(Не)безопасность алгебраически полученных ключей EC

Недавно у меня была ситуация, когда мне нужно было программно получить вторичный закрытый ключ Curve25519 из существующего. Очевидным решением было использовать KDF, но в то время я задавался вопросом о получении второго ключа с помощью некоторой алгебраической операции над скалярным значением, что, конечно же, (по крайней мере, для некоторых преобразований) также сделало бы вторичный открытый ключ производным от исходного открытый ключ. Мое предположение по умолчанию заключалось в том, что это будет небезопасно, возможно, давая возможность найти исходный (и производный) закрытый ключ, используя два открытых ключа. Это правильно? Если да, то как будет выглядеть восстановление ключа?

Мое предположение по умолчанию заключалось в том, что это небезопасно, возможно, давая возможность найти исходный (и производный) закрытый ключ, используя два открытых ключа. Это правильно?

На самом деле довольно легко показать, что это неверно.

Предположим, у нас есть открытый ключ $Ч$ на основе закрытого ключа $к$ (так $H=кГ$, куда $G$ является генератором кривой), и мы получаем вторичный закрытый ключ $к' = ак+б$ (для публики $а, б$) и производный открытый ключ $H' = k'G$. Предположим далее, что у нас есть оракул, который, учитывая $Ч,Ч'$ (и $а, б$), удалось восстановить $к$.

Тогда, что мы могли бы сделать, учитывая $Ч$, вычисляет производный открытый ключ $H' = aH+bG$, и рука $Ч,Ч'$ к нашему Oracle, и он даст нам закрытый ключ.

Это, так как это может быть вычислено публично означает, что это не может вызвать утечку (по крайней мере, не так, как вы беспокоитесь)