Qualcosa a cui nessuna risposta finora ha affrontato direttamente è che le tue domande mescolano diversi nomi più o meno non correlati come se fossero alternative equivalenti tra loro, il che non è proprio il caso.
ECDH e ECDSA sono solo nomi di metodi crittografici.
ECDH è un metodo di scambio di chiavi che due parti possono utilizzare per negoziare una chiave sicura su una non sicura canale di comunicazione. È una variazione del metodo di scambio delle chiavi DH (Diffie-Hellman). ECDH sta per Diffie-Hellman a curva ellittica . Eppure ECDH è solo un metodo, il che significa che non puoi usarlo solo con una curva ellittica specifica, puoi usarlo con molte curve ellittiche diverse.
ECDSA è un algoritmo di firma che può essere utilizzato per firmare una parte di dati in modo tale che qualsiasi modifica ai dati causerebbe il fallimento della convalida della firma, ma un utente malintenzionato non sarebbe in grado di firmare nuovamente i dati correttamente dopo tale modifica. È una variazione di DSA (algoritmo di firma digitale). ECDSA è l'acronimo di Elliptic Curve Digital Signature Algorithm . Inoltre ECDSA descrive solo un metodo che può essere utilizzato con diverse curve ellittiche.
La sicurezza di ECDH ed ECDSA dipende quindi da due fattori:
- Quanto è sicuro il metodo stesso ? Se il metodo non è sicuro, la migliore curva nella parola non lo cambierebbe.
- Quanto è sicura la curva utilizzata? Se la curva non è sicura, non giocherà un ruolo se il metodo in teoria lo è.
Curve25519 è il nome di una curva ellittica specifica. Altre curve sono denominate Curve448, P-256, P-384 e P-521.
Ed25519 è il nome di una variazione concreta di EdDSA . Quando si esegue EdDSA utilizzando SHA-512 e Curve25519 , questa variazione è denominata Ed25519. EdDSA è un algoritmo di firma, proprio come ECDSA.
Quindi, se un'implementazione dice semplicemente che utilizza ECDH per lo scambio di chiavi o ECDSA per firmare i dati, senza menzionare alcuna curva specifica, di solito puoi presumere che utilizzerà le curve NIST (P-256, P-384 o P- 512), tuttavia l'implementazione dovrebbe sempre denominare in modo esplicito la curva utilizzata.
Per rispondere alla tua domanda sulla sicurezza: ECDH ed ECDSA hanno praticamente dimostrato di essere metodi concettuali di scambio e firma sicuri delle chiavi, quindi la sicurezza di ECDH e ECDSA dipende in gran parte dal fatto che qualcuno trovi un modo per rompere la crittografia ellittica in generale (poco probabile ma non impossibile) o per trovare un difetto nelle curve utilizzate (più probabile).
Il motivo per cui alcune persone preferiscono Curve25519 rispetto alle curve standard del NIST è il fatto che il NIST non ha chiaramente documentato il motivo per cui ha scelto queste curve a favore delle alternative esistenti. L'affermazione generica " Le curve sono state presumibilmente scelte per una sicurezza ottimale e un'efficienza di implementazione " suona molto come una sciocchezza di marketing e non convincerà gli esperti di crittografia.
Il NIST ha anche standardizzato una crittografia a curva ellittica basata su generatore di numeri casuali (Dual_EC_DRB) nel 2006 e il New York Times ha affermato (dopo aver esaminato i promemoria trapelati da Edward Snowden) che era la NSA a influenzare il NIST a standardizzare questo specifico generatore di numeri casuali. Un enorme punto debole è stato scoperto in quel generatore e si ritiene che sia una backdoor intenzionale posizionata dalla NSA per poter violare la crittografia TLS basata su quel generatore. Apparentemente l'ANSI ha scoperto la debolezza quando Dual_EC_DRB è stato sottoposto loro per la prima volta, ma nonostante fossero consapevoli di come evitarlo, non hanno né migliorato l'algoritmo, né pubblicizzato i punti deboli, quindi si ritiene che non gli fosse permesso di (gag order ). Quando la debolezza è diventata pubblicamente nota, lo standard è stato ritirato nel 2014.
Con queste conoscenze di base, ovviamente, le persone hanno iniziato a chiedersi se forse la fonte dei misteriosi parametri della curva NIST sia in realtà anche l'NSA poiché forse queste curve hanno anche punti deboli nascosti che non sono ancora noti pubblicamente ma l'NSA potrebbe saperlo su di loro e quindi essere in grado di rompere la crittografia basata su queste curve. Non ci sono prove per questa affermazione, nemmeno una prova presunta ma sembra sicuramente possibile e più realistica di una fiaba. Ecco perché le persone hanno perso la fiducia in queste curve e sono passate ad alternative dove è altamente improbabile che queste siano state influenzate da qualsiasi servizio segreto in tutto il mondo.
Curve25519 è stato pubblicato dal matematico e crittologo tedesco-americano Daniel J Bernstein nel 2005, che ha anche progettato il famoso cifrario a flusso Salsa20 e la variante ChaCha20 ora ampiamente utilizzata. Ha anche inventato l'autenticazione del messaggio Poly1305. Google ha deciso che ChaCha20 in combinazione con Poly1305 è un'alternativa sicura da utilizzare in TLS dopo che RC4 doveva essere rimosso perché l'algoritmo è stato rotto. Richiede molta meno potenza di calcolo rispetto all'utilizzo del chipher AES (molto utile per i dispositivi mobili in quanto consente di risparmiare la durata della batteria), ma si ritiene che fornisca una sicurezza comparabile. ChaCha20 / Poly1305 è standardizzato in RFC 7905 e oggi ampiamente utilizzato nelle comunicazioni client-server TLS. Quindi, se Bernstein fosse una spia della NSA, il che è molto improbabile, saremmo già tutti condannati perché allora TLS, poiché viene spesso utilizzato oggi, sarebbe probabilmente inutile per proteggere i dati dagli occhi dei servizi segreti.