公開鍵の指紋

公開鍵暗号化では、公開鍵の指紋は、より長い公開鍵を識別するために使用される短いバイトシーケンスです。指紋は、公開鍵に暗号化ハッシュ関数を適用することによって作成されます。指紋は参照する鍵よりも短いため、特定の鍵管理タスクを簡素化するために使用できます。Microsoft ソフトウェアでは、「指紋」の代わりに「拇印」が使用されます。

公開鍵のフィンガープリントは通常、次の手順で作成されます。

1. 公開鍵 (およびオプションで追加データ) は、バイト シーケンスにエンコードされます。同じフィンガープリントを後で再作成できるようにするには、エンコードが決定論的である必要があり、追加データは公開鍵と一緒に交換および保存される必要があります。追加データは通常、公開鍵を使用するすべてのユーザーが知っておくべき情報です。追加データの例としては、キーが使用されるプロトコル バージョン ( PGPフィンガープリントの場合)、キー所有者の名前 ( X.509トラスト アンカー フィンガープリントの場合、追加データは X.509自己署名証明書で構成されます) などがあります。
2. 前の手順で生成されたデータは、SHA-1やSHA-2などの暗号化ハッシュ関数を使用してハッシュされます。
3. 必要に応じて、ハッシュ関数の出力を切り捨てて、より短く便利なフィンガープリントを提供することもできます。

このプロセスにより、はるかに大きな公開鍵の認証に使用できる短い指紋が生成されます。たとえば、一般的なRSA公開鍵の長さは 2048 ビット以上ですが、一般的なMD5またはSHA-1指紋の長さは 128 ビットまたは 160 ビットのみです。

人間が検査するために表示される場合、フィンガープリントは通常16 進文字列にエンコードされます。これらの文字列は、読みやすいように文字のグループにフォーマットされます。たとえば、 SSHの 128 ビット MD5 フィンガープリントは次のように表示されます。

43:51:43:a1:b5:fc:8b:b7:0a:3a:a9:b1:0f:66:73:a8

インターネットなどの信頼できないチャネル経由で公開鍵を受信した場合、受信者は公開鍵を認証したいと考えることがよくあります。指紋はサイズが小さいため、公開鍵が簡単に収まらない信頼できるチャネル経由で渡すことができるため、これを実現するのに役立ちます。

たとえば、アリスが公開鍵をボブの所有物として認証したい場合、アリスは電話または直接ボブに連絡して、指紋を読み上げてもらうか、指紋が書かれた紙切れを渡します。アリスは、この信頼できる指紋が公開鍵の指紋と一致するかどうかを確認できます。このような値の交換と比較は、値が長い公開鍵ではなく短い指紋である場合の方がはるかに簡単です。

指紋は、キー認証データの交換や保存を自動化する場合にも役立ちます。たとえば、キー認証データをプロトコル経由で送信したり、完全な公開キーのサイズが問題となるデータベースに保存したりする必要がある場合、指紋を交換または保存する方がより現実的なソリューションとなる可能性があります。

さらに、検索エンジンでフィンガープリントを照会して、ユーザーがダウンロードした公開キーがサードパーティの検索エンジンで表示されるようにすることができます。検索エンジンが適切なサイトにリンクされたフィンガープリントを参照するヒットを返す場合、中間者攻撃などの攻撃者によってキーが挿入されていないという確信が持てます。

PGP は、音声チャネルを介した公開鍵のフィンガープリントの交換を容易にするために、 PGP 単語リストを開発しました。

SSH などのシステムでは、ユーザーは手動で指紋を交換して確認し、キー認証を実行できます。ユーザーが別のユーザーの指紋を受け入れると、その指紋 (またはそれが参照するキー) は、他のユーザーの名前またはアドレスの記録とともにローカルに保存され、そのユーザーとの今後の通信は自動的に認証されます。

X.509 ベースのPKIなどのシステムでは、指紋は主にルート キーの認証に使用されます。これらのルート キーは、ユーザー キーの認証に使用できる証明書を発行します。この証明書の使用により、ユーザー間の手動による指紋検証が不要になります。

PGPやGrooveなどのシステムでは、指紋は上記のいずれのアプローチにも使用できます。つまり、他のユーザーに属する鍵、または証明書発行機関に属する鍵を認証するために使用できます。PGP では、通常のユーザーが互いに証明書を発行して信頼のウェブを形成でき、指紋はこのプロセスを支援するためによく使用されます (例:鍵署名パーティ)。

CGAやSFSなどのシステムや、ほとんどの暗号化ピアツーピアネットワークでは、指紋は既存のアドレスと名前の形式（IPv6アドレス、ファイル名、その他の識別文字列など）に埋め込まれています。アドレスと名前がすでに信頼できるチャネルを通じて交換されている場合、このアプローチにより、指紋をそれらに便乗させることができます。^[1]

PGP では、ほとんどのキーは、いわゆる「キー ID」がキー フィンガープリントの下位 32 ビットまたは 64 ビットに等しくなるように作成されます。PGP は、さまざまな目的で公開キーを参照するためにキー ID を使用します。これらは、正確に言えばフィンガープリントではありません。長さが短いため、公開キーを安全に認証できないためです。現在のハードウェアは、わずか 4 秒で衝突する 32 ビット キー ID を生成できるため、32 ビット キー ID は使用しないでください。^[2]

指紋のセキュリティに対する主な脅威は、第二原像攻撃です。これは、攻撃者が鍵ペアを作成し、その鍵ペアの公開鍵をハッシュすると、被害者の指紋と一致する指紋が生成されるというものです。攻撃者は、被害者の公開鍵の代わりに自分の公開鍵を提示して、被害者になりすますことができます。

一部のシステムに対する二次的な脅威は衝突攻撃です。これは、攻撃者が自身の指紋にハッシュされる複数のキーペアを構築する攻撃です。これにより、攻撃者は自分が作成した署名を否認したり、その他の混乱を引き起こしたりする可能性があります。

原像攻撃を防ぐために、指紋に使用される暗号化ハッシュ関数は、第 2 原像攻撃耐性の特性を備えている必要があります。衝突攻撃が脅威である場合、ハッシュ関数は衝突耐性の特性も備えている必要があります。より短く、より使いやすい指紋を作成するためにハッシュ関数の出力を切り捨てることは許容されますが、切り捨てられた指紋は、総当たり検索攻撃に対してハッシュ関数の関連する特性を保持できるほど十分に長くなければなりません。

実際には、今日一般的に使用されているほとんどのフィンガープリントは、切り捨てられていない MD5 または SHA-1 ハッシュに基づいています。2017 年現在、衝突は MD5 と SHA-1 で見つかりますが、原画像は見つかりません。そのため、将来的にはSHA-256などの新しいハッシュ関数の使用が増える可能性があります。ただし、出力長が長い SHA-256 やその他のハッシュ関数に基づくフィンガープリントは、（比較的短い）MD5 または SHA-1 フィンガープリントよりも切り捨てられる可能性が高くなります。

指紋の長さを何としても最小限に抑えなければならない状況では、指紋の計算コストを増やすことで指紋のセキュリティを高めることができます。たとえば、暗号化アドレスのコンテキストでは、これは「ハッシュ拡張」と呼ばれ、指紋を計算する人は誰でも、固定数のゼロから始まるハッシュサムを検索する必要があります。 ^[3]これはコストのかかる操作であると考えられます。

• 指紋（コンピューティング）
• PGP 単語リスト
• 公開鍵暗号
• キー認証
• キー管理
• 鍵署名パーティー
• 509 の
• デジタル署名
• ラビン指紋