ECDSA

Para firmar, ECDSA hashea el mensaje (e = HASH(m)), elige un nonce secreto aleatorio k, calcula el punto k·G del que toma r, y obtiene s = k⁻¹ (e + r·priv) mod n. La firma es el par (r, s) y la verificación la recombina con la clave pública. Dos detalles son críticos como buena práctica: reutilizar o sesgar el nonce k filtra la clave privada, por lo que se recomienda un k determinista según RFC 6979; y la maleabilidad de (r, s) y (r, n menos s) se neutraliza exigiendo el valor bajo de s, como hacen Bitcoin (política low-S) y Ethereum.

Es el algoritmo con el que Bitcoin y Ethereum prueban la propiedad de los fondos sin revelar la clave privada, con claves mucho más cortas que RSA para seguridad equivalente: 256 bits de ECC se aproximan a 3072 bits de RSA. Ethereum añade un valor de recuperación v para habilitar ecrecover.

Está estandarizado en ANSI X9.62, FIPS 186-5 (3 de febrero de 2023), IEEE P1363 e ISO/IEC 14888-3, y la curva secp256k1 se define en SEC 2. Bitcoin y Ethereum firman con ECDSA sobre secp256k1 desde sus orígenes; TLS suele usar la curva secp256r1 (P-256). Como evolución, Bitcoin Taproot (BIP-340, activado en noviembre de 2021) adopta firmas Schnorr por sus ventajas en agregación.