EdDSA (Ed25519) 암호화 & 복호화

A: 둘 다 타원 곡선 서명 알고리즘이지만 중요한 점에서 다릅니다. ECDSA(NIST 곡선 P-256, P-384 사용)는 서명당 임의의 nonce(k)가 필요합니다 — nonce가 재사용되거나 약하면 개인 키를 완전히 복구할 수 있습니다. 2010년 Sony PlayStation 3 개인 키가 바로 이 방법으로 추출되었습니다. EdDSA는 개인 키와 메시지 해시에서 결정론적으로 도출된 nonce를 사용하여 수학적으로 nonce 재사용을 불가능하게 합니다. EdDSA는 또한 특정 사이드 채널 공격에 저항하도록 설계된 더 안전한 Twisted Edwards 곡선(Ed25519용 Curve25519)을 사용합니다. 새로운 구현에서는 EdDSA가 ECDSA보다 강력히 권장됩니다.

A: ECDSA에서 각 서명의 보안은 신선하고 암호학적으로 무작위인 nonce에 의존합니다. 공격자가 동일한 nonce를 사용한 두 서명을 얻는다면(nonce 재사용), 또는 nonce의 엔트로피가 부족하다면(약한 무작위성), 간단한 방정식을 사용하여 개인 키를 대수적으로 복구할 수 있습니다. 이는 이론적인 것이 아닙니다 — 실제 시스템을 파괴했습니다(PS3, 비트코인 지갑). Ed25519의 결정론적 서명은 개인 키 시드와 메시지의 해시에서 nonce를 도출하므로 항상 고유하며 외부 무작위성 소스의 영향을 받을 수 없습니다. 서명 경로에 난수 생성기가 없습니다 — 취약점의 전체 범주를 제거합니다.

A: 아니요. EdDSA(Ed25519)는 디지털 서명 알고리즘만입니다 — 데이터를 암호화하거나 복호화할 수 없습니다. 서명은 진위성을 증명합니다(누가 메시지를 만들었는지)하지만 기밀성을 제공하지 않습니다(누구든지 메시지를 읽을 수 있습니다). 데이터를 암호화하려면 ChaCha20-Poly1305 또는 AES-256-GCM 같은 대칭 암호를 사용하세요. 참고: X25519(Curve25519 기반의 관련되었지만 다른 알고리즘)는 키 교환(Diffie-Hellman)에 사용할 수 있지만 Ed25519와 동일하지 않으며 키가 호환되지 않습니다.

A: OpenSSH의 내장 키 생성 도구를 사용하세요:
ssh-keygen -t ed25519 -C "your_email@example.com"
이렇게 하면 ~/.ssh/id_ed25519(개인 키)와 ~/.ssh/id_ed25519.pub(공개 키)가 생성됩니다. Ed25519는 OpenSSH 6.5(2014년) 이후 권장되는 SSH 키 유형이며 현재 대부분의 배포판에서 기본값입니다. OpenSSH에서 생성된 키는 이 도구의 16진수 형식과 다른 인코딩(PEM/OpenSSH 형식)을 사용하지만 동일한 암호화 알고리즘을 기반으로 합니다.

A: Ed25519 서명은 두 개의 32바이트 값으로 구성됩니다: R(결정론적 nonce에서 도출된 압축 타원 곡선 포인트)과 S(nonce, 개인 키, 메시지 해시에서 계산된 스칼라 값). R과 S가 합쳐져 64바이트 서명을 형성합니다. 검증은 공개 키, 메시지, S를 사용하여 R을 재구성하고 서명의 R과 일치하는지 확인합니다. 전체 검증은 Curve25519에서의 빠른 체 산술만 포함합니다 — RSA처럼 모듈러 지수 연산이 없습니다.

A: 아니요 — 충분히 강력한 양자 컴퓨터에 대해서는 그렇지 않습니다. Shor 알고리즘을 실행하는 양자 컴퓨터는 타원 곡선에서 이산 로그 문제를 해결함으로써 Ed25519를 깰 수 있습니다. RSA와 ECDSA에도 동일한 위협이 적용됩니다. 그러나 128비트 타원 곡선 보안을 깰 수 있는 양자 컴퓨터는 매우 낮은 오류율을 가진 수천 개의 논리 큐비트가 필요합니다 — 현재 기술을 훨씬 넘어섭니다. 포스트 양자 서명을 위해 NIST는 ML-DSA(이전 CRYSTALS-Dilithium)와 SLH-DSA(SPHINCS+)를 표준화했습니다. Ed25519는 고전적 위협 모델에 대한 최선의 실용적 선택이며 오늘날 프로덕션 시스템에서 널리 배포되고 있습니다.