauptung, nicht einmal einen mutmaßlichen Beweis, aber es scheint sicherlich möglich und realistischer als ein Märchen. Aus diesem Grund haben die Menschen das Vertrauen in diese Kurven verloren und zu Alternativen gewechselt, bei denen es höchst unwahrscheinlich ist, dass diese von einem Geheimdienst auf der ganzen Welt beeinflusst wurden.
Curve25519 wurde vom deutsch-amerikanischen Mathematiker und Kryptologen Daniel J veröffentlicht Bernstein im Jahr 2005, der auch die berühmte Salsa20-Stream-Chiffre und die mittlerweile weit verbreitete ChaCha20-Variante davon entwarf. Er erfand auch die Poly1305-Nachrichtenauthentifizierung. Google entschied, dass ChaCha20 in Kombination mit Poly1305 eine sichere Alternative für TLS darstellt, nachdem RC4 entfernt werden musste, weil der Algorithmus defekt war. Es erfordert viel weniger Rechenleistung als die Verwendung des AES-Blockchiffres (sehr nützlich für mobile Geräte, da es die Batterielaufzeit spart), bietet jedoch vermutlich eine vergleichbare Sicherheit. ChaCha20 / Poly1305 ist in RFC 7905 standardisiert und wird heute in der TLS-Client-Server-Kommunikation häufig verwendet. Wenn Bernstein also ein NSA-Spion wäre, was sehr unwahrscheinlich ist, wären wir alle bereits zum Scheitern verurteilt, da TLS, wie es heute häufig verwendet wird, wahrscheinlich nutzlos wäre, um Daten vor den Augen von Geheimdiensten zu schützen.