RSA プレコンパイルコントラクトの実装

[nezu511]

概要

マイナンバーを用いた本人確認のためのRSA検証用のプレコンパイルコントラクトをRustで実装する

設計

プレコンパイルの形式に習い，使用可能ガスと，data, versionを入力として受け取り，残ったガスとデータを出力として返す．

    fn rsa(                                                                                                                                                        
        gas: U256,
        data: &[u8],
        version: VersionId,
    ) -> Result<(U256, Vec<u8>), (U256, Option<Vec<u8>>)>;

入力データ

• Signature [0..256 bytes] 256バイト
• Modulus [256..512 bytes]　256バイト
• Message [512..544] 32バイト
• Exponent [544..] 可変長

出力データ

出力データはプレコンパイルコントラクトのbn254_pairingに基づいて，検証成功なら1バイト(32バイト: 0x000 ... 0001)で，失敗なら(32バイト: 0x000 ... 0000)とする．
どちらもOk(_, Vec::)とする．

適切なガス

適切なガスを求めるために，以下の決定プロセスを提案する

1. 既存プレコンパイルのベンチマーク計測
   Rustの強力なベンチマークツール（criterion クレートなど）を使用して、Leviathanに実装済み、または実装予定の既存プレコンパイルの実行時間を計測します。

2. 回帰分析による関数の導出
   計測した「CPUの実行時間（ミリ秒/マイクロ秒）」をX軸、「イエローペーパーで定義されたガスコスト」をY軸にプロットし、線形回帰などで Gas=a×CPU Time+b のような係数を求めます。

3. RSA-2048検証ロジックの計測と当てはめ

チェック機構

・ガスは十分か：失敗した場合はOOGで例外停止
・入力データは適切か（>544) : 失敗した場合は例外停止
→bn_pairingが不適切なデータの場合は例外停止しているから

[nezu511]

実測ベンチマークとガスコストの検討

適切なガスを割り出すため、Leviathan上の既存プレコンパイルと my_rsa の CPU 実行時間（マイクロ秒）を計測した。
下記に示すのはRsaのプレコンパイルコントラクトの結果である．

Benchmark Result (my_rsa)

• Payload Size : 547 bytes
• Execution Time : 197 us
• Status : Success

既存プレコンパイル

Address	Name	Count	Avg_Time_us	Avg_Gas	Us_per_Gas
1	ecrecover	2	42	3000	0.014
2	sha256	333563	22.1	18816	0.00117
3	ripemd160	2	1	600	0.00167
6	bn_add	792	2.72	500	0.00545
7	bn_mul	552	19.4	40000	0.000486
8	bn_pairing	66	1082	241818	0.00427

実行時間の妥当性と統計的信頼性

ecrecover (42 µs) に比べて my_rsa (197 µs) が重いのは、極度に最適化されたCライブラリのバインディングを使わず、純粋なRust実装の rsa クレートで巨大なべき剰余計算を行っているためであり、ソフトウェア実装としては妥当な結果である。

しかし、ecrecover はベンチマークのサンプル数（Count: 2）が極端に少なく、これを基準にするのは統計的に信頼性に欠ける。そのため、今回はサンプル数が圧倒的に多い sha256（Count: 333,563）を比較の基準とする。

ガスコストの決定（暫定: 168,000 gas）

統計的信頼性の高い sha256 の燃費（0.00117 µs/gas）を基準に計算すると、197 / 0.00117 ≈ 168,376 gas となる。
純粋なRust実装による重い暗号処理であることを考慮し、DoS攻撃対策のセキュリティマージンも含めた安全な価格設定として、まずは暫定的に 168,000 gas を固定コストとして設定する。

4. 今後の展望 (Future Work)

RSA検証のコアロジックは本質的に expmod （$Signature^{Exponent} \pmod{Modulus}$）と同等である。
長期的には、expmod (Address 5) を実装・ベンチマーク計測した上で、my_rsa のガス代を最終決定する予定である．

[nezu511]

修正！！

入力データ長が適切かチェックする機構があったが，イエローペーパーのEVMの定義に照らし合わせるとこの仕様は不適切である．
my_rsaでは入力データは544バイトと決まっており，イエローペーパーの仕様では足りない部分は0で埋めて処理するとなっている．
そのため，入力データ長に関するチェックは不必要である．

[イエローペーパーの仕様］
全てのデータは無限長で，存在しない箇所は0で埋められていると仮定する．

チェック機構

・ガスは十分か：失敗した場合はOOGで例外停止
・入力データは適切か（>544) : 失敗した場合は例外停止
→bn_pairingが不適切なデータの場合は例外停止しているから