posts/2020/04/22/produce-signature-from-message-and-private-key/

[utterances-bot]

メッセージと秘密鍵から署名を生成する — ykrods note

「RSAではメッセージを秘密鍵で暗号化して署名を生成する」は正しいのか

https://www.ykrods.net/posts/2020/04/22/produce-signature-from-message-and-private-key/

[angel-p57]

感想の内容はまあその通りかと思うのですが、結論については、もうちょっとドキュメントを吟味していれば大分違ったものになるかと思います。( 「『秘密鍵で暗号化して署名を生成』は不適切」自体は良いとして )

76年時点では、暗号化・復号はまだアイデアレベルでしたが、「復号→暗号化の順での処理もできれば現実の署名に相当する機能が実現できるんじゃね?」というアイデアも同時に発表されて、これがデジタル署名の元祖になっています。つまり「秘密鍵で復号=署名」です。77年のRSAの発表もそれに則っています。
で、これはPKCS#1v2 以降でも同じで、「復号の内部処理(RSADP)と署名の内部処理(RSASP1)は同じですよ」となっています。( 同様に、暗号化の内部処理(RSAEP)と検証の内部処理(RSAVP1)も同じ )

では、PKCS#1v1.5でなぜ「秘密鍵で暗号化」という表現があったか。これは、RSAの中の人が「暗号化/復号も、署名/検証も、パラメータが違うだけの同じ処理」と捉えて、気分、というか処理タイミングで暗号化・復号を呼び分けてたことによるものと思います。
今にして思えば ( 今の視点で責めてもしようがないのですが ) 結構なチョンボだったように思います。

[ykrods]

@angel-p57 コメントありがとうございます！

ご指摘にあたり再度RSAの論文を読みましたが、確かに文中の署名の手続きは「Deciphering 」と表現されており
数式表現も「 S = DB(M) (Bは添字で)」で D は Decryption Procedure なので、暗号化（Encryption）では無いですね。

そうなると、PKCS#1 v1.5 だけおかしくてその前後の論文は正しい（表現に気を付けている）のに v1.5 のおかしい表現が広まっているという、結構謎な状況なんですね。

(まぁ、経緯はどうあれ、現行のバージョンで「暗号化」を使っていないならそれに従うべきだと思いますが

ご指摘の通り結論の補足の部分は後ほど訂正しようと思います。ありがとうございました。