Ed25519 서명·검증 (RFC 8032)

32바이트 시드, PKCS#8 비공개 키, 그리고 시드 뒤에 공개 키가 붙은 64바이트 확장 키입니다. 각각 16진수, base64, base64url, PEM으로 넣을 수 있고 공백과 PEM 헤더 줄은 무시합니다. 16진수를 먼저 시도하므로 둘 다로 읽히는 문자열은 16진수로 봅니다. OpenSSH 비공개 키 파일은 다른 컨테이너여서 받지 않습니다. ssh-keygen으로 PKCS#8로 내보낸 뒤 넣으세요.

공개 키는 시드에서 결정되기 때문에, 붙여넣은 키가 의도한 키인지 가장 빠르게 확인하는 방법이 공개 키를 보는 것입니다. WebCrypto에는 공개 키를 유도하는 호출이 없어서, 가져온 비공개 키를 JWK로 내보내고 그 x 값을 공개 키로 표시합니다. 서명과 공개 키가 같은 구현에서 나온다는 뜻입니다.

RFC 8032은 S가 기준점의 위수보다 작아야 한다고 요구합니다. S에 위수를 더해도 검증식은 그대로 성립하므로, 범위 검사를 빠뜨린 구현은 그렇게 바꾼 쌍을 같은 메시지에 대한 두 번째 유효 서명으로 받아들입니다. 서명을 식별자로 쓰는 시스템이 여기서 깨집니다. 브라우저는 이 검사를 하므로 그런 서명은 여기서 무효로 나오고, 안내문이 어느 이유인지 알려 줍니다.

다르고, 두 시스템이 어긋나는 흔한 원인입니다. Ed25519는 내부에서 SHA-512로 메시지를 해시하며 메시지 전체가 필요합니다. 직접 계산한 다이제스트에 서명하면 그 32~64바이트에 대한 유효한 서명이 나오지만 파일에 대한 서명은 아닙니다. 프로토콜이 미리 해시한다면 그 사실을 명시해야 하고 검증 측도 똑같이 해야 합니다. 그런 용도의 표준 변형이 Ed25519ph이고, 평범한 Ed25519와 같은 알고리즘이 아닙니다.

브라우저 탭에서 돌아가고 입력값을 로컬 스토리지에 남기므로, 여기 붙여넣은 키는 그 컴퓨터의 디스크에 남은 키입니다. 형식을 이해하거나 벡터를 재현하거나 받은 서명을 확인하는 데는 괜찮습니다. 릴리스에 서명하거나 호스트를 인증하는 키라면 비공개 쪽은 하드웨어 토큰이나 검증된 도구에 두고, 여기에는 공개 키만 붙여넣으세요.