Как максимально недорого извлечь 1 байт равномерно распределенной энтропии из 32-байтовой точки EC Curve25519

Обычное кодирование точек является структурированным и неоднородным, поскольку оно должно удовлетворять уравнению кривой. В Curve25519 с $x \in \mathbb Z(2^{255} - 19)\mathbb Z$ и используя уравнение кривой $х^3 + 486662 х^2 + х$ всегда является квадратом для точек. Существует общий совет использовать KDF на выходе ECDH для использования ключей AES, поскольку он может атаковать точки для связанные ключевые атаки.

Одним из решений этого требования является использование быстрого PRF, такого как ChaCha8, где ключ является ключом DHKE с нулевым IV.

функция extact_one_byte (точка P):
  
   один байт = 0  
   out512 = ChaCha8 (ключ, 00..00, x (P) || y (P))
   
   возврат 512[0:8]