EdDSA (Ed25519) 暗号化 & 復号

A: どちらも楕円曲線署名アルゴリズムですが、重要な点で異なります。ECDSA（NIST曲線P-256、P-384を使用）は署名ごとにランダムなnonce（k）が必要です — nonceが再利用されるか弱い場合、秘密鍵を完全に復元できます。これはまさに2010年にSonyのPlayStation 3秘密鍵が抽出された方法です。EdDSAは秘密鍵とメッセージハッシュから決定論的に導出されたnonceを使用するため、nonce再利用が数学的に不可能です。EdDSAはまた、特定のサイドチャネル攻撃に耐性のあるより安全なTwisted Edwards曲線（Ed25519用のCurve25519）を使用します。新しい実装では、EdDSAがECDSAより強く推奨されます。

A: ECDSAでは、各署名のセキュリティは新鮮で暗号学的にランダムなnonceに依存します。攻撃者が同じnonceを使用した2つの署名を取得した場合（nonce再利用）、またはnonceのエントロピーが不十分な場合（弱い乱数性）、単純な方程式を使用して秘密鍵を代数的に復元できます。これは理論的なことではありません — 実際のシステムを破った実績があります（PS3、Bitcoinウォレット）。Ed25519の決定論的署名は秘密鍵シードとメッセージのハッシュからnonceを導出するため、常に一意であり、外部の乱数源に影響されません。署名パスにランダム数生成器がない — 脆弱性の全クラスを排除します。

A: できません。EdDSA（Ed25519）はデジタル署名アルゴリズムのみです — データを暗号化・復号することはできません。署名は真正性を証明します（誰がメッセージを作成したか）が、機密性を提供しません（誰でもメッセージを読めます）。データを暗号化するには、 ChaCha20-Poly1305 や AES-256-GCM などの対称暗号を使用してください。注意：X25519（Curve25519に基づく関連するが異なるアルゴリズム）は鍵交換（Diffie-Hellman）に使用できますが、Ed25519とは異なり、鍵は互換性がありません。

A: OpenSSHの組み込み鍵生成ツールを使用します：
ssh-keygen -t ed25519 -C "your_email@example.com"
これにより~/.ssh/id_ed25519（秘密鍵）と~/.ssh/id_ed25519.pub（公開鍵）が生成されます。Ed25519はOpenSSH 6.5（2014年）以来推奨されているSSH鍵タイプであり、現在ほとんどのディストリビューションでデフォルトです。OpenSSHで生成された鍵はこのツールの16進数フォーマットとは異なるエンコーディング（PEM/OpenSSHフォーマット）を使用していますが、同じ暗号アルゴリズムに基づいています。

A: Ed25519署名は2つの32バイト値で構成されています：R（決定論的nonceから導出された圧縮楕円曲線ポイント）とS（nonce、秘密鍵、メッセージハッシュから計算されたスカラー値）。RとSが合わさって64バイトの署名を形成します。検証では公開鍵、メッセージ、Sを使用してRを再構築し、署名内のRと一致するか確認します。検証全体はCurve25519上の高速な体算術のみを含みます — RSAのような剰余指数演算はありません。

A: いいえ — 十分に強力な量子コンピュータに対しては耐性がありません。Shorのアルゴリズムを実行する量子コンピュータは、楕円曲線上の離散対数問題を解くことでEd25519を破ることができます。RSAとECDSAにも同じ脅威が適用されます。ただし、128ビット楕円曲線セキュリティを破れる量子コンピュータには、非常に低いエラー率の数千の論理量子ビットが必要です — 現在の技術をはるかに超えています。ポスト量子署名には、NISTがML-DSA（旧CRYSTALS-Dilithium）とSLH-DSA（SPHINCS+）を標準化しました。Ed25519は古典的脅威モデルに対する最善の実用的選択肢であり続け、本番システムで広く使用されています。