Что произойдет, если кривая, используемая в протоколе согласования ключей, также будет использоваться в подписи внутри протокола?

В подписи, как это практикуется с ECC, первый шаг в $\operatorname{sig}_{k_a}(aP)$ перемешивает $аП$. Кажется, это предотвращает любую атаку, которая могла бы использовать $аП$ вычисляется на кривой, используемой для подписи, за исключением случаев, когда тот же хеш повторно используется в секретной точке кривой, что не имеет место в случае ECDH, как это практикуется (используются определенные KDF; и можно было бы повторно использовать один и тот же хэш с другим форматирование сообщения, например, префикс).

Таким образом, я не вижу больше проблем с использованием одной и той же кривой для согласования ключей и подписи, чем с использованием одной и той же кривой для нескольких открытых ключей в подписи. Последний распространен и имеет небольшой недостаток. Это позволяет объединить некоторые предварительные вычисления, например. при атаке открытых ключей с помощью baby-step/giant-step, но это имеет незначительное практическое значение.