liboqs (Open Quantum Safe)

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/liboqs/run.sh がコンテナイメージ debian:trixie-20261005-slim 内で liboqs (Open Quantum Safe) 0.16.0 を実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• ECDSA の曲線

  none

  ECDSA はありません。有効なアルゴリズム識別子はすべてポスト量子のファミリーに属します。

  チェックによる記録

  fact ecdsa-curves = none

• EdDSA

  none

  EdDSA はありません。liboqs が実装しているのはポスト量子方式だけです。

  チェックによる記録

  fact eddsa = none

• ポスト量子アルゴリズム

  ML-KEMML-DSASLH-DSAFalconHQCClassic-McElieceFrodoKEMBIKENTRUsntrup761KyberMAYOCROSSUOVSNOVAMQOM

  デフォルトのビルドでは、列挙した各ファミリーの 1 つのパラメーターセットで、鍵生成、カプセル化または署名、デカプセル化または検証が完了しました。

  チェックによる記録

  fact pqc = ML-KEM, ML-DSA, SLH-DSA, Falcon, HQC, Classic-McEliece, FrodoKEM, BIKE, NTRU, sntrup761, Kyber, MAYO, CROSS, UOV, SNOVA, MQOM
  evidence pqc: enabled: 41 KEMs, 221 signature schemes, 0 stateful signature schemes
  evidence pqc: enabled parameter sets by identifier prefix: ML-KEM- 3, ML-DSA- 3, SLH_DSA 156, Falcon- 4, HQC- 3, Classic-McEliece- 10, FrodoKEM- 6, eFrodoKEM- 6, BIKE- 3, NTRU- 6, sntrup 1, Kyber 3, MAYO- 4, cross- 18, OV- 12, SNOVA 12, mqom2 12
  evidence pqc: first parameter set of each family run end to end; failures: none

• ステートフルハッシュベース署名

  not-built

  デフォルトのビルドでは、XMSS と LMS のパラメーターセットは 1 つも有効になっていません。

  チェックによる記録

  fact stateful-signatures = not-built
  evidence stateful-signatures: no XMSS or LMS parameter set is enabled in this build

• ML-DSA の署名モード

  hedged

  同じ鍵で同じメッセージに作成した 2 つの ML-DSA-65 署名は異なりました（ヘッジ付き署名）。

  チェックによる記録

  fact ml-dsa-signing = hedged
  evidence ml-dsa-signing: ML-DSA-65: public key 1952 bytes, signature 3309 bytes; two signatures of one message are different

• ML-DSA のコンテキスト文字列

  supported

  コンテキスト invoice-v1 で作成した署名は、同じコンテキストでは検証を通り、invoice-v2 と空のコンテキストでは検証に失敗しました。

  チェックによる記録

  fact ml-dsa-context-string = supported
  evidence ml-dsa-context-string: signed with context "invoice-v1": verifies with it yes, with "invoice-v2" no, with OQS_SIG_verify no
  evidence ml-dsa-context-string: an OQS_SIG_sign signature verifies with a zero-length context: yes

• 不正な形式の ML-DSA 署名

  returns-false

  切り詰めた署名、3 バイトのデータ、誤ったメッセージは、いずれも OQS_ERROR（-1）を返しました。

  チェックによる記録

  fact ml-dsa-malformed-signature = returns-false
  evidence ml-dsa-malformed-signature: OQS_SIG_verify: truncated signature -1, 3 bytes -1, wrong message -1 (OQS_SUCCESS = 0, OQS_ERROR = -1)

• 改変された ML-KEM 暗号文

  implicit-rejection

  暗号文の 1 ビットを反転させると、OQS_KEM_decaps は OQS_SUCCESS と異なる共有秘密を返しました。

  チェックによる記録

  fact ml-kem-modified-ciphertext = implicit-rejection
  evidence ml-kem-modified-ciphertext: ML-KEM-768 (public key 1184, ciphertext 1088 bytes): one flipped bit, OQS_KEM_decaps returned 0 and the secrets differ
  evidence ml-kem-modified-ciphertext: kem.h: OQS_API OQS_STATUS OQS_KEM_decaps(const OQS_KEM *kem, uint8_t *shared_secret, const uint8_t *ciphertext, const uint8_t *secret_key)

使い方

#include <oqs/oqs.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>

int main(void) {
    OQS_init();
    /* ML-KEM-768: the receiver publishes pk, the sender encapsulates a fresh secret to it. */
    OQS_KEM *kem = OQS_KEM_new(OQS_KEM_alg_ml_kem_768);
    uint8_t *pk = malloc(kem->length_public_key), *sk = malloc(kem->length_secret_key);
    uint8_t *ct = malloc(kem->length_ciphertext), sent[32], received[32];
    OQS_KEM_keypair(kem, pk, sk);
    OQS_KEM_encaps(kem, ct, sent, pk);
    /* Decapsulation never reports a damaged ciphertext: it yields a different secret instead. */
    OQS_KEM_decaps(kem, received, ct, sk);
    printf("ML-KEM-768 secrets match: %d\n", memcmp(sent, received, 32) == 0);

    /* ML-DSA-65 with a FIPS 204 context string that ties the signature to one purpose. */
    OQS_SIG *sig = OQS_SIG_new(OQS_SIG_alg_ml_dsa_65);
    uint8_t *vk = malloc(sig->length_public_key), *dk = malloc(sig->length_secret_key);
    uint8_t *s = malloc(sig->length_signature);
    const uint8_t msg[] = "order #1042 approved", ctx[] = "invoice-v1";
    size_t len = 0;
    OQS_SIG_keypair(sig, vk, dk);
    OQS_SIG_sign_with_ctx_str(sig, s, &len, msg, sizeof msg - 1, ctx, sizeof ctx - 1, dk);
    OQS_STATUS rc = OQS_SIG_verify_with_ctx_str(sig, msg, sizeof msg - 1, s, len, ctx, sizeof ctx - 1, vk);
    printf("ML-DSA-65 verified: %d (%zu-byte signature)\n", rc == OQS_SUCCESS, len);

    OQS_MEM_secure_free(sk, kem->length_secret_key);
    OQS_MEM_secure_free(dk, sig->length_secret_key);
    free(pk), free(ct), free(vk), free(s);
    OQS_KEM_free(kem), OQS_SIG_free(sig);
    OQS_destroy();
    return 0;
}