Wycheproof

Wycheproof は暗号実装の正確性を検証し、既知の攻撃に対してテストするために設計された広範なテストベクトルの集合です。もともと Google によって開発されましたが、現在はコミュニティが管理するプロジェクトであり、寄稿者が特定の暗号構成のテストベクトルを追加できます。

背景

主要な概念

概念	説明
テストベクトル	暗号実装の正確性を検証するための入出力ペア
テストグループ	属性（鍵のサイズ、IV のサイズ、曲線）を共有するテストベクトルの集合
結果フラグ	テストが成功する（有効）、失敗する（無効）、または許容される（受け入れ可能）かを示す
エッジケーステスト	既知の脆弱性と攻撃パターンのテスト

なぜこれが重要か

暗号実装は正しく実装することが著しく困難です。小さなバグでも以下が可能になります：

• 秘密鍵の露出
• 署名の偽造
• メッセージの復号化
• 異なる実装が同じ入力を受け入れる/拒否する場合のコンセンサス問題の発生

Wycheproof は OpenJDK の SHA1withDSA、Bouncy Castle の ECDHC、elliptic npm パッケージなど、主要なライブラリの脆弱性を発見しています。

使用する場面

Wycheproof を適用する場合：

• 暗号実装（AES-GCM、ECDSA、ECDH、RSA など）をテストする
• 暗号コードがエッジケースを正しく処理することを検証する
• 既知の攻撃ベクトルに対して実装を検証する
• 暗号ライブラリの CI/CD をセットアップする
• サードパーティの暗号コードの正確性を監査する

代替案を検討する場合：

• タイミング側チャネルをテストする場合（代わりに定時テストツールを使用）
• 新しい未知のバグを見つける場合（代わりにファジング使用）
• カスタム/実験的暗号アルゴリズムをテストする場合（Wycheproof は確立されたアルゴリズムのみをカバー）

クイックリファレンス

シナリオ	推奨アプローチ	メモ
AES-GCM 実装	aes_gcm_test.json を使用	44 テストグループにわたる 316 テストベクトル
ECDSA 検証	特定の曲線に対して ecdsa_*_test.json を使用	署名の可鍛性、DER エンコーディングのテスト
ECDH 鍵交換	ecdh_*_test.json を使用	無効な曲線攻撃のテスト
RSA 署名	rsa_*_test.json を使用	パディングオーダー攻撃のテスト
ChaCha20-Poly1305	chacha20_poly1305_test.json を使用	AEAD 実装のテスト

テスティングワークフロー

Phase 1: Setup                 Phase 2: Parse Test Vectors
┌─────────────────┐          ┌─────────────────┐
│ Add Wycheproof  │    →     │ Load JSON file  │
│ as submodule    │          │ Filter by params│
└─────────────────┘          └─────────────────┘
         ↓                            ↓
Phase 4: CI Integration        Phase 3: Write Harness
┌─────────────────┐          ┌─────────────────┐
│ Auto-update     │    ←     │ Test valid &    │
│ test vectors    │          │ invalid cases   │
└─────────────────┘          └─────────────────┘

リポジトリ構造

Wycheproof リポジトリは以下のように構成されています：

┣ 📜 README.md       : プロジェクト概要
┣ 📂 doc             : ドキュメント
┣ 📂 java            : Java JCE インターフェステスト用ハーネス
┣ 📂 javascript      : JavaScript テスト用ハーネス
┣ 📂 schemas         : テストベクトルスキーマ
┣ 📂 testvectors     : テストベクトル
┗ 📂 testvectors_v1  : 更新されたテストベクトル（より詳細）

必須フォルダは testvectors と testvectors_v1 です。どちらも同様のファイルを含みますが、testvectors_v1 はより詳細な情報を含めており、新規統合に推奨されます。

サポートされるアルゴリズム

Wycheproof は広範な暗号アルゴリズムのテストベクトルを提供します：

カテゴリ	アルゴリズム
対称鍵暗号化	AES-GCM、AES-EAX、ChaCha20-Poly1305
署名	ECDSA、EdDSA、RSA-PSS、RSA-PKCS1
鍵交換	ECDH、X25519、X448
ハッシング	HMAC、HKDF
曲線	secp256k1、secp256r1、secp384r1、secp521r1、ed25519、ed448

テストファイル構造

各 JSON テストファイルは特定の暗号構成をテストします。すべてのテストファイルは共通の属性を持ちます：

"algorithm"         : テスト対象アルゴリズムの名前
"schema"            : JSON スキーマ（schemas フォルダに見つかります）
"generatorVersion"  : バージョン番号
"numberOfTests"     : このファイル内のテストベクトルの合計数
"header"            : テストベクトルの詳細説明
"notes"             : テストベクトル内のフラグの詳細説明
"testGroups"        : 1 つまたは複数のテストグループの配列

テストグループ

テストグループは以下のような共有属性に基づいてテストセットをグループ化します：

• 鍵のサイズ
• IV のサイズ
• 公開鍵
• 曲線

この分類により、テスト対象の構成に関連する特定の基準を満たすテストを抽出できます。

テストベクトルの属性

共有属性

すべてのテストベクトルには 4 つの共通フィールドが含まれます：

• tcId: ファイル内のテストベクトルの一意の識別子
• comment: テストケースに関する追加情報
• flags: 特定のテストケースタイプと潜在的な危険性の説明（notes フィールドで参照）
• result: テストの期待される結果

result フィールドは 3 つの値を取ることができます：

結果	意味
valid	テストケースが成功すべき
acceptable	テストケースは成功してもかまわないが、理想的でない属性を含む
invalid	テストケースが失敗すべき

ユニーク属性

ユニーク属性はテストするアルゴリズムに固有です：

アルゴリズム	ユニーク属性
AES-GCM	key、iv、aad、msg、ct、tag
ECDH secp256k1	public、private、shared
ECDSA	msg、sig、result
EdDSA	msg、sig、pk

実装ガイド

Phase 1: プロジェクトに Wycheproof を追加

オプション 1: Git サブモジュール（推奨）

Wycheproof を git サブモジュールとして追加すると、自動更新が保証されます：

git submodule add https://github.com/C2SP/wycheproof.git

オプション 2: 特定のテストベクトルを取得

サブモジュールが不可能な場合は、特定の JSON ファイルを取得します：

#!/bin/bash

TMP_WYCHEPROOF_FOLDER=".wycheproof/"
TEST_VECTORS=('aes_gcm_test.json' 'aes_eax_test.json')
BASE_URL="https://raw.githubusercontent.com/C2SP/wycheproof/master/testvectors_v1/"

# wycheproof フォルダを作成
mkdir -p $TMP_WYCHEPROOF_FOLDER

# テストベクトルファイルが存在しない場合は全てをリクエスト
for i in "${TEST_VECTORS[@]}"; do
  if [ ! -f "${TMP_WYCHEPROOF_FOLDER}${i}" ]; then
    curl -o "${TMP_WYCHEPROOF_FOLDER}${i}" "${BASE_URL}${i}"
    if [ $? -ne 0 ]; then
      echo "Failed to download ${i}"
      exit 1
    fi
  fi
done

Phase 2: テストベクトルをパース

アルゴリズムのテストファイルを特定し、JSON をパースします：

Python の例：

import json

def load_wycheproof_test_vectors(path: str):
    testVectors = []
    try:
        with open(path, "r") as f:
            wycheproof_json = json.loads(f.read())
    except FileNotFoundError:
        print(f"No Wycheproof file found at: {path}")
        return testVectors

    # 16 進数からバイトへの変換が必要な属性
    convert_attr = {"key", "aad", "iv", "msg", "ct", "tag"}

    for testGroup in wycheproof_json["testGroups"]:
        # 実装上の制約に基づいてテストグループをフィルタ
        if testGroup["ivSize"] < 64 or testGroup["ivSize"] > 1024:
            continue

        for tv in testGroup["tests"]:
            # 16 進数文字列をバイトに変換
            for attr in convert_attr:
                if attr in tv:
                    tv[attr] = bytes.fromhex(tv[attr])
            testVectors.append(tv)

    return testVectors

JavaScript の例：

const fs = require('fs').promises;

async function loadWycheproofTestVectors(path) {
  const tests = [];

  try {
    const fileContent = await fs.readFile(path);
    const data = JSON.parse(fileContent.toString());

    data.testGroups.forEach(testGroup => {
      testGroup.tests.forEach(test => {
        // 各テストに共有テストグループプロパティを追加
        test['pk'] = testGroup.publicKey.pk;
        tests.push(test);
      });
    });
  } catch (err) {
    console.error('Error reading or parsing file:', err);
    throw err;
  }

  return tests;
}

Phase 3: テスト用ハーネスを作成

有効なテストケースと無効なテストケースの両方を処理するテスト関数を作成します。

Python/pytest の例：

import pytest
from cryptography.hazmat.primitives.ciphers.aead import AESGCM

tvs = load_wycheproof_test_vectors("wycheproof/testvectors_v1/aes_gcm_test.json")

@pytest.mark.parametrize("tv", tvs, ids=[str(tv['tcId']) for tv in tvs])
def test_encryption(tv):
    try:
        aesgcm = AESGCM(tv['key'])
        ct = aesgcm.encrypt(tv['iv'], tv['msg'], tv['aad'])
    except ValueError as e:
        # 実装がエラーを発生 - テストが失敗すると予期されたか検証
        assert tv['result'] != 'valid', tv['comment']
        return

    if tv['result'] == 'valid':
        assert ct[:-16] == tv['ct'], f"Ciphertext mismatch: {tv['comment']}"
        assert ct[-16:] == tv['tag'], f"Tag mismatch: {tv['comment']}"
    elif tv['result'] == 'invalid' or tv['result'] == 'acceptable':
        assert ct[:-16] != tv['ct'] or ct[-16:] != tv['tag']

@pytest.mark.parametrize("tv", tvs, ids=[str(tv['tcId']) for tv in tvs])
def test_decryption(tv):
    try:
        aesgcm = AESGCM(tv['key'])
        decrypted_msg = aesgcm.decrypt(tv['iv'], tv['ct'] + tv['tag'], tv['aad'])
    except ValueError:
        assert tv['result'] != 'valid', tv['comment']
        return
    except InvalidTag:
        assert tv['result'] != 'valid', tv['comment']
        assert 'ModifiedTag' in tv['flags'], f"Expected 'ModifiedTag' flag: {tv['comment']}"
        return

    assert tv['result'] == 'valid', f"No invalid test case should pass: {tv['comment']}"
    assert decrypted_msg == tv['msg'], f"Decryption mismatch: {tv['comment']}"

JavaScript/Mocha の例：

const assert = require('assert');

function testFactory(tcId, tests) {
  it(`[${tcId + 1}] ${tests[tcId].comment}`, function () {
    const test = tests[tcId];
    const ed25519 = new eddsa('ed25519');
    const key = ed25519.keyFromPublic(toArray(test.pk, 'hex'));

    let sig;
    if (test.result === 'valid') {
      sig = key.verify(test.msg, test.sig);
      assert.equal(sig, true, `[${test.tcId}] ${test.comment}`);
    } else if (test.result === 'invalid') {
      try {
        sig = key.verify(test.msg, test.sig);
      } catch (err) {
        // ポイントをデコードできません
        sig = false;
      }
      assert.equal(sig, false, `[${test.tcId}] ${test.comment}`);
    }
  });
}

// すべてのテストベクトルに対してテストを生成
for (var tcId = 0; tcId < tests.length; tcId++) {
  testFactory(tcId, tests);
}

Phase 4: CI 統合

以下の方法でテストベクトルが最新の状態に保たれるようにします：

1. git サブモジュールの使用: テスト実行前に CI でサブモジュールを更新
2. 最新ベクトルの取得: テスト実行前にフェッチスクリプトを実行
3. スケジュール更新: 週次/月次更新をセットアップして新しいテストベクトルをキャッチ

よく検出される脆弱性

Wycheproof テストベクトルは特定の脆弱性パターンをキャッチするために設計されています：

脆弱性	説明	影響を受けるアルゴリズム	CVE の例
署名の可鍛性	同じメッセージに対する複数の有効な署名	ECDSA、EdDSA	CVE-2024-42459
無効な DER エンコーディング	正規でない DER 署名の受け入れ	ECDSA	CVE-2024-42460、CVE-2024-42461
無効な曲線攻撃	無効な曲線ポイントを使用した ECDH	ECDH	多くのライブラリで一般的
パディングオーダー	パディング検証のタイミング漏洩	RSA-PKCS1	歴史的な OpenSSL の問題
タグ偽造	修正された認証タグの受け入れ	AES-GCM、ChaCha20-Poly1305	さまざまな実装

署名の可鍛性: 深掘り

問題: 署名エンコーディングを検証しない実装は、同じメッセージに対して複数の有効な署名を受け入れることができます。

例（EdDSA）: 署名から 0 を付加または削除：

有効な署名:   ...6a5c51eb6f946b30d
無効な署名: ...6a5c51eb6f946b30d0000  (拒否されるべき)

検出方法:

# 署名長チェックを追加
if len(sig) != 128:  # EdDSA 署名は正確に 64 バイト（128 16 進数文字）である必要があります
    return False

影響: 異なる実装が同じ署名を受け入れる/拒否する場合のコンセンサス問題につながります。

関連する Wycheproof テスト:

• EdDSA: tcId 37 - "署名から 0 バイトを削除"
• ECDSA: tcId 06 - "レガシー: r の ASN エンコーディングが先頭 0 を見落とし"

ケーススタディ: Elliptic npm パッケージ

このケーススタディは、Wycheproof が人気のある elliptic npm パッケージ（3000+ 依存関係、週に数百万のダウンロード）の 3 つの CVE を発見した方法を示しています。

概要

elliptic ライブラリは、ECDH、ECDSA、EdDSA をサポートする JavaScript で記述された楕円曲線暗号ライブラリです。バージョン 6.5.6 で Wycheproof テストベクトルを使用したところ、複数の脆弱性が明らかになりました：

• CVE-2024-42459: EdDSA 署名の可鍛性（0 の追加/削除）
• CVE-2024-42460: ECDSA DER エンコーディング - 無効なビット配置
• CVE-2024-42461: ECDSA DER エンコーディング - 長さフィールドの先頭 0

方法論

1. サポートされている曲線を特定: EdDSA の ed25519
2. テストベクトルを検索: testvectors_v1/ed25519_test.json
3. テストベクトルをパース: JSON を読み込んでテストを抽出
4. テストハーネスを作成: パラメータ化されたテストを作成
5. テストを実行: 失敗を特定
6. 根本原因を分析: 実装コードを確認
7. 修正を提案: 検証チェックを追加

主な発見

EdDSA 問題（CVE-2024-42459）:

• 署名長検証がない
• 署名に末尾の 0 を許可
• 修正: if(sig.length !== 128) return false; を追加

ECDSA 問題 1（CVE-2024-42460）:

• DER エンコードされた r と s の値の最初のビットがゼロであることを確認するチェックがない
• 修正: if ((data[p.place] & 128) !== 0) return false; を追加

ECDSA 問題 2（CVE-2024-42461）:

• DER 長フィールドが先頭 0 を受け入れた
• 修正: if(buf[p.place] === 0x00) return false; を追加

影響

3 つの脆弱性すべてで、単一のメッセージに対して複数の有効な署名を許可でき、実装間でコンセンサス問題を引き起こしています。

教訓:

• Wycheproof は微妙なエンコーディングバグをキャッチします
• 再利用可能なテストハーネスは配当を支払います
• テストベクトルのコメントとフラグは問題の診断に役立ちます
• 人気のあるライブラリでも体系的なテストベクトル検証の恩恵を受けます

高度な使用法

ヒントとコツ

ヒント	なぜ役に立つか
パラメータでテストグループをフィルタ	実装上の制約に関連するテストベクトルに焦点を当てる
テストベクトルフラグを使用	テストされている特定の脆弱性パターンを理解
notes フィールドを確認	フラグの意味の詳細説明を取得
暗号化/復号化と署名/検証の両方をテスト	双方向の正確性を確保
CI でテストを実行	回帰をキャッチして新しいテストベクトルの恩恵を受ける
パラメータ化されたテストを使用	tcId とコメント付きの明確な失敗メッセージを取得

よくある間違い

間違い	なぜ間違いか	正しいアプローチ
有効なケースのみをテスト	無効な入力が受け入れられる脆弱性を見落とす	すべての結果タイプをテスト: valid、invalid、acceptable
「acceptable」結果を無視	実装に微妙なバグがある可能性	acceptable を調査する価値のある警告として扱う
テストグループをフィルタしない	サポートされていないパラメータに時間を無駄にする	keySize、ivSize などの実装に基づいてフィルタ
テストベクトルを更新しない	新しい脆弱性パターンを見落とす	サブモジュールまたはスケジュール更新を使用
1 つの方向のみをテスト	暗号化/署名は機能するが復号化/検証は失敗	両方の操作をテスト

関連スキル

ツールスキル

スキル	Wycheproof テストでの主な用途
pytest	パラメータ化されたテスト用 Python テストフレームワーク
mocha	テスト生成用 JavaScript テストフレームワーク
constant-time-testing	タイミング側チャネルテストで Wycheproof を補完
cryptofuzz	追加のバグを検出するためのファジベース暗号テスト

テクニックスキル

スキル	適用する場合
coverage-analysis	暗号実装内のすべてのコードパスをテストベクトルでカバーすることを確認
property-based-testing	数学的性質をテスト（例：暗号化/復号化のラウンドトリップ）
fuzz-harness-writing	暗号パーサ用のハーネスを作成（Wycheproof を補完）

関連ドメインスキル

スキル	関係性
crypto-testing	Wycheproof は暗号テストの包括的な方法論の重要なツール
fuzzing	Wycheproof がカバーしないバグを見つけるためにファジングを使用（新しいエッジケース）

スキル依存マップ

                    ┌─────────────────────┐
                    │    wycheproof       │
                    │   (このスキル)      │
                    └──────────┬──────────┘
                               │
           ┌───────────────────┼───────────────────┐
           │                   │                   │
           ▼                   ▼                   ▼
┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐
│  pytest/mocha   │ │ constant-time   │ │   cryptofuzz    │
│ (テストフレーム)│ │   testing       │ │   (ファジング)  │
└────────┬────────┘ └────────┬────────┘ └────────┬────────┘
         │                   │                   │
         └───────────────────┼───────────────────┘
                             │
                             ▼
              ┌──────────────────────────┐
              │  テクニックスキル        │
              │ coverage、harness、PBT   │
              └──────────────────────────┘

リソース

公式リポジトリ

Wycheproof GitHub リポジトリ

公式リポジトリに含まれるもの：

• testvectors/ および testvectors_v1/ 内のすべてのテストベクトル
• schemas/ 内の JSON スキーマ
• Java と JavaScript の参照実装
• doc/ 内のドキュメント

実例

pycryptodome

pycryptodome ライブラリは、Python 暗号実装のベストプラクティスを実証し、そのテストスイートで Wycheproof テストベクトルを統合しています。

コミュニティリソース

• C2SP Community - Wycheproof を管理する暗号仕様と標準コミュニティ
• Wycheproof issues tracker - テストベクトルのバグを報告するか、新しい構成を提案

まとめ

Wycheproof は、既知の攻撃ベクトルとエッジケースに対して暗号実装を検証するための重要なツールです。テスティングワークフローに Wycheproof テストベクトルを統合することで：

1. 微妙なエンコーディングと検証のバグをキャッチ
2. 署名の可鍛性の問題を防止
3. 実装間での一貫した動作を確保
4. コミュニティ寄稿のテストベクトルから恩恵を受ける
5. 既知の暗号脆弱性から保護

再利用可能なテストハーネスを作成する投資は、新しいテストベクトルが Wycheproof リポジトリに追加される際の継続的な検証を通じて配当を支払います。