Bouncy Castle for .NET (BouncyCastle.Cryptography)

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/bouncy-castle-csharp/run.sh がコンテナイメージ mcr.microsoft.com/dotnet/sdk:10.0.402-noble 内で Bouncy Castle for .NET (BouncyCastle.Cryptography) 2.7.0 を実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• ECDSA 署名のエンコーディング

  der

  SHA-256withECDSA は DER を返し、SHA-256withPLAIN-ECDSA は 64 バイトの生の r‖s を返します。

  チェックによる記録

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: SHA-256withPLAIN-ECDSA output: 64 bytes

• ECDSA の nonce

  rfc6979-opt-in

  SignerUtilities ではランダムです。HMacDsaKCalculator を指定した ECDsaSigner では RFC 6979 付録 A.2.5 を再現できました。

  チェックによる記録

  fact ecdsa-nonce = rfc6979-opt-in
  evidence ecdsa-nonce: SHA-256withECDSA repeats: False; ECDsaSigner with HMacDsaKCalculator reproduces RFC 6979 A.2.5: True

• 署名時の low-S

  either

  s は正規化されません。64 個の署名の中に high-S の値が現れました。

  チェックによる記録

  fact ecdsa-low-s-sign = either

• 検証時の high-S

  accepts-high-s

  s を n − s に置き換えた DER 署名も検証を通りました。

  チェックによる記録

  fact ecdsa-low-s-verify = accepts-high-s

• 署名呼び出しがハッシュする対象

  hashes-message-or-digest

  SHA-256withECDSA はハッシュを計算します。NONEwithECDSA はダイジェストに署名し、その署名はメッセージに対して検証できました。

  チェックによる記録

  fact ecdsa-prehash = hashes-message-or-digest

• 不正な形式の ECDSA 署名

  returns-false

  SHA-256withECDSA に渡した生の r‖s 署名と 3 バイトのデータでは false が返ります。

  チェックによる記録

  fact ecdsa-malformed-signature = returns-false
  evidence ecdsa-malformed-signature: raw r||s to SHA-256withECDSA: false; 3 bytes: false

• ECDSA の曲線

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  P-224、P-256、P-384、P-521、secp256k1、brainpoolP256r1/P384r1/P512r1 で署名と検証ができました。

  チェックによる記録

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Ed25519 と Ed448 です。

  チェックによる記録

  fact eddsa = Ed25519, Ed448

• ポスト量子アルゴリズム

  ML-KEMML-DSASLH-DSA

  マネージドコードで、ML-KEM-768 のカプセル化とデカプセル化、ML-DSA-65 と SLH-DSA-SHA2-128f の署名と検証ができました。

  チェックによる記録

  fact pqc = ML-KEM, ML-DSA, SLH-DSA

• 公開鍵の形式

  spki-pemspki-der

  PemReader による SPKI PEM と、PublicKeyFactory による SPKI DER です。

  チェックによる記録

  fact public-key-formats = spki-pem, spki-der
  evidence public-key-formats: PublicKeyFactory.CreateKey(SPKI DER) verifies: True

• 秘密鍵の形式

  pkcs8-dersec1-pem

  PemWriter が SEC1 PEM を書き出し、PemReader が読み込みます。PKCS#8 DER は PrivateKeyFactory で読み込めます。

  チェックによる記録

  fact private-key-formats = pkcs8-der, sec1-pem
  evidence private-key-formats: PemWriter writes -----BEGIN EC PRIVATE KEY-----; PemReader returns AsymmetricCipherKeyPair; PKCS#8 DER round trip signs: True

使い方

using System.Text;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Parameters;
using Org.BouncyCastle.Security;

var message = Encoding.UTF8.GetBytes("order #1042 approved");

// Ed25519, which the .NET base class library does not offer.
var generator = new Ed25519KeyPairGenerator();
generator.Init(new Ed25519KeyGenerationParameters(new SecureRandom()));
var pair = generator.GenerateKeyPair();

var signer = SignerUtilities.GetSigner("Ed25519");
signer.Init(true, pair.Private);
signer.BlockUpdate(message, 0, message.Length);
var signature = signer.GenerateSignature();

var verifier = SignerUtilities.GetSigner("Ed25519");
verifier.Init(false, pair.Public);
verifier.BlockUpdate(message, 0, message.Length);
Console.WriteLine($"signature: {signature.Length} bytes, verified: {verifier.VerifySignature(signature)}");