🔖 キーワード索引

このページの主要な見どころ。 気になる項目から読み始めてください。

🎨 直感で掴む

「封蝋 (sealing wax) のデジタル版」です。 中世の手紙では書いた人だけが持つ印章を蝋に押し付け、 ① 「本人が書いた」、 ② 「開封されていない」 を示しました。 電子署名は同じ役割をデジタルで担います。

身近なアナロジー：

• 実印 + 印鑑証明＝秘密鍵で署名 + 公開鍵を CA が証明
• 手書きサイン＝本人だけが書ける（と仮定する）痕跡
• ワインの封＝開けたら戻せない、 改ざん検出
• 銀行の二重確認＝内容 (ハッシュ) と本人 (鍵) の両方をチェック
• パスポートのスタンプ＝発行国だけが押せて、 入国国はそれを信頼して入国させる

暗号化との対比 (超重要):

暗号化は「受信者の鍵ペア」、 署名は「送信者の鍵ペア」と覚えてください。 鍵の方向が逆という点が初学者が必ずつまずくポイントです。

3 つの保証を分解： 本人性 (誰がそれを送ったか)、 完全性 (改ざんされていないか)、 否認防止 (送ったことを後から否定できない)。 これら 3 つを 1 つの仕組みで同時に満たすため、 電子契約・電子納税・ブロックチェーンの全てが電子署名に依存します。

SSDSE のような公的統計データでも、 署名付きで配布されると「これは確かに統計局が作ったものですよ」「途中で誰かが書き換えていませんよ」と数学的に保証できます。 1 ビット書き換えればハッシュは全く別物になる「雪崩効果」のおかげです。 これがあるからこそ、 研究者はネットワーク経由で受け取った CSV を疑わずに分析を始められます。

電子署名と紙の判子の違い：紙の印鑑は同じ印影を何度押しても同じになりますが、 電子署名は対象データが変われば全く別の値になります。 これにより「この署名はこの文書専用」になり、 他文書への流用が物理的に不可能になります。

処理の流れ図 (ASCII):

[送信者]
  m (SSDSE-B-2026.csv)
    │
    ├─ H(m) = SHA-256 ハッシュ
    │
    ├─ Sign(sk, H(m)) = σ (署名値)
    │
    └─ 送る: {{m, σ, 公開鍵証明書}}
                     │
                     ▼
[受信者]
  ① 証明書を CA で検証
  ② H(m) を再計算
  ③ Verify(pk, m, σ) == 1 か確認
       └─ OK → 信頼して分析開始
       └─ NG → 改ざん or 鍵不正

📐 数式または定義

電子署名スキームは 3 つのアルゴリズム の組 $(\mathsf{KeyGen}, \mathsf{Sign}, \mathsf{Verify})$ で定義されます。

① 鍵生成：

$\lambda$ はセキュリティパラメータ（鍵長）。 $pk$ は公開鍵、 $sk$ は秘密鍵。

② 署名生成：

$m$ はメッセージ、 $H(\cdot)$ は SHA-256 などの暗号学的ハッシュ関数、 $\sigma$ は署名値。

③ 検証：

RSA 署名の具体例：

$N = pq$ は大きな合成数、 $(e, N)$ が公開鍵、 $d$ が秘密鍵で $ed \equiv 1 \pmod{\phi(N)}$。

ECDSA (楕円曲線署名)：

$G$ は曲線の基点、 $d$ は秘密鍵、 $k$ は使い捨て乱数。 $(r, s)$ が署名値。

EdDSA (Ed25519)：

決定的に $r$ を生成する。 サイドチャネル攻撃に強い。

セキュリティ要件 (EUF-CMA):

適応的選択メッセージ攻撃下で、 鍵を持たない攻撃者が新しい署名 $(m^*, \sigma^*)$ を偽造できる確率は無視できる。

ハッシュ関数の必要性質：

• ① 一方向性 (preimage resistance): $H(m)$ から $m$ を逆算するのは困難
• ② 第二原像耐性: 任意の $m$ から $m'\neq m$ で $H(m)=H(m')$ となる $m'$ を見つけるのは困難
• ③ 衝突耐性: 任意の $(m, m')$ で $H(m)=H(m')$ を見つけるのは困難

SHA-256 はいずれも満たしますが、 MD5・SHA-1 は ③ が破られているため電子署名には使えません。

🔬 数式を言葉で読み解く

数式の核心は 「秘密鍵でしか作れない値だが、 公開鍵で誰でも検証できる」 という非対称性です。 これが本人性と否認防止を支える数学的根拠です。

$\sigma^e \equiv H(m) \pmod N$ という式は、 RSA の世界で「秘密鍵 $d$ で作った署名は、 公開鍵 $e$ で戻すと元のハッシュに戻る」という関係を表しています。 もし $\sigma$ を秘密鍵なしに作ろうとすると、 大きな数 $N$ を素因数分解する必要があり、 2048 bit RSA であれば現実時間では不可能です。

同様に ECDSA では、 楕円曲線上の離散対数問題が困難であることを安全性の根拠としています。 ECDSA の方が鍵長が短いのに同等の安全性を持つため、 モバイル・IoT で広く使われます。

"確率 $\mathsf{negl}(\lambda)$" という表現は暗号理論で頻出します。 これは「鍵長を増やせば、 攻撃成功確率は急速に 0 に近づく」ことを意味し、 セキュリティパラメータ $\lambda$ を大きくすれば計算量上現実的に破られない、 という保証になります。

署名検証の数式を「言葉」で読むと：

1. 受信者は $m$ から自分で $H(m)$ を計算する
2. 送信者の公開鍵 $pk$ で署名 $\sigma$ を「復号」する
3. その結果が手元の $H(m)$ と一致するか比較する
4. 一致 → 「秘密鍵を持つ本人が、 この $m$ に対して署名した」と確信できる

もし攻撃者が $m$ を改ざんしたら、 ステップ 1 で計算するハッシュが変わり、 ステップ 3 で不一致になる。 もし攻撃者が $\sigma$ を改ざんしたら、 ステップ 2 の結果がランダムになり、 やはり不一致になる。 だから両方守られます。

🧮 実値で計算してみる（SSDSE-B 2023, n=47）

SSDSE-B-2026 を配布する立場で、 ファイルが配布途中で改ざんされていないことを保証するシナリオを考えます。

1. 配布側で SSDSE-B-2026.csv の SHA-256 を計算する
2. その 32 バイトのハッシュを RSA-2048 秘密鍵で署名し、 SSDSE-B-2026.csv.sig として配布する
3. 受信者は公開鍵 (public.pem) を入手し、 CSV と署名値から検証する
4. もし誰かが CSV の北海道の人口を 1 だけ書き換えていれば、 ハッシュが変わり検証が失敗する

RSA-1024 の小さな手計算例 ($p=61, q=53$):

$N = 61 \times 53 = 3233$, $\phi(N) = 60 \times 52 = 3120$, 公開指数 $e = 17$, 秘密指数 $d = 2753$ (拡張ユークリッドより)。

仮にハッシュ値が $H(m) = 123$ だったとすると：

検証側は $\sigma^{e} = 855^{17} \bmod 3233 = 123$ を計算し、 これがハッシュと一致するので OK。

「1 ビット変えてもハッシュは大幅に変わる」性質を 雪崩効果 (avalanche effect) と呼びます。

SSDSE-B-2026 は数 MB のファイルなので、 SHA-256 計算は 100 ms 以下、 署名生成も 10 ms 以下で済みます。 通信オーバヘッドは無視できる軽さです。

SSDSE-B-2026 の都道府県別 「行ハッシュ」 でデータ品質保証する例：47 都道府県 × 約 30 年 = 約 1,400 行に対して、 各行をシリアライズしてハッシュ化すれば、 「どの都道府県のどの年度が書き換わったか」 まで特定できます。 配布時に row_fingerprint.csv を添付しておくと、 監査時にとても便利です。

🐍 Python 実装

① SHA-256 ハッシュを計算

import hashlib

with open('data/raw/SSDSE-B-2026.csv', 'rb') as f:
    raw_bytes = f.read()

digest = hashlib.sha256(raw_bytes).hexdigest()
print('SHA-256:', digest)
print('ファイルサイズ:', len(raw_bytes), 'bytes')

# 1 文字変えるだけで雪崩効果でハッシュは全く別物に
tampered = raw_bytes.replace(b'\xe5\x8c\x97\xe6\xb5\xb7\xe9\x81\x93',
                              b'\xe5\x8c\x97\xe6\xb5\xb7\xe9\x81\x95')
print('tampered:', hashlib.sha256(tampered).hexdigest())

② 鍵ペアの生成 (RSA-2048)

from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives import hashes, serialization

private_key = rsa.generate_private_key(public_exponent=65537, key_size=2048)
public_key = private_key.public_key()

with open('private.pem', 'wb') as f:
    f.write(private_key.private_bytes(
        encoding=serialization.Encoding.PEM,
        format=serialization.PrivateFormat.PKCS8,
        encryption_algorithm=serialization.NoEncryption()))

with open('public.pem', 'wb') as f:
    f.write(public_key.public_bytes(
        encoding=serialization.Encoding.PEM,
        format=serialization.PublicFormat.SubjectPublicKeyInfo))

③ SSDSE-B-2026.csv に署名する

with open('data/raw/SSDSE-B-2026.csv', 'rb') as f:
    message = f.read()

signature = private_key.sign(
    message,
    padding.PSS(mgf=padding.MGF1(hashes.SHA256()),
                salt_length=padding.PSS.MAX_LENGTH),
    hashes.SHA256()
)

with open('data/raw/SSDSE-B-2026.csv.sig', 'wb') as f:
    f.write(signature)

print('署名長:', len(signature), 'bytes')   # RSA-2048 なら 256 bytes

④ 受信者側で検証する

from cryptography.exceptions import InvalidSignature

with open('public.pem', 'rb') as f:
    pub = serialization.load_pem_public_key(f.read())

with open('data/raw/SSDSE-B-2026.csv', 'rb') as f:
    received_msg = f.read()
with open('data/raw/SSDSE-B-2026.csv.sig', 'rb') as f:
    received_sig = f.read()

try:
    pub.verify(received_sig, received_msg,
               padding.PSS(mgf=padding.MGF1(hashes.SHA256()),
                           salt_length=padding.PSS.MAX_LENGTH),
               hashes.SHA256())
    print('OK: 本物の SSDSE-B-2026 です')
except InvalidSignature:
    print('NG: ファイルが改ざんされているか鍵が違います')

⑤ SSDSE-B-2026 の都道府県別行ハッシュ

import pandas as pd, hashlib

df = pd.read_csv('data/raw/SSDSE-B-2026.csv', encoding='utf-8', skiprows=1)

def row_fingerprint(row):
    serial = '|'.join(str(v) for v in row.values)
    return hashlib.sha256(serial.encode('utf-8')).hexdigest()[:16]

df['fingerprint'] = df.apply(row_fingerprint, axis=1)
print(df[['Prefecture','Year','fingerprint']].head(10))

# 後日同じ df を読み直してハッシュ比較すれば差分検知ができる
df[['Prefecture','Year','fingerprint']].to_csv(
    'data/raw/SSDSE-B-2026.row_fingerprints.csv', index=False)

⑥ ECDSA も併記

from cryptography.hazmat.primitives.asymmetric import ec

ec_priv = ec.generate_private_key(ec.SECP256R1())
ec_pub = ec_priv.public_key()

ec_sig = ec_priv.sign(message, ec.ECDSA(hashes.SHA256()))
print('ECDSA 署名長:', len(ec_sig), 'bytes')

ec_pub.verify(ec_sig, message, ec.ECDSA(hashes.SHA256()))
print('ECDSA 検証 OK')

⑦ EdDSA (Ed25519) を使う

from cryptography.hazmat.primitives.asymmetric.ed25519 import Ed25519PrivateKey

ed_priv = Ed25519PrivateKey.generate()
ed_pub  = ed_priv.public_key()

ed_sig = ed_priv.sign(message)
print('Ed25519 署名長:', len(ed_sig), 'bytes')  # 64

ed_pub.verify(ed_sig, message)
print('Ed25519 検証 OK')

⚠️ よくある落とし穴

🌐 関連手法・派生・上位概念

用途別の選定指針：① 一般的な配布なら RSA-2048-PSS or ECDSA-P256、 ② モバイル・IoT は ECDSA か EdDSA、 ③ 長期保存・契約は タイムスタンプ付き RSA-3072、 ④ 量子計算機を見据えるなら Dilithium。

関連概念： 公開鍵暗号 が前提、 ハッシュ衝突は 改ざん の論点、 配布チェーンは 機密性 と組み合わせて運用する。

📰 実世界での電子署名の使い方

実世界で電子署名・データ分散処理などの概念がどう適用されているか、 代表的なケーススタディを紹介します。

❓ FAQ

Q. 紙のハンコと電子署名はどちらが強い？

A. 電子署名の方が圧倒的に強い。 紙の印鑑は複製が容易ですが、 電子署名は数学的に偽造不可能。 加えて時刻・対象データ・鍵主体の 3 点まで証明できる。

Q. 電子署名と HMAC の違いは？

A. 電子署名は 非対称鍵 なので否認防止が成立する。 HMAC は対称鍵で、 共有秘密を知る両者が同じ MAC を作れるため否認防止は無い。 API 認証など内部用途で HMAC、 公開配布で電子署名。

Q. 量子計算機が登場したらどうなる？

A. RSA・ECDSA・EdDSA はすべて Shor のアルゴリズムで破られる可能性がある。 NIST が 2024 年に Dilithium・SPHINCS+ を標準化。 長期保存が必要な署名は移行を計画。

Q. SSDSE のような公共データに毎回検証が必要？

A. 研究の再現性・データ ETHICS の観点から推奨。 特に分析結果を公開する場合は「使用したデータの正規性を確認した」と記録する。

Q. プログラムから署名するときの鍵管理ベストプラクティス

A. 本番では HSM (Hardware Security Module) または KMS (AWS KMS, GCP KMS, Azure Key Vault) を使う。 ローカル開発では暗号化されたキーストア。 git にコミットしない。

🔗 関連用語（前提・並列・発展）

前提となる用語

同カテゴリ・並列の用語

発展・上位の用語

📚 関連グループ教材

この用語の全体像を学ぶには、 横断的な教材で文脈を掴むのが効率的です。

• 📚 AI 倫理・公平性 — セキュリティを含む横断教材
• 📚 AI クラウド — クラウド上での鍵管理
• 📚 AI 応用 — 電子署名を組み込むアプリ例