DSAとECDSAの署名方式

DSAとECDSAは、離散対数問題の困難性を利用する別の署名方式です。ECDSAは、鍵が小さく処理が高速であるため、現代のシステムで主流になっています。

DSA（NIST、1994年）は、Z*p内の素数位数qの巡回群を使用します。鍵生成では、秘密鍵xと公開鍵y = g^x mod pを生成します。標準的なサイズはpが2048ビット、qが256ビットです。

1. ランダムなノンスk（1 < k < q）を生成します 2. r = (g^k mod p) mod q 3. s = k^(-1) × (Hash(M) + x×r) mod q 4. 署名：(r, s)

1. u1 = Hash(M) × s^(-1) mod q 2. u2 = r × s^(-1) mod q 3. v = (g^u1 × y^u2 mod p) mod q 4. v == rなら有効です

同じkを2回使用すると、2つの署名でrが共有されます。2つの（r,s1）と（r,s2）の組から、秘密鍵xを直接計算できます。これによってPS3は破られました（毎回k=1を使用していたためです）。

ECDSAは、Z*pではなく楕円曲線群上にDSAを適用した方式です。楕円曲線によって、パラメーターを大幅に小さくしながら同等のセキュリティを実現できます。セキュリティ強度では、ECDSA-256 ≈ DSA-3072です。

from cryptography.hazmat.primitives.asymmetric import ec from cryptography.hazmat.primitives import hashes private_key = ec.generate_private_key(ec.SECP256R1()) sig = private_key.sign(message, ec.ECDSA(hashes.SHA256())) public_key = private_key.public_key() public_key.verify(sig, message, ec.ECDSA(hashes.SHA256()))

RFC 6979は、秘密鍵とメッセージハッシュからkを決定論的に導出します。これによりRNGへの依存がなくなり、ノンスの再利用が不可能になります。現代の実装ではすべてRFC 6979が使用されています。

Ed25519（Edwards-curve DSA）は、Curve25519のねじれEdwards形式を使用します。設計上、決定論的です。処理時間が入力に依存しない定時間実装です。ECDSAより高速で、新しいプロトコル（SSH鍵、TLS 1.3、Signal）に推奨されます。

RSA-2048の署名は256バイトです。ECDSA-256の署名は約71バイトです。Ed25519の署名は64バイトです。Ed25519の公開鍵は32バイトです。このサイズの違いは、リソースに制約のあるデバイスでは重要です。

NIST P-256（secp256r1）：TLS、FIPS準拠。secp256k1：Bitcoin、Ethereum。Curve25519／Ed25519：Signal、WireGuard、新しいSSH。Brainpool：一部の欧州標準。

DSA、ECDSA、Ed25519について理解できました。次は、デジタル署名がコード署名やメールなどの実際のアプリケーションをどのように保護するかを学びます。