EdDSA (Ed25519) Verschlüsseln

A: Beide sind Elliptische-Kurven-Signaturalgorithmen, unterscheiden sich aber wesentlich. ECDSA (mit NIST-Kurven P-256, P-384) benötigt pro Signatur einen zufälligen Nonce (k) – wird der Nonce wiederverwendet oder ist er schwach, kann der private Schlüssel vollständig wiederhergestellt werden. Genau so wurde 2010 der PlayStation-3-Privatschlüssel von Sony extrahiert. EdDSA verwendet einen deterministisch aus privatem Schlüssel und Nachrichten-Hash abgeleiteten Nonce, was eine Wiederverwendung mathematisch unmöglich macht. Zudem verwendet EdDSA sicherere Twisted-Edwards-Kurven (Curve25519 für Ed25519), die gegen bestimmte Seitenkanalangriffe resistenter sind. Für neue Implementierungen ist EdDSA gegenüber ECDSA stark zu bevorzugen.

A: Bei ECDSA hängt die Sicherheit jeder Signatur von einem frischen, kryptografisch zufälligen Nonce ab. Wenn ein Angreifer zwei Signaturen erhält, die denselben Nonce verwendet haben (Nonce-Wiederverwendung), oder der Nonce unzureichende Entropie hat (schwache Zufälligkeit), kann der private Schlüssel algebraisch rekonstruiert werden. Dies ist nicht theoretisch – es hat reale Systeme gebrochen (PS3, Bitcoin-Wallets). Das deterministische Signing von Ed25519 leitet den Nonce aus einem Hash des privaten Schlüssel-Seeds und der Nachricht ab, sodass er immer eindeutig ist und nicht durch externe Zufallsquellen beeinflusst werden kann. Es gibt keinen Zufallszahlengenerator im Signing-Pfad – eine gesamte Klasse von Schwachstellen wird eliminiert.

A: Nein. EdDSA (Ed25519) ist ausschließlich ein digitaler Signaturalgorithmus – er kann keine Daten verschlüsseln oder entschlüsseln. Signieren beweist Authentizität (wer die Nachricht erstellt hat), bietet aber keine Vertraulichkeit (jeder kann die Nachricht lesen). Zur Datenverschlüsselung verwenden Sie eine symmetrische Verschlüsselung wie ChaCha20-Poly1305 oder AES-256-GCM. Hinweis: X25519 (ein verwandter, aber unterschiedlicher Algorithmus auf Basis von Curve25519) kann für Schlüsselaustausch (Diffie-Hellman) verwendet werden, ist aber nicht mit Ed25519 identisch, und die Schlüssel sind nicht austauschbar.

A: Verwenden Sie das integrierte Schlüsselgenerierungstool von OpenSSH:
ssh-keygen -t ed25519 -C "ihre_email@beispiel.de"
Dies generiert ~/.ssh/id_ed25519 (privater Schlüssel) und ~/.ssh/id_ed25519.pub (öffentlicher Schlüssel). Ed25519 ist seit OpenSSH 6.5 (2014) der empfohlene SSH-Schlüsseltyp und mittlerweile in den meisten Distributionen Standard. Die von OpenSSH generierten Schlüssel verwenden ein anderes Kodierungsformat (PEM/OpenSSH-Format) als das Hex-Format dieses Tools, basieren aber auf demselben kryptografischen Algorithmus.

A: Eine Ed25519-Signatur besteht aus zwei 32-Byte-Werten: R (ein komprimierter elliptischer Kurvenpunkt, abgeleitet vom deterministischen Nonce) und S (ein skalarer Wert, berechnet aus Nonce, privatem Schlüssel und Nachrichten-Hash). Zusammen bilden R und S die 64-Byte-Signatur. Bei der Verifikation wird R mit öffentlichem Schlüssel, Nachricht und S rekonstruiert und geprüft, ob es mit dem R in der Signatur übereinstimmt. Die gesamte Verifikation beinhaltet nur schnelle Körperarithmetik auf Curve25519 – keine modulare Exponentiation wie bei RSA.

A: Nein – nicht gegen einen ausreichend leistungsfähigen Quantencomputer. Ein Quantencomputer, der den Shor-Algorithmus ausführt, könnte Ed25519 durch Lösung des diskreten Logarithmusproblems auf elliptischen Kurven brechen. Dieselbe Bedrohung gilt für RSA und ECDSA. Ein Quantencomputer, der 128-Bit-Kurvenicherheit brechen könnte, würde jedoch Tausende logische Qubits mit sehr niedrigen Fehlerraten benötigen – weit über dem aktuellen Stand der Technik. Für Post-Quanten-Signaturen hat NIST ML-DSA (früher CRYSTALS-Dilithium) und SLH-DSA (SPHINCS+) standardisiert. Ed25519 bleibt die beste praktische Wahl für klassische Bedrohungsmodelle und ist in Produktionssystemen weit verbreitet.