Điều gì xảy ra nếu đường cong được sử dụng trong giao thức thỏa thuận khóa cũng được sử dụng trong chữ ký bên trong giao thức?

Trong chữ ký như đã thực hành với ECC, bước đầu tiên trong $\operatorname{sig}_{k_a}(aP)$ đang băm $aP$. Điều đó dường như ngăn chặn bất kỳ cuộc tấn công nào sẽ sử dụng $aP$ được tính toán trên đường cong được sử dụng cho chữ ký, ngoại trừ trường hợp sử dụng lại cùng một hàm băm trên một điểm đường cong bí mật, đây không phải là trường hợp trong ECDH như được thực hiện (các KDF cụ thể được sử dụng; và có thể sử dụng lại cùng một hàm băm với một hàm khác định dạng tin nhắn, ví dụ: tiền tố).

Vì vậy, tôi thấy không có vấn đề gì với việc sử dụng cùng một đường cong cho thỏa thuận khóa và chữ ký, hơn là sử dụng cùng một đường cong cho nhiều khóa công khai trong chữ ký. Cái sau là phổ biến và có ít nhược điểm. Nó cho phép thực hiện chung một số nỗ lực trước khi tính toán, ví dụ: khi tấn công các khóa công khai bằng bước bé/bước khổng lồ, nhưng điều này có tầm quan trọng thực tế không đáng kể.