Node.js node:crypto

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/node-crypto/run.sh がコンテナイメージ node:24.22.0-bookworm-slim 内で Node.js node:crypto 24.22.0 を OpenSSL 3.5.8 で実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• ECDSA 署名のエンコーディング

  der

  crypto.sign() は ASN.1 DER の SEQUENCE を返し、P-256 では通常 70〜72 バイトです。鍵オブジェクトに dsaEncoding: "ieee-p1363" を指定すると、代わりに固定長 64 バイトの r‖s 形式を返します。このオプションは署名側と検証側の両方で設定する必要があります。

  チェックによる記録

  fact ecdsa-signature-encoding = der
  evidence ecdsa-signature-encoding: default output parses as DER: true; ieee-p1363 output length 64

• 署名時の low-S

  either

  署名は正規化されません。チェックで作成した 64 個の署名のうち少なくとも 1 つは、ランダムな nonce から予想されるとおり、s が範囲の上半分にありました。

  チェックによる記録

  fact ecdsa-low-s-sign = either
  evidence ecdsa-low-s-sign: high-S seen among 64 signatures

• 検証時の high-S

  accepts-high-s

  crypto.verify() は、s を n − s に置き換えた署名を DER と生形式の両方で受け入れました。これを拒否するのは、low-S を厳格に求める相手だけです。

  チェックによる記録

  fact ecdsa-low-s-verify = accepts-high-s

• ECDSA の nonce

  random

  nonce はランダムです。同じ鍵で同じメッセージに 2 回署名すると異なるバイト列になり、RFC 6979 のテスト鍵では RFC の署名を再現できませんでした。Node.js には決定的 ECDSA のオプションはありません。

  チェックによる記録

  fact ecdsa-nonce = random
  evidence ecdsa-nonce: same input twice gives identical bytes: false; r equals RFC 6979 A.2.5: false

• 署名呼び出しがハッシュする対象

  hashes-message

  データは指定したアルゴリズムでハッシュされます。独立した別の実装で、署名がメッセージの SHA-256 に対して検証できることを確認しました。事前に計算したダイジェストに署名する呼び出しはないため、メッセージそのものを渡してください。

  チェックによる記録

  fact ecdsa-prehash = hashes-message
  evidence ecdsa-prehash: signature verifies against SHA-256(message) in @noble/curves: true

• デフォルトのハッシュ

  sha256

  アルゴリズムが null または undefined の場合、EC 鍵では曲線にかかわらず SHA-256 で署名されます。P-384 と P-521 の鍵ではハッシュを明示してください。

  チェックによる記録

  fact ecdsa-default-hash = sha256

• 不正な形式の ECDSA 署名

  returns-false

  DER が想定される場面での生の r‖s 署名、生形式が想定される場面での DER、単なる無意味なデータのいずれでも、crypto.verify() は false を返します。例外は何もスローされないため、形式の問題が不正な署名のように見えます。

  チェックによる記録

  fact ecdsa-malformed-signature = returns-false

• ECDSA の曲線

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  P-224、P-256、P-384、P-521、secp256k1、Brainpool の r1 曲線で鍵を生成し、署名から検証までを一通り完了できました。crypto.getCurves() は、P-256 に対する prime256v1 のような OpenSSL の名前を列挙します。

  チェックによる記録

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Ed25519 と Ed448 は crypto.sign(null, data, key) で署名します。Ed448 は context オプションも受け付けます。

  チェックによる記録

  fact eddsa = Ed25519, Ed448

• ポスト量子アルゴリズム

  ML-KEMML-DSASLH-DSA

  OpenSSL 3.5.8 を同梱する Node.js 24.22.0 では、ML-KEM-512/768/1024（crypto.encapsulate() と crypto.decapsulate()）、ML-DSA-44/65/87、SLH-DSA のすべてが動作しました。

  チェックによる記録

  fact pqc = ML-KEM, ML-DSA, SLH-DSA

• 公開鍵の形式

  spki-pemspki-derx509jwksec1-uncompressedsec1-compressed

  crypto.createPublicKey() は、PEM と DER の SPKI、PEM の X.509 証明書、JWK、さらに format: "raw-public" を指定すれば SEC1 の点そのもの（非圧縮形式・圧縮形式）を読み込めました。0x04 のプレフィックスがない 64 バイトの x‖y は拒否されました。

  チェックによる記録

  fact public-key-formats = spki-pem, spki-der, x509, jwk, sec1-uncompressed, sec1-compressed

• 秘密鍵の形式

  pkcs8-pempkcs8-derencrypted-pkcs8sec1-pemsec1-derjwkraw-scalar

  crypto.createPrivateKey() は、PEM と DER の PKCS#8、パスフレーズで暗号化された PKCS#8、PEM と DER の SEC1 EC PRIVATE KEY、d を含む JWK、さらに format: "raw-private" を指定すれば 32 バイトのスカラーそのものを読み込めました。

  チェックによる記録

  fact private-key-formats = pkcs8-pem, pkcs8-der, encrypted-pkcs8, sec1-pem, sec1-der, jwk, raw-scalar

使い方

import { generateKeyPairSync, sign, verify } from "node:crypto";

const { privateKey, publicKey } = generateKeyPairSync("ec", { namedCurve: "P-256" });
const message = Buffer.from("order #1042 approved");

// Name the hash and the encoding explicitly, on both sides:
// "der" for OpenSSL, Java and Go peers, "ieee-p1363" (raw r||s) for WebCrypto and JOSE.
const signature = sign("sha256", message, { key: privateKey, dsaEncoding: "ieee-p1363" });
const ok = verify("sha256", message, { key: publicKey, dsaEncoding: "ieee-p1363" }, signature);

console.log("signature bytes:", signature.length);
console.log("verified:", ok);