Почему кофактор искривленной кривой Эдвардса выбран равным 8?

След $p+1-\#E$, где p — порядок базового поля, а $#E4 — количество точек на кривой.

Причина $\{4,8\}$ дело в том, что trace(E) = -trace(квадратичное скручивание E). Подключив определение, $\#E + \#(скрутка \E) = 2p + 2$. Когда $p == 1\ mod\ 4$, тогда $2p+2 == 4\мод\8$. Это означает, что #E и #(twist E) не могут оба иметь форму $4*(большой\простой)$, потому что тогда их сумма была бы $4*(нечетное + нечетное)$, который будет делиться на 8. Итак, если у E есть кофактор 4, то у твист-E должен быть кофактор не менее 8, и наоборот.

Для X25519 (обычный протокол DH по сравнению с Curve25519) протокол также должен быть безопасным при скручивании, потому что вы не проверяете, находится ли точка на кривой. Таким образом, вы хотите минимизировать кофактор на обоих, и $\{4,8\}$ или же $\{8,4\}$ это лучшее, что вы можете сделать. Бернштейн выбрал $\{8,4\}$ чтобы меры безопасности на изгибе автоматически защищали и поворот.