予備知識：secp256k1、有限体、楕円曲線上の点演算#

剰余演算と楕円曲線上の点演算が大量に登場するため、予備知識を少し用意しました（ついでに自分で補った内容も載せておきますwww。すでに知っている場合は読み飛ばしても構いません。

また、補足として私と Gemini の会話を見ることもできます（正直なところ、AI のおかげで学習速度がかなり上がりました

EOA ウォレットにおける署名と検証について#

前回の記事で述べたように、EOA ウォレットを用いてアドレスの所有権を検証する必要がある場合、次のような流れになります。

1. SWIE に準拠したメッセージがフロントエンドからウォレットへ送られ、署名を要求します

2. このような署名要求をウォレットが受信すると、ユーザーに同意を求める確認画面が表示されます

3. ユーザーが確認すると、ウォレットの署名処理が開始されます

   • まず SIWE メッセージに対して keccak-256 を計算し、以降の計算に使用する 32 バイトのハッシュ $e$ を生成します

   • 次に、ウォレットの秘密鍵 $d$、secp256k1 の有限体 $p$、規格で選定された基点 $G$、そして $G$ の位数 $n$ を使用します。ウォレットは [1,n-1] の範囲内で乱数 $k$ を生成し、以降の検証計算を行います（ここで注意すべきなのは、重複しない利用可能な結果が $n$ の範囲内の [1,n-1] に限られるため、点の選択などの計算では mod n が使われる一方、secp256k1 全体の範囲に関する計算は、それ自体で規定された範囲 p、つまり mod p で行われることです

   • 最終的に生成される署名は、実際には $r/s/v$ という3つの計算結果を連結したもので、それぞれ 32 バイト/32 バイト/1 バイトです。それぞれの計算内容は次のとおりです。

     • $R = kG = (R_{x}, R_{y})$

     • $r = R_{x} \bmod n$

     • $s = k^{-1} * (z + r * d) \bmod n$

     • $v$ については、secp256k1 楕円曲線

       $$y^2 = x^3 + 7 \bmod p$$

       において、$x=R_x$ に対する解は、無限遠点 $0$ を除いても x 軸に関して対称な2つの解が存在します。$v$ は 0/1 を指定することで、どちらの解を選ぶべきかを示す yParity です（もちろん secp256k1 では $r+n<p$ となる可能性もありますが、その確率は非常に低いため、EVM の実際の計算ではこのケースの復元は考慮されていません

   • こうして、ウォレットからサーバーへ返される最終的な署名 $r/s/v$ が生成されます

4. 続いて、サーバーが受け取った $r/s/v$ を検証します。この時点でサーバーが把握しているのは、secp256k1 の基点 $G$、ウォレットへ送信した SIWE メッセージとそれを keccak-256 で計算したハッシュ $e$、そしてウォレットから返された署名 $r/s/v$ です

5. ここからサーバー側の検証を開始します。

   • サーバーにはすでに $G$ / $e$ / $r$ / $s$ / $v$ があります。このデータから計算されたウォレットアドレスが、最初に受け取ったウォレットアドレスと一致するかを確認する必要があります。また、

     $$address = keccak256(Q_x || Q_y)[12\:32]$$

     （つまり、アドレスは公開鍵 $Q$ に keccak-256 を適用して得られたハッシュの末尾20バイトです）という関係から、現在の目的は、既知の条件を用いて公開鍵 $Q$ を計算することだと分かります

   • 上記のデータに加えて、$s$ の変換過程、つまりスカラー体上の整数演算も分かっています。

     $$s = k^{-1} * (z + r * d) \bmod n$$

     したがって、次のように変形することもできます。

     $$d = r^{-1} * (s*k - z) \bmod n$$

     次に楕円曲線上の点演算へ移り、上式の両辺を基点 $G$ でスカラー倍します。

     $$\begin{aligned} dG &= \left(r^{-1}(sk - z) \bmod n\right)G \\ &= r^{-1}(skG - eG) \end{aligned}$$

     同時に、公開鍵が $Q = dG$、$R=kG$ であること、そして $r=R_x$ であることが分かっています。$v$ を使えば $R$ を復元できます。これにより、上式を既知の値だけで構成された公開鍵 $Q$ の計算式へ変換できます。

     $$Q = r^{-1}(sR - eG)$$

     こうして、計算によって署名元ウォレットの公開鍵 $Q$ を求めることができます

   • 続いて、求めた公開鍵 $Q$ に keccak-256 を適用し、末尾20バイトを取得すれば、検証用のウォレットアドレスが得られます。このアドレスを事前に提示されたアドレスと比較し、両者が一致すれば、秘密鍵 $d$ を知ることなく、既存の情報だけを用いて現在のウォレットに対する制御権を検証できます。また、$Q=dG \bmod n$ は楕円曲線（mod n 上）における関係であり、$dG$ の計算結果（d は $n$、すなわち $2^{256}$ に近い大きな素数の範囲内にあります）には加算の繰り返しによって高速に到達できます。一方、Q から d を逆算することは、secp256k1 上の楕円曲線離散対数問題に該当します。現時点では、現実的な計算資源でこれを完了できる実用的なアルゴリズムは存在しません。一般的な攻撃の計算量はおよそ $2^{128}$ のオーダーであり、熱力学的に見れば、$2^{256}$ 回の計算は宇宙の全エネルギーを使い果たしても完了できないため、工学的には解くことが不可能です。

     ヒント：実際の EVM における検証では、SIWE 情報内の domain/address/chainId なども検証します。ここでは主に数学的な仕組みを扱うため、それらについては省略します

6. これにより、サーバーとウォレットは署名、SIWE メッセージ、および定義済みの数学的情報だけを使用し、秘密鍵を公開することなくウォレットの所有権を確認できます

おわりに#

以上が、ウォレットの署名と検証における数学的な証明のおおよその内容です。Google の量子コンピューティングの発展によって、もしかすると近いうちに変わってしまうかもしれませんが、まだかなり時間はあるはずなので、古典的な方式を学んでおいても問題はないでしょう（

以上、ウォレットの署名検証を工学的に実践するうえでの理論的基礎を補足する内容でした。