.NET System.Security.Cryptography

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/dotnet-crypto/run.sh がコンテナイメージ mcr.microsoft.com/dotnet/sdk:10.0.402-noble 内で .NET System.Security.Cryptography 10.0.13 を .NET 10.0.13 on Ubuntu 24.04.5 LTS で実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• ECDSA 署名のエンコーディング

  raw

  SignData はデフォルトで IEEE P1363 形式の 64 バイトの r‖s を返します。DSASignatureFormat.Rfc3279DerSequence を指定すると DER になります。

  チェックによる記録

  fact ecdsa-signature-encoding = raw
  evidence ecdsa-signature-encoding: SignData default: 64 bytes; with Rfc3279DerSequence: parses as DER True

• ECDSA の nonce

  random

  nonce はランダムです。RFC 6979 のテスト用の鍵で同じメッセージに 2 回署名すると、異なる結果になりました。

  チェックによる記録

  fact ecdsa-nonce = random

• 署名時の low-S

  either

  s は正規化されません。64 個の署名の中に high-S の値が現れました。

  チェックによる記録

  fact ecdsa-low-s-sign = either

• 検証時の high-S

  accepts-high-s

  s を n − s に置き換えた署名も検証を通りました。

  チェックによる記録

  fact ecdsa-low-s-verify = accepts-high-s

• 署名呼び出しがハッシュする対象

  hashes-message-or-digest

  SignData はハッシュを計算します。SignHash は自分で計算したダイジェストに署名し、その署名はメッセージに対して検証できました。

  チェックによる記録

  fact ecdsa-prehash = hashes-message-or-digest

• 不正な形式の ECDSA 署名

  returns-false

  P1363 として検証した DER 署名、DER として検証した生の署名、3 バイトのデータのいずれでも false が返ります。

  チェックによる記録

  fact ecdsa-malformed-signature = returns-false
  evidence ecdsa-malformed-signature: DER to the default verifier: false; raw to the DER verifier: false; 3 bytes: false

• ECDSA の曲線

  P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  Linux では P-256、P-384、P-521、secp256k1、brainpoolP256r1/P384r1/P512r1 で署名と検証ができました。

  チェックによる記録

  fact ecdsa-curves = P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  none

  System.Security.Cryptography には Ed25519 クラスがありません。

  チェックによる記録

  fact eddsa = none
  evidence eddsa: System.Security.Cryptography.Ed25519 type present: False

• ポスト量子アルゴリズム

  none

  このプラットフォームでは、MLKem.IsSupported、MLDsa.IsSupported、SlhDsa.IsSupported、複合 ML-DSA のサポートがすべて false でした。

  チェックによる記録

  fact pqc = none
  evidence pqc: MLKem.IsSupported False, MLDsa.IsSupported False, SlhDsa.IsSupported False, CompositeMLDsa.IsSupported(MLDsa65WithECDsaP256) False

• プラットフォームの OpenSSL

  3.0.13

  Linux では、各クラスはシステムの OpenSSL を使います。ここでは Ubuntu 24.04 の 3.0.13 で、ML-KEM と ML-DSA が追加される前のバージョンです。

  チェックによる記録

  fact platform-openssl = 3.0.13
  evidence platform-openssl: OpenSSL 3.0.13 30 Jan 2024 (Library: OpenSSL 3.0.13 30 Jan 2024)

• 公開鍵の形式

  spki-pemspki-derraw-xy

  公開鍵は SPKI PEM（ImportFromPem）、SPKI DER、ECParameters の生の X 座標と Y 座標からインポートできます。

  チェックによる記録

  fact public-key-formats = spki-pem, spki-der, raw-xy
  evidence public-key-formats: ImportParameters takes Q.X and Q.Y separately; there is no SEC1 point or JWK import in the BCL

• 秘密鍵の形式

  pkcs8-pempkcs8-derencrypted-pkcs8sec1-pemsec1-derraw-scalar

  秘密鍵は PKCS#8 の PEM と DER、暗号化された PKCS#8、SEC1 の PEM と DER、ECParameters の生のスカラーからインポートできます。

  チェックによる記録

  fact private-key-formats = pkcs8-pem, pkcs8-der, encrypted-pkcs8, sec1-pem, sec1-der, raw-scalar

使い方

using System.Security.Cryptography;
using System.Text;

using var key = ECDsa.Create(ECCurve.NamedCurves.nistP256);
var message = Encoding.UTF8.GetBytes("order #1042 approved");

// .NET signs raw r||s (IEEE P1363) by default; OpenSSL, Java and Go expect DER.
var raw = key.SignData(message, HashAlgorithmName.SHA256);
var der = key.SignData(message, HashAlgorithmName.SHA256, DSASignatureFormat.Rfc3279DerSequence);

// Verifying a DER signature needs the same format argument, or VerifyData returns false.
var ok = key.VerifyData(message, der, HashAlgorithmName.SHA256, DSASignatureFormat.Rfc3279DerSequence);
var wrongFormat = key.VerifyData(message, der, HashAlgorithmName.SHA256);
Console.WriteLine($"raw: {raw.Length} bytes, DER verified: {ok}, DER as raw: {wrongFormat}");
Console.WriteLine(key.ExportSubjectPublicKeyInfoPem().Split('\n')[0]);