SLH-DSA（SPHINCS+）とFIPS 205

なぜ「ハッシュだけ」に賭けるのか

ポスト量子暗号の標準として NIST が最初に選んだ署名は、格子ベースの ML-DSA（Dilithium）でした。速く鍵も署名も小さい優等生です。にもかかわらず NIST は同時に、遅くて署名が桁違いに大きい SLH-DSA をもう1本標準化しました。理由は保険です。

格子暗号の量子耐性は「Shor が効かず、いまのところ効率的な量子攻撃が見つかっていない」という経験的な安全性に支えられています。もし格子に未知の構造的欠陥が見つかれば、ML-DSA は一斉に崩れます。そこでまったく別の土台に立つ署名を1本用意しておく。SLH-DSA の安全性は、格子とも数論とも無関係に、ハッシュ関数の第2原像・原像・耐衝突性だけに帰着します。ハッシュはすでに数十年の解析に耐え、量子計算機に対しても Grover による平方根の加速しか知られていません。この「壊れにくさ」こそが SLH-DSA の存在意義です。

部品1：WOTS+ ――1回限りの内部署名

土台の部品が WOTS+（Winternitz One-Time Signature Plus）です。名前のとおり1つの鍵ペアで1回しか署名できない方式で、原理はハッシュ鎖です。

横にスクロール

秘密鍵は乱数の並び sk = (sk_1, ..., sk_len)。各要素にハッシュを w-1 回繰り返し適用した終端が公開鍵になります（w は Winternitz パラメータ、典型的には16）。

公開鍵要素:  pk_i = H^(w-1)(sk_i)
署名:        メッセージのi番目の桁 a_i に対し sig_i = H^(a_i)(sk_i)
検証:        H^(w-1-a_i)(sig_i) が pk_i に一致するか

署名者は桁 a_i の分だけハッシュを進めた中間値を出し、検証者は残り w-1-a_i 回進めて公開鍵に届くかを確かめます。ここに落とし穴があります。攻撃者が桁を1つ増やす方向にはハッシュを進めるだけで偽造できてしまう。これを防ぐのがチェックサムです。メッセージ桁の合計を補うチェックサム桁を付け、どこかの桁を増やせば必ず別の桁が減る（＝ハッシュを逆向きに戻す必要が生じ、原像計算に阻まれる）ように設計します。「Plus」はマスク付きハッシュ鎖などの改良を指し、汎用的なハッシュ関数の仮定だけで安全性を証明できる形に整えたものです。

部品2：ハイパーツリー ――多数の鍵を1本の公開鍵へ

膨大な数の WOTS+ 公開鍵を、たった1つのルートハッシュに束ねるのが Merkle 木です。葉に WOTS+ 公開鍵を並べ、ペアを ハッシュで上へ畳んでいくと、最上位に1本のルートが残ります。任意の葉が「この木に属する」ことは、兄弟ノードの列（認証パス）を示すだけで検証できます。これが1段（XMSS 相当の木）です。

問題は木の高さです。2^60 個の葉を1本の木に収めれば高さ60となり、署名のたびにすべての葉の WOTS+ 公開鍵を計算してルートを作り直す羽目になり非現実的です。そこで ハイパーツリー（木の木）を使います。

各層の木は、その葉の WOTS+ 鍵で1つ下の層の木のルートに署名します。総高さ h を d 層に分ければ、1つの木の高さは h/d に縮み、署名時に構築するのは d 本ぶんの小さな木だけで済みます。SLH-DSA では例えば総高 h = 63 を d = 7 層に分割します（1層あたり高さ9）。こうして 2^63 という天文学的な鍵空間を、現実的な計算量で扱えるようにしています。

部品3：FORS ――メッセージを直接署名する少数回署名

ハイパーツリーの最下層が署名するのは、実はメッセージそのものではなく FORS（Forest Of Random Subsets）の公開鍵です。FORS は「少数回（few-time）署名」で、同じ鍵を数回なら使い回せる点が WOTS+ と決定的に違います。この性質がステートレス化の鍵になります。

FORS は k 本の小さな木の森です。メッセージのハッシュを k 個のインデックスに切り分け、各木でそのインデックスが指す葉（の秘密値）を1つだけ開示し、認証パスと合わせて署名とします。

メッセージダイジェスト md を k 個のチャンクに分割
各チャンク t_j (0 <= t_j かつ t_j が木の葉数未満) について:
  木jの葉 t_j の秘密値を開示 + その認証パスを付す

なぜ「少数回」で許されるのか。WOTS+ と違い FORS は各木で1葉しか開かないため、1回の署名で漏れる情報が限定的です。同じ鍵で別メッセージに署名しても、開く葉が別のインデックスであれば新たな情報しか出ず、直ちには偽造につながりません。偽造には「攻撃者が狙うメッセージのインデックス集合が、過去に開示済みの葉だけで賄える」必要があり、その確率が無視できるほど小さくなるよう k と木の大きさを選びます。

全体を貫く署名フロー

3つの部品を接続すると、1本の署名は次のように積み上がります。上から順にたどると、ルートまで一気通貫でハッシュがつながることが分かります。

1. R = PRF(SK.prf, opt_rand, M)         ランダム化値を導出
2. md ∥ idx = H_msg(R, PK, M)           ダイジェストと使用する葉インデックス
3. FORS_sig = FORS.sign(md, ...)        メッセージを FORS で署名
   → FORS 公開鍵 pk_FORS を復元
4. HT_sig  = HyperTree.sign(pk_FORS, idx) pk_FORS をハイパーツリーで署名
   → 各層の WOTS+ 署名と認証パスを連結
5. 署名 = (R, FORS_sig, HT_sig)

検証者は逆にたどります。R とメッセージから md とインデックスを再計算し、FORS 署名から FORS 公開鍵を復元、それを起点にハイパーツリーの各層の WOTS+ 署名と認証パスを順に登り、最終的に得られたルートが自分の持つ公開鍵（ハイパーツリー最上位のルート）と一致するかだけを確かめます。公開鍵はこのルートハッシュそのものであり、わずか数十バイトです。

FIPS 205 のパラメータとサイズの代償

FIPS 205 は SHA-256 系（SHA2）と SHAKE 系の2系統、そして安全性水準128/192/256ビットごとに s（small）と f（fast）の2変種を定義します。合計12のパラメータセットです。

s と f のトレードオフは、ハイパーツリーと FORS の木を「大きく少なく」するか「小さく多く」するかの選択です。s は木を大きく取るため署名時のハッシュ計算が増えて遅くなる代わり、署名に含める認証パスが短くサイズが小さい。f は木を小さくして署名を速くする代わり、木の本数が増えて署名が肥大します。いずれにせよ公開鍵は数十バイトで一定です。

どこで使い、どう位置づけるか

SLH-DSA の最良の適所は、署名頻度が低く、検証は多数でも構わず、何より数十年単位の安全余裕が要るケースです。具体的にはコード署名やファームウェア更新の署名、ルート認証局の自己署名、ソフトウェア権利証明などです。これらは署名が数KB増えても運用に響かず、逆に「20年後に量子計算機が現れても偽造されない」保証の価値が高い領域です。

まとめ

SLH-DSA（FIPS 205）は SPHINCS+ を基にしたステートレスなハッシュベース署名で、安全性がハッシュ関数の原像・第2原像・耐衝突性だけに閉じる点で、格子や数論から独立した最も保守的な量子耐性を持ちます。WOTS+ が1回限りの内部署名を担い、ハイパーツリーが膨大な WOTS+ 鍵を1本のルートに束ね、FORS の少数回署名がメッセージを直接扱いつつ、擬似乱数によるインデックス選択で状態管理を不要にしました。

代償は最大約50KBに達する署名サイズで、TLS や DNSSEC のような帯域制約の厳しい場面には不向きです。したがって署名スキーム一般の中での立ち位置は、高頻度用途を担う ML-DSA の保険――ファームウェアやルート認証局のように署名回数が少なく壊れにくさが最優先の場所で真価を発揮する専用装備、と理解するのが正確です。