ECDSA

Zum Signieren hasht ECDSA die Nachricht (e = HASH(m)), wählt eine zufällige geheime Nonce k, berechnet den Punkt k·G, aus dem r abgeleitet wird, und erhält s = k⁻¹ (e + r·priv) mod n. Die Signatur ist das Paar (r, s); die Verifikation kombiniert es mit dem öffentlichen Schlüssel neu. Zwei Details sind als Best Practice kritisch: Die Wiederverwendung oder Verzerrung der Nonce k gibt den privaten Schlüssel preis, weshalb eine deterministische Nonce k nach RFC 6979 empfohlen wird; und die Malleabilität von (r, s) und (r, n minus s) wird neutralisiert, indem der niedrige Wert von s verlangt wird, wie es Bitcoin (Low-S-Policy) und Ethereum tun.

Es ist der Algorithmus, mit dem Bitcoin und Ethereum den Besitz von Guthaben nachweisen, ohne den privaten Schlüssel offenzulegen, mit deutlich kürzeren Schlüsseln als RSA bei vergleichbarer Sicherheit: 256 Bit ECC entsprechen etwa 3072 Bit RSA. Ethereum ergänzt einen Recovery-Wert v, um ecrecover zu ermöglichen.

Standardisiert ist er in ANSI X9.62, FIPS 186-5 (3. Februar 2023), IEEE P1363 und ISO/IEC 14888-3; die Kurve secp256k1 ist in SEC 2 definiert. Bitcoin und Ethereum signieren seit ihren Anfängen mit ECDSA über secp256k1; TLS verwendet meist die Kurve secp256r1 (P-256). Als Weiterentwicklung setzt Bitcoin Taproot (BIP-340, aktiviert im November 2021) wegen der Vorteile bei der Aggregation auf Schnorr-Signaturen.