ECDSA (P-256) Criptografar

A: Tanto o ECDSA quanto o EdDSA são algoritmos de assinatura de curva elíptica, mas diferem de formas críticas. O ECDSA (usado com curvas NIST P-256, P-384) requer um nonce aleatório (k) por assinatura — se o nonce for reutilizado ou fraco, a chave privada pode ser completamente recuperada. Foi exatamente assim que a chave privada da Sony PlayStation 3 foi extraída em 2010. O EdDSA usa um nonce determinístico derivado da chave privada e do hash da mensagem, tornando a reutilização do nonce matematicamente impossível. Para novas implementações, o EdDSA é fortemente preferido ao ECDSA.

A: No ECDSA, cada assinatura requer um valor aleatório secreto k (o nonce). Se você assinar duas mensagens diferentes com o mesmo nonce k, um atacante que observe ambas as assinaturas pode usar álgebra simples para recuperar sua chave privada — completa e irreversivelmente. Isso não é teórico: o PlayStation 3 foi desbloqueado em 2010 quando a Sony reutilizou o mesmo nonce para todas as assinaturas de firmware. A solução é usar um gerador de números aleatórios criptograficamente seguro para cada assinatura (como o WebCrypto faz), ou mudar para EdDSA, que elimina o problema do nonce por completo através da derivação determinística.

A: Não. O ECDSA é apenas um algoritmo de assinatura digital — ele não pode criptografar ou descriptografar dados. Assinar prova autenticidade (quem criou a mensagem) mas não fornece confidencialidade (qualquer pessoa pode ler a mensagem). Para criptografar dados, use uma cifra simétrica como ChaCha20-Poly1305 ou AES-256-GCM. Para troca de chaves assimétrica, use X25519 (ECDH). Para criptografia assimétrica com P-256, use ECC/ECIES.

A: Apesar dos nomes semelhantes, P-256 (secp256r1, prime256v1) e secp256k1 são curvas elípticas diferentes com parâmetros distintos. P-256 é uma curva padronizada pelo NIST amplamente usada em certificados TLS, sistemas governamentais e WebCrypto. secp256k1 é a curva usada pelo Bitcoin e Ethereum (para assinaturas ECDSA em transações regulares). secp256k1 tem características de eficiência diferentes e geralmente não é suportada por bibliotecas TLS ou WebCrypto. Não as confunda — chaves e assinaturas são completamente incompatíveis entre as duas curvas.

A: Uma assinatura ECDSA P-256 no formato IEEE P1363 (usado por esta ferramenta e WebCrypto) tem exatamente 64 bytes: dois inteiros big-endian de 32 bytes r e s. Codificada em Base64, são 88 caracteres. No formato DER (usado por OpenSSL, X.509, TLS), a mesma assinatura tem comprimento variável, tipicamente 70–72 bytes, porque o DER usa codificação tag-comprimento-valor com bytes zero iniciais para inteiros positivos. Ao interoperar com OpenSSL ou outras ferramentas, esteja ciente da diferença de formato.