RSA署名：署名と検証

RSA署名では鍵の役割が逆になります。秘密鍵で署名し、公開鍵で検証します。これにより、公開鍵を使って誰でもあなたの身元を検証できます。

秘密鍵（d, n）でメッセージMに署名するには、次のようにします。 1. H = SHA256(M) 2. sig = H^d mod n 署名は、nと同じビット長を持つ数値です。

公開鍵（e, n）で署名sigを検証するには、次のようにします。 1. H' = sig^e mod n 2. H = SHA256(M) 3. H == H'なら有効です 公開鍵を持つ人なら誰でも検証でき、秘密情報は必要ありません。

生のRSA署名には可鍛性があります。PKCS#1 v1.5では、署名前にハッシュへパディングを追加します。 0x00 0x01 [0xFF padding] 0x00 [DigestInfo] [Hash] 検証では、パディング構造が正確に一致するかを確認します。

RSA-PSS（Probabilistic Signature Scheme）はランダムなソルトを使用するため、同じメッセージでも署名ごとに異なります。ランダムオラクルモデルで証明可能な安全性を備えています。PKCS#1 v1.5よりも推奨されます。

from cryptography.hazmat.primitives.asymmetric import padding from cryptography.hazmat.primitives import hashes signature = private_key.sign( message, padding.PSS( mgf=padding.MGF1(hashes.SHA256()), salt_length=padding.PSS.MAX_LENGTH ), hashes.SHA256() )

try: public_key.verify( signature, message, padding.PSS( mgf=padding.MGF1(hashes.SHA256()), salt_length=padding.PSS.MAX_LENGTH ), hashes.SHA256() ) print('Valid!') except InvalidSignature: print('Invalid!')

RSA-2048の署名は256バイトです。RSA-4096は512バイトです。ECDSA-256の署名は約71バイトです（DERエンコーディングでは可変長です）。署名には、完全な剰余べき乗演算の出力が含まれます。

ブラインド署名を使うと、署名者は内容を見ずにメッセージへ署名できます。電子投票や電子現金で使用されます。銀行がブラインド化されたトークンに署名し、ユーザーがブラインド化を解除することで、追跡不可能な現金を実現します。

Let's Encryptは、中間CAのRSA秘密鍵を使ってサーバー証明書に署名します。サーバーの公開鍵は証明書本体に含まれます。TLSクライアントはこのチェーンを自動的に検証します。

Certificate Transparencyは、発行されたすべての証明書を、暗号学的に検証可能なMerkle木に記録します。Signed Certificate Timestamp（SCT）は、発行前にログへ登録されたことを証明します。

RSA署名の検証では、どの鍵を使って署名を検証しますか？

RSA署名は、適切なパディングを使えば安全です。次は、RSAとDSA、ECDSAの署名方式を比較します。