EdDSA与带有自定义曲线的ECDSA有何不同？

Question

我刚刚找到了这个草案/非正式的IETF规范：交替椭圆曲线表示：

本文件指定如何将Montgomery曲线和(扭曲的) Edwards曲线表示为短-Weierstrass形式的曲线，并说明如何使用已有的实现(例如，使用NIST素数曲线实现ECDSA和ECDH )来实现椭圆曲线计算。

这引发了我的好奇心，因为我认为，ECDSA和EdDSA有更多的差异，而不仅仅是不同的曲线。

据我所知，爱德华兹曲线可以用Weierstrass形式表示.。

EdDSA与使用Edwards曲线(例如，Curve25519)转换为Weierstrass曲线的ECDSA有什么不同？我最感兴趣的是功能方面，而不是可能的优化(S)，因为曲线参数。

相关问题：#1，#2

Answer 1

在不同的曲线上，EdDSA不是ECDSA。相反，它是一种Schnorr签名。的确，这个名字很让人困惑，我很肯定它是为了给人留下这样的印象而选择的，因为Schnorr并不那么出名。

施诺尔本质上是公开密钥离散日志知识的零知识证明，它是通过应用于经典Schnorr Sigma协议的菲亚特-沙米尔范式获得的。

ECDSA是一个完全不同的签名方案，专门用于绕过Schnorr的专利(至少，这是该领域的理解)。