ハッシュ関数・MAC ─ 完全性を担う暗号プリミティブ

学習目標

本講を終えると、以下を達成できるようになります。

• ハッシュ関数の 3 つの安全性(原像耐性・第二原像耐性・衝突耐性)を区別して説明できる
• Merkle-Damgård 構造(SHA-2)と Sponge 構造(SHA-3)の違いを図示できる
• SHA-1 が衝突発見(2017 SHAttered)で 事実上廃止 された経緯と、現代標準が SHA-256/SHA-3 である理由を述べられる
• MAC(共通鍵 + ハッシュ的な計算で改ざん検知タグを作る)の意味を、HMAC・CMAC・Poly1305 を例に説明できる
• ハッシュの実用例(ファイル整合性・パスワード保管 bcrypt/Argon2・git・ブロックチェーン・HMAC API 認証) を場面別に整理できる
• OpenSSL の openssl dgst でハッシュ計算と HMAC を実行できる

このレッスンの目次

ハッシュ関数とは ─ 任意長 → 固定長の一方向関数

同じ入力からは同じハッシュ

$ echo -n "hello" | sha256sum
2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824  -

$ echo -n "hello" | sha256sum
2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824  -
# ↑ 何度やっても同じ結果

$ echo -n "Hello" | sha256sum
185f8db32271fe25f561a6fc938b2e264306ec304eda518007d1764826381969  -
# ↑ "h" → "H" の 1 ビット差で完全に違う出力

ハッシュ関数の役割イメージ

図の見方:入力サイズに関わらず、出力は固定長の 256 bit(SHA-256 の場合)。これを使えば「2 つのファイルが同じか?」は元データを比較せず、ハッシュ 32 バイトを比較するだけで済む。

求められる 3 つの安全性

強度の階層

衝突耐性が 2^(n/2) なのは 誕生日のパラドックス から来ています。23 人の集まりで誰かと誰かの誕生日が一致する確率は 50% を超える ─ 同じ理由で、2^128 の入力を試せば 2^256 個のハッシュ空間でも衝突が見つかる可能性が高い。だから衝突耐性 128 bit を確保するには、ハッシュ長 256 bit が必要(SHA-256)。

SHA-1 はなぜ廃止されたか

SHA-1(160 bit 出力)は理論上 2^80 で衝突発見可能でしたが、長らく現実的攻撃は不可能とされていました。しかし 2017 年 2 月、Google と CWI Amsterdam が「SHAttered」攻撃 で SHA-1 衝突の実例を発表(同じ SHA-1 を持つ 2 つの異なる PDF ファイルを生成)。この時点で SHA-1 は 署名・証明書用途で禁止。git も SHA-256 への移行を進行中。

内部構造 ─ Merkle-Damgård と Sponge

Merkle-Damgård 構造(SHA-1, SHA-2)

入力を固定長ブロック(SHA-256 なら 512 bit)に分割し、各ブロックを順次「圧縮関数」で混ぜていく方式。MD5、SHA-1、SHA-2 がすべてこの構造です。

図の見方:メッセージを 512 bit ブロックに分割。各ブロックを「前の状態 + 現在のブロック → 新しい状態」と圧縮関数 f で処理し、最後の状態をハッシュ値として出力。実装が単純で、長い間標準だった構造。length extension attack(下記)という弱点がある。

Sponge 構造(SHA-3 / Keccak)

2012 年に SHA-3 として採用された Keccak は Sponge(スポンジ) 構造。「吸収(absorb)」と「絞り出し(squeeze)」の 2 段階で動きます。Merkle-Damgård とは設計思想が根本から違う。

主要なハッシュ関数ファミリ

主要ハッシュ関数の比較

「とりあえず SHA-256」のススメ

2024 年現在、ほとんどの用途で SHA-256 が安全かつ広く実装されており、第一選択です。長期保険を取るなら SHA-3 を併用。速度重視(ファイルチェック、コンテンツアドレス)なら BLAKE3 が有力。MD5・SHA-1 は新規採用しないこと。

MAC ─ 鍵付きハッシュで認証する

MAC と署名の違い

HMAC ─ 普通のハッシュを安全な MAC にする工夫

HMAC は SHA-256 などの普通のハッシュ関数を 「鍵 + メッセージ」を安全に混ぜる手順 で MAC 化したもの。素朴に H(K ∥ message) とするだけだと length extension attack が成立してしまうため、2 段階のハッシュ で防ぎます。

HMAC(K, m) = H( (K' ⊕ opad) ∥ H( (K' ⊕ ipad) ∥ m ) )

ここで:
  K'   = 鍵 K(短ければゼロパディング、長ければハッシュで縮める)
  ipad = 0x36 を繰り返したバイト列
  opad = 0x5C を繰り返したバイト列
  H    = ハッシュ関数(SHA-256 等)
  ∥    = 連結

つまり「鍵をパディングしてから内側ハッシュ → 外側ハッシュ」を 2 重に通す。
これにより length extension attack が成立しない。

HMAC の使われ方

• TLS 1.2 以下:Encrypt-then-MAC で HMAC-SHA256 が標準
• JWT(JSON Web Token):HS256 アルゴリズムは HMAC-SHA256
• AWS API 署名:リクエストに HMAC-SHA256 で署名
• OAuth 1.0:HMAC-SHA1(古い)
• Webhook 検証:GitHub・Stripe・Slack などが HMAC で送信元検証

実用ケース ─ ハッシュは至る所に

① ファイル整合性チェック

大きなソフトを公式サイトからダウンロードしたら、添付の SHA-256 値 と自分で計算した値を突き合わせる。途中でファイルが壊れたり改ざんされていないかを 1 行で検証できる。

$ sha256sum ubuntu-22.04-desktop-amd64.iso
b98dac940a82b110e6265ca78d1320f1f7103861e922247a4cdf6f17  ubuntu...

# 公式の値と比較

② パスワード保管

サーバはユーザのパスワードを そのまま保存しない。ハッシュだけ保存し、ログイン時に「入力されたパスワードのハッシュ == 保存されているハッシュ」を比較。サーバが侵害されてもパスワードそのものは露出しない。

ただし 素の SHA-256 だけでは不十分。GPU で 1 秒に何十億回もハッシュ計算できるので、辞書攻撃で破られる。対策は 意図的に遅いハッシュ関数:

• bcrypt(1999) ─ 古典。今でも広く使われる
• scrypt(2009) ─ メモリ消費を増やして GPU に強い
• Argon2(2015 PHC 受賞) ─ 現代の推奨。CPU/メモリ/並列度を調整可

③ git のコミット ID

git の commit a3f4b2... という ID は そのコミットの内容(変更・親コミット・著者・メッセージ)を全部結合したものの SHA-1 ハッシュ。コンテンツが 1 文字でも違えば全く違う ID になる ─ git の整合性の根幹。git は SHA-256 への移行を進行中。

④ ブロックチェーン

Bitcoin の各ブロックは 「前のブロックのハッシュ + 取引データ + nonce」を SHA-256 した値 を持つ。マイナーは「特定の条件(先頭ゼロが多い)を満たすハッシュ」を見つけるため nonce を試行錯誤 ─ これが Proof of Work。ハッシュの一方向性と衝突耐性が PoW の安全性そのもの。

⑤ JWT(JSON Web Token)

JWT の HS256 アルゴリズムは HMAC-SHA256。header.payload.signature という 3 部構成で、signature は HMAC-SHA256(secret, header + "." + payload)。受け取り側は同じ secret で再計算して検証 ─ 改ざんなしと送信元の認証を 1 つで実現。

⑥ コンテンツアドレス指定ストレージ

IPFS・Docker イメージ・nix パッケージマネージャは「ファイル名ではなく ハッシュ値 でファイルを識別」する。同じハッシュなら同じ内容、自動的にデデュプリケーション。

つながる知識: ハッシュは「機密性なし、完全性あり」の暗号プリミティブ。鍵を必要とせず誰でも計算できるので「秘密」は守らないが、「同一性」を強力に保証する。これが多様な用途に使える理由です。

OpenSSL ハンズオン

1. 各種ハッシュ関数

# SHA-256
echo -n "hello world" | openssl dgst -sha256
# (stdin)= b94d27b9934d3e08a52e52d7da7dabfac484efe37a5380ee9088f7ace2efcde9

# SHA-512
echo -n "hello world" | openssl dgst -sha512

# SHA-3
echo -n "hello world" | openssl dgst -sha3-256

# BLAKE2
echo -n "hello world" | openssl dgst -blake2b512

# ファイル全体のハッシュ
openssl dgst -sha256 myfile.tar.gz

# 利用可能なアルゴリズムを列挙
openssl dgst -list

2. HMAC の計算

# HMAC-SHA256(鍵を文字列で指定)
echo -n "important message" | \
    openssl dgst -sha256 -hmac "supersecretkey"

# HMAC-SHA256(鍵をバイナリで指定)
KEY_HEX=$(openssl rand -hex 32)
echo "KEY=$KEY_HEX"
echo -n "important message" | \
    openssl dgst -sha256 -mac HMAC -macopt "hexkey:$KEY_HEX"

3. パスワードハッシュ(Argon2 を Python で)

# pip install argon2-cffi
from argon2 import PasswordHasher

ph = PasswordHasher()

# 保存時:ハッシュを生成(salt とパラメータも含む文字列)
hashed = ph.hash("user-password-123")
print(hashed)
# → $argon2id$v=19$m=65536,t=3,p=4$xxx$yyy

# ログイン時:検証
try:
    ph.verify(hashed, "user-password-123")
    print("OK")
except Exception:
    print("Wrong password")

4. JWT(HS256)を Python で

# pip install pyjwt
import jwt

secret = "my-shared-secret"
payload = {"user_id": 42, "exp": 1735689600}

# 生成
token = jwt.encode(payload, secret, algorithm="HS256")
print(token)
# → eyJhbGciOi...

# 検証(secret が違うと InvalidSignatureError)
decoded = jwt.decode(token, secret, algorithms=["HS256"])
print(decoded)
# → {'user_id': 42, 'exp': 1735689600}

まとめと用語チェック

用語チェック

確認問題