1 基础参数

Ed25519采用的曲线方程为 $y^2=x^3+486662x^2+x$ ，$modulop=2^{255}-19$ 。

私钥长度：32字节。

公钥长度：32字节，无其它长度。

签名长度：64字节。

2 签名算法

2.1 生成密钥对

私钥：使用随机数发生器生成随机数 $k$ 作为私钥。

公钥生成过程：

1. 计算私钥哈希值：$H(k)=(h_0,h_1,...,h_{2b-1})$
2. 生成整数： a = 2 b − 2 + ∑ 3 ⩽ i ⩽ b − 3 2 i h i ∈ { 2 b − 2 , 2 b − 2 + 8 , . . . , 2 b − 1 − 8 } \displaystyle \large a=2^{b-2}+\sum_{3\leqslant i\leqslant b-3}2^ih_{i}\in \{2^{b-2},2^{b-2}+8,...,2^{b-1}-8\} a=2b−2+3⩽i⩽b−3∑​2ihi​∈{2b−2,2b−2+8,...,2b−1−8}
3. 生成公钥：$A=aB$

在Ed25519中，$b$固定取256。

$A$ 就是公钥。

2.2 生成签名

1. $r=H(h_b,...,h_{2b-1},M)$
2. $R=rB$
3. $S=(r+H(R,A,M)a)modl$

则签名就是$(R,S)$。

2.3 签名验证

只需要检验 $8SB=8R+8H(R,A,M)A$ 是否成立。

2.4 签名验证原理分析

签名验证原理如下公式：

$$\begin{array}{rl}8SB& =8(r+H(R,A,M)a)B\\ & =8rB+8H(R,A,M)aB\\ & =8R+8H(R,A,M)A\end{array}$$

3 参考资料

• High-speed high-security signatures：描述ed25519签名过程的说明文档。
• EdDSA：描述EdDSA算法的维基百科主页。