elliptic-curve签名验证verify signature in EdDSA

特别地，https://slowli.github.io/ed25519-quirks/ 这个网站的内容很清晰。

1. signature in EdDSA

详细的EdDSA签名和验签过程可参看 rfc8032 Edwards-Curve Digital Signature Algorithm (EdDSA)
。


参照博客Schnorr signature (Schnorr 签名)数学原理类似，签名过程如下：

• $A=kG$, $k$ is private, A is public key, G is a standard elliptic-curve point.
• $R=rG$, $r$ 为 random-once随机数，每次需分别单独生成，R is public。
• $h=Hash(R||A||m)$, $m$ is the message to be signed.
• $s=r+kh$, $(R,s)$ is the signature for message $m$.

$\because sG=rG+khG=R+hA$
$\therefore R=sG-hA$

验签时，$(R,s),A,m,G$均已知，其中的$A/G/R$均为elliptic-curve point, 且为节省空间，$A/R$已compress。$s$为scalar值。具体的验签过程如下：

• $h=Hash(R||A||m)$
• $compress(sG-h\ast decompress(A))?=R$

以上验签过程支持fast batch verification以及fast batch forgery identification.

For elliptic-curve signatures at a $2^b$ security level it is standard practice to use about $2b$ bits for hashes, scalars, and field elements, and to compress points to single coordinates. EdDSA and Schnorr’s system then have the same signature size, about 4b bits.

$(R,s)$ 为EdDSA格式的签名，$(R,h)$为Schnorr格式的签名。相比于ECDSA，去掉了求倒数的操作。

对于Schnorr格式的签名，当选择$b$bits的Hash函数时，最终Schnorr格式的签名可减少至$3b$ bits.

decompress需要有额外的求平方根运算，为节约verify的验证时间，也可传递未被压缩的public keys和未压缩的签名。decompress解压缩的细节可参看博客edwards25519 point压缩及解压缩算法，求平方根运算见博客有限域内的平方根求解原理解析及curve25519-dalek中的实现.

基于Pairing-based的签名，其长度更小，大约为$2b$ bits，但是pairing-based的验签速度要比elliptic-verve的验签速度慢一个数量级。

参考资料：
[1] 论文《Faster batch forgery identification》
[2] 博客Schnorr signature (Schnorr 签名)数学原理
[3] Edwards-Curve Digital Signature Algorithm (EdDSA)
[4] https://slowli.github.io/ed25519-quirks/
[5] https://yondon.blog/2019/01/01/how-not-to-use-ecdsa/