Introduction to Elliptic Curve Cryptography
Bitcoinやイーサリアムで使われる楕円曲線暗号の仕組みを視覚的に理解します。
楕円曲線暗号（ECC）は、RSA暗号に代わる次世代の公開鍵暗号として注目されています。 特にブロックチェーン技術では、その効率性と安全性から標準的に使用されています。 この章では、楕円曲線の特殊な性質と、それを利用した暗号化の仕組みを、 数学的な詳細は最小限に抑えながら直感的に理解することを目指します。
第2章で学習したRSA暗号は、大きな数の素因数分解の困難性を利用していました。 しかし、RSA暗号には一つの課題があります。それは、安全性を保つために必要な鍵の長さが急速に増大していることです。現在推奨される3072ビットの鍵は、処理速度や通信量の面で負担となります。
楕円曲線暗号は、この問題に対する優れた解決策を提供します。 楕円曲線上の「離散対数問題」という別の数学的困難性を利用することで、RSAの約1/12の鍵長で同等の安全性を実現できます。これは特に、スマートフォンやIoTデバイスなど、 計算資源が限られた環境で大きな利点となります。
Bitcoinが楕円曲線暗号を採用した理由もここにあります。 ブロックチェーンでは膨大な数の署名を保存・検証する必要があるため、 署名サイズが小さく、検証が高速な楕円曲線暗号は理想的な選択でした。 実際、Bitcoinの署名は約64バイトと非常にコンパクトです。
256ビットのECCは3072ビットのRSAと同等の安全性を提供。モバイルやIoTデバイスに最適。
鍵生成と署名作成が高速。特に限られた計算資源の環境で優位性を発揮。
署名データが小さく、ブロックチェーンのような容量制限のある環境に適している。
計算能力の向上に対して、鍵長の増加が緩やかで済むため長期的に有利。
「楕円曲線」という名前から楕円を想像するかもしれませんが、 実際にはy² = x³ + ax + bという形の方程式で表される曲線です。この曲線には、 暗号学的に重要な特殊な性質があります。
楕円曲線の最も重要な性質は、曲線上の2点から第3の点を定義できる「加算」演算が存在することです。この加算は私たちが知っている通常の加算とは全く異なり、 幾何学的な操作によって定義されます。そして、この特殊な加算が 暗号学的な一方向性を生み出すのです。
Bitcoinで使用されるsecp256k1曲線は、y² = x³ + 7という 比較的シンプルな形をしています。ただし、実際の計算は 2²⁵⁶に近い巨大な素数を法とする有限体上で行われるため、 視覚的にイメージすることは困難です。以下では、 小さな数を使って楕円曲線の性質を体験してみましょう。
Bitcoinで使用されるsecp256k1曲線を簡略化した楕円曲線です。 実際のsecp256k1は非常に大きな数を扱いますが、ここでは視覚的に理解しやすいよう小さな曲線で表現しています。 曲線上の2点P、Qから第3の点R = P + Qを求める過程を可視化します。
楕円曲線暗号の核心は「スカラー倍算」という演算にあります。 ある点Pをk回加算する（P + P + ... + P）ことを、k × Pと表記します。 これは通常の掛け算ではなく、楕円曲線上の点の加算をk回繰り返す演算です。
楕円曲線暗号では、秘密鍵は単なる大きな整数kです。 そして公開鍵は、あらかじめ決められた基準点G（ジェネレータポイント）を k回加算した点K = k × Gとなります。重要なのは、KとGからkを逆算することが極めて困難だということです。これが「楕円曲線離散対数問題」と呼ばれる問題です。
実際のBitcoinでは、kは256ビットの整数（約10⁷⁷通り）で、 総当たりで解くことは現実的に不可能です。また、効率的な解法も 知られていないため、十分な安全性が保証されています。
楕円曲線暗号では、秘密鍵kと基準点Gから公開鍵K = k×Gを計算します。 この「×」は通常の掛け算ではなく、点Gをk回加算する演算です。 重要なのは、Kとgからkを逆算することが極めて困難（離散対数問題）ということです。
実際のBitcoinでは、kは256ビットの巨大な数（約10^77通り）です
秘密鍵
3
基準点
G
公開鍵
3G
公開鍵3Gと基準点Gから秘密鍵3を求めることは「楕円曲線離散対数問題」と呼ばれ、 効率的な解法が知られていません。256ビットの鍵空間では、 現在のコンピュータで解くのに宇宙の年齢以上の時間が必要です。
ECDSA（Elliptic Curve Digital Signature Algorithm）は、 楕円曲線を使用したデジタル署名アルゴリズムです。 第3章で学習したデジタル署名の概念を、楕円曲線上で実現したものと 考えることができます。
ECDSAの特徴は、署名が(r, s)という2つの値のペアで構成されることです。 これらの値は、秘密鍵とメッセージのハッシュ値、そして 署名ごとに生成されるランダムな値（nonce）を使って計算されます。 このnonceの扱いは極めて重要で、同じnonceを2回使用すると 秘密鍵が漏洩する危険性があります。
Bitcoinのすべてのトランザクションは、送信者の秘密鍵による ECDSA署名を含んでいます。この署名により、トランザクションが 確かに秘密鍵の所有者によって作成されたことが証明され、 かつトランザクションの内容が改ざんされていないことが保証されます。
ECDSA（Elliptic Curve Digital Signature Algorithm）は、 楕円曲線を使用したデジタル署名アルゴリズムです。 Bitcoinのトランザクションはすべてこの方式で署名されています。
secp256k1は、Standards for Efficient Cryptography（SEC）によって 定義された楕円曲線の一つです。名前の意味は、SECで定義された（sec）、 素体上の（p）、256ビットの（256）、Koblitz曲線の1番目（k1）となります。
この曲線の方程式はy² = x³ + 7と 非常にシンプルで、係数が小さいため計算が効率的です。 また、曲線のパラメータが単純な形で選ばれているため、 NSAなどによる意図的な脆弱性（バックドア）が仕込まれている 可能性が低いと考えられています。
興味深いことに、secp256k1はBitcoinが採用するまで あまり使用されていませんでした。しかし、Bitcoinの成功により 広く検証され、現在ではイーサリアムを含む多くのブロックチェーンで 採用されています。この標準化により、異なるブロックチェーン間での 相互運用性も向上しています。
特別に選ばれたパラメータにより、高速な演算が可能
Bitcoinで10年以上使用され、安全性が実証されている
パラメータが単純な形で選ばれており、意図的な脆弱性の可能性が低い
RFC 6979により、同じメッセージに対して常に同じ署名を生成可能
p = 2²⁵⁶ - 2³² - 2⁹ - 2⁸ - 2⁷ - 2⁶ - 2⁴ - 1
n = FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE BAAEDCE6 AF48A03B BFD25E8C D0364141
G = (79BE667E F9DCBBAC 55A06295 CE870B07 029BFCDB 2DCE28D9 59F2815B 16F81798, 483ADA77 26A3C465 5DA4FBFC 0E1108A8 FD17B448 A6855419 9C47D08F FB10D4B8)
これらの巨大な数が、Bitcoinの安全性を支えています
この第4章では、楕円曲線暗号の基本的な仕組みについて学習しました。 楕円曲線上の特殊な「加算」演算と、それを利用したスカラー倍算が 暗号学的な一方向性を生み出し、効率的で安全な公開鍵暗号を 実現していることを理解しました。
楕円曲線暗号は、RSA暗号と比較して短い鍵長で同等の安全性を提供し、 特にリソースが限られた環境やブロックチェーンのような 大量の署名を扱うシステムに適しています。 次章では、これらの暗号技術がどのようにBitcoinのシステムに 組み込まれているかを詳しく見ていきます。