ECDSA
L'Elliptic Curve Digital Signature Algorithm (ECDSA) è uno schema di firma a chiave pubblica. Il firmatario usa una chiave privata per firmare il digest di un messaggio; la chiave pubblica consente la verifica. ECDSA fornisce autenticazione e integrità, non cifratura: non nasconde il messaggio.[1]
Bitcoin usa ECDSA con secp256k1 per molte uscite precedenti a Taproot e SegWit. Taproot usa firme Schnorr BIP 340 sulla stessa curva.[2]
Funzionamento
Il dominio definisce un punto base G di ordine n. La chiave privata è d e quella pubblica Q = dG. Per firmare il digest z, si sceglie un nonce segreto unico k, si calcola R = kG, si ricava r dalla coordinata x e s = k⁻¹(z + rd) mod n. La firma è (r,s).
La verifica controlla gli intervalli e calcola un punto da z, s e Q. Conferma la relazione fra firma, messaggio e chiave, ma non rivela la chiave privata né prova l'identità civile del titolare.[1] Una chiave privata a 256 bit occupa normalmente 32 byte; una chiave pubblica secp256k1 occupa 33 byte compressa o 65 non compressa.
Sicurezza del nonce
Il k non deve ripetersi per messaggi diversi con la stessa chiave né essere prevedibile. Riutilizzo o bias possono rivelare la chiave. Questo tipo di errore permise di recuperare una chiave PlayStation 3 e colpì alcuni wallet Bitcoin Android nel 2013.
RFC 6979 definisce ECDSA deterministico: k deriva da chiave e digest senza cambiare i verificatori.[3] Non protegge da chiavi esposte, canali laterali, aritmetica errata o dispositivi compromessi. Servono operazioni constant-time, validazione e librerie collaudate.
Uso in Bitcoin
Bitcoin usa Secp256k1. Le firme tradizionali codificano i due interi in DER e aggiungono un tipo sighash. BIP 66 ha reso DER stretto una regola di consenso. La forma low-S riduce la malleabilità poiché anche (r,n-s) potrebbe verificare.[4]
Si firma un digest dipendente dalla transazione; la modalità sighash determina input e output coperti. Taproot non ha eliminato ECDSA: le uscite precedenti lo usano ancora, mentre Taproot verifica firme Schnorr BIP 340 da 64 byte.[5]
Ricerca quantistica
Un computer quantistico fault-tolerant sufficientemente grande potrebbe ricavare la chiave privata dalla pubblica con Shor. L'hardware odierno non può farlo.
Un preprint del settembre 2026 ha ottimizzato circuiti reversibili di addizione secp256k1. Al cutoff, il migliore usava 1.151 qubit logici e circa 1,30 milioni di porte Toffoli medie per addizione, con punteggio larghezza-per-porte oltre il 50% inferiore a un confronto pubblicato. Gli autori precisano che le convenzioni differiscono e che non è una stima completa dell'attacco di Shor. Correzione fisica, chiamate ripetute, tempo e hardware restano costi ulteriori.[6][7]
La ricerca migliora una stima, non dimostra un attacco attuale. Chiavi pubbliche già rivelate sarebbero bersagli diretti se l'hardware esistesse. Il rischio futuro va distinto da furto e phishing odierni.
Voci correlate
Note
- ↑ 1,0 1,1 SECG, “SEC 1: Elliptic Curve Cryptography”, versione 2.0, 2009.
- ↑ BIP 340, attivato.
- ↑ RFC 6979, 2013.
- ↑ Libreria secp256k1 di Bitcoin Core, consultata il 16 settembre 2026.
- ↑ BIP 341, attivato.
- ↑ Long et al., “ECDSA.Fail”, 9 settembre 2026.
- ↑ CoinDesk, notizia sulla stima quantistica, 10 settembre 2026.