Tại sao cofactor của đường cong Edwards xoắn được chọn là 8?

dấu vết là $p+1-\#E$, trong đó p là thứ tự của trường bên dưới và $#E4 là số điểm trên đường cong.

lý do cho $\{4,8\}$ điều đó là dấu vết (E) = -trace (độ xoắn bậc hai của E). Cắm vào định nghĩa, $\#E + \#(xoắn \ E) = 2p + 2$. Khi nào $p == 1\ mod\ 4$, sau đó $2p+2 == 4\ mod\ 8$. Điều này có nghĩa là cả #E và #(twist E) đều không thể có dạng $4*(lớn\ số nguyên tố)$, bởi vì khi đó tổng của chúng sẽ là $4*(lẻ + lẻ)$, sẽ chia hết cho 8. Vì vậy, nếu E có đồng sáng lập là 4, thì twist-E phải có ít nhất đồng sáng lập là 8 và ngược lại.

Đối với X25519 (giao thức DH thông thường trên Curve25519), giao thức này cũng phải được bảo mật khi xoắn, bởi vì bạn không kiểm tra xem điểm có nằm trên đường cong hay không. Vì vậy, bạn muốn giảm thiểu đồng sáng lập trên cả hai và $\{4,8\}$ hoặc $\{8,4\}$ là điều tốt nhất bạn có thể làm. Bernstein đã chọn $\{8,4\}$ để các biện pháp an ninh trên đường cong cũng sẽ tự động bảo vệ đường xoắn.