Curve25519

定义

Curve25519 是由 Daniel J. Bernstein 于 2005 年提出的蒙哥马利型椭圆曲线，定义在素数域 2^255-19 上，主要用于椭圆曲线 Diffie-Hellman 密钥交换，对应的函数称为 X25519。

特点

该曲线的参数选择过程公开透明、可复现，打消了对"后门参数"的疑虑；蒙哥马利阶梯算法天然支持常数时间实现，可有效抵御计时侧信道攻击；公钥和共享密钥都只有 32 字节，实现紧凑高效。

应用

X25519 是 TLS 1.3 的默认密钥交换算法之一，也被 SSH、Signal 协议、WireGuard、Tor 等大量安全软件采用。与之同源的扭曲爱德华兹曲线 edwards25519 则用于 Ed25519 签名算法。

意义

在斯诺登事件引发对 NIST 曲线信任危机之后，Curve25519 因设计公开、性能优异而迅速成为事实上的行业标准曲线之一，并于 RFC 7748 中标准化。