署名暗号化

暗号学において、署名暗号化は、デジタル署名と暗号化の両方の機能を同時に実行する公開鍵プリミティブです。

暗号化とデジタル署名は、機密性、完全性、否認防止を保証できる2つの基本的な暗号ツールです。1997年までは、これらはさまざまな暗号システムの重要ではあるものの、別個の構成要素と見なされていました。公開鍵暗号方式では、従来の方法では、メッセージにデジタル署名してから暗号化を行う（署名後に暗号化）のですが、この方法には2つの問題があります。1つは、このような加算処理の効率が低くコストが高いこと、もう1つは、任意の方式ではセキュリティを保証できないことです。Signcryptionは、デジタル署名と暗号化の機能を単一の論理ステップで実行することを目的とした比較的新しい暗号技術であり、従来の署名後に暗号化を行う方式と比較して、計算コストと通信オーバーヘッドを効果的に削減できます。

署名暗号化は、デジタル署名と暗号化の両方の特性を、署名と暗号化を別々に行うよりも効率的な方法で提供します。つまり、特定のセキュリティモデルの下では、その効率性（例えば計算時間）の少なくとも一部は、デジタル署名と暗号化のハイブリッド方式よりも優れています。 ハイブリッド暗号化は、単純な暗号化の代わりに採用でき、複数の暗号化で単一のセッションキーを再利用することで、署名暗号化方式よりも多くの署名暗号化において全体的な効率性を向上させることができますが、セッションキーの再利用は、比較的弱いCPAモデルの下でもシステムのセキュリティを低下させます。これが、ハイブリッド暗号化方式で各メッセージにランダムなセッションキーを使用する理由ですが、特定のセキュリティレベル（例えばCPAなどの特定のモデル）では、署名暗号化方式は、単純な署名とハイブリッド暗号化の組み合わせよりも効率的であるはずです。

最初の署名暗号化方式は、1997年にYuliang Zhengによって提案されました。 ^{[ 1 ]} Zhengはまた、従来の楕円曲線ベースの署名・暗号化方式と比較して、計算コストを58%、通信コストを40%削減する楕円曲線ベースの署名暗号化方式も提案しました。^{[ 2 ]}また、長年にわたって提案された他の多くの署名暗号化方式もあり、それぞれに問題点や制限があり、セキュリティレベルや計算コストも異なります。

署名暗号化方式は通常、鍵生成（Gen）、署名暗号化（SC）、および復号化（USC）の 3 つのアルゴリズムで構成されます。Gen は任意のユーザーに対して鍵ペアを生成し、SC は一般的に確率的アルゴリズムであり、USC はほとんどの場合決定論的です。署名暗号化方式は、次の特性を備えている必要があります。^{[ 3 ]}

1. 正確性：いかなる署名暗号化方式も、検証可能な正確性を備えているべきである。
2. 効率性：署名暗号化方式の計算コストと通信オーバーヘッドは、同じ機能を提供する最もよく知られている署名後に暗号化する方式よりも小さくなければなりません。
3. セキュリティ：署名暗号化方式は、暗号化方式とデジタル署名の両方のセキュリティ特性を同時に満たす必要があります。こうした追加特性には、主に機密性、偽造不可能性、完全性、否認防止が含まれます。署名暗号化方式の中には、公開検証可能性やメッセージの機密性の前方秘匿性といった特性を提供するものもあれば、提供しないものもあります。こうした特性は多くのアプリケーションで必要とされるものですが、そうでないものもあります。以下に、上記の特性について簡単に説明します。
   • 機密性：適応型攻撃者が、送信者または指定された受信者の秘密鍵を知らなくても、署名暗号化されたテキストの内容に関する部分的な情報を取得することは、計算上不可能であるべきである。
   • 偽造不可能性：適応型攻撃者が、復号アルゴリズムによって受け入れられる真正な署名暗号化テキストを作成する際に、正直な送信者になりすますことは、計算上不可能でなければならない。
   • 否認防止：受信者は、送信者が署名暗号化されたテキストを送信したことを第三者（例えば裁判官）に証明できる必要があります。これにより、送信者は以前に署名暗号化されたテキストの送信を否認することができなくなります。
   • 完全性：受信者は、受信したメッセージが送信者によって送信された元のメッセージであることを検証できる必要があります。
   • 公開検証可能性：送信者または受信者の秘密鍵を必要としない第三者は、署名暗号化されたテキストが対応するメッセージの有効な署名暗号化であることを検証できます。
   • メッセージの機密性の前方秘匿性：送信者の長期秘密鍵が漏洩した場合、以前に署名暗号化されたテキストの平文を誰も抽出できないようにする必要があります。通常の署名暗号化方式では、長期秘密鍵が漏洩すると、以前に発行されたすべての署名が信頼できなくなります。携帯電話などのセキュリティ対策が不十分なデバイスで暗号計算が頻繁に行われるようになるにつれて、鍵漏洩の脅威が深刻化しているため、前方秘匿性はこのようなシステムにおいて不可欠な属性であると考えられます。

署名暗号化方式の例としては、以下のようなものがある。

• Zheng 1997 のElGamal 暗号化に基づくシステム^{[ 1 ]}と1998 年の楕円曲線バージョン^{[ 2 ]がある。}

署名暗号化には、以下のような様々な用途があると考えられています。

• 安全で信頼できるメール。
• 電子商取引およびモバイル商取引アプリケーションでは、機密性、真正性、場合によっては否認防止が求められることが多い。

• 認証付き暗号化