RSA 暗号化 / 復号

2 つの素数とトラップドア。RSA の鍵は 2 つの大きなランダム素数 p と q から始まります。その積 n（法、「2048 ビット鍵」の由来）は指数 e（ほぼ常に 65537）と一緒に公開鍵として公開されます。秘密鍵は d — p と q から計算される e のモジュラー逆数 — のペアに、秘密鍵操作を 4 倍速くする素数由来のショートカットを加えたものです。

暗号化と署名は同じべき乗です。メッセージブロック m の暗号化は m^e mod n の計算、復号は c^d mod n。秘密指数で事前整形されたブロックに署名し、公開指数で検証するのは、逆方向の同じ操作です。このページの他のすべて — OAEP、PSS、PKCS#1 — は、生のべき乗が露出しないようそのブロックを安全に整形することに関わっています。

なぜ遅いのか。2048 ビット鍵での 1 回の RSA 操作は、AES で 1 ブロック暗号化するよりおよそ 100 万倍の CPU を消費します。だからこそ TLS は RSA（または ECC）をランダムな AES 鍵の合意だけに使い、その後切り替えます。あなたが何をbuildしても同じ規則です：鍵には RSA、データには AES。

鍵のサイズ。法の長さがセキュリティのダイヤルです：1024 ビットはポリシー上破られた（素因数分解が国家規模の手の届く範囲）、2048 ビット ≈ 112 ビットの対称強度、3072 ビット ≈ 128 ビット、15360 ビットなら 256 ビットの対称鍵に匹敵します。ポスト量子の注記：Shor のアルゴリズムは大きな量子コンピューターで RSA をまるごと破ります — 鍵の寿命を有限に保つもう 1 つの理由です。

生の RSA の問題。教科書 RSA（生メッセージへの m^e mod n）は決定論的で可鍛です：同一メッセージは同一に暗号化され、攻撃者は暗文に 2 の暗号化を掛けて平文を 2 倍にでき、短いメッセージは中間者攻撃に落ちます。直接使ってはいけません。

OAEP の仕事。OAEP（PKCS#1 v2、RFC 8017）はべき乗の前に、メッセージをランダムシードとハッシュベースの Feistel ネットワークで混ぜます。結果：暗号化はランダム化され（同じ平文でも毎回違う暗文になる — OAEP のサンプルを 2 回実行して比べてください）、改ざんは復号時に検出され、メッセージはハッシュ分の余裕を持って法の中に収まらなければなりません — 上に表にした k−2·hashLen−2 の上限です。

ラベル。パディングに結び付けられる任意の公開文字列です。両側が同一のラベルを渡さなければ復号は失敗します — AES-GCM の AAD のように、暗文を文脈（ファイル名、アルゴリズム ID）に結び付けられます。空が普通です。

PKCS#1 v1.5 暗号化は意図的に存在しません。1993 年代のパディングは完全性がなく、復号エラーの挙動を通じて情報を漏らします（Bleichenbacher の 1998 年の攻撃はパディングオラクルを数百万の細工した暗文で完全な復号に変えました。2017 年の ROBOT として今も実システムを破っています）。WebCrypto は実装を拒否し、このページもそうです。

署名 ＝ ハッシュ、パディング、べき乗。両方式ともメッセージをハッシュし（ここでは SHA-256/384/512）、ダイジェストをブロックに整形し、秘密指数を適用します。検証は公開鍵でブロックを再整形して比較します。違いは整形の方法です：

どちらを選ぶか。新しい設計：PSS。既存の証明書、JWT（RS256）、古い相手との相互運用：v1.5。署名方式としてはどちらも安全です — v1.5 の災害物語は*暗号化*パディングの話で、名前は似ていますが別の構造です。

PEM は単に DER を base64 で包んだものです。PEM ファイルはラベル ＋ DER（バイナリ ASN.1）構造の base64。ラベルがどの構造かを告げます — それがこのページが生成する 4 形式の違いのすべてです：

同じ鍵、別の包み。生成後の上の 4 つのボックスはすべて同じ鍵ペアを保持します — SPKI と PKCS#1 公開鍵は同一の n、e を含み、PKCS#8 と PKCS#1 秘密鍵は同一の秘密値を含みます。このページはブラウザー内で損失なく相互変換します（セルフテストが変換をラウンドトリップします）。形式の混同は、ツール間で鍵を貼り付けるときの「無効な鍵」エラーの単一最大の原因です。

暗号化された PEM（-----BEGIN ENCRYPTED PRIVATE KEY-----）はパスワードベースの暗号化層付きの PKCS#8 です。このページは受け付けません — 先にオフラインで復号してください（openssl pkcs8 -in enc.pem -out plain.pem）。

• 大量データを RSA で暗号化する。OAEP のサイズ上限を超えた途端に、ばかげて遅くなります。パターンはこうです：ランダムな AES 鍵を生成し、AES 鍵を RSA-OAEP で暗号化し、データを AES-GCM で暗号化し、両方の部品を送る。
• 「テストだから」と秘密鍵を配布する。このページのベクトルに埋め込まれたサンプル鍵は意図的に公開されています — テストデータにしか署名できません。あなたの鍵はそうではありません。
• 秘密鍵で検証する。数学的にはたいてい「動き」、許すツールもありますが、検証者に秘密鍵を配るのはモデル全体を台無しにします。公開鍵で検証してください（このページは強制します）。
• コードのチェックに署名をバイト比較する。PSS（と OAEP）はランダム化されています：2 回の正しい実行は異なる出力を生成します。等しさではなく検証で比較してください。決定論的なのは v1.5 署名だけです。
• 「速いから」と 1024 ビット鍵を使う。資金力のある素因数分解の手の届く範囲でもあります。速度の議論はハイブリッド暗号化で死にました：RSA はバイトごとではなくセッションごとに 1 回しか走りません。
• PSS のソルト長をハッシュ長以外にハードコードする。検証者が同意する必要があります。ハッシュ長（このページの選択と OpenSSL の -sigopt rsa_pss_saltlen:32）が相互運用可能な既定です。

「鍵違い、ハッシュ違い、または暗文の破損」で復号に失敗したのはなぜ？OAEP の復号は、一致する秘密鍵でない、ハッシュが暗号化側と異なる、ラベルが異なる、暗文の 1 バイトが変わった、のいずれかで失敗します。エラーはすべてのケースで意図的に同一です — どのチェックが失敗したかを明かすこと自体がパディングオラクルの漏洩です。

秘密鍵から公開鍵を取り出せますか？はい — 秘密鍵の形式にも n と e が含まれます。このページは生成後に両方を表示します。OpenSSL なら openssl pkey -in priv.pem -pubout です。

なぜ指数が 65537 なのですか？素数で、1 のビットが 2 つだけ（高速べき乗）、e=3 を襲う低指数攻撃を避けられる十分な大きさです。1990 年代以来の標準的な選択で、「奇妙な」指数はたいてい弱い鍵か非標準の鍵を意味します。

量子コンピューターで RSA は死にましたか？まだです — 2048 ビットの法で Shor のアルゴリズムを実行できるマシンは存在しません。しかし 2030 年代以降も秘密であり続けるべきデータは既に移行が始まっています。PQC ハイブリッド方式がエンジニアリングの答えです。

openssl rsautl は？pkeyutl の非推奨の祖先です。既定で v1.5 暗号化パディングを使う — 廃止されたもう 1 つの理由です。