pyca/cryptography

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/pyca-cryptography/run.sh がコンテナイメージ python:3.14.8-slim-trixie 内で pyca/cryptography 50.0.2 を OpenSSL 4.0.3 29 Sep 2026 で実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• ECDSA 署名のエンコーディング

  der

  sign() は ASN.1 DER を返し、verify() は DER を前提とします。

  チェックによる記録

  fact ecdsa-signature-encoding = der

• 署名時の low-S

  either

  s は正規化されません。64 個の署名の中に high-S の値が現れました。

  チェックによる記録

  fact ecdsa-low-s-sign = either

• 検証時の high-S

  accepts-high-s

  s を n − s に置き換えた署名も検証を通りました。

  チェックによる記録

  fact ecdsa-low-s-verify = accepts-high-s

• ECDSA の nonce

  rfc6979-opt-in

  デフォルトはランダムです。deterministic_signing=True を指定すると、RFC 6979 の付録 A.2.5 を、s が high-S の値である点まで含めて正確に再現しました。

  チェックによる記録

  fact ecdsa-nonce = rfc6979-opt-in
  evidence ecdsa-nonce: default repeats: False; deterministic_signing=True reproduces RFC 6979 A.2.5 (r and high s): True

• 署名呼び出しがハッシュする対象

  hashes-message-or-digest

  sign() はデータをハッシュ化します。Prehashed(hashes.SHA256()) を指定すると自分で計算したダイジェストに署名し、その署名は元のメッセージに対して検証を通りました。

  チェックによる記録

  fact ecdsa-prehash = hashes-message-or-digest

• 不正な形式の ECDSA 署名

  throws

  生の r‖s 署名、3 バイトのデータ、別のメッセージに対する署名は、いずれも InvalidSignature を送出します。例外からはどれが原因かわかりません。

  チェックによる記録

  fact ecdsa-malformed-signature = throws
  evidence ecdsa-malformed-signature: raw r||s: InvalidSignature
  evidence ecdsa-malformed-signature: 3 bytes: InvalidSignature
  evidence ecdsa-malformed-signature: wrong message: InvalidSignature

• ECDSA の曲線

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  P-224、P-256、P-384、P-521、secp256k1、Brainpool の r1 曲線で署名と検証ができました。

  チェックによる記録

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Ed25519 と Ed448 です。

  チェックによる記録

  fact eddsa = Ed25519, Ed448

• ポスト量子アルゴリズム

  ML-KEMML-DSA

  ML-KEM-768 と ML-KEM-1024 でカプセル化とデカプセル化、ML-DSA-44/65/87 で署名と検証ができました。ML-KEM-512 のクラスはなく、SLH-DSA もありません。

  チェックによる記録

  fact pqc = ML-KEM, ML-DSA
  evidence pqc: ML-KEM-512 class present: False; SLH-DSA module present: False

• 公開鍵の形式

  spki-pemspki-dersec1-uncompressedsec1-compressedopenssh

  公開鍵は、SPKI の PEM と DER、OpenSSH、from_encoded_point による SEC1 の点（圧縮形式・非圧縮形式）から読み込めました。プレフィックスのない 64 バイトの x‖y は拒否され、JWK には対応していません。

  チェックによる記録

  fact public-key-formats = spki-pem, spki-der, sec1-uncompressed, sec1-compressed, openssh
  evidence public-key-formats: no JWK reader or writer in the package

• 秘密鍵の形式

  pkcs8-pempkcs8-derencrypted-pkcs8sec1-pemsec1-derraw-scalaropenssh

  秘密鍵は、PKCS#8 の PEM と DER、暗号化された PKCS#8、SEC1 の PEM と DER、OpenSSH、derive_private_key による生のスカラーから読み込めました。

  チェックによる記録

  fact private-key-formats = pkcs8-pem, pkcs8-der, encrypted-pkcs8, sec1-pem, sec1-der, raw-scalar, openssh

使い方

from cryptography.exceptions import InvalidSignature
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import ec
from cryptography.hazmat.primitives.asymmetric.utils import decode_dss_signature, encode_dss_signature

key = ec.generate_private_key(ec.SECP256R1())
message = b"order #1042 approved"

# DER out of sign(); turn it into the 64-byte r||s that WebCrypto and JOSE expect.
der = key.sign(message, ec.ECDSA(hashes.SHA256()))
r, s = decode_dss_signature(der)
raw = r.to_bytes(32, "big") + s.to_bytes(32, "big")

# A raw signature from WebCrypto goes the other way before verify().
back = encode_dss_signature(int.from_bytes(raw[:32], "big"), int.from_bytes(raw[32:], "big"))
try:
    key.public_key().verify(back, message, ec.ECDSA(hashes.SHA256()))
    print("verified: True, raw bytes:", len(raw))
except InvalidSignature:
    print("verified: False")