Curvas elípticas: ECDH, Ed25519 y eficiencia asimétrica

Para ofrecer un nivel de seguridad de 128 bits (equivalente a AES-128), RSA requiere una clave de 3072 bits. Para alcanzar 256 bits de seguridad, ¡RSA exige una clave gigantesca de 15360 bits! Cada operación de firma o descifrado con claves de ese tamaño consume una cantidad desproporcionada de batería y CPU. En cambio, en curvas elípticas, una clave de apenas 256 bits proporciona los mismos 128 bits de seguridad, y una clave de 521 bits supera el nivel de 256 bits, transmitiéndose en paquetes de red diminutos.

Una curva elíptica sobre un cuerpo finito sigue la ecuación algebraica y^2 = x^3 + ax + b (mod p). En esta curva se define una operación de 'suma de puntos'. Si tomas un punto base conocido G y lo sumas consigo mismo d veces, obtienes un punto público Q = d*G. Calcular Q a partir de d y G es extremadamente rápido (multiplicación escalar). Pero la operación inversa —calcular d a partir de Q y G— es computacionalmente intratable con los algoritmos conocidos en computación clásica. Tu clave privada es el escalar d; tu clave pública es el punto Q.

ECDH permite a dos partes que nunca se han visto acordar una clave simétrica secreta a través de un canal inseguro. Alice genera su par (d_A, Q_A) y Bob su par (d_B, Q_B). Ambos se intercambian únicamente sus puntos públicos Q_A y Q_B. Luego, Alice calcula el punto secreto S = d_A * Q_B y Bob calcula S = d_B * Q_A. Por las propiedades asociativas de la curva, ambos puntos S son idénticos: S = d_A * d_B * G. Cualquier espía en la red solo vio pasar Q_A y Q_B, siendo incapaz de deducir S.

En el algoritmo de firma ECDSA tradicional, cada firma requiere generar un número aleatorio efímero k (nonce). Si el generador de números aleatorios tiene el menor fallo o repite un solo valor de k para dos firmas distintas, un atacante puede calcular la clave privada del firmante con álgebra simple (esto causó el histórico hackeo de la PlayStation 3 en 2010). Para eliminar este riesgo humano, Dan Bernstein diseñó Ed25519 (EdDSA sobre Curve25519): el nonce se deriva de forma determinista mediante el hash de la clave privada y el mensaje, impidiendo repeticiones accidentales.