Ruby OpenSSL (openssl gem)

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/ruby-openssl/run.sh 于2026年10月20日在容器镜像 ruby:4.0.7-slim-trixie 中运行了 Ruby OpenSSL (openssl gem) 4.0.2（运行时为 Ruby 4.0.7, OpenSSL 3.5.7 9 Jun 2026）；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• ECDSA 签名编码

  der

  sign(digest, data) 返回 ASN.1 DER。

  检查记录

  fact ecdsa-signature-encoding = der

• ECDSA 的 nonce

  random

  nonce 随机：同一条消息的两个签名不同。

  检查记录

  fact ecdsa-nonce = random

• 签名时的 low-S

  either

  s 没有经过规范化：64 个签名中出现了 high-S 值。

  检查记录

  fact ecdsa-low-s-sign = either

• 验证时的 high-S

  accepts-high-s

  verify 接受了把 s 替换为 n − s 的签名。

  检查记录

  fact ecdsa-low-s-verify = accepts-high-s

• 签名调用对哪些内容做哈希

  hashes-message-or-digest

  sign 用传入的摘要算法计算哈希；dsa_sign_asn1 对预先计算的摘要签名，该签名针对原消息验证通过。

  检查记录

  fact ecdsa-prehash = hashes-message-or-digest

• 格式错误的 ECDSA 签名

  throws

  原始 r‖s 签名和 3 字节的数据块会抛出 OpenSSL::PKey::PKeyError: EVP_DigestVerify；针对另一条消息的有效签名返回 false。

  检查记录

  fact ecdsa-malformed-signature = throws
  evidence ecdsa-malformed-signature: raw r||s: OpenSSL::PKey::PKeyError: EVP_DigestVerify
  evidence ecdsa-malformed-signature: 3 bytes: OpenSSL::PKey::PKeyError: EVP_DigestVerify
  evidence ecdsa-malformed-signature: wrong message: false

• ECDSA 曲线

  P-224P-256P-384P-521secp256k1brainpoolP256r1brainpoolP384r1brainpoolP512r1

  P-224、P-256、P-384、P-521、secp256k1 和 brainpoolP256r1/P384r1/P512r1 的签名与验证均成功。

  检查记录

  fact ecdsa-curves = P-224, P-256, P-384, P-521, secp256k1, brainpoolP256r1, brainpoolP384r1, brainpoolP512r1

• EdDSA

  Ed25519Ed448

  Ed25519 和 Ed448，通过 OpenSSL::PKey.generate_key 使用。

  检查记录

  fact eddsa = Ed25519, Ed448

• 后量子算法

  ML-DSASLH-DSA

  通过通用的 PKey API 完成了 ML-DSA-44/65/87 和 SLH-DSA-SHA2-128s 的密钥生成、签名与验证；ML-KEM 密钥可以生成，但没有封装方法。

  检查记录

  fact pqc = ML-DSA, SLH-DSA
  evidence pqc: ML-KEM-768 key generation, and whether PKey offers encapsulate: false

• 公钥格式

  spki-pemspki-der

  通过 OpenSSL::PKey.read 读取 PEM 和 DER 格式的 SPKI；裸 SEC1 点只有包装进 SPKI 后才能加载。

  检查记录

  fact public-key-formats = spki-pem, spki-der
  evidence public-key-formats: a 65-byte SEC1 point wrapped in an SPKI structure by hand, then loaded: ok

• 私钥格式

  pkcs8-pempkcs8-derencrypted-pkcs8sec1-pem

  PEM 和 DER 格式的 PKCS#8、加密的 PKCS#8 以及 SEC1 PEM；to_pem 写出 EC PRIVATE KEY，private_to_pem 写出 PKCS#8。

  检查记录

  fact private-key-formats = pkcs8-pem, pkcs8-der, encrypted-pkcs8, sec1-pem
  evidence private-key-formats: key.to_pem writes -----BEGIN EC PRIVATE KEY-----; key.private_to_pem writes -----BEGIN PRIVATE KEY-----

• EC 密钥对象是否可变

  no

  对已有密钥赋值 private_key 时抛出了 pkeys are immutable on OpenSSL 3.0。

  检查记录

  fact ec-key-mutable = no
  evidence ec-key-mutable: assigning private_key on an existing EC key: OpenSSL::PKey::PKeyError: pkeys are immutable on OpenSSL 3.0

用法

require "openssl"

key = OpenSSL::PKey::EC.generate("prime256v1")
digest = OpenSSL::Digest.new("SHA256")
message = "order #1042 approved"

der = key.sign(digest, message) # ASN.1 DER

# Raw r||s for JWS or WebCrypto: take the two INTEGERs and pad each to 32 bytes.
r, s = OpenSSL::ASN1.decode(der).value.map(&:value)
raw = r.to_s(2).rjust(32, "\0") + s.to_s(2).rjust(32, "\0")

# Publish only the public half: public_to_pem, never to_pem (which writes the private key).
public_key = OpenSSL::PKey.read(key.public_to_pem)
puts "verified: #{public_key.verify(digest, der, message)}, raw bytes: #{raw.bytesize}"

# A raw signature is not "false" here: verify raises OpenSSL::PKey::PKeyError.
begin
  public_key.verify(digest, raw, message)
rescue OpenSSL::PKey::PKeyError => e
  puts "raw signature: #{e.class}"
end