这是验证EdDSA签名安全的半智能方法吗？

Question

在验证EdDSA签名的最后一步，将4[S]B与[4]R + [4][k]A进行比较。

由于我使用的是XYTZ扩展的扭曲爱德华兹坐标，出于效率原因，我想这样做：

Y(\text{Left}) \cdot Z(\text{Right}) = Y(\text{Right}) \cdot Z(\text{Left})，

但这使得X坐标不受检查。

这张支票安全吗？

Answer 1

检查过程本身不是SUF-CMA，因为可以通过用R+I替换R生成第二个有效签名，其中I是一个可被4整除的顺序点。

如果不检查X坐标，就会增加二级伪造的数量，因为S可以被\ell-S替换，而R可以被R+I替换，或者两者都可以。

然而，由于SUF的安全性已经不存在，额外的安全损失是最小的.只有在SUF很重要的情况下，并且实现者决定通过不允许带有重复S值的签名或不允许不符合\ell顺序的点R来阻止它，您的检查过程才会引入新的攻击。