X25519 Criptografar

A: X25519 é ECDH — especificamente, Diffie-Hellman de curva elíptica instanciado sobre Curve25519, definido na RFC 7748. Comparado ao ECDH sobre curvas NIST (P-256, P-384), X25519 é mais rápido, tem uma implementação mais simples e segura (sem problemas de cofator, sem validação de pontos para entradas típicas), e foi projetado desde o início para resistir a ataques de implementação. Quando as pessoas dizem "ECDH com Curve25519" querem dizer X25519.

A: Não. Embora X25519 e Ed25519 sejam baseados em Curve25519, usam representações matemáticas diferentes (forma de Montgomery vs. forma de Edwards torcida) e codificações de chave diferentes. Uma chave privada X25519 é um escalar bruto de 32 bytes; uma chave privada Ed25519 é uma semente de 32 bytes que é hasheada (SHA-512) antes do uso. Embora existam fórmulas de conversão entre os dois tipos de chave, usá-las de forma intercambiável sem conversão explícita é criptograficamente incorreto e pode vazar informações ou produzir resultados inválidos. Sempre gere pares de chaves separados para cada finalidade.

A: O segredo compartilhado X25519 de 32 bytes deve ser passado por uma Função de Derivação de Chave (KDF) antes de ser usado como chave de cifra. Na prática, HKDF-SHA256 é a escolha mais comum (usada em TLS 1.3, Signal). Passe o segredo bruto como material de chave de entrada, inclua um salt e string de info específicos do protocolo, e derive 32 bytes para AES-256-GCM ou ChaCha20-Poly1305. Para casos de uso simples pode usar o segredo diretamente como chave AES-256 de 32 bytes, mas HKDF é fortemente recomendado em produção.

A: Sim — quando usado com pares de chaves efêmeros. O sigilo de encaminhamento (também chamado Perfect Forward Secrecy, PFS) significa que comprometer uma chave de longo prazo não expõe chaves de sessão passadas. No TLS 1.3, ambas as partes geram novos pares de chaves X25519 para cada handshake (DH efêmero). Mesmo que um invasor obtenha posteriormente a chave privada de longo prazo de um servidor, não pode descriptografar tráfego gravado anteriormente porque as chaves X25519 efêmeras foram descartadas após o handshake. Chaves X25519 estáticas (reutilizadas) não oferecem sigilo de encaminhamento.

A: Não — não contra um computador quântico suficientemente poderoso. Um computador quântico executando o algoritmo de Shor poderia quebrar o X25519 resolvendo o problema do logaritmo discreto de curva elíptica em tempo polinomial. Isso se aplica igualmente a todos os esquemas Diffie-Hellman de curva elíptica e campo finito. No entanto, o computador quântico necessário (milhares de qubits lógicos com correção de erros) ainda não existe. Para troca de chaves pós-quântica, o NIST padronizou o ML-KEM (anteriormente CRYSTALS-Kyber). TLS 1.3 no Chrome e Firefox já implanta troca de chaves híbrida X25519+ML-KEM.