米国 NIST IR 8214C（第2次公開ドラフト） NISTがマルチパーティ閾値スキームを最初に募集 (2025.03.27)

こんにちは、丸山満彦です。

NISTが IR 8214C（第2次公開ドラフト）マルチパーティ閾値スキームを募集していますね...

● NIST - ITL

・2025.03.27 NIST IR 8214C (2nd Public Draft) NIST First Call for Multi-Party Threshold Schemes

NIST IR 8214C (2nd Public Draft) NIST First Call for Multi-Party Threshold Schemes	NIST IR 8214C（第2次公開ドラフト） NISTがマルチパーティ閾値スキームを最初に募集
Announcement	発表
This is a second public draft. Threshold schemes should NOT be submitted until the final version of this report is published. However, the present draft can be used as a baseline to prepare for future submissions.	これは第 2 次公開ドラフトである。この報告書の最終版が公表されるまでは、閾値スキームを提出すべきではない。しかし、本ドラフトは将来の提出に備えるためのベースラインとして使用することができる。
The scope of the call is organized into categories related to signing (Sign), public-key encryption (PKE), symmetric-key cryptography and hashing (Symm), key generation (KeyGen), fully homomorphic encryption (FHE), zero-knowledge proofs of knowledge (ZKP), and auxiliary gadgets. The categories are organized into two classes:	募集範囲は、署名（Sign）、公開鍵暗号（PKE）、共通鍵暗号とハッシュ（Symm）、鍵生成（KeyGen）、 完全準同型暗号（FHE）、ゼロ知識証明（ZKP）、補助ガジェットに関するカテゴリーに整理されている。カテゴリーは2つに分類される：
1. Class N (old Cat1): NIST-specified primitives (i.e., in Sign, PKE, Symmetric, KeyGen)	1. クラスN（旧 Cat1）： NIST 規定のプリミティブ（すなわち、Sign、PKE、Symmetric、KeyGen）
2. Class S (old Cat2): Special others (i.e., in Sign, PKE, Symmetric, KeyGen, FHE, ZKPoK, Gadgets)	2. クラスS（旧Cat2）： その他（Sign、PKE、Symmetric、KeyGen、FHE、ZKPoK、Gadgets）
The scope of some categories (old subcategories) has been updated:	一部のカテゴリー（旧サブカテゴリー）の範囲が更新された：
・The Class N categories (see Sections 2.1 and 9, and Appendix A) now also include primitives that have been selected by the NIST Post-Quantum Cryptography and Lightweight Cryptography standardization processes.	・クラス N のカテゴリー（2.1 節、9 節、附属書 A 参照）には、NIST の耐量子暗号と軽量暗号の標準化プロ セスで選定されたプリミティブも含まれるようになった。
・The old subcategory of primitives for ECC pair-wise key exchange is now considered within the KeyGen category N1.	・ECC ペアワイズ鍵交換プリミティブの旧サブカテゴリーは、現在、KeyGen カテゴリー N1 内で検討されている。
・In Class S (see Section 10.5 and Appendix B.1), the old “advanced” subcategory has been adapted to a category (S5) focused only on FHE.	・カテゴリーS（セクション10.5および附属書B.1参照）において、従来の「高度な」サブカテゴリーは、 FHEのみに焦点を当てたカテゴリー（S5）に適応された。
The submission logistics and explanation of requirements have also been updated. For example:	また、提出ロジスティクスと要求事項の説明も更新された。例えば
・Section 4.1 specifies an initial “Previews” phase, which encourages the submission of a “planning summary” of the future package submission.	・セクション4.1では、最初の「プレビュー」フェーズを規定し、将来提出するパッケージの「計画概要」の 提出を奨励している。
・Section 4.4 discusses implied agreements, licensing and patents disclosure.	・セクション4.4では、暗黙の合意、ライセンス、特許の開示について述べている。
・Section 5 refines the specification requirements, now allowing multiple crypto-systems.	・セクション5では仕様要件を絞り込み、複数の暗号システムを許容する。
・Section 6 clarifies the open-source implementation requirements, now allowing external dependencies.	・セクション6では、オープンソース実装要件を明確化し、外部依存を許容する。
All requirements (“shall” statements) are now included in the main matter (including in the new Sections 8, 9 and 10), whereas the appendices contain informative material.	すべての要件（「shall 」ステートメント）が本文（新しいセクション8、9、10を 含む）に含まれるようになり、附属書には参考資料が含まれるようになった。
Appendix D provides a detailed list of changes made since the initial public draft.	附属書Dには、最初の公開草案からの変更点の詳細なリストが記載されている。
For announcements and discussions related to the NIST Multi-Party Threshold Cryptography project, please join the MPTC-forum.	NIST Multi-Party Threshold Cryptographyプロジェクトに関する発表や議論については、MPTC-forumに参加されたい。
Abstract	概要
This document calls for public submissions of multi-party threshold schemes, and other related crypto-systems, to support the United States National Institute of Standards and Technology (NIST) in gathering a public body of reference material on advanced cryptography. In a threshold scheme, an underlying cryptographic primitive (e.g., signature, encryption, decryption, key generation) is computed in a distributed manner, while a private/secret key is or becomes secret shared across various parties. Threshold schemes submitted in reply to this “NIST Threshold Call” should produce outputs that are “interchangeable” with a reference conventional (non-threshold) primitive of interest, from various categories organized into two classes: Class N, for selected NIST-specified primitives; and Class S, for special primitives that are not specified by NIST but are threshold-friendlier or have useful functional features. The scope of Class S also includes fully-homomorphic encryption, zero-knowledge proofs, and auxiliary gadgets. This document specifies the requirements for submission (including specification, implementation, and evaluation), along with phases and deadlines. The ensuing public analysis will support the elaboration of a characterization report, which may help assess new interests beyond the cryptographic techniques currently standardized by NIST, and may include recommendations for subsequent processes.	本文書は、米国国立標準技術研究所(NIST)が先進的な暗号技術に関する公開資料を収集するのを支援するため、複数パーティの閾値方式およびその他の関連暗号システムの公募を行うものである。閾値スキームでは、基礎となる暗号プリミティブ（署名、暗号化、復号化、鍵生成など）が 分散方式で計算される一方で、秘密鍵/秘密鍵がさまざまな当事者間で共有される。この「NIST 閾値コール」への返信として提出される閾値スキームは、2 つのカテゴリーに整理された様々なカテゴ リーから、関心のある参照用従来型（非閾値）プリミティブと「交換可能」な出力を生成しなければならない： クラス N は、NIST が規定するプリミティブを対象とし、クラス S は、NIST が規定しないが、閾値と親和性がある、または有用な機能を持つ特殊なプリミティブを対象とする。Class S の範囲には、準同型暗号、ゼロ知識証明、補助ガジェットも含まれる。この文書では、提出要件（仕様、実装、評価を含む）、フェーズ、期限を規定する。続く公開分析は、特性評価報告書の精緻化をサポートし、NISTが現在標準化している暗号技術を超える新たな関心の評価に役立ち、その後のプロセスに対する推奨を含む可能性がある。

・[PDF] IR.8214C.2pd

Abstract	概要
Table of Contents	目次
List of Tables	表一覧
Preface	前文
Acknowledgments	謝辞
Note to the Reviewers	査読者への注記
1. Introduction	1. 序文
1.1. A Variety of Cryptographic Schemes and Primitives	1.1. 様々な暗号方式とプリミティブ
1.2. The NIST Threshold Call	1.2. NIST Threshold Call
2. Scope of the Call: Two Classes	2. 呼びかけの範囲： 2つのクラス
2.1. Class N: NIST-Specified Primitives	2.1. クラス N： NIST 指定のプリミティブ
2.2. Class S: Special Primitives Not Specified by NIST	2.2. クラス S：
3. Vision	3. ビジョン
3.1. Reliance on Contributions and Collaboration	3.1. 貢献とコラボレーションへの依存
3.2. Post-Quantum and Quantum-Vulnerable Cryptography	3.2. 耐量子および量子脆弱性暗号
3.3. Interchangeability	3.3. 互換性
3.4. Provable Security	3.4. 証明可能なセキュリティ
3.5. A Variety of Options	3.5. 多様な選択肢
4. Phases and Deadlines	4. フェーズと期限
4.1. Ph1: Previews	4.1. フェーズ1： プレビュー
4.2. Ph2: Packages	4.2. フェーズ2： パッケージ
4.3. Ph3: Public Analysis of Crypto-Systems	4.3. Ph3: 暗号システムの公開分析
4.4. Expectations about Submitted Material	4.4. 提出された資料への期待
5. Package Component: Written Specification	5. パッケージコンポーネント 仕様書
5.1. Covers and Verso	5.1. 表紙と裏表紙
5.2. Front Matter	5.2. フロントマター
5.3. Main Matter — Preliminaries	5.3. 本文 - 前提書類
5.4. Main Matter — Crypto-Systems	5.4. 本文 - 暗号システム
5.5. Back Matter	5.5. 裏表紙
6. Package Component: Reference Implementation	6. パッケージコンポーネント： 参考実装
6.1. Imp1. Crypto-system(s) Implementation	6.1. Imp1. 暗号システムの実装
6.2. Imp2. Code Availability	6.2. Imp2. コード可用性
6.3. Imp3. Code Licensing and Posting	6.3. Imp3. コードのライセンスと掲載
6.4. Imp4. Compatibility With a Baseline Platform	6.4. Imp4. ベースライン・プラットフォームとの互換性
6.5. Imp5. External dependencies	6.5. Imp5. 外部依存関係
6.6. Imp6. Clear Code	6.6. imp6. 明確なコード
6.7. Imp7. Useful Scripts (X)	6.7. Imp7. 有用なスクリプト (X)
6.8. Imp8. Useful Instructions (Inst)	6.8. Imp8. 便利な命令 (Inst)
7. Package Component: Experimental Evaluation	7. パッケージコンポーネント： 実験的評価
7.1. Experimental Setting	7.1. 実験設定
7.2. Measurements	7.2. 測定
7.3. Analysis	7.3. 分析
8. Security Requirements	8. セキュリティ要件
8.1. Security Strength Levels	8.1. セキュリティ強度レベル
8.1.1. Computational Security	8.1.1. 計算セキュリティ
8.1.2. Statistical Security	8.1.2. 統計的セキュリティ
8.2. Security of Threshold Schemes	8.2. 閾値スキームのセキュリティ
8.2.1. Threshold Profile	8.2.1. 閾値プロファイル
8.2.2. Type of Adversary	8.2.2. 逆境者のタイプ
8.2.3. Security Against an Adversary	8.2.3. 逆境に対する安全性
9. Requirements for Class N Schemes	9. クラスNスキームの要件
9.1. Category N1: Signing	9.1. カテゴリーN1：署名
9.2. Category N2: PKE (Encryption/Decryption)	9.2. カテゴリーN2：PKE（暗号化／復号化）
9.3. Category N3: Symmetric Primitives	9.3. カテゴリーN3：対称プリミティブ
9.4. Category N4: KeyGen for Class N schemes	9.4. カテゴリーN4：クラスNスキームの鍵生成
9.4.1. Subcategory N4.1: ECC KeyGen	9.4.1. サブカテゴリー N4.1： ECC 鍵生成
9.4.2. Subcategory N4.2: RSA KeyGen	9.4.2. サブカテゴリーN4.2： RSA 鍵生成
9.4.3. Subcategory N4.3: ML KeyGen	9.4.3. サブカテゴリー N4.3： ML 鍵生成
9.4.4. Subcategory N4.4: HBS KeyGen	9.4.4. サブカテゴリー N4.4： HBS 鍵生成
9.4.5. Subcategory N4.5: Secret RBG	9.4.5. サブカテゴリー N4.5: Secret RBG
10.Requirements for Class S Schemes	10.Class S スキームの要件
10.1. Category S1: Signing	10.1. カテゴリーS1：署名
10.2. Category S2: PKE	10.2. カテゴリーS2：PKE
10.3. Category S3: Symmetric	10.3. カテゴリーS3： 対称
10.4. Category S4: Keygen	10.4. カテゴリーS4： Keygen
10.5. Category S5: FHE	10.5. カテゴリーS5：FHE
10.6. Category S6: ZKPoK	10.6. カテゴリーS6： ZKPoK
10.7. Category S7: Gadgets	10.7. カテゴリーS7： ガジェット
References	附属書
Appendix A. Notes on Class N Categories	附属書A. クラスNカテゴリーに関する注記
A.1. Category N1: NIST-Specified Signing Primitives	A.1. カテゴリーN1：NIST指定の署名プリミティブ
A.1.1. Subcategory N1.1: EdDSA Signing	A.1.1. サブカテゴリーN1.1： EdDSA 署名
A.1.2. Subcategory N1.2: ECDSA Signing	A.1.2. サブカテゴリーN1.2: ECDSA署名
A.1.3. Subcategory N1.3: RSADSA Signing	A.1.3. サブカテゴリー N1.3： RSADSA 署名
A.1.4. Subcategory N1.4: ML-DSA Signing	A.1.4. サブカテゴリー N1.4： ML-DSA 署名
A.1.5. Subcategory N1.5: HBS Signing	A.1.5. サブカテゴリー N1.5: HBS 署名
A.1.5.1. Conventional SLH-DSA (stateless)	A.1.5.1. 従来のSLH-DSA（ステートレス）
A.1.5.2. Conventional Stateful HBS	A.1.5.2. 従来のステートフルHBS
A.1.5.3. Threshold Hash-Based Signatures	A.1.5.3. 閾値ハッシュベース署名
A.2. Category N2: NIST-Specified PKE Primitives	A.2. カテゴリーN2：NIST指定のPKEプリミティブ
A.2.1. Subcategory N2.1: RSA Encryption/Decryption	A.2.1. サブカテゴリー N2.1： RSA 暗号化/復号
A.2.1.1. Conventional RSA-PKE	A.2.1.1. 従来の RSA-PKE
A.2.1.2. Higher-Level Constructions (Based on RSAEP/ RSADP)	A.2.1.2. 上位レベルの構成（RSAEP/RSADP に基づく）
A.2.2. Subcategory N2.2: K-PKE Encryption/Decryption	A.2.2. サブカテゴリー N2.2： K-PKE 暗号化/復号
A.2.2.1. Conventional K-PKE	A.2.2.1. 従来の K-PKE
A.2.2.2. Higher-Level Constructions (Based on K-PKE)	A.2.2.2. より上位の構成（K-PKE に基づく）
A.3. Category N3: NIST-Specified Symmetric Primitives	A.3. カテゴリー N3: NIST-Specified Symmetric Primitives
A.3.1. Subcategory N3.1: AES Enciphering/Deciphering	A.3.1. サブカテゴリー N3.1： AES 暗号化/復号
A.3.2. Subcategory N3.2: Ascon-AEAD Encrypt/Decrypt	A.3.2. サブカテゴリー N3.2： Ascon-AEAD 暗号化/復号
A.3.3. Subcategory N3.3: Hash and XOF	A.3.3. サブカテゴリー N3.3: Hash and XOF
A.3.4. Subcategory N3.4: MAC	A.3.4. サブカテゴリー N3.4： MAC
A.4. Category N4: NIST-Specified KeyGen Primitives	A.4. カテゴリーN4：NIST指定の鍵生成プリミティブ
A.4.1. Subcategory N4.1: ECC KeyGen	A.4.1. サブカテゴリー N4.1： ECC 鍵生成
A.4.1.1. Conventional ECC KeyGen	A.4.1.1. 従来の ECC 鍵生成
A.4.1.2. Extension to CDH and MQV primitives for ECC-2KE	A.4.1.2. ECC-2KE のための CDH および MQV プリミティブの拡張
A.4.2. Subcategory N4.2: RSA KeyGen	A.4.2. サブカテゴリー N4.2： RSA 鍵生成
A.4.2.1. Size of RSA Modulus	A.4.2.1. RSAモジュラスのサイズ
A.4.2.2. Criteria for the Private Exponent and the Prime Factors	A.4.2.2. 非公開指数と素因数の規準
A.4.3. Subcategory N4.3: ML KeyGen	A.4.3. サブカテゴリー N4.3： ML 鍵生成
A.4.5. Subcategory N4.5: Secret RBG	A.4.5. サブカテゴリーN4.5: 秘密RBG
Appendix B. Notes on FHE and ZKPoK	附属書B. FHEとZKPoKに関するメモ
B.1. Category S5: Fully-Homomorphic Encryption (FHE)	B.1. カテゴリーS5：準同型暗号(FHE)
B.1.1. Use Case: FHE-Based AES Oblivious Enciphering	B.1.1. ユースケース FHE-Based AES Oblivious Enciphering
B.1.1.1. Non-Threshold FHE-Based AES Oblivious Enciphering	B.1.1.1. 非閾値FHEベースAESオブリビアス暗号化
B.1.1.2. Threshold FHE-Based AES Oblivious Enciphering	B.1.1.2. 閾値 FHE ベースの AES オブリビアス暗号化
B.2. Category S6: Zero-Knowledge Proof of Knowledge (ZKPoK)	B.2. カテゴリーS6： ゼロ知識証明(ZKPoK)
B.2.1. Example Proofs of Interest	B.2.1. 興味のある証明例
B.2.2. Distinguishing Features and Types of “Proof”	B.2.2. 証明」の特徴と種類の区別
B.2.3. Threshold Considerations	B.2.3. 閾値に関する考察
B.2.4. On computational soundness from statistical soundness	B.2.4. 統計的健全性と計算上の健全性について
B.2.5. Specialized versus generic ZKPoKs	B.2.5. 特殊なZKPoKと一般的なZKPoK
Appendix C. Notes on the Threshold Setting	附属書C．閾値設定に関するメモ
C.1. System Model	C.1. システムモデル
C.1.1. Participants	C.1.1. 参加者
C.1.2. Distributed Systems and Communication	C.1.2. 分散システムとコミュニケーション
C.1.3. Adversary	C.1.3. 敵
C.2. Security in the Threshold Setting	C.2. 閾値設定におけるセキュリティ
C.2.1. Security Analysis (Based on the Specification)	C.2.1. セキュリティ分析（仕様に基づく）
C.2.2. Practical Feasibility Versus Adaptive Security	C.2.2. 現実的な実現可能性と適応的なセキュリティの比較
C.2.3. Implementation and Deployment Security	C.2.3. 実装と展開セキュリティ
C.3. Threshold Profiles	C.3. 閾値プロファイル
C.4. Secret-Shared Input/Output (I/O) Interfaces	C.4. 秘密-共有入出力（I/O）インターフェース
Appendix D. Acronyms	附属書 D. 略語
Appendix E. Changes Between the IPD and the 2PD	附属書 E. IPDと2PD間の変更点
List of Tables	表のリスト
Table 1. Multiple categories per class	表1. クラスごとの複数のカテゴリー
Table 2. Families of specifications of interest in categories of Class N	表2. クラスNのカテゴリーにおける関心のある仕様のファミリー
Table 3. Examples of primitives in categories of Class S	表3. クラスSのカテゴリーにおけるプリミティブの例
Table 4. Submission phases and tentative deadlines	表4. 提出フェーズと暫定期限
Table 5. Security strength parameters	表5. セキュリティ強度パラメータ
Table 6. Signing primitives in category N1	表6. カテゴリーN1の署名プリミティブ
Table 7. PKE primitives in category N2	表7. カテゴリーN2のPKEプリミティブ
Table 8. “Symmetric” primitives in category N3	表8. カテゴリーN3の 「対称 」プリミティブ
Table 9. KeyGen in schemes of Class N	表9. クラスNのスキームにおける鍵生成
Table 10. Examples of KeyGen purposes	表10. 鍵生成の目的の例
Table 11. Notation of EdDSA versus ECDSA (in FIPS 186-5)	表11. FIPS186-5における）EdDSAとECDSAの表記
Table 12. RSA-based primitives per RSA-2KE scheme, per party	表12. RSA-2KEスキームごとのRSAベースのプリミティブ、パーティごと
Table 13. Non-KeyGen Primitives in ML-KEM and K-PKE	表13. ML-KEM および K-PKE における非鍵生成プリミティブ
Table 14. Criteria for the random primes of an RSA modulus	表14. RSAモジュラスのランダムプライムの規準
Table 15. Example ZKPoKs of interest related to Class N primitives	表15. クラスNプリミティブに関連するZKPoKの例
Table 16. Labels for some template threshold profiles	表16. いくつかのテンプレート閾値プロファイルのラベル

2025.03.27	IR 8214C	NIST First Call for Multi-Party Threshold Schemes	Draft
2022.08.12	IR 8214B	Notes on Threshold EdDSA/Schnorr Signatures	Draft
2020.07.07	IR 8214A	NIST Roadmap Toward Criteria for Threshold Schemes for Cryptographic Primitives	Final
2019.03.01	IR 8214	Threshold Schemes for Cryptographic Primitives: Challenges and Opportunities in Standardization and Validation of Threshold Cryptography	Final

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2020.07.09 NIST NISTIR 8214A「閾値暗号」開発の取り組みを開始