ECDSA和EdDSA有什么区别？

Question

据我所知，这两种方法都适用于椭圆曲线，但似乎有不同之处，因为通常推荐使用EdDSA而不是ECDSA。

Answer 1

是否使用名25519/名448的ECDSA值编码签名？部分覆盖了为8032将EdDSA的优势描述为，但是添加了一点，C1：

1. EdDSA在多种平台上提供高性能；
2. 每个签名不需要使用唯一的随机数；
3. 它具有更强的抗侧通道攻击能力；
4. EdDSA分别为Ed25519和Ed448使用小公钥(32或57字节)和签名(64或114字节)；
5. 这些公式是“完全的”，即它们对曲线上的所有点都是有效的，无一例外。这避免了EdDSA需要对不受信任的公共值执行昂贵的点验证；以及
6. EdDSA提供了冲突恢复能力，这意味着哈希函数冲突不会破坏这个系统(只适用于PureEdDSA)。

ECDSA也有小尺寸(4)，但不是完全相同的尺寸--和(全部？)大多数？)应用程序使用ASN.1，这是可变大小和稍微复杂一点，虽然算法本身不需要这一点。ECDSA也有很好的性能(1)，尽管Bernstein等人认为EdDSA的使用使ECDSA更容易获得良好的性能和侧通道电阻(3)和鲁棒性(5)。EdDSA还使用了一个不同的验证公式(在上面的链接中指出)，AFAICS比较容易检查。

标准化的ECDSA确实要求每条消息都是随机的，如果它重复不同的消息(2)，就会导致灾难性的失败(2)；我们自己的熊做的做6979提出了解决这个问题的方法，但是还没有被广泛采用，至少还没有被广泛采用。(6)仅仅意味着EdDSA标准允许省略消息哈希，而ECDSA标准正式没有，但实际上人们还是这么做了，所以我认为这种差异是虚假的。

有关Edwards窗体引起/启用的差异的更多信息，请参见：不同形式的椭圆曲线 椭圆曲线方程之间有什么区别？ SECP256K1的曲线类型是什么？

EdDSA的总体效果也是更新的，它既具有真正的优势(学习和适应实地经验，为现代系统和实现方法优化)，也具有虚假的优点(更时尚，给人‘与酷的孩子在一起’的印象)。此外，伯恩斯坦并不是美国政府的影响，有些人只是不信任和/或不喜欢美国政府，其原因大多超出了美国政府的范围。