楕円曲線DSA

楕円曲線DSA（だえんきょくせんDSA、Elliptic Curve Digital Signature Algorithm、Elliptic Curve DSA、楕円DSA、ECDSA）は、Digital Signature Algorithm (DSA) について楕円曲線暗号を用いるようにした変種である。

DSAとの比較

楕円曲線暗号で一般的に言われるように、ECDSAにおいて必要とされる公開鍵のサイズはセキュリティビット数のおよそ2倍であると考えられている。例えば、80ビットのセキュリティビット数（攻撃者が秘密鍵を取得するために $2^{80}$ 回の計算を必要とする）を得るために、DSAでは最低でも1024ビットの公開鍵が必要であるが、ECDSAでは160ビットの公開鍵で十分である。一方、署名のサイズはDSAでもECDSAでも同じであり、必要とするビット安全性の4倍のビット長を要する（80ビットのビット安全性を保つためには320ビットの長さの署名が必要）。

署名生成

Parameter
CURVE	使用する楕円曲線
G	ベースポイント（位数 n の巨大素数とともに楕円曲線を定義する）
n	G の位数（$n*G=O$ を満たす）

アリスが署名したメッセージをボブに送る場合を考える。最初に、使用する楕円曲線のパラメータ $(CURVE,G,n)$ を決めておく必要がある。

アリスは $[1,n-1]$ の範囲からランダムに選択された秘密鍵 $d_{A}$ と、公開鍵 $Q_{A}=d_{A}*G$ から成る鍵ペアを生成する。ここで $*$ は楕円曲線上での掛け算 (scalar multiplication) を意味する。

アリスがメッセージ $m$ に署名する場合、以下の計算を行う。

1. $e={\textrm {HASH}}(m)$ を計算する。ここで HASH はSHA-1のような暗号学的ハッシュ関数を指す。
2. $z$ を、$e$ の最上位側の $L_{n}$ ビットとする。ここで $L_{n}$ は位数 $n$ のビット長とする。
3. $[1,n-1]$ の範囲から整数 $k$ を任意に選択する。
4. 曲線上の点 $(x_{1},y_{1})=k*G$ を計算する。
5. $r=x_{1}\,{\bmod {\,}}n$ を計算する。$r=0$ となる場合には $k$ の選択に戻る。
6. $s=k^{-1}(z+rd_{A})\,{\bmod {\,}}n$ を計算する。$s=0$ となる場合には $k$ の選択に戻る。
7. $(r,s)$ が $m$ に対する署名となる。

$s$ を計算する際に、${\textrm {HASH}}(m)$ から得られる $z$ は整数に変換される。$z$ は $n$ より「大きい」ことは許されるが、「長い」ことは許されない。

DSAと同様に、署名ごとに異なる $k$ を選択することは極めて重要である。さもないと、ステップ6の式から秘密鍵 $d_{A}$ を得ることが可能となってしまう。メッセージ $m$ および $m'$ に対して、未知だが同じ $k$ から得られた2つの署名 $(r,s)$ および $(r,s')$ がある場合、攻撃者は $z$ および $z'$ を計算することが可能であり、$s-s'=k^{-1}(z-z')$ であることから、$k={\frac {z-z'}{s-s'}}$ が得られる。$s=k^{-1}(z+rd_{A})$ であるから、攻撃者は秘密鍵 $d_{A}={\frac {sk-z}{r}}$ を得ることができる。このように単一の $k$ を用いることは不適切な実装であり、PlayStation 3のソフトウェア署名鍵が漏洩したのはこれが原因であった。

署名検証

ボブがアリスの署名を検証するためには、アリスの公開鍵 $Q_{A}$ が必要である。公開鍵 $Q_{A}$ が正当なものであるかの検証は以下のとおりである。

1. $Q_{A}$ が $O$ でないことを確認する。
2. $Q_{A}$ が曲線上にあることを確認する。
3. $n*Q_{A}=O$ であることを確認する。

メッセージ $m$ と署名 $(r,s)$ の検証は以下のように行われる。

1. $r$ および $s$ がいずれも $[1,n-1]$ の範囲にある整数であることを確認する。これを満たさない場合には署名は不正なものである。
2. $e={\textrm {HASH}}(m)$ を計算する。ここで HASH は署名生成に用いられたハッシュ関数と同一のものである。
3. $z$ を、$e$ の最上位側の $L_{n}$ ビットとする。
4. $w=s^{-1}\,{\bmod {\,}}n$ を計算する。
5. $u_{1}=zw\,{\bmod {\,}}n$ および $u_{2}=rw\,{\bmod {\,}}n$ を計算する。
6. 曲線上の点 $(x_{1},y_{1})=u_{1}*G+u_{2}*Q_{A}$ を計算する。
7. $r\equiv x_{1}{\pmod {n}}$ であれば署名は正当なものである。

Straus's algorithm（Shamir's trickとも）を用いることで、2つの楕円曲線上での掛け算の和 $u_{1}*G+u_{2}*Q_{A}$ を、2つの楕円曲線上での掛け算よりも速く計算することができる。

アルゴリズムの正当性

ここで $C$ は署名検証のステップ6で得られた点とする。

$C=u_{1}*G+u_{2}*Q_{A}$

公開鍵が $Q_{A}=d_{A}*G$ と定義されることより

$C=u_{1}*G+u_{2}d_{A}*G$

楕円曲線上での掛け算より

$C=(u_{1}+u_{2}d_{A})*G$

署名検証のステップ4より $u_{1}$ および $u_{2}$ の定義を拡張すると

$C=(zs^{-1}+rd_{A}s^{-1})*G$

$s^{-1}$ を外に出して

$C=(z+rd_{A})s^{-1}*G$

署名のステップ6より $s$ の定義を拡張すると

$C=(z+rd_{A})(z+rd_{A})^{-1}(k^{-1})^{-1}*G$

逆数の逆数は元と同じであることと、逆数と元の積は $O$ であることから

$C=k*G$

$r$ の定義より、これは署名検証のステップ6と等しい。

これは正しく署名されたメッセージは正しく検証されることのみを示しており、セキュアな署名アルゴリズムであるための他の要素については考慮していない。

セキュリティ

2010年12月、fail0verflowと名乗るグループが、ソニーがPlayStation 3のソフトウェア署名に用いていたECDSA秘密鍵の回復に成功したと発表した。しかし、これは $k$ をランダムではなく固定値としていたソニーの不適切な実装によるものであり、アルゴリズム自体の脆弱性ではない。署名生成のセクションで述べたように、$k$ を固定値で用いることは秘密鍵 $d_{A}$ を計算可能とし、アルゴリズムを破綻させるものである。

2011年3月29日、2人の研究者による論文がIACRに発表された。この論文では、サイドチャネル攻撃の一つであるタイミング攻撃によって、ECDSAを認証に利用し、OpenSSLを用いたサーバのTLS秘密鍵を入手可能であることが示された。この脆弱性はOpenSSL 1.0.0eで修正された。

2013年8月、Java class SecureRandomのいくつかの実装において、$k$ のコリジョンが発生することがあるバグが明らかとなった。前述のように、これにより秘密鍵を得ることが可能であり、Javaを利用しECDSAを認証に用いていたAndroidアプリからBitcoinが盗まれる危険性があった。この問題は、RFC 6979にあるように、秘密鍵とメッセージハッシュから決定論的に $k$ を導くことで回避できる。

このアルゴリズムは楕円曲線をパラメータとして必要とするが、多くの場合NISTによって定められた楕円曲線（P-256、P-384、P-521など）が用いられる。これらの曲線は特定のシード値からSHA-1を基盤としたアルゴリズムを用いて算出されているが、シード値の根拠が不明であること、また同じく固定の楕円曲線を用いたアルゴリズムであるDual_EC_DRBGにNSAがバックドアを仕込んだ上でRSAセキュリティ社のセキュリティ製品に採用させたと報道されたことから、疑いの目で見られることがある。

実装ライブラリ

ECDSAをサポートしているライブラリは以下の通りである。

• Botan
• Bouncy Castle
• cryptlib
• Crypto++
• libgcrypt
• OpenSSL
• GnuTLS
• wolfCrypt

参考文献

• Accredited Standards Committee X9, American National Standard X9.62-2005, Public Key Cryptography for the Financial Services Industry, The Elliptic Curve Digital Signature Algorithm (ECDSA), November 16, 2005.
• Certicom Research, Standards for efficient cryptography, SEC 1: Elliptic Curve Cryptography, Version 2.0, May 21, 2009.
• López, J. and Dahab, R. An Overview of Elliptic Curve Cryptography, Technical Report IC-00-10, State University of Campinas, 2000.
• Daniel J. Bernstein, Pippenger's exponentiation algorithm, 2002.
• Daniel R. L. Brown, Generic Groups, Collision Resistance, and ECDSA, Designs, Codes and Cryptography, 35, 119–152, 2005. ePrint version
• Ian F. Blake, Gadiel Seroussi, and Nigel P. Smart, editors, Advances in Elliptic Curve Cryptography, London Mathematical Society Lecture Note Series 317, Cambridge University Press, 2005.
• . (2004). doi:10.1007/b97644. 

関連項目

• 楕円曲線暗号
• Digital Signature Algorithm

外部リンク

• Digital Signature Standard; includes info on ECDSA