<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Fri, Apr 7, 2017 at 5:07 PM, Gregory Maxwell <span dir="ltr"><<a href="mailto:gmaxwell@gmail.com" target="_blank">gmaxwell@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">I think that people should really consider curves with cofactor 1.<br>
Outside of the DH context</blockquote><div><br></div><div>I think e.g. secp256k1 has some very nice properties for signatures, but it seems fairly common to want to use the same curve for signatures and D-H, such as the Lightning Network adapting Trevor's Noise protocol to use secp256k1 for D-H. I think it's probably worth considering both the signatures and D-H use cases.</div><div><br></div><div>In regard to hierarchical key derivation which addresses both signatures and D-H cases using Curve25519, the torsion safe representatives scheme from the Tor developers seems to do this relatively elegantly.</div></div><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature">Tony Arcieri<br></div>
</div></div>