הצפנה מבוססת עקום אליפטי
עקום אליפטי בקריפטוגרפיה > בחירת פרמטרים

כדי להשתמש בעקום אליפטי לצורך פרוטוקול קריפטוגרפי יש לשים לב לכמה היבטים חשובים כדי למנוע חולשות שעלולות להוביל לנקודות תורפה ולשבירת המערכת. הפרמטרים הציבוריים של העקום נקראים "פרמטרי תחום" (Domain Parameters) שכאמור פומביים ומשותפים לכל המשתמשים במערכת אך יש לוודא את תקינותם. תחילה בוחרים "עקום מתאים"  E המוגדר מעל שדה סופי  \mathbb {F} _{q} עם מציין  p וכן בוחרים נקודת בסיס  P\in E(\mathbb {F} _{q}). כאשר ההגדרה "עקום מתאים" מתייחסת לכמה פרמטרים חיוניים כדלהלן; כדי למנוע התקפות המסתמכות על פתרון בעיית הלוגריתם הבדיד בעקום אליפטי (ECDLP) עם אלגוריתם רו של פולרד או פוליג-הלמן, חובה שלסדר העקום או מספר נקודות העקום המסומן ב- \#E(\mathbb {F} _{q}) יהיה גורם ראשוני  n גדול דיו (למשל  n>2^{160}), ש- n\approx q כך שמספר הנקודות בעקום יהיה "כמעט ראשוני" וכן ש- n>4{\sqrt {q}}. לפי משפט הסה בעקום אליפטי, מספר הנקודות של עקום אליפטי חסום על ידי
מזה נובע ש- n^{2} אינו מחלק של  \#E(\mathbb {F} _{q}) ולכן לעקום זה קיימת תת-חבורה מסדר  n. ממשפט זה נובע גם שקיים שלם יחיד  h הנקרא cofactor המקיים
במילים אחרות  \textstyle h=\left\lfloor ({\sqrt {q}}+1)^{2}/n\right\rfloor  ולכן מספר הנקודות של העקום הוא  hn. וכדי למנוע התקפת תת-חבורה מסדר קטן המנצלת את סדר החבורה יש צורך שהנקודה  P תהיה מסדר  n. וכדי למנוע התקפות המנצלות רדוקציה מעקום אליפטי לשדה סופי (מורחב) יש צורך שהעקום לא יהיה סופר-סינגולרי, כלומר לוודא ש- n אינו מחלק של  q^{k}-1 עבור כל  1\leq k\leq C כאשר  C גדול מספיק כך שמציאת לוגריתם דיסרקטי בשדה  \mathbb {F} _{q^{C}} יהיה קשה (למשל  C=20) וכן רצוי למנוע התקפה אחרת נגד "עקום אנומלי" שהוא עקום אליפטי שבו מספר הנקודות הוא בדיוק  q (שהוא מספר ראשוני), לכן רצוי שסדר העקום לא יהיה  q. באופן כללי כדי למנוע התקפות אילו ואחרות (שמנצלות חולשות הנובעות מתכונות מיוחדות של העקום) האסטרטגיה המומלצת היא לבחור את העקום באופן אקראי בתנאי כמובן של- \#E(\mathbb {F} _{q}) יש גורם ראשוני גדול. הסבירות שעקום שנבחר כך יהיה פגיע לאחת ההתקפות הללו אינה גדולה. וכן חשוב לבחור את העקום באופן כזה שיהיה קל לוודא שהוא אכן עומד בתנאים המצוינים. אחת הדרכים היא אסטרטגיה דומה לזו שננקטה על ידי NIST בבחירת הפרמטרים עבור DSA בתקן FIPS 186 - קרי לעשות שימוש בפונקציית גיבוב כמו SHA-2 כגרעין התחלתי ממנו מפיקים את הפרמטרים האמורים, כמתואר בתקן ANSI X9.62. ואז יש כמובן לשמור גם את הגרעין ההתחלתי כחלק בלתי נפרד מסט הפרמטרים, כך שהמקבל יוכל לוודא באמצעותו שהפרמטרים תקינים ולא נבחרו באופן מעורר חשד.
יש לציין שהכנת עקום אליפטי בטוח לצורך קריפטוגרפי שעומד בכל התנאים הדרושים היא מלאכה קשה, מסיבה זו בפועל מעדיפים להשתמש ברשימות העקומים האליפטיים ונקודות בסיס הנלוות להם, שמסופקות על ידי ארגוני התקינה ומלוות בדרך כלל באמצעים המאפשרים לוודא שהם אכן עומדים בסטנדרטים המחמירים ביותר ובעיקר שאינם מכילים דלת אחורית (backdoor) - שהיא תכונה נסתרת באחד הפרמטרים שמאפשרת למי שמחזיק במידע סודי לשבור את המערכת בקלות.
ב-2013 התגלה כחלק מההדלפות של סנודן שה-NSA שתלו דלת אחורית באלגוריתם Dual_EC_DRBG שהיה חלק מתקן של NIST למחולל פסאודו אקראי קריפטוגרפי המבוסס על עקום אליפטי. מלבד זאת מומחים הביעו חשש בנוגע לאחדים מן הקבועים של NIST ש-NSA התערב בבחירתם. בשל כך נוצרה דרישה לעקומים אליפטיים תיקניים שאינם נמנים עם הרשימה של NIST. ב-2005 פרסם דניאל ברנשטיין את העקום Curve25519 המציע ביטחון ברמה של 128 סיביות והוא נמצא בשימוש נרחב כיום בין היתר על ידי OpenSSL וכן וואטסאפ.