List of Ecc [text.Baldanders.info]

PuTTY 0.81 がリリースされた【セキュリティ・アップデート】

2024-04-16T11:42:46+00:00

Windows 用の SSH クライアントソフトである PuTTY について ECDSA 署名に絡んで秘密鍵が漏洩するリスクがあるらしい。

PuTTY vulnerability vuln-p521-bias

Every version of the PuTTY tools from 0.68 to 0.80 inclusive has a critical vulnerability in the code that generates signatures from ECDSA private keys which use the NIST P521 curve. (PuTTY, or Pageant, generates a signature from a key when using it to authenticate you to an SSH server.)

via PuTTY vulnerability vuln-p521-bias

上の引用の通り，対象となるのは PuTTY 0,68 から 0.80 までのバージョン。最新の 0.81 で修正されている。なお FileZilla, WinSCP, TortoiseGit, TortoiseSVN といったアプリケーションには PuTTY がバンドルされていることがあるので，これらのアップデート情報にも注意すること。 PuTTY は年に1,2回くらいの頻度でセキュリティ・アップデートが発生するので（ちゃんとメンテされてる証拠），バンドル品は使わないほうがいいと思うなぁ。

日本語カスタム版は PuTTY-ranvis がおすすめ。こちらも 0.81 がリリースされた。

PuTTYrv (PuTTY-ranvis) - Ranvis software

厄介なことに今回はアプリケーションを更新しただけではダメで，認証鍵を新しいものに差し替える必要があるかも知れない。ただし対象となるのは NIST P-521 楕円曲線を使った ECDSA 鍵のみ。それ以外はとりあえずセーフということで（笑）

今回の脆弱性は ECDSA 署名時に使用する nonce を生成するための乱数生成に起因するものらしい。以前から DSA/ECDSA の実装上のネックとなっているのがこの乱数生成部分で，ここの実装をサボると秘密鍵の漏洩に繋がることが知られている。まぁ，今回はサボったわけではないだろうが，何らかの不備があったということだろう。

というわけで，新たに認証鍵を作成するのなら EdDSA (ed25519 曲線) 鍵にすることをお勧めする。 EdDSA は2023年にリリースされた NIST FIPS 186-5 に標準として正式に組み込まれたので，仕事用でも大手を振って使ってよい。

CVE-2024-31497

In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation allows an attacker to recover a user’s NIST P-521 secret key via a quick attack in approximately 60 signatures. This is especially important in a scenario where an adversary is able to read messages signed by PuTTY or Pageant. The required set of signed messages may be publicly readable because they are stored in a public Git service that supports use of SSH for commit signing, and the signatures were made by Pageant through an agent-forwarding mechanism. In other words, an adversary may already have enough signature information to compromise a victim’s private key, even if there is no further use of vulnerable PuTTY versions. After a key compromise, an adversary may be able to conduct supply-chain attacks on software maintained in Git. A second, independent scenario is that the adversary is an operator of an SSH server to which the victim authenticates (for remote login or file copy), even though this server is not fully trusted by the victim, and the victim uses the same private key for SSH connections to other services operated by other entities. Here, the rogue server operator (who would otherwise have no way to determine the victim’s private key) can derive the victim’s private key, and then use it for unauthorized access to those other services. If the other services include Git services, then again it may be possible to conduct supply-chain attacks on software maintained in Git. This also affects, for example, FileZilla before 3.67.0, WinSCP before 6.3.3, TortoiseGit before 2.15.0.1, and TortoiseSVN through 1.14.6.

via CVE-2024-31497

以下未稿。

ブックマーク

参考

SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys (IT Mastery Book 12) (English Edition): Lucas, Michael W (著); Tilted Windmill Press 2018-02-06 (Release 2018-02-06); Kindle版; B079NL1L9K (ASIN); 評価

[Comment] タイトルを見て “SSH Mystery” と空目したアホは私です。洋書だけど英語不得手の私にも読める内容。

reviewed by Spiegel on 2021-01-11 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

NIST FIPS 186-5 および SP 800-186 正式版がリリースされた

2023-02-04T00:30:31+00:00

長い間ドラフト状態だった FIPS 186-5 および SP 800-186 の最終版が出たようだ。

この記事では FIPS 186-5 に注目して書いてみる。

大きな変更は3つ。

DSA が標準から外れる

Prior versions of this standard specified the DSA. This standard no longer approves the DSA for digital signature generation. However, the DSA may be used to verify signatures generated prior to the implementation date of this standard. See FIPS 186-4 [7] for the specifications for the DSA.

via “Digital Signature Standard (DSS)” section 4

ということで予定通り，電子署名生成用途としては， DSA は NIST 標準から外れることになった。ただし，以前に DSA で作成された署名を検証する必要があるため，アプリケーションによっては実装を残しておく必要がある。 DSA 実装に関しては旧版の FIPS 186-4 を読めってあるな。

ECDSA 自体を定義し直す

今まで ECDSA の実装については，以前の FIPS 186-4 だけでは完結してなくて， ANSI X9.62 なんかも併せて参照する必要があった。特に ANSI X9.62 は所謂 paywalled document って奴で，誰でも気軽に見れるもんじゃないのね。

まだ中身をちゃんと読んでないのだが，この版ではそういった外部参照を取り払って FIPS 186-5 のみで実装を定義しているようだ。めでたい！言い方を変えると，今後 ECDSA を実装する際は FIPS 186-5 を見ろってことでもある。まぁ，私を含めて殆どの人は偉い人が作ったライブラリを利用するだけで，中身を気にする人は少ないだろうけど（笑）

EdDSA が標準として承認された

そして最大のトピックは EdDSA が NIST 標準として承認されたことだろう。

ちなみに EdDSA については，日本の CRYPTREC でも評価が行われていて

総評：下記の観点から、EdDSA の構成に関わる安全性において、EdDSA が ECDSA に劣ると考えられる点は無いと思われると述べている。

Schnorr 署名をもとに EdDSA は構成されているため、ランダムオラクルモデルで安全性が証明されている Schnorr 署名に対する安全性評価を参考にすることができる。

Schnorr 署名との大きな違いはノンスの生成方法であるが、EdDSA におけるノンスの生成方法は、署名の内部乱数を弱い疑似乱数生成器に委ねることによる危険を排除し、現実的な脅威を回避するための配慮が施されている。

比較対象となる ECDSA については、既存結果として generic group model でのみ安全性が証明されている。

CRYPTREC Report 2020 暗号技術評価委員会報告より

と書かれている。まぁ，これで政府調達でも何でも大手を振って EdDSA を使えるというものである。

めでたい！（大事なことなので2度言いました）

ブックマーク

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

量子コンピュータで256ビット楕円曲線暗号は破れるか

2022-02-19T04:39:48+00:00

Bruce Schneier 先生のブログ記事より。

この論文で256ビット楕円曲線暗号を破るのに必要な量子コンピュータのサイズを計算したらしい。概要（ABSTRACT）には

Finally, we calculate the number of physical qubits required to break the 256-bit elliptic curve encryption of keys in the Bitcoin network within the small available time frame in which it would actually pose a threat to do so. It would require $317 \times 10^6$ physical qubits to break the encryption within one hour using the surface code, a code cycle time of $1\ {\mu}\mathrm{s}$, a reaction time of $10\ {\mu}\mathrm{s}$, and a physical gate error of $10^{−3}$. To instead break the encryption within one day, it would require $13 \times 10^6$ physical qubits.

via The impact of hardware specifications on reaching quantum advantage in the fault tolerant regime

とあるので，そういうことなのだろう。ちなみに2021年末の時点で IBM が開発した量子コンピュータのサイズが127物理キュービットで最大らしいので，まぁ当分は大丈夫というところなのだろう。

日本でも既存暗号の量子コンピュータ耐性について継続的に調査と評価が行われていて，毎年の CRYPTREC Report に載っている。

2020年2月に公開された「現在の量子コンピュータによる暗号技術の安全性への影響」では

例えば、量子コンピュータを用いて2048ビットRSA合成数の素因数分解を行う場合には、量子誤りが一切ないという理想的な環境下でも、4098量子ビットが必要であり、1012～1013回のゲート演算が必要であると見積もられています。また、量子誤りがあるという現実的な環境下では、2000万量子ビットが必要であるという見積もりもあります。

現在の量子コンピュータによる暗号技術の安全性への影響より

量子コンピュータの性能を測る上での指標（量子ビット数、量子誤りの大きさ、演算可能回数など）や、量子コンピュータの開発状況もあわせて考慮にいれると、近い将来に、2048ビットの素因数分解や256ビットの楕円曲線上の離散対数問題が解かれる可能性は低いと考えます。

現在の量子コンピュータによる暗号技術の安全性への影響より

とあるが，当時の試算は

論文¹ で使用されている量子コンピュータは53量子ビットであり、計算は合計1543回のゲート演算で構成されています。このとき、1回当たりの計算時間は、1マイクロ秒程度であると見積もられています。なお、ターゲットとする問題の性質上、量子誤り訂正は組み込まれていません。

Quantum supremacy using a programmable superconducting processor ↩︎

現在の量子コンピュータによる暗号技術の安全性への影響より

となっている。量子コンピュータってどんどん進歩してるんだねぇ。今後も注意して見ていく必要があるかな。

ブックマーク

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

DSA は NIST 電子署名標準から外れるようだ

2021-02-17T11:53:55+00:00

Go 1.16 のリリースノートを眺めていて今さら気付いたのだが，いまだドラフト中の FIPS 186-5 によると， DSA を「電子署名生成用途としては」電子署名標準（Digital Signature Standard; DSS）から外すつもりのようだ。ドラフト版 FIPS 186-5 の DSA の節はまるっと削られて以下の文章のみ掲載されている。

Prior versions of this standard specified the DSA. This standard no longer approves DSA for digital signature generation. DSA may be used to verify signatures generated prior to the implementation date of this standard. See FIPS 186-4 [20] for the specifications for DSA.

via FIPS 186-5 (Draft), Digital Signature Standard (DSS)

鍵長の問題（現在は鍵長を変数化することで対処している）以外はアルゴリズム自体に危殆化問題があるわけではないと思うが，出自がアレだし実装面の複雑さ¹ もあって評判がよろしくないのは聞いていた。まぁ「設計限界」というやつなんだろう。

その代わりといってはナニだが楕円曲線暗号のひとつである EdDSA (楕円曲線 ed25519/ed488) が FIPS 186-5 から電子署名標準のひとつとして加わることになっている。これについては以前に記事を書いた（なんでそのときに DSA に気がつかなかったのか）。

Edwards-curve Digital Signature Algorithm

まぁ，時代は楕円曲線暗号ということなのだろう。次期 OpenPGP である RFC 4880bis が正式にリリースされるタイミングでメインの鍵を替えようかと目論んでいるのだが，前倒ししたほうがいいのかねぇ。

ブックマーク

crypto/dsa: deprecate and remove from crypto/x509 and x/crypto/ssh · Issue #40337 · golang/go · GitHub
Cryptography Dispatches: DSA Is Past Its Prime
そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな
Go 1.16 がリリースされた： Go 1.16 では crypto/dsa パッケージが非推奨になった。
NIST FIPS 186-5 および SP 800-186 正式版がリリースされた

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

DSA は実装に必要な要素技術が多く，そのうちのひとつでも瑕疵があれば全体のセキュリティ強度が下がってしまう。 ↩︎

Edwards-curve Digital Signature Algorithm

2020-06-07T08:33:37+00:00

ネットであちこち眺めていて気がついたのだが SP 800-57 第一部の Rev.5 最終版が2020年5月にリリースされていた。

SP 800-57 Part 1 Rev. 5, Recommendation for Key Management: Part 1 – General | CSRC

私はセキュリティや暗号技術の専門家ではないし Rev.5 の変更点が（軽微なものも合わせて）67項目もあって全部は紹介しきれないので，ひとつだけ

In Section 2.2, EdDSA was added. Modified ECDSA.

via SP 800-57 Part 1 Revision 5

について関連情報を覚え書きの形で記しておく。

RFC 8032: Edwards-Curve Digital Signature Algorithm (EdDSA)

EdDSA のオリジナルは2011年に公開された “High-speed high-security signatures ” らしい。その後も改良版が出たり色々あって，2017年に RFC 8032 として標準化された。

EdDSA は以下の特徴を持っている。

EdDSA provides high performance on a variety of platforms;

The use of a unique random number for each signature is not required;

It is more resilient to side-channel attacks;

EdDSA uses small public keys (32 or 57 bytes) and signatures (64 or 114 bytes) for Ed25519 and Ed448, respectively;

The formulas are “complete”, i.e., they are valid for all points on the curve, with no exceptions. This obviates the need for EdDSA to perform expensive point validation on untrusted public values; and

EdDSA provides collision resilience, meaning that hash-function collisions do not break this system (only holds for PureEdDSA).

via RFC 8032: Edwards-Curve Digital Signature Algorithm (EdDSA)

特に2番目が重要。

これまでの NIST 標準の（ECDSA を含む） DSA は署名の度にランダムな値をひとつ決めないといけないのだが，ここの実装をサボると，最悪の場合，秘密鍵の漏洩に繋がる。更に言うと，かつて SP 800-90A に載っていた疑似乱数生成器 Dual_EC_DRBG に NSA の関与が疑われる欠陥が発覚し SP 800-90A を改訂する騒ぎにまで発展したこともある。

このように DSA の具体的な実装について常に懸念が付きまとっているため，より安全性が高いとされる EdDSA が注目されることとなった¹。

EdDSA で使える楕円曲線にはかなりのバリエーションがあるのだが， RFC 8032 に記載されているのは以下の2つである²。

楕円曲線名	鍵長（bytes）	強度（bits）
edwards25519	32	128
edwards448	57	224

生成した ECC 鍵を2031年以降も使い続けるにはセキュリティ強度にして128ビット以上必要だが，この2つの楕円曲線であれば十分であることが分かる。

NIST 標準としての EdDSA

EdDSA の RFC 化に伴い，以下の NIST 標準文書にも EdDSA が追加されることになった。ただし今のところはまだドラフト版である。

ちなみに両方共パブリックコメントは2020年初に締め切られている。

FIPS 186-5 および SP 800-186 が正式リリースされれば，政府調達でもなんでも，大手を振って EdDSA を使えるようになる（笑）

【2023-02-04 追記】 FIPS 186-5 および SP 800-186 正式版がリリースされた

EdDSA の実装

OpenPGP と GnuPG

OpenPGP は RFC 6637 で正式に ECC を組み込んだが，この中に EdDSA は含まれていない。ただし，次期 OpenPGP となる RFC 4880bis では EdDSA を組み込み済みで GnuPG の最新版では既に EdDSA 鍵を生成し使用することができる。

そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな

なお，最新の GnuPG では edwards25519 のみサポートしているようだ。

OpenSSH

OpenSSH では EdDSA/edwards25519 鍵を生成・使用できる。鍵生成は

$ ssh-keygen -t ed25519

で可能。

OpenSSL

現在の OpenSSL は EdDSA をサポートしている。 edwards25519 および edwards448 を指定可能。

【おまけ】量子コンピュータ耐性

現在，公開鍵暗号の主流である IFC (Integer Factorization Cryptosystems) および FFC (Finite Field Cryptosystems) の各アルゴリズムは量子コンピュータによる攻略法が既にあり，十分な性能を獲得すれば短時間で攻略可能になると考えられている。 ECC も FFC のバリエーションであり，これに含まれる。

しかし，2020年時点の性能では128ビット以上のセキュリティ強度であれば現実的な脅威には至っていないようだ。

例えば、量子コンピュータを用いて2048ビットRSA合成数の素因数分解を行う場合には、量子誤りが一切ないという理想的な環境下でも、4098量子ビットが必要であり、1012～1013回のゲート演算が必要であると見積もられています。また、量子誤りがあるという現実的な環境下では、2000万量子ビットが必要であるという見積もりもあります。

現在の量子コンピュータによる暗号技術の安全性への影響より

量子コンピュータの性能を測る上での指標（量子ビット数、量子誤りの大きさ、演算可能回数など）や、量子コンピュータの開発状況もあわせて考慮にいれると、近い将来に、2048ビットの素因数分解や256ビットの楕円曲線上の離散対数問題が解かれる可能性は低いと考えます。

現在の量子コンピュータによる暗号技術の安全性への影響より

ただし，量子コンピュータ開発は成長が著しい分野でもあり，今後も成り行きを注視していく必要がある。

【おまけ2】 CRYPTREC による EdDSA の評価

2021年に公開された「CRYPTREC Report 2020」に EdDSA に対する評価が載っていたので紹介する。

難しい話はすっ飛ばして総評だけつまみ食いすると

総評：下記の観点から、EdDSA の構成に関わる安全性において、EdDSA が ECDSA に劣ると考えられる点は無いと思われると述べている。

Schnorr 署名をもとに EdDSA は構成されているため、ランダムオラクルモデルで安全性が証明されている Schnorr 署名に対する安全性評価を参考にすることができる。

Schnorr 署名との大きな違いはノンスの生成方法であるが、EdDSA におけるノンスの生成方法は、署名の内部乱数を弱い疑似乱数生成器に委ねることによる危険を排除し、現実的な脅威を回避するための配慮が施されている。

比較対象となる ECDSA については、既存結果として generic group model でのみ安全性が証明されている。

CRYPTREC Report 2020 暗号技術評価委員会報告より

とのこと。ノンスの評価やサイドチャネル攻撃耐性など具体的な話は本文を参照のこと。

ブックマーク

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

DSA に対する懸念は，実装に必要な技術要素が多すぎる点にあるかもしれない。如何にシンプルな設計で要件を満たすかってのは安全性を考える上でも重要であるというよい事例になっていると思う。 ↩︎
edwards25519 は Curve25519 と双有理同値である。ちなみに Curve25519 は ECDH 用の楕円曲線およびそのライブラリで，公有（public domain）のソフトウェアとして公開されている。 ↩︎

OpenSSH 鍵をアップグレードする【2020-01-11 改訂】

2020-06-01T07:12:32+00:00

【2020-01-11 改訂】

2020-05-27 に OpenSSH 8.3 がリリースされた。

OpenSSH 8.3 released (and ssh-rsa deprecation notice) [LWN.net]

この中で “Future deprecation notice” として

It is now possible to perform chosen-prefix attacks against the SHA-1 algorithm for less than USD$50K. For this reason, we will be disabling the “ssh-rsa” public key signature algorithm by default in a near-future release.

via OpenSSH 8.3 released (and ssh-rsa deprecation notice)

と書かれていてた¹。といっても，これはサーバ側の設定の話だそうでクライアントには関係ないそうだ（フィードバック感謝）。

もし2048ビット以下の古い RSA 鍵を使ってるなら替えどきかな。で，どうせ鍵を新調するのなら楕円曲線暗号（Elliptic Curve Cryptography; ECC）で構成するのがいいよね。

ちうわけで，ECC 鍵を作って登録するところまでやってみる。ちゃんとメモっておかないと忘れるので（笑）

前提条件【2021-01-09 変更】

今回は Ubuntu 環境下での作業とし鍵管理を GnuPG で行うものとする。 Ubuntu での設定方法は以下を参考にどうぞ。

gpg-agent の設定： GnuPG in Ubuntu

Windows 環境の場合は以下の拙文を参考にどうぞ。

GnuPG for Windows : gpg-agent について

ちなみに，今回は鍵の生成を OpenSSH で行っているが GnuPG でも生成できる。詳しくは以下を参照のこと。

OpenSSH の認証鍵を GunPG で作成・管理する

OpenSSH 鍵の生成

OpenSSH 鍵を生成するには ssh-keygen コマンドを使う。たとえばこんな感じ。

$ ssh-keygen -t ecdsa -b 256 -C "alice@example.com"
Generating public/private ecdsa key pair.
Enter file in which to save the key (/home/username/.ssh/id_ecdsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/username/.ssh/id_ecdsa
Your public key has been saved in /home/username/.ssh/id_ecdsa.pub
The key fingerprint is:
SHA256:DtXgQm9rz7Dc5M5yWu/CNVo341o1rcfN9UCyYu+SZU4 alice@example.com
The key's randomart image is:
+---[ECDSA 256]---+
|      . .        |
|     . o o       |
|      . = . . .  |
|       + .   +  .|
|      . S + . ..+|
|       = X oE +*=|
|        +.*X.+oo*|
|        .+Bo.... |
|        .+o+=.   |
+----[SHA256]-----+

これで作成された id_ecdsa および id_ecdsa.pub ファイルが鍵ファイルである。ちなみに id_ecdsa ファイルには秘密鍵， id_ecdsa.pub ファイルには公開鍵が格納されている。

-t オプションで鍵種別を， -b で鍵長（ビット数）をセットする。鍵種別と鍵長の組み合わせと，それぞれに対するセキュリティ強度（ビット数）は以下の通り²。

鍵種別	鍵長	強度	楕円曲線名
~~`dsa`~~	~~1024~~	80	—
`ecdsa` / `ecdsa-sk`	256	128	`nistp256`
384	192	`nistp384`
521	256	`nistp521`
`ed25519` / `ed25519-sk`	—	128	`ed25519`
`rsa`	3072	128	—
7680	192
15360	256

この組み合わせの（dsa 以外の）いずれかであれば2031年以降も問題なく使える。なお ecdsa-sk および ed25519-sk は暗号デバイスに登録する際に使うらしい（今回は割愛する）。

余談だが楕円曲線 ed25519 に対応する電子署名アルゴリズムは EdDSA と呼ばれ RFC 8032 で規定されている³。なんで鍵種別を eddsa としなかったのかは知らない。紛らわしかったのかな？

楕円曲線と鍵長

（「そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな」より抜粋）

ここでちょっと横道に逸れて鍵長の話をしておく。

たとえば RSA の（平文 $M$ から暗号文 $C$ への）暗号化は以下の式で表される。

\[ C = M^e \bmod n \]

$(e, n)$ のセットが公開鍵で， $n$ のサイズが鍵長に相当する。実際の計算はともかく，感覚としては分かりやすいよね。

ECC の場合は暗号化の前に，まずベースとなる楕円曲線の（素数 $q$ で決められる）素体（prime fields）を決めなければならない⁴。これは以下の式で表される。

\[ E : y^2 \equiv x^3 + ax + b \pmod{q} \]

この素体上の有理点の数（位数）を $\#E$ とした時の $\#E$ のサイズが鍵長に相当する。 $(a,b,q)$ といったパラメータを眺めただけでは鍵長が分からないというのが面倒臭い感じである⁵。

そこで ECC の場合は楕円曲線を表すパラメータのセットが標準化されている。 OpenSSH の場合は nistp256, nistp384, nistp521, ed25519 といった楕円曲線名に対応している。つまり楕円曲線名から楕円曲線の種類を特定し，そこから鍵長も分かる，というわけだ。

OpenSSH 鍵の登録（クライアント側）

本題に戻る。作成した OpenSSH 鍵ファイル id_ecdsa および id_ecdsa.pub を登録しよう。

クライアント側は ssh-add コマンドを使って秘密鍵ファイル id_ecdsa の内容を GnuPG の鍵束に永続的に登録できる。

$ ssh-add ./id_ecdsa
Enter passphrase for ./id_ecdsa: 
Identity added: ./id_ecdsa (alice@example.com)

この時 ssh-add コマンドによるパスフレーズ入力とは別に GnuPG の pinentry によるパスフレーズの設定が行われる（確認を含めて2回入力する必要あり）。

pinentry

Pinentry で設定するパスフレーズは id_ecdsa ファイルに対するものとは管理が異なるので注意。というか GnuPG の鍵束に登録したら id_ecdsa ファイルは不要になる。

OpenSSH 秘密鍵が登録できたかどうかは ~/.gnupg/sshcontrol ファイルで確認できる。ちゃんと登録できていれば以下のような内容が追記される。

# ECDSA key added on: 2020-06-01 14:05:35
# Fingerprints:  MD5:e4:5b:66:a6:03:9a:a4:0e:f2:1b:a5:04:72:93:f3:f0
#                SHA256:DtXgQm9rz7Dc5M5yWu/CNVo341o1rcfN9UCyYu+SZU4
A5353D587000D820669B0BD55A0B4AD6897458DB 0

また ssh-add -L コマンドでも登録した鍵を確認できる。

鍵の実体は ~/.gnupg/private-keys-v1.d/ ディレクトリにある。上述の鍵の場合は

A5353D587000D820669B0BD55A0B4AD6897458DB.key

というファイル名で格納されているはずである。

OpenSSH 鍵の登録（サーバ側）

ログイン先のサーバに公開鍵ファイル id_ecdsa.pub の中身を登録する。つっても，どうにかして id_ecdsa.pub ファイルをサーバにアップロードして

$ cat ./id_ecdsa.pub >> ~/.ssh/authorized_keys

と authorized_keys ファイルに追記すればよい。追記ではなく内容を書き換えるなら

$ cat ./id_ecdsa.pub > ~/.ssh/authorized_keys

でもよい。書き換えるなら以前のファイルのバックアップはとってね。パーミッションの設定も忘れずに。

$ chmod 700 ~/.ssh
$ chmod 600 ~/.ssh/authorized_keys

老婆心ながら，新しい鍵でログインできることを確認するまでは接続中のセッションは切らないこと。設定を間違えてログイン不能になったら悲惨だからねぇ。

【2021-12-13 追記】 ssh-copy-id を使う方法

フィードバックで教えてもらったが（感謝！） ssh-copy-id コマンド（中身は shell スクリプト）を使うともっと簡単に登録できるそうだ。

$ ssh-copy-id -h
Usage: /usr/bin/ssh-copy-id [-h|-?|-f|-n] [-i [identity_file]] [-p port] [-F alternative ssh_config file] [[-o <ssh -o options>] ...] [user@]hostname
	-f: force mode -- copy keys without trying to check if they are already installed
	-n: dry run    -- no keys are actually copied
	-h|-?: print this help

ふむむ。 -n オプションで dry run できるのか。ありがたい。

-i オプションで公開鍵ファイルを指定するが，標準入力からも受け付けるようなので，パイプで繋いで

$ ssh-add -L | ssh-copy-id -n alice@hostname
/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new keys
=-=-=-=-=-=-=-=
Would have added the following key(s):

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFfjejx/Saej929myfZoBQAKgusPi2iiOxdZZfpCLxh5 (none)
=-=-=-=-=-=-=-=

てな感じにできる（実際に登録する際は -n オプションを外してね）。

あるいは GnuPG で作った認証鍵であれば

$ gpg --export-ssh-key alice | ssh-copy-id -n alice@hostname

などとすることもできる（実際に登録する際は -n オプションを外してね）。

サーバ側に既に ~/.ssh/authorized_keys ファイルがある場合は（公開鍵認証でログインした上で）ちゃんと追記してくれるし，パーミッションの心配も要らないようだ。

教えていただいて本当にありがとう 🙇

各種 Git リポジトリ・サービスに公開鍵を登録する

GitHub ではリポジトリのアクセスに OpenSSH 認証が使える。 OpenSSH 認証に使う公開鍵は設定の “SSH and GPG keys” で登録する（複数登録可能）。

Bitbucket や GitLab などの各種 git リポジトリ・サービスでも同様に OpenSSH 公開鍵を登録できる。

よしゃあ！これで作業完了。

ブックマーク

参考図書

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

実は同様の問題は GnuPG でも指摘されていて，半年前にリリースされた 2.2.18 で対応済みである（GnuPG 2.2.18 リリース：さようなら SHA-1） ↩︎
フィードバックで教えていただいたが， OpenSSH は FIPS 186-3 以降の DSA に対応していないそうで，1024ビットの鍵長しか選択できないらしい。なので，最近の OpenSSH のデフォルト設定では DSA を無効にしているそうな。情報感謝です。あと ecdsa-sk では鍵長の指定はできない（無視される）ようだ。256ビット（nistp256）固定ってことかな？ ↩︎
ed25519 (edwards25519) は Curve25519 と双有理同値な楕円曲線で，鍵長も Curve25519 と同じく256ビット（セキュリティ強度128ビット）と見積もられている。ちなみに Curve25519 は ECDH 用の楕円曲線およびそのライブラリで，公有（public domain）のソフトウェアとして公開されている。また EdDSA は FIPS 186-5 に組み込まれる予定になっていて，そうなれば正式に NIST 標準となる。 ↩︎
素体ではなく「標数2の体（binary fields）」を使う場合もあるが，ここでは割愛する。 ↩︎
楕円曲線と楕円曲線暗号については結城浩さんの『暗号技術入門第3版』の付録に比較的分かりやすい解説が載っている。同じく結城浩さんの『数学ガールガロア理論』が何となく分かれば楕円曲線についても何となく分かると思う。大丈夫。私も何となくしか分かっていない（笑） ↩︎

Go 1.13.7 リリース予告と CVE-2020-0601

2020-01-25T07:46:13+00:00

来週1月28日（日本時間では1月29日かな）に Go 1.13.7 のリリースがあるようだ（予定は未定）。

[security] Go 1.12.16 and Go 1.13.7 pre-announcement - Google group

Go 1.13.7 にはセキュリティ・アップデートが含まれる。

These are minor releases that include two security fixes. One mitigates the CVE-2020-0601 certificate verification bypass on Windows. The other affects only 32-bit architectures.

via Go 1.12.16 and Go 1.13.7 pre-announcement

CVE-2020-0601 は Windows CryptoAPI の不備で楕円曲線暗号（ECC）を使った証明書の検証がバイパスされてしまうというもの。これによって証明書の偽装ができてしまう。あとは分かるね。

CVE-2020-0601 | Windows CryptoAPI Spoofing Vulnerability

CVSSv3 の評価は以下の通り。

基本評価基準	評価値
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権レベル	不要
ユーザ関与レベル	要
スコープ	変更なし
機密性への影響	高
完全性への影響	高
可用性への影響	なし

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

スコアは 8.1 (深刻度：重要)¹。

ただし，この脆弱性は1月の Windows Update で修正されている筈である。つか，私はもう関係ないので完全にスルーしていた（笑）

January 2020 Security Updates: CVE-2020-0601 - Microsoft Security Response Center

今回の CVE-2020-0601 の特徴は NSA が絡んでいる点である。

Patch Critical Cryptographic Vulnerability in Microsoft Windows Clients and Servers

NSA の思惑は分からない。しかし

She did not answer when asked how long ago the NSA discovered the vulnerability. She said that this is not the first time the NSA sent Microsoft a vulnerability to fix, but it was the first time it has publicly taken credit for the discovery.

via Critical Windows Vulnerability Discovered by NSA - Schneier on Security

とある通り（どこぞの馬鹿メディアが言ってたみたいな）別に NSA の「お手柄」でもなんでもなく，政治的な思惑があって色々と天秤にかけた結果「公表」したということだろう。まっ，国家の諜報機関なのだから当たり前だが（笑）

というわけで，自前で防衛手段を持つというのは悪い話ではない。

ブックマーク

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

イミテーション・ゲーム／エニグマと天才数学者の秘密(字幕版): ベネディクト・カンバーバッチ (出演), キーラ・ナイトレイ (出演), マシュー・グード (出演), ロリー・キニア (出演), モルテン・ティルドゥム (監督), グラハム・ムーア (Writer); (Release 2015-10-02); Prime Video; B015SAFU42 (ASIN); 評価

[Comment] 主人公であるアラン・チューリングは今もなお「天才」と称される数学者であり，「コンピュータの父」と呼ばれるほどの偉人である。そしてチューリングの偉業のひとつが，旧ナチス・ドイツの暗号機械「エニグマ」の解読である。作品はそのエニグマの解読を主軸に物語を展開していく。感想はこちら。

reviewed by Spiegel on 2015-04-19 (powered by PA-APIv5)

CVSSv3 ではスコア7.0以上なら速やかな対応が求められる。アップデートは計画的に（笑） ↩︎

そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな

2017-12-02T07:20:26+00:00

最初に言っておくと OpenPGP では（秘密鍵の漏洩や暗号アルゴリズム等の危殆化がない限り）永続的に使われるのがよい鍵とされている¹。なので，無理に新しい鍵に切り替える必要はないのだが，もし GnuPG で新しい鍵を作るのであれば ECC (Elliptic Curve Cryptography; 楕円曲線暗号) を選択するのがいいんじゃないかな？という提案である。

手っ取り早く ECC 鍵を作る

手っ取り早く ECC 鍵を作りたいなら --quick-generate-key コマンドでアルゴリズムに future-default を指定すればよい。（以下は有効期限を2年で指定する場合。無期限でいいなら最後の引数に 0 を指定する）

$ gpg --quick-gen-key "Alice <alice@example.com>" future-default - 2y
たくさんのランダム・バイトの生成が必要です。キーボードを打つ、マウスを動か
す、ディスクにアクセスするなどの他の操作を素数生成の間に行うことで、乱数生
成器に十分なエントロピーを供給する機会を与えることができます。

たくさんのランダム・バイトの生成が必要です。キーボードを打つ、マウスを動か
す、ディスクにアクセスするなどの他の操作を素数生成の間に行うことで、乱数生
成器に十分なエントロピーを供給する機会を与えることができます。
gpg: 失効証明書を 'C:/Users/slice/AppData/Roaming/gnupg/openpgp-revocs.d\F79B411717B86902177EA08200693613E2B68F5A.rev' に保管しました。
公開鍵と秘密鍵を作成し、署名しました。

pub   ed25519 2017-12-02 [SC] [有効期限: 2019-12-02]
      F79B411717B86902177EA08200693613E2B68F5A
uid                      Alice <alice@example.com>
sub   cv25519 2017-12-02 [E]

作成した鍵を拙作の gpgpdump ² で見てみるとこんな感じになっている。

$ gpg -a --export alice | gpgpdump
Public-Key Packet (tag 6) (51 bytes)
    Version: 4 (current)
    Public key creation time: 2017-12-02T10:37:17+09:00
        5a 22 03 cd
    Public-key Algorithm: EdDSA (pub 22)
    ECC Curve OID: ed25519
        2b 06 01 04 01 da 47 0f 01
    EdDSA EC point (04 || X || Y) (263 bits)
User ID Packet (tag 13) (25 bytes)
    User ID: Alice <alice@example.com>
Signature Packet (tag 2) (150 bytes)
    Version: 4 (current)
    Signiture Type: Positive certification of a User ID and Public-Key packet (0x13)
    Public-key Algorithm: EdDSA (pub 22)
    Hash Algorithm: SHA2-256 (hash 8)
    Hashed Subpacket (62 bytes)
        Issuer Fingerprint (sub 33) (21 bytes)
            Version: 4 (need 20 octets length)
            Fingerprint (20 bytes)
                f7 9b 41 17 17 b8 69 02 17 7e a0 82 00 69 36 13 e2 b6 8f 5a
        Signature Creation Time (sub 2): 2017-12-02T10:37:17+09:00
        Key Flags (sub 27) (1 bytes)
            Flag: This key may be used to certify other keys.
            Flag: This key may be used to sign data.
        Key Expiration Time (sub 9): 730 days after (2019-12-02T10:37:17+09:00)
        Preferred Symmetric Algorithms (sub 11) (4 bytes)
            Symmetric Algorithm: AES with 256-bit key (sym 9)
            Symmetric Algorithm: AES with 192-bit key (sym 8)
            Symmetric Algorithm: AES with 128-bit key (sym 7)
            Symmetric Algorithm: TripleDES (168 bit key derived from 192) (sym 2)
        Preferred Hash Algorithms (sub 21) (5 bytes)
            Hash Algorithm: SHA2-256 (hash 8)
            Hash Algorithm: SHA2-384 (hash 9)
            Hash Algorithm: SHA2-512 (hash 10)
            Hash Algorithm: SHA2-224 (hash 11)
            Hash Algorithm: SHA-1 (hash 2)
        Preferred Compression Algorithms (sub 22) (3 bytes)
            Compression Algorithm: ZLIB <RFC1950> (comp 2)
            Compression Algorithm: BZip2 (comp 3)
            Compression Algorithm: ZIP <RFC1951> (comp 1)
        Features (sub 30) (1 bytes)
            Flag: Modification Detection (packets 18 and 19)
        Key Server Preferences (sub 23) (1 bytes)
            Flag: No-modify
    Unhashed Subpacket (10 bytes)
        Issuer (sub 16): 0x00693613e2b68f5a
    Hash left 2 bytes
        7e b5
    EdDSA compressed value r (253 bits)
    EdDSA compressed value s (251 bits)
Public-Subkey Packet (tag 14) (56 bytes)
    Version: 4 (current)
    Public key creation time: 2017-12-02T10:37:17+09:00
        5a 22 03 cd
    Public-key Algorithm: ECDH public key algorithm (pub 18)
    ECC Curve OID: cv25519
        2b 06 01 04 01 97 55 01 05 01
    ECDH EC point (04 || X || Y) (263 bits)
    KDF parameters (3 bytes)
        Hash Algorithm: SHA2-256 (hash 8)
        Symmetric Algorithm: AES with 128-bit key (sym 7)
Signature Packet (tag 2) (120 bytes)
    Version: 4 (current)
    Signiture Type: Subkey Binding Signature (0x18)
    Public-key Algorithm: EdDSA (pub 22)
    Hash Algorithm: SHA2-256 (hash 8)
    Hashed Subpacket (32 bytes)
        Issuer Fingerprint (sub 33) (21 bytes)
            Version: 4 (need 20 octets length)
            Fingerprint (20 bytes)
                f7 9b 41 17 17 b8 69 02 17 7e a0 82 00 69 36 13 e2 b6 8f 5a
        Signature Creation Time (sub 2): 2017-12-02T10:37:17+09:00
        Key Flags (sub 27) (1 bytes)
            Flag: This key may be used to encrypt communications.
            Flag: This key may be used to encrypt storage.
    Unhashed Subpacket (10 bytes)
        Issuer (sub 16): 0x00693613e2b68f5a
    Hash left 2 bytes
        29 27
    EdDSA compressed value r (254 bits)
    EdDSA compressed value s (254 bits)

長々とした出力で申し訳ないが Public-Key Packet と Public-Subkey Packet の項目に注目していただくと，電子署名用に EdDSA (ed25519)，暗号用に ECDH (cv25519) が使われているのが分かる。鍵長はいずれも 256bits である。

通常はこれで問題ない。

楕円曲線と鍵長

ここでちょっと横道に逸れて鍵長の話をしておく。

たとえば RSA の（平文 $M$ から暗号文 $C$ への）暗号化は以下の式で表される。

\[ C = M^e \bmod n \]

$(e, n)$ のセットが公開鍵で， $n$ のサイズが鍵長に相当する。実際の計算はともかく，感覚としては分かりやすいよね。

ECC の場合は暗号化の前に，まずベースとなる楕円曲線の（素数 $q$ で決められる）素体（prime fields）を決めなければならない³。これは以下の式で表される。

\[ E : y^2 \equiv x^3 + ax + b \pmod{q} \]

この素体上の有理点の数（位数）を $\#E$ とした時の $\#E$ のサイズが鍵長に相当する。 $(a,b,q)$ といったパラメータを眺めただけでは鍵長が分からないというのが面倒臭い感じである⁴。

そこで ECC の場合は楕円曲線を表すパラメータのセットが標準化されていて，そのセットを識別する ECC Curve OID (Object IDentifier) も決められている。先程書いた gpgpdump 出力結果の “ECC Curve OID” の項目がそれに該当する。

つまり ECC Curve OID から楕円曲線の種類を特定し，そこから鍵長も分かる，というわけだ。

GnuPG で利用できる楕円曲線

そこで， GnuPG で利用できる楕円曲線をリストアップしておく。

表の左端列の「GnuPG」は GnuPG で表示される楕円曲線名を示す。楕円曲線名に鍵長が含まれている（ただし cv25519 と ed25519 は 256bits）。右端列の「強度」は鍵長ではなく，セキュリティ強度なのでご注意を。

SECG/NIST 推奨パラメータ

GnuPG	SECG	NIST	アルゴリズム	強度 bits
`nistp256`	secp256r1	NIST curve P-256	ECDH, ECDSA	128
`nistp384`	secp384r1	NIST curve P-384	ECDH, ECDSA	192
`nistp521`	secp521r1	NIST curve P-521	ECDH, ECDSA	256
`secp256k1`	secp256k1		ECDH, ECDSA	128

SECG/NIST の楕円曲線名とのマッピングは RFC 4492 を参考にした。 nistp256, nistp384, nistp521 は既に RFC 6637 で定義済みなので正式に使える。 RFC 6637 では NIST curve P-256 については “MUST implement”， NIST curve P-521 については “SHOULD implement”， NIST curve P-384 については “MAY implement” となっている。

Brainpool

GnuPG	アルゴリズム	強度 bits
`brainpoolP256r1`	ECDH, ECDSA	128
`brainpoolP384r1`	ECDH, ECDSA	192
`brainpoolP512r1`	ECDH, ECDSA	256

Brainpool については RFC 5639 を参照のこと。 RFC 4880bis では brainpoolP256r1 および brainpoolP512r1 については “MAY implement” となっている。

その他

GnuPG	アルゴリズム	強度 bits
`cv25519`	ECDH	128
`ed25519`	EdDSA	128

EdDSA については RFC 8032 を参照のこと。 RFC 4880bis では Curve25519 (cv25519) および Ed25519 (ed25519) については “SHOULD implement” となっている。

ちなみに Curve25519 と Ed25519 は双有理同値である。

セキュリティ強度と楕円曲線

セキュリティ強度と暗号アルゴリズムと鍵長の関係は以下の表の通り（単位は全てビット）。

Security Strength	Symmetric key algorithms	FFC (DSA, DH, MQV)	IFC (RSA)	ECC (ECDSA, EdDSA, DH, MQV)
$\le 80$	2TDEA	$L=1024$ $N=160$	$k=1024$	$f = 160\text{ - }223$
$112$	3TDEA	$L=2048$ $N=224$	$k=2048$	$f = 224\text{ - }255$
$128$	AES-128	$L=3072$ $N=256$	$k=3072$	$f = 256\text{ - }383$
$192$	AES-192	$L=7680$ $N=384$	$k=7680$	$f = 384\text{ - }511$
$256$	AES-256	$L=15360$ $N=512$	$k=15360$	$f=512+$

Comparable security strengths of symmetric block cipher and asymmetric-key algorithms (via SP 800-57 Part 1 Revision 5 5.6.1.1)

2031年以降も Acceptable な鍵が要件なら 128bits 以上のセキュリティ強度が必要だが， GnuPG で利用できる楕円曲線は全て問題ないことが分かるだろう。

【付録】対話モードによる ECC 鍵の選択

対話モードで ECC 鍵を選択して作成するには以下のコマンドラインで起動する。

$ gpg --full-gen-key --expert

このうち ECC 鍵を作成できるのは，以下の選択肢の内 (9) から (11) を選択した場合である。

ご希望の鍵の種類を選択してください:
   (1) RSA と RSA (デフォルト)
   (2) DSA と Elgamal
   (3) DSA (署名のみ)
   (4) RSA (署名のみ)
   (7) DSA (機能をあなた自身で設定)
   (8) RSA (機能をあなた自身で設定)
   (9) ECC と ECC
  (10) ECC (署名のみ)
  (11) ECC (機能をあなた自身で設定)
  (13) 既存の鍵
あなたの選択は?

(9) を選択すると電子署名用の主鍵と暗号化用の副鍵をセットで作成する。 (10) と (11) を選択すると電子署名用の主鍵のみ作成する（(11) では主鍵の機能を選択できる）。

いずれを選択した場合でも以下の楕円曲線の選択肢が表示される。

ご希望の楕円曲線を選択してください:
   (1) Curve 25519
   (3) NIST P-256
   (4) NIST P-384
   (5) NIST P-521
   (6) Brainpool P-256
   (7) Brainpool P-384
   (8) Brainpool P-512
   (9) secp256k1
あなたの選択は?

実際にどのような鍵が作成されるか以下に示す。

「ECC と ECC」を選んだ場合

選択した楕円曲線	主鍵（電子署名用）	副鍵（暗号化用）	強度 bit
`Curve 25519`	EdDSA (`ed25519`)	ECDH (`cv25519`)	128
`NIST P-256`	ECDSA (`nistp256`)	ECDH (`nistp256`)	128
`NIST P-384`	ECDSA (`nistp384`)	ECDH (`nistp384`)	192
`NIST P-521`	ECDSA (`nistp521`)	ECDH (`nistp521`)	256
`Brainpool P-256`	ECDSA (`brainpoolP256r1`)	ECDH (`brainpoolP256r1`)	128
`Brainpool P-384`	ECDSA (`brainpoolP384r1`)	ECDH (`brainpoolP384r1`)	192
`Brainpool P-512`	ECDSA (`brainpoolP512r1`)	ECDH (`brainpoolP512r1`)	256
`secp256k1`	ECDSA (`secp256k1`)	ECDH (`secp256k1`)	128

「ECC (署名のみ)」を選んだ場合

「ECC (機能をあなた自身で設定)」でも同じ。

選択した楕円曲線	主鍵（電子署名用）	副鍵	強度 bit
`Curve 25519`	EdDSA (`ed25519`)	なし	128
`NIST P-256`	ECDSA (`nistp256`)	なし	128
`NIST P-384`	ECDSA (`nistp384`)	なし	192
`NIST P-521`	ECDSA (`nistp521`)	なし	256
`Brainpool P-256`	ECDSA (`brainpoolP256r1`)	なし	128
`Brainpool P-384`	ECDSA (`brainpoolP384r1`)	なし	192
`Brainpool P-512`	ECDSA (`brainpoolP512r1`)	なし	256
`secp256k1`	ECDSA (`secp256k1`)	なし	128

ブックマーク

参考図書

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

この辺については「OpenPGP 鍵管理に関する考察」を参照のこと。 ↩︎
gpgpdump v0.3.4 以降なら多分大丈夫。 ↩︎
素体ではなく「標数2の体（binary fields）」を使う場合もあるが，ここでは割愛する。 ↩︎
楕円曲線と楕円曲線暗号については結城浩さんの『暗号技術入門第3版』の付録に比較的分かりやすい解説が載っている。同じく結城浩さんの『数学ガールガロア理論』が何となく分かれば楕円曲線についても何となく分かると思う。大丈夫。私も何となくしか分かっていない（笑） ↩︎

『暗号技術入門第3版』をななめ読み

2015-09-20T12:43:17+00:00

結城浩さんの『暗号技術入門第3版』がついに登場。前の第2版のときは細々した追記が主だったような気がするが，今回は大幅改訂版なので，以前のを持ってる人も買っておいて損はない。主な改訂内容としては

SHA-3 について詳しく解説
HeartBleed や POODLE など，最近の攻撃手法について言及
付録で楕円曲線暗号（Elliptic Curve Cryptography）について詳しく解説
Bitcoin というか Bitcoin の中の重要な技術要素である Block Chain について詳しく解説

他にも GnuPG の記述が modern version に対応してたり，認証つき暗号（AEAD; Authenticated Encryption with Associated Data）およびその実装である GCM (Galois/Counter Mode) への言及があったり，いろいろ細かく手直しされている。

特に楕円曲線暗号の解説は秀逸で，入門レベルでの解説の中では一番分かりやすかった。あと Block Chain の解説もお勧め。 Bitcoin や Block Chain に関する解説本はすでにたくさん出ているが，暗号技術の観点からきちんと解説しているものは少なく，「信用モデル」にまで話を展開しているものは更に少ない。

結局，暗号システムの実装というのは究極的には「信用モデル」の開発であると言える。問題は「信用モデル」はロジックだけでは成立しない，ということだ。『暗号技術入門第3版』では信用モデルの例として hierarchical PKI の典型である X.509 と OpenPGP の Web of Trust，そして Block Chain を挙げているが，それぞれ特徴があって比較すると面白い。たとえば Block Chain はユーザ間に働く経済的 incentive を巧妙に使うが，それだけにパラメータの調整が難しいし， Mt. Gox のような経済リスクも考慮しなくてはならない。

そもそも信用というのは過去の事実に対してのみ評価可能なのに，実際に評価したいのは現在及び未来についてなのだ。これって本来は不能解だよね。でも信用が評価できなくては世の中は回らない。だから，どうにかして実用可能なレベルにまで近似できないか，と専門家やエンジニアは頭を悩ますわけ。

そういったことを頭の隅に入れながら読めば，この本は単なるリファレンス本ではないことに気づくと思う。

最後にちょっとだけ注文をつけるなら「前方秘匿性（PFS; Perfect Forward Secrecy）」および OTR (Off-the-Record) Messaging の肝である「否認可能（Deniability）」についても言及が欲しかった¹。メッセージングの世界においてはこのふたつが重要な要件になってきているからだ。

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

信頼と裏切りの社会: ブルース・シュナイアー (著), 山形浩生 (翻訳); NTT出版 2013-12-24; 単行本（ソフトカバー）; 4757143044 (ASIN), 9784757143043 (EAN), 4757143044 (ISBN); 評価

[Comment] 社会における「信頼」とは。

reviewed by Spiegel on 2015-11-28 (powered by PA-APIv5)

PFS についてはもしかしたら見落としてるかもしれないが。なにせ斜め読みだったから。 ↩︎

List of Ecc [text.Baldanders.info]

PuTTY 0.81 がリリースされた【セキュリティ・アップデート】

CVE-2024-31497

ブックマーク

参考

NIST FIPS 186-5 および SP 800-186 正式版がリリースされた

DSA が標準から外れる

ECDSA 自体を定義し直す

EdDSA が標準として承認された

ブックマーク

参考図書

量子コンピュータで256ビット楕円曲線暗号は破れるか

ブックマーク

参考図書

DSA は NIST 電子署名標準から外れるようだ

ブックマーク

参考図書

Edwards-curve Digital Signature Algorithm

RFC 8032: Edwards-Curve Digital Signature Algorithm (EdDSA)

NIST 標準としての EdDSA

EdDSA の実装

OpenPGP と GnuPG

OpenSSH

OpenSSL

【おまけ】 量子コンピュータ耐性

【おまけ2】 CRYPTREC による EdDSA の評価

ブックマーク

参考図書

OpenSSH 鍵をアップグレードする【2020-01-11 改訂】

前提条件【2021-01-09 変更】

OpenSSH 鍵の生成

楕円曲線と鍵長

OpenSSH 鍵の登録（クライアント側）

OpenSSH 鍵の登録（サーバ側）

【2021-12-13 追記】 ssh-copy-id を使う方法

各種 Git リポジトリ・サービスに公開鍵を登録する

ブックマーク

参考図書

Go 1.13.7 リリース予告と CVE-2020-0601

ブックマーク

参考図書

そろそろ GnuPG でも ECC を標準で使うのがいいんじゃないかな

手っ取り早く ECC 鍵を作る

楕円曲線と鍵長

GnuPG で利用できる楕円曲線

SECG/NIST 推奨パラメータ

Brainpool

その他

セキュリティ強度と楕円曲線

【付録】 対話モードによる ECC 鍵の選択

「ECC と ECC」を選んだ場合

「ECC (署名のみ)」を選んだ場合

ブックマーク

参考図書

『暗号技術入門 第3版』をななめ読み

【おまけ】量子コンピュータ耐性

【付録】対話モードによる ECC 鍵の選択

『暗号技術入門第3版』をななめ読み