F.28. pgcrypto

F.28.1.1. digest()

digest(data text, type text) returns bytea
digest(data bytea, type text) returns bytea

与えられたdataのバイナリハッシュを計算します。 typeは使用するアルゴリズムです。 標準アルゴリズムはmd5、sha1、sha224、sha256、sha384、およびsha512です。 pgcryptoがOpenSSL付きで構築された場合、表F-18で詳解する、より多くのアルゴリズムを利用することができます。

ダイジェストを16進数表記の文字列としたい場合は、結果に対してencode()を使用してください。 以下に例を示します。

CREATE OR REPLACE FUNCTION sha1(bytea) returns text AS $$
    SELECT encode(digest($1, 'sha1'), 'hex')
$$ LANGUAGE SQL STRICT IMMUTABLE;

F.28.1.2. hmac()

hmac(data text, key text, type text) returns bytea
hmac(data bytea, key text, type text) returns bytea

keyをキーとしたdataのハッシュ化MACを計算します。 typeはdigest()の場合と同じです。

digest()と似ていますが、ハッシュはキーを知った上で再計算されるだけです。 これは、誰かがデータを変更し、同時に一致するようにハッシュを変更するという状況を防ぎます。

キーがハッシュブロックサイズより大きい場合、まずハッシュ化され、その結果をキーとして使用します。

F.28.2.1. crypt()

crypt(password text, salt text) returns text

passwordのcrypt(3)形式のハッシュを計算します。 新しいパスワードを保管する時には、gen_salt()を使用して新しいsaltを生成する必要があります。 パスワードを検査する時、既存のハッシュ値をsaltとして渡し、結果が格納された値と一致するかどうかを確認します。

新しいパスワードの設定例を以下に示します。

UPDATE ... SET pswhash = crypt('new password', gen_salt('md5'));

認証の例です。

SELECT pswhash = crypt('entered password', pswhash) FROM ... ;

入力パスワードが正しければtrueを返します。

F.28.2.2. gen_salt()

gen_salt(type text [, iter_count integer ]) returns text

crypt()で使用するランダムなソルト文字列を新規に生成します。 また、このソルト文字列はcrypt()にどのアルゴリズムを使用するかを通知します。

typeパラメータはハッシュ化アルゴリズムを指定します。 受付可能な種類は、des、xdes、md5、bfです。

繰り返し回数を持つアルゴリズムでは、ユーザはiter_countパラメータを使用して繰り返し回数を指定できます。 指定する回数を高くすれば、パスワードのハッシュ化にかかる時間が長くなり、それを破るための時間も長くなります。 しかし、あまりに多くの回数を指定すると、ハッシュ計算にかかる時間は数年に渡ってしまう可能性があります。 これは実用的ではありません。 iter_countパラメータを省略した場合、デフォルトの繰り返し回数が使用されます。 iter_countで受け付けられる値はアルゴリズムに依存し、表F-16に示す通りです。

xdesの場合は他にも、回数が奇数でなければならないという制限があります。

適切な繰り返し回数を選択するために、元々のDES暗号は当時のハードウェアで1秒あたり4個のハッシュを持つことができるように設計されたことを考えてください。 毎秒4ハッシュより遅いと、おそらく使い勝手が悪いでしょう。 毎秒100ハッシュより速いというのは、十中八九、あまりにも速すぎるでしょう。

ハッシュ化アルゴリズム別に相対的な速度に関する概要を表F-17にまとめました。 この表は、8文字のパスワード内のすべての文字の組合せを取るためにかかる時間を示します。 また、すべて小文字の英字のみのパスワードである場合と大文字小文字が混在した英字と数字のパスワードの場合を仮定します。 crypt-bfの項では、スラッシュの後の数値はgen_saltのiter_countです。

注意：

• Pentium 4 1.5GHzのマシンを使用しました。

• crypt-desおよびcrypt-md5アルゴリズムの数値はJohn the Ripper v1.6.38の-test出力から得たものです。

• md5の数値はmdcrack 1.2のものです。

• sha1の数値はlcrack-20031130-betaのものです。

• crypt-bfの数は、1000個の8文字パスワードをループする単純なプログラムを使用して得たものです。 こうして、異なる回数の速度を示すことができました。 参考までに、john -testはcrypt-bf/5で213 loops/secでした。 （結果の差異が非常に小さいことは、pgcryptoにおけるcrypt-bf実装がJohn the Ripperで使用されるものと同じであるという事実と一致します。）

"すべての組み合わせを試行する"ことは現実的な行使ではありません。 通常パスワード推定は、普通の単語とその変形の両方を含む辞書を使用して行われます。 ですので、いささかなりとも言葉に似たパスワードは上で示した数値よりも速く推定されます。 また6文字の単語に似ていないパスワードは推定を免れるかもしれませんし、免れないかもしれません

F.28.3.1. pgp_sym_encrypt()

pgp_sym_encrypt(data text, psw text [, options text ]) returns bytea
pgp_sym_encrypt_bytea(data bytea, psw text [, options text ]) returns bytea

対称PGPキーpswでdataを暗号化します。 optionsパラメータには後述のオプション設定を含めることができます。

F.28.3.2. pgp_sym_decrypt()

pgp_sym_decrypt(msg bytea, psw text [, options text ]) returns text
pgp_sym_decrypt_bytea(msg bytea, psw text [, options text ]) returns bytea

対称キーで暗号化されたPGPメッセージを復号化します。

pgp_sym_decryptでbytea型のデータを復号化することはできません。 これは無効な文字データの出力を防止するためです。 元のテキストのデータをpgp_sym_decrypt_byteaで復号化することが正しい方法です。

optionsパラメータには後述のオプション設定を含めることができます。

F.28.3.3. pgp_pub_encrypt()

pgp_pub_encrypt(data text, key bytea [, options text ]) returns bytea
pgp_pub_encrypt_bytea(data bytea, key bytea [, options text ]) returns bytea

公開PGPキーkeyでdataを暗号化します。 この関数に秘密キーを与えるとエラーになります。

optionsパラメータには後述のオプション設定を含めることができます。

F.28.3.4. pgp_pub_decrypt()

pgp_pub_decrypt(msg bytea, key bytea [, psw text [, options text ]]) returns text
pgp_pub_decrypt_bytea(msg bytea, key bytea [, psw text [, options text ]]) returns bytea

公開キーで暗号化されたメッセージを復号化します。 keyは、暗号化に使用した公開キーに対応する秘密キーでなければなりません。 秘密キーがパスワードで保護されている場合は、そのパスワードをpswで指定しなければなりません。 パスワードはないが、オプションを指定したい場合は空のパスワードを指定する必要があります。

pgp_pub_decryptでbytea型のデータを復号化することはできません。 これは無効な文字データの出力を防止するためです。 元のテキストのデータをpgp_pub_decrypt_byteaで復号化することが正しい方法です。

optionsパラメータには後述のオプション設定を含めることができます。

F.28.3.5. pgp_key_id()

pgp_key_id(bytea) returns text

pgp_key_idはPGP公開キーまたは秘密キーのキーIDを取り出します。 暗号化されたメッセージが指定された場合は、データの暗号化に使用されたキーIDを与えます。

2つの特殊なキーIDを返すことがあります。

• SYMKEY

  メッセージは対称キーで暗号化されました。

• ANYKEY

  メッセージは公開キーで暗号化されましたが、キーIDが消去されていました。 つまり、どれで復号化できるかを判定するためにはすべての秘密キーを試行しなければならないことを意味します。 pgcrypto自身はこうしたメッセージを生成しません。

異なるキーが同一IDを持つ場合があることに注意してください。 これは稀ですが、正常なイベントです。 この場合クライアントアプリケーションはどちらが当てはまるかを調べるために、ANYKEYの場合と同様に、それぞれのキーで復号化を試行しなければなりません。

F.28.3.6. armor(), dearmor()

armor(data bytea) returns text
dearmor(data text) returns bytea

PGPのASCIIアーマー形式にデータを隠す、または、データを取り出します。 ASCIIアーマーは基本的にCRC付きのBASE64という形式で、追加のフォーマットがあります。

F.28.3.7. PGP関数用のオプション

オプションはGnuPGに似せて命名しています。 オプションの値は等号記号の後に指定しなければなりません。 複数のオプションはカンマで区切ってください。 以下に例を示します。

pgp_sym_encrypt(data, psw, 'compress-algo=1, cipher-algo=aes256')

convert-crlfを除くすべてのオプションは暗号化関数にのみ適用可能です。 復号化関数はPGPデータからこうしたパラメータを入手します。

もっとも興味深いオプションはおそらくcompress-algoとunicode-modeでしょう。 残りはデフォルトで問題ないはずです。

F.28.3.8. GnuPGを使用したキーの生成

新しいキーを生成します。

gpg --gen-key

推奨するキー種類は"DSA and Elgamal"です。

RSA暗号化のためには、マスタとしてDSAまたはRSAで署名のみのキーを作成し、そしてgpg --edit-keyを使用してRSAで暗号化された副キーを追加しなければなりません

キーを列挙します。

gpg --list-secret-keys

ASCIIアーマー形式で公開キーをエキスポートします。

gpg -a --export KEYID > public.key

ASCIIアーマー形式の秘密キーをエキスポートします。

gpg -a --export-secret-keys KEYID > secret.key

PGP関数にこれらのキーを渡す前にdearmor()`を使用する必要があります。 バイナリデータを扱うことができる場合、gpgから-aフラグを省略することができます。

詳細はman gpg、http://www.gnupg.org/gph/en/manual.htmlThe GNU Privacy Handbook、http://www.gnupg.orgサイトの各種文書を参照してください。

F.28.3.9. PGPコードの制限

• 署名に関するサポートはありません。 これはまた、暗号化副キーがマスタキーに属しているかどうか検査しないことを意味します。

• マスタキーとして暗号化キーをサポートしません。 一般的にこうした状況は現実的ではありませんので、問題にならないはずです。

• 複数の副キーに関するサポートはありません。 よくありますので、これは問題になりそうに見えます。 一方、通常のGPG/PGPキーをpgcryptoで使用すべきではありません。 使用する状況が多少異なりますので新しく作成してください。

F.28.6.1. 構築

pgcryptoは自身で主PostgreSQLのconfigureスクリプトの検出結果に従って構築します。 構築に影響するオプションは--with-zlibと--with-opensslです。

ZLIB付きでコンパイルされた場合、PGP暗号化関数は暗号化前にデータを圧縮することができます。

OpenSSL付きでコンパイルされた場合、より多くのアルゴリズムが利用できるようになります。 また、OpenSSLがより最適化されたBIGNUM関数を持つため、公開キー暗号化関数は高速になります。

注

1. SHA2はOpenSSLバージョン0.9.8から含まれています。 これより古いバージョンでは、pgcryptoは組込みのコードを使用します。

2. OpenSSLがサポートする任意のダイジェストアルゴリズムが自動的に選択されます。 これは、明示的にサポートされなければならない暗号では使用できません。

3. AESはOpenSSLバージョン0.9.7から含まれています。 これより古いバージョンでは、pgcryptoは組込みのコードを使用します。

F.28.6.2. NULLの扱い

標準SQLの通り、引数のいずれかがNULLの場合、すべての関数はNULLを返します。 注意せずに使用すると、これがセキュリティ上の問題になるかもしれません。

F.28.6.3. セキュリティ上の制限

pgcryptoの関数はすべてデータベースサーバ内部で実行されます。 これは、pgcryptoとクライアントアプリケーションとの間でやり取りされるデータはすべて平文であることを意味します。 したがって、以下を行う必要があります。

1. ローカルまたはSSL接続で接続

2. システム管理者およびデータベース管理者を信頼

これらが不可能であれば、クライアントアプリケーション内で暗号化する方が望まれます。

F.28.6.4. 有用な文書

• http://www.gnupg.org/gph/en/manual.html

  GNUプライバシーハンドブック

• http://www.openwall.com/crypt/

  blowfish暗号アルゴリズムの説明

• http://www.stack.nl/~galactus/remailers/passphrase-faq.html

  優れたパスワードの選び方

• http://world.std.com/~reinhold/diceware.html

  パスワード決定に関する面白い考え

• http://www.interhack.net/people/cmcurtin/snake-oil-faq.html

  良い暗号、悪い暗号に関する説明

F.28.6.5. 技術的な参考情報

• http://www.ietf.org/rfc/rfc4880.txt

  OpenPGPメッセージフォーマット

• http://www.ietf.org/rfc/rfc1321.txt

  MD5 メッセージダイジェストアルゴリズム

• http://www.ietf.org/rfc/rfc2104.txt

  HMAC: Keyed-Hashing for Message Authentication.

• http://www.usenix.org/events/usenix99/provos.html

  DES暗号、MD5暗号、bcryptアルゴリズムの比較

• http://csrc.nist.gov/cryptval/des.htm

  DES、3DES、AES標準

• http://en.wikipedia.org/wiki/Fortuna_(PRNG)

  Fortuna CSPRNGの説明

• http://jlcooke.ca/random/

  Linux用Jean-Luc Cooke Fortunaに基づく/dev/randomドライバ

• http://research.cyber.ee/~lipmaa/crypto/

  暗号学に関するリンク集