HASH160: SHA-256の後にRIPEMD-160

問い

1. なぜビットコインは連続して2つの異なるハッシュ関数を使用するのでしょうか？
2. 160ビットのハッシュが256ビットのものにはない利点とは何でしょうか？
3. 20バイトのハッシュが、安全でありながら脆弱でもあり得るのはなぜでしょうか？

探究

1. ビットコインの生の公開鍵は、圧縮形式で33バイトです。これはトランザクションで効率よく使うには長すぎます。暗号学的な完全性を損なわずに短くするため、ビットコインはSHA-256の後にRIPEMD-160を適用する2段階の処理を行います。この組み合わせはHASH160と呼ばれ、160ビット（20バイト）の出力が得られます。これはアドレスのエンコードに十分なコンパクトさです。
2. Hans Dobbertin、Antoon Bosselaers、Bart Preneelが1996年に設計したRIPEMD-160は、SHA-256より短い出力を生成し、オープンな学術的設計プロセスから生まれました。まず公開鍵（P2SHの場合はスクリプト）にSHA-256が適用され、次にそのSHA-256の出力にRIPEMD-160が適用されます。この順序によってセキュリティと効率のバランスが取られており、Pay-to-PubKey-Hash（P2PKH）、Pay-to-Script-Hash（P2SH）、Pay-to-Witness-PubKey-Hash（P2WPKH）のアウトプットで使用されています。
3. 2つの異なるハッシュ関数を使うことで、多層防御の層が1つ加わります。入れ子構造が主に役立つのは原像攻撃（プリイメージ攻撃）に対してです。与えられたハッシュに一致する鍵を見つけるには、両方の関数を破る必要があるためです。一方、衝突に対しては効果がありません。SHA-256の衝突はそのままHASH160の衝突にもなるからです。また、160ビットの出力は約80ビットの衝突耐性を意味し、これは単一の鍵によるアドレスのアウトプットには許容範囲です。しかし、複数の当事者が関与する共有スクリプトでは問題となるため、SegWitとTaprootはネイティブスクリプトに32バイトの値を使用しています。
4. 鍵をハッシュ化することで、将来の量子コンピュータからコインを守れるという主張がよく見られます。しかし、その保護は部分的なものです。コインを使用すると公開鍵が明らかになるため、保護されるのは鍵が一度も公開されていないアウトプットだけです。アドレスを再利用すればこの保護は失われます。また、Taprootのアウトプットは公開鍵を直接オンチェーンに置きます。十分な能力を持つ量子コンピュータは、公開されたあらゆる鍵を脅かすことになります。
5. 公開鍵からビットコインアドレスを構築するには、まずHASH160を適用し、その結果の先頭にネットワーク識別子（メインネットのP2PKHでは0x00）を付け、続けてダブルSHA-256から導出した4バイトのチェックサムを付加します。この25バイトの列をBase58でエンコードすると、人間が読めるアドレスになります。このエンコードは紛らわしい文字を除外し、転記ミスを検出するためのチェックサムを含んでいます。
6. 実際に見てみるために、ブロックエクスプローラーを開き、P2PKHトランザクションを検索してください。そこにあるscriptPubKeyフィールドには20バイトのハッシュが含まれているはずです。これを、アウトプットが使用された際に明らかになる公開鍵と比較してみてください。公開鍵の方が長く、ハッシュはアドレスで使われている短縮されたエンコード済みのバージョンであることが分かります。

重要な事実

演習 九・六・三・一

事実確認

日付、数字、主張は、下記に記載された公表資料と照合して確認しました。

• Dobbertin, Bosselaers & Preneel, 'RIPEMD-160' (1996)
• Mastering Bitcoin, 3rd ed. (2023)
• Bitcoin Wiki, 'Technical background of version 1 Bitcoin addresses'