【PHP8.x】sodium_crypto_sign_secretkey()関数の使い方

Copy
1<?php
2
3/**
4 * 署名用の鍵ペアを生成し、その秘密鍵を抽出します。
5 *
6 * Libsodiumライブラリを利用し、セキュアなデジタル署名プロセスで使用される秘密鍵を生成・抽出します。
7 * この秘密鍵はメッセージの信頼性や改ざん防止のために用いられ、
8 * `sodium_crypto_box` のようなデータ暗号化とは異なる用途に特化しています。
9 *
10 * @return string 生成および抽出された署名用の秘密鍵。
11 * @throws RuntimeException sodium拡張が利用できない場合。
12 */
13function generateSignSecretKey(): string
14{
15    // sodium拡張が有効になっているかを確認
16    if (!extension_loaded('sodium')) {
17        throw new RuntimeException('Sodium extension is not loaded or enabled.');
18    }
19
20    // 署名用の鍵ペア（公開鍵と秘密鍵）を生成します。
21    // この鍵ペアはデジタル署名のために使用されます。
22    $keyPair = sodium_crypto_sign_keypair();
23    
24    // 生成された鍵ペアから秘密鍵のみを抽出します。
25    // 抽出された秘密鍵は署名の生成に必要です。
26    $secretKey = sodium_crypto_sign_secretkey($keyPair);
27
28    return $secretKey;
29}
30
31// --- 使用例 ---
32try {
33    $secretKey = generateSignSecretKey();
34    
35    echo "生成された署名用秘密鍵 (16進数): " . PHP_EOL;
36    // 秘密鍵はバイナリデータのため、表示用に16進数形式に変換しています。
37    echo bin2hex($secretKey) . PHP_EOL;
38    echo "秘密鍵の長さ: " . strlen($secretKey) . " バイト" . PHP_EOL;
39
40    // 注意: 実際のアプリケーションでは、生成された秘密鍵は厳重に保護され、
41    // 直接出力したり、安全でない方法で保存したりしてはいけません。
42    // このコードは学習目的のデモンストレーションです。
43
44} catch (RuntimeException $e) {
45    echo "エラー: " . $e->getMessage() . PHP_EOL;
46    exit(1);
47}
48

PHP 8で利用できるsodium_crypto_sign_secretkey関数は、デジタル署名に用いられる秘密鍵を抽出するためのものです。この関数は、sodium_crypto_sign_keypair()関数で事前に生成された、公開鍵と秘密鍵の両方を含む鍵ペア（$key_pair引数）を受け取ります。そして、その鍵ペアから署名の生成に必要な秘密鍵の部分のみを抽出し、文字列として返します。

デジタル署名では、抽出されたこの秘密鍵を使ってメッセージに署名することで、メッセージの送信元が本物であること、そして内容が途中で改ざんされていないことを検証できます。これは、sodium_crypto_boxのようにデータの機密性を保つための暗号化とは異なり、主にデータの信頼性と完全性を保証する目的で使用されます。

サンプルコードでは、まずsodium_crypto_sign_keypair()で署名用の鍵ペアを作成し、その結果をsodium_crypto_sign_secretkey()に渡して秘密鍵を抽出しています。生成された秘密鍵は非常に機密性が高いため、実際のシステムでは厳重に保護し、デモンストレーションのように直接出力したり、安全でない方法で保存したりしてはいけません。コードの冒頭では、sodium拡張機能が有効であるかを確認する処理も含まれています。

Copy
1<?php
2
3/**
4 * Libsodiumライブラリを使用して、デジタル署名用の秘密鍵を生成・抽出し、
5 * さらにその秘密鍵を安全に保管するために`sodium_crypto_secretbox`で暗号化するサンプルです。
6 *
7 * システムエンジニアを目指す初心者向けに、鍵の生成から保護までの基本的な流れを示します。
8 *
9 * @return void
10 */
11function demonstrateSecretKeyProtection(): void
12{
13    // PHPのSodium拡張がロードされているかを確認します。
14    // Libsodium関数を使用するには、この拡張機能が必要です。
15    if (!extension_loaded('sodium')) {
16        echo "エラー: PHPのSodium拡張がロードされていません。このサンプルコードは動作しません。" . PHP_EOL;
17        return;
18    }
19
20    echo "--- デジタル署名秘密鍵の生成と保護のデモンストレーション ---" . PHP_EOL;
21    echo PHP_EOL;
22
23    // 1. デジタル署名用の鍵ペアを生成します。
24    //    この鍵ペアは、メッセージの署名（秘密鍵を使用）と、署名の検証（公開鍵を使用）に利用されます。
25    $keyPair = sodium_crypto_sign_keypair();
26    echo "✅ 署名用の鍵ペアが生成されました。" . PHP_EOL;
27
28    // 2. 生成された鍵ペアから、署名に使う「秘密鍵」を抽出します。
29    //    `sodium_crypto_sign_secretkey`は、鍵ペアから秘密鍵のみを取り出すために使われます。
30    //    この秘密鍵は非常に機密性が高く、厳重に保管する必要があります。
31    $signingSecretKey = sodium_crypto_sign_secretkey($keyPair);
32    echo "✅ 鍵ペアから署名秘密鍵が抽出されました (長さ: " . strlen($signingSecretKey) . " バイト)。" . PHP_EOL;
33    // 秘密鍵の直接的な内容は通常表示しません。ここではデモンストレーションのため、長さのみ示します。
34
35    echo PHP_EOL;
36
37    // 3. 抽出した署名秘密鍵を保護するため、`sodium_crypto_secretbox` を使って暗号化します。
38    //    `sodium_crypto_secretbox` は認証付き対称鍵暗号を提供する関数で、
39    //    データの機密性（誰にも読めない）と完全性（改ざんされていない）を同時に保証します。
40    //    この暗号化には、署名鍵とは全く異なる「暗号化用の鍵」と「ノンス（nonce: Number Used Once）」が必要です。
41    $encryptionKey = sodium_crypto_secretbox_keygen(); // secretbox用の新しい暗号化鍵を生成
42    $nonce = random_bytes(SODIUM_CRYPTO_SECRETBOX_NONCEBYTES); // 一度だけ使うランダムな値（ノンス）を生成
43
44    echo "✅ secretbox暗号化のための鍵とノンスが生成されました。" . PHP_EOL;
45    echo "   暗号化鍵の長さ: " . strlen($encryptionKey) . " バイト" . PHP_EOL;
46    echo "   ノンスの長さ: " . strlen($nonce) . " バイト" . PHP_EOL;
47
48    // 4. 署名秘密鍵を `sodium_crypto_secretbox` で暗号化します。
49    //    これにより、ファイルなどに保存する際に秘密鍵が盗み見されるリスクを低減できます。
50    $encryptedSigningSecretKey = sodium_crypto_secretbox($signingSecretKey, $nonce, $encryptionKey);
51    echo "✅ 署名秘密鍵が secretbox で暗号化されました (長さ: " . strlen($encryptedSigningSecretKey) . " バイト)。" . PHP_EOL;
52    echo "   暗号化された秘密鍵 (Base64エンコード): " . base64_encode($encryptedSigningSecretKey) . PHP_EOL;
53
54    echo PHP_EOL;
55
56    // 5. (オプション) 暗号化された秘密鍵を復号して、正しく保護されていることを確認します。
57    //    復号には、暗号化時と同じノンスと暗号化鍵が必要です。
58    $decryptedSigningSecretKey = sodium_crypto_secretbox_open($encryptedSigningSecretKey, $nonce, $encryptionKey);
59
60    echo "--- 復号と検証 ---" . PHP_EOL;
61    if ($decryptedSigningSecretKey !== false && $decryptedSigningSecretKey === $signingSecretKey) {
62        echo "✅ 秘密鍵の復号と検証に成功しました。秘密鍵は正しく保護され、安全に取り出せました。" . PHP_EOL;
63        // echo "   復号された秘密鍵 (Base64エンコード): " . base64_encode($decryptedSigningSecretKey) . PHP_EOL;
64    } else {
65        echo "❌ 秘密鍵の復号または検証に失敗しました。暗号化されたデータが改ざんされたか、鍵やノンスが間違っている可能性があります。" . PHP_EOL;
66    }
67
68    echo PHP_EOL;
69    echo "デモンストレーション終了。" . PHP_EOL;
70}
71
72// 関数を実行してデモンストレーションを開始します。
73demonstrateSecretKeyProtection();

PHP 8のsodium_crypto_sign_secretkey関数は、デジタル署名に利用される鍵ペアから、その秘密鍵部分のみを安全に抽出する役割を持ちます。引数$key_pairには、sodium_crypto_sign_keypair()などで生成された公開鍵と秘密鍵の両方を含む鍵ペアの文字列を渡します。この関数は、鍵ペアの中から署名に使う秘密鍵の文字列を戻り値として返します。

このサンプルコードでは、まずsodium_crypto_sign_keypair()でデジタル署名用の鍵ペアを生成します。その後、sodium_crypto_sign_secretkey関数を用いて、生成された鍵ペアから秘密鍵だけを抽出しています。抽出された秘密鍵は非常に機密性が高いため、コードではさらにsodium_crypto_secretbox関数を使用し、別の暗号化鍵と一度だけ使うノンス（nonce）を用いて安全に暗号化し、保管する手順をデモンストレーションしています。これにより、デジタル署名に利用する秘密鍵の生成から、機密性の高い秘密鍵の抽出、そしてその安全な保護と復号・検証までの一連のプロセスを学ぶことができます。