デジタル署名のためのRSA-PSS

RSA-PSS（Probabilistic Signature Scheme）は、PKCS#1 v1.5署名に代わる安全な方式です。証明可能な安全性を持つ署名のために、ランダム化されたエンコードを使用します。

PKCS#1 v1.5署名では、決定的なDigestInfoエンコードを使用します。既知の偽造攻撃は、検証実装の緩さを悪用します。Bleichenbacherは2006年に、特定の検証器に対する署名偽造を示しました。

Bellare-Rogawayは1996年、署名を確率的にするためにPSSへランダムなソルトを追加しました。署名するたびに異なる署名が生成されます。ランダムオラクルモデルで証明可能な安全性を持ち、RSAの困難性へのタイトな帰着が成立します。

1. mHash = Hash(M) 2. salt = random(sLen bytes) 3. M' = 0x00×8 || mHash || salt 4. H = Hash(M') 5. DB = PS || 0x01 || salt 6. dbMask = MGF1(H, emLen - hLen - 1) 7. maskedDB = DB XOR dbMask 8. EM = maskedDB || H || 0xbc

PKCS#1 v2.2の選択肢： - MAX_LENGTH：ハッシュと同じ長さのソルト（推奨、最大の安全性） - DIGEST_LENGTH：ソルトの長さをハッシュの長さにする（標準） - 0：決定的PSS（確率的という性質が失われるため非推奨） Python：padding.PSS.MAX_LENGTH

EM = sig^e mod nを復元します。maskedDBとHを解析します。mHash（メッセージから得たもの）と復元したsaltからM'を計算します。H == Hash(M')を検証します。salt自体は一致する必要はなく、Hが検証に通れば十分です。

PSS：証明可能な安全性、タイトな帰着、確率的署名、わずかに大きい計算量 v1.5：ヒューリスティックな安全性、決定性、高速、形式オラクル攻撃に対して脆弱 新しいコードではすべてPSSを使用してください。

TLS 1.3では、すべてのRSA署名にRSA-PSSを使用することが必須です。新しいTLS 1.3拡張ではPKCS#1 v1.5は禁止されています。署名アルゴリズムは、rsa_pss_rsae_sha256、rsa_pss_rsae_sha384、rsa_pss_rsae_sha512です。

from cryptography.hazmat.primitives.asymmetric import padding from cryptography.hazmat.primitives import hashes # Sign sig = private_key.sign( message, padding.PSS(mgf=padding.MGF1(hashes.SHA256()), salt_length=padding.PSS.MAX_LENGTH), hashes.SHA256() )

RSA-PSSには固有の鍵タイプOIDがあります：id-RSASSA-PSS (1.2.840.113549.1.1.10)。PSS専用に生成された鍵はこのOIDを使用し、PSS署名が必須です（v1.5では動作しません）。新しい導入ではこれがベストプラクティスです。

salt_length = hash_lengthの場合、PSSの安全性はmin(|modulus|/2, |hash|) - 1ビットです。RSA-2048とSHA-256では128ビットの安全性になります。安全性レベルを合わせるには、192ビットの安全性を持つRSA-3072 + SHA-384を使用します。

RSAで署名する場合はRSA-PSSが安全な方法です。次は楕円曲線暗号を極め、曲線の幾何学と代数を理解します。