3.3 Sign (署名)

秘密鍵 k の下でのメッセージ M の EdDSA 署名は, PH(M) の PureEdDSA 署名として定義されます。言い換えれば, EdDSA は単に PureEdDSA を使用して PH(M) に署名します。

秘密鍵 k の下でのメッセージ M の PureEdDSA 署名は, 2b ビット文字列 ENC(R) || ENC(S) です。R と S は次のように導出されます。まず r = H(h_b || ... || h_(2b-1) || M) を定義し, 2b ビット文字列をリトルエンディアン形式で {0, 1, ..., 2^(2*b) - 1} の整数として解釈します。R = [r]B および S = (r + H(ENC(R) || ENC(A) || PH(M)) * s) mod L とします。ここで使用される s は前のセクションからのものです。