<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Wed, Mar 29, 2017 at 12:34 PM, Ron Garret <span dir="ltr"><<a href="mailto:ron@flownet.com" target="_blank">ron@flownet.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div style="word-wrap:break-word"><span class="gmail-"><div>What would be the benefit?</div></span></div></blockquote><div><br></div><div>The main benefit is that the D-H use case deals only with Montgomery-x coordinates, and all scalar multiplications can be performed using the Montgomery ladder.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div style="word-wrap:break-word"><span class="gmail-"><div>It seems to me that it doesn’t really matter much one way or the other, but if you’re going to convert one to the other then it seems to make more sense to derive the DH key from the DSA key because going the other way you lose the sign of the Y coordinate.</div></span></div></blockquote></div><br clear="all"><div>Trevor wrote a great post highlighting the respective tradeoffs here:</div><div><br></div><div><a href="https://moderncrypto.org/mail-archive/curves/2015/000376.html">https://moderncrypto.org/mail-archive/curves/2015/000376.html</a><br></div><div><br></div>-- <br><div class="gmail_signature">Tony Arcieri<br></div>
</div></div>