为什么Curve25519参数错误却能正确计算密钥对？

Question

.NET (Core 3.1) 似乎支持 ECC 中的自定义曲线。所以我定义了 Curve25519，并通过以下代码生成了密钥对：

using System;
using System.Security.Cryptography;

namespace Curve25519
{
    class Program
    {
        static void Main(string[] args)
        {
            ECCurve ecCurve = new ECCurve() // Curve25519, 32 bytes, 256 bit
            {
                CurveType = ECCurve.ECCurveType.PrimeMontgomery,
                B = new byte[] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 1 },
                A = new byte[] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0x07, 0x6d, 0x06 }, // 486662
                G = new ECPoint()
                {
                    X = new byte[] { 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 9 },
                    Y = new byte[] { 0x20, 0xae, 0x19, 0xa1, 0xb8, 0xa0, 0x86, 0xb4, 0xe0, 0x1e, 0xdd, 0x2c, 0x77, 0x48, 0xd1, 0x4c,
                    0x92, 0x3d, 0x4d, 0x7e, 0x6d, 0x7c, 0x61, 0xb2, 0x29, 0xe9, 0xc5, 0xa2, 0x7e, 0xce, 0xd3, 0xd9 }
                },
                Prime = new byte[] { 0x7f, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff,
                0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xff, 0xed },
                //Prime = new byte[] { 1, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 1 },
                Order = new byte[] { 0x10, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
                0x14, 0xde, 0xf9, 0xde, 0xa2, 0xf7, 0x9c, 0xd6, 0x58, 0x12, 0x63, 0x1a, 0x5c, 0xf5, 0xd3, 0xed },
                Cofactor = new byte[] { 8 }
            };

            using (ECDiffieHellman ecdhOwn = ECDiffieHellman.Create())
            {
                // generate the key pair
                ecdhOwn.GenerateKey(ecCurve);
                // save ECDiffieHellman implicit parameters including private key
                ECParameters ecdhParamsOwn = ecdhOwn.ExportParameters(true);
                // print key pair
                Console.WriteLine(BitConverter.ToString(ecdhParamsOwn.D) + "\r\n" + BitConverter.ToString(ecdhParamsOwn.Q.X) + "\r\n" + BitConverter.ToString(ecdhParamsOwn.Q.Y));
            }
        }
    }
}

示例输出如下：

90-54-A7-71-C0-03-D9-69-40-21-A4-CF-8C-81-7C-09-C4-CD-7A-44-77-2E-19-AD-B7-09-82-C9-AC-6E-AF-46
80-32-26-BD-C3-85-BC-35-17-98-B1-6C-C7-31-EF-BE-21-91-BA-CD-4A-BD-87-5B-FB-EC-4B-6B-02-C9-07-46
00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00

然后我想和另一个library/platform，即x-cube-cryptolib/stm32f103c8进行交叉核对。给定 ECDiffieHellman 生成的私钥（第一行），控制库计算出相同的 public 密钥（第二行），验证该对（万岁）。

在进入密钥交换阶段之前，我想玩玩它，并更改了 Curve25519 的参数，就像代码中注释掉的素数一样。我希望看到错误或 2 个平台从同一私钥计算出不同的 public 密钥。但是不，ECDiffieHellman 总是计算控制库确认的密钥对。我将曲线参数更改为错误、交换或归零，我对每个参数都这样做，清理并重建项目，但每次都是一样的情况。即使当我进入密钥交换阶段时，ECDiffieHellman 也计算出与控制库相同的共享密钥 material。

为什么ECDiffieHellman/Curve25519会生成正确的密钥对和共享密钥，这些密钥对和共享密钥与控件库一致，即使它的定义参数是错误的，但似乎忽略了它们？或者这可能是关于 .Net Core 的 ECDH 实现？

Answer 1

我不知道你提到的库，但我知道一些 curve25519。

ECDH当然是取对方public关键点的行为（真的k[G]，其中k是他们的私钥（一个clamped 256-bit数） G 是曲线的生成点），并将它乘以您的私钥，得到 yourK * theirK * G.

这个过程是可交换的，这就是为什么当对方用你的public密钥和他们的私钥做同样的事情时它起作用的原因。

现在，至于为什么曲线参数看起来无关紧要。 curve25519 是一个高度优化的椭圆曲线密码系统。标量乘法已优化（variable base scalar multiplication used for ECDH), the point arithmetic is optimised, etc. The multiplication is executed using only the X-coordinate and differential additions. See here 详情。

X25519 (curve25519+ECDH) 专门使用“X-only”标量乘法，其中点仅由它们的 X 坐标表示。这是在恒定时间内进行密钥交换的最快和最简单的方法之一，恒定时间对于侧信道定时攻击很重要。

真正需要曲线的唯一时间是当我们执行 EdDSA 点减压时。 EdDSA点线格式由Y坐标和X坐标的符号构成。

这并不是说曲线被忽略了，当然，椭圆曲线操作必须尊重它们操作的基础曲线，实际上是定义该曲线的伽罗华域，更多的是正在使用的计算是根据定义保证保持在曲线上。

如果您将所有参数归零，那很奇怪，但是如果您仍然离开该字段（在您的情况下为 Prime），如 2^255 - 19，这必须足以让 ECDH class 知道该做什么。

因此，简而言之，我认为它可能实际上没有在 ECDH 计算中使用曲线方程。

为什么Curve25519参数错误却能正确计算密钥对？

Why does Curve25519 calculate key pair correctly even though its parameters are wrong?

.net-core

elliptic-curve

diffie-hellman

curve-25519

x25519