応用情報技術者 2020年 秋期 午前2 問40

ディジタル署名の保証内容【午前2解説】

正解の理由

解法ステップ

1. 受信者は受け取った文書 M のハッシュ $H(M)$ をハッシュ関数で算出する。例えば SHA-256: $H(M)=SHA256(M)$。
2. 受信したディジタル署名 S を送信者の公開鍵 X で検証する（RSA の場合は $S^e\mathrm{mod}n$ を計算してハッシュと比較、ECDSA 等は別の検証アルゴリズム）。
3. 復号・検算結果と $H(M)$ が一致すれば、文書は改ざんされておらず、署名は公開鍵 X に対応する秘密鍵で生成されたと判断する（イに該当）。
4. 一致しない場合は「整合性が失われた」または「署名が有効でない」と判断するが、何が改ざんされたかの特定はこの手順だけではできない。

選択肢別の誤答解説

• ア: 「文書の改ざん部分を判別できる」とあるが誤りです。ディジタル署名の検証は文書全体の整合性を示すのみで、どの部分が改ざんされたかはわかりません。改ざん箇所の特定には、ファイルをブロック単位でハッシュ化して比較する方法（Merkle木など）や、差分比較ツール／バイナリ差分解析が必要です。単一のハッシュや署名だけでは変更箇所の位置は特定できません。
• イ: 正解。前述のとおり、検証により整合性（改ざんがないこと）と、署名が対応する秘密鍵で生成されたこと（署名の由来）を確認できます。
• ウ: ディジタル署名はマルウェアの有無を保証しません。署名はファイルの作成者（または秘密鍵所有者）による署名の正当性と文書の整合性を保証するのみで、マルウェア検査はウイルススキャンやサンドボックスなど別途の手段が必要です。よって誤りです。
• エ: 「どちらが改ざんされたかを判別できる」とありますが、署名検証の結果が不一致でもそれがファイルか署名のどちらの改ざんによるものかは確定できません。例えば署名自体が改ざんされている、ファイルが改ざんされている、あるいは受信者が誤った公開鍵を使っているなど複数の原因が考えられ、単独の検証で判別はできません。したがって誤りです。

よくある誤解

• 単一のハッシュやディジタル署名で「改ざん箇所が分かる」と思い込むこと。実際は改ざんの有無しか分からず、箇所特定にはブロック単位のハッシュ化（Merkle木）や差分解析が必要です。
• ディジタル署名が「マルウェアの有無」や「ファイルの安全性」そのものを保証すると思う誤解。署名は整合性と署名者証明に関する保証であり、ウイルススキャンとは目的が異なります。
• 署名検証が成功すれば送信者の「本人確認」になると過信すること。公開鍵と実際の個人・組織の結びつきが信頼できるか（証明書や信頼できる配布経路）が別途必要です。

補足コラム

• 改ざん箇所の特定手法：大きなファイルで改ざん箇所を知りたい場合、ファイルを固定長ブロックに分け各ブロックのハッシュを作成して比較する方法があります。Merkle木はこれを効率的に行う構造で、部分的な変更を特定・証明する際に有用です。
• 署名の信頼性：公開鍵 X が本当に送信者Aに帰属するかは、公開鍵を証明する仕組み（証明書とCA、鍵の配布方法）の信頼性に依存します。タイムスタンプ付き署名は署名時点の状態を証明する点で有益です。
• 技術差：RSA、ECDSA、EdDSA 等で署名・検証のアルゴリズムは異なりますが、概念は同じで「ハッシュ値と署名値を対応付けて検証する」点にあります。

import hashlib
with open('document.bin','rb') as f:
    h = hashlib.sha256()
    while True:
        chunk = f.read(8192)
        if not chunk:
            break
        h.update(chunk)
print(h.hexdigest())

FAQ