Node.js 環境における暗号化と鍵管理ライブラリの比較

crypto (npm)、node-forge、pem、pem-jwk は、セキュリティ関連の処理を行う際に候補となるパッケージですが、それぞれ役割と制約が明確に異なります。実務では、環境依存やメンテナンス状況を理解せずに選ぶと、セキュリティリスクや移植性の問題に直面します。ここでは、それぞれの違いを具体的なコード例と比較しながら解説します。

🌍 実行環境と依存関係：ネイティブ vs 純粋 JS vs バイナリ

ライブラリがどこで動作するかは、アーキテクチャ決定における最初の重要なポイントです。

crypto (npm) は、Node.js 組み込み模块の代わりとして作られましたが、現在は非推奨です。

• Node.js 環境でのみ動作します。
• 組み込み模块と同じ API を提供しますが、メンテナンスされていません。

// crypto (npm): 非推奨パッケージ
const crypto = require('crypto');
const hash = crypto.createHash('sha256').update('data').digest('hex');
// ⚠️ 警告: この npm パッケージは使用しないでください

node-forge は、純粋な JavaScript で実装されています。

• ブラウザと Node.js の両方で動作します。
• OpenSSL などの外部依存がありません。

// node-forge: 純粋な JavaScript
const forge = require('node-forge');
const md = forge.md.sha256.create();
md.update('data');
const hash = md.digest().toHex();
// ✅ ブラウザでもサーバーでも動作可能

pem は、OpenSSL コマンドラインツールをラップしています。

• システムに OpenSSL がインストールされている必要があります。
• ブラウザーでは動作しません。

// pem: OpenSSL 依存
const pem = require('pem');
// システムに openssl コマンドが必要
pem.createCertificate({ days: 1, selfSigned: true }, (err, keys) => {
  // 証明書生成
});

pem-jwk は、形式変換に特化した lightweight な utility です。

• 環境依存は少ないですが、変換機能のみを提供します。
• 暗号化処理そのものは行いません。

// pem-jwk: 形式変換専用
const pemToJwk = require('pem-jwk').pemToJwk;
// 変換機能のみ提供
const jwk = pemToJwk(pemString, 'public');

🔑 鍵生成と証明書管理：自動化 vs 手動

鍵や証明書を生成する際、ライブラリによって提供される機能の深さが異なります。

crypto (npm) は、組み込み模块と同様に低レベルな操作を提供します。

• 鍵生成は可能ですが、証明書生成は複雑です。
• 非推奨のため、新しい実装には適しません。

// crypto (npm): 鍵生成
const { generateKeyPairSync } = require('crypto');
const { publicKey, privateKey } = generateKeyPairSync('rsa', {
  modulusLength: 2048
});
// ⚠️ 非推奨パッケージによる実装

node-forge は、PKI 関連の機能も純粋 JS で提供します。

• 証明書署名や鍵生成をコード内で完結できます。
• 設定がやや詳細になる傾向があります。

// node-forge: 鍵と証明書生成
const keys = forge.pki.rsa.generateKeyPair({ bits: 2048 });
const cert = forge.pki.createCertificate();
cert.publicKey = keys.publicKey;
// ✅ 外部ツール不要で完結

pem は、証明書生成を簡単に行うことに特化しています。

• OpenSSL の複雑なコマンドを隠蔽してくれます。
• サーバー側での快速なセットアップに適しています。

// pem: 証明書生成の簡易化
pem.createCertificate({ days: 365, selfSigned: true }, (err, result) => {
  const cert = result.certificate;
  const key = result.serviceKey;
  // ✅ 開発環境などで快速に証明書を用意できる
});

pem-jwk は、鍵生成機能を提供していません。

• 既存の鍵を別の形式に変換するためのツールです。
• 鍵生成には他のライブラリと組み合わせる必要があります。

// pem-jwk: 鍵生成は非対応
// 鍵生成は crypto や node-forge で 수행
// ここでは変換のみ
// const jwk = pemToJwk(existingPem, 'private');
// ❌ 鍵生成機能はありません

🔄 形式変換と互換性：PEM vs JWK vs DER

異なるシステム間で鍵をやり取りする際、形式変換が不可欠です。

crypto (npm) は、基本的な形式変換をサポートしますが、JWK などは追加処理が必要です。

• 組み込み模块と同様の制限があります。
• 変換ロジックを自分で書くことが多いです。

// crypto (npm): 形式変換
// JWK への変換は標準ではサポートされていないため自力実装が必要
// const jwk = ... (manual implementation)
// ⚠️ 手間がかかる

node-forge は、様々な形式の変換関数を持っています。

• PEM、DER、ASN.1 などを扱えます。
• JWK への変換はプラグインや追加コードが必要な場合があります。

// node-forge: PEM 出力
const pem = forge.pki.privateKeyToPem(keys.privateKey);
// ✅ 標準的な形式変換は充実

pem は、証明書情報の読み取りに強みがあります。

• PEM 形式から有効期限や主体名を取得できます。
• 変換よりも「読み取り」に焦点が当たっています。

// pem: 証明書情報読み取り
pem.readCertificateInfo(certPem, (err, info) => {
  console.log(info.subject); 
  // ✅ 証明書の中身を確認しやすい
});

pem-jwk は、PEM と JWK の変換に特化しています。

• この目的であれば、最もシンプルで確実な選択肢です。
• 他の形式には対応していません。

// pem-jwk: PEM <-> JWK 変換
const jwk = require('pem-jwk').pemToJwk(pemString, 'public');
const pem = require('pem-jwk').jwkToPem(jwk, 'private');
// ✅ この用途なら最適

🔒 セキュリティとメンテナンス：推奨 vs 非推奨

セキュリティライブラリを選ぶ際、メンテナンス状況は最も重要な要素です。

crypto (npm) は、公式に非推奨となっています。

• 新しいプロジェクトでは絶対に使用すべきではありません。
• Node.js 組み込みの crypto 模块を使用してください。

// crypto (npm): 非推奨
// ❌ 使用しないこと
// ✅ 代わりに require('crypto') (Node.js built-in) を使用

node-forge は、長くメンテナンスされているプロジェクトです。

• セキュリティ修正も定期的に行われています。
• 純粋 JS であるため、監査が比較的容易です。

// node-forge: メンテナンス状況
// ✅ 積極的にメンテナンスされている
const forge = require('node-forge');

pem は、OpenSSL のバージョン依存に注意が必要です。

• OpenSSL 側のセキュリティ更新に追随する必要があります。
• サーバー環境の管理が求められます。

// pem: 依存管理
// ⚠️ システムの OpenSSL バージョン管理が必要
const pem = require('pem');

pem-jwk は、機能限定のためリスクは低いです。

• 変換ロジック自体は複雑ではありません。
• 依存チェーンを減らしたい場合に有効です。

// pem-jwk: 限定機能
// ✅ 機能限定のため表面積は小さい
const pemToJwk = require('pem-jwk').pemToJwk;

📊 summary: 機能比較表

💡 最終的な推奨

crypto (npm) は、歴史的な理由で存在するパッケージですが、現在は使用すべきではありません。Node.js 組み込みの crypto 模块が常に第一選択肢です。

node-forge は、ブラウザで暗号化処理を行う必要がある場合や、サーバー環境で OpenSSL をインストールできない場合に最適な選択肢です。純粋な JavaScript で完結するため、デプロイの複雑さを減らせます — ただし、処理速度はネイティブより劣ります。

pem は、開発環境や管理サーバーで快速に証明書を発行したい場合に便利です。ただし、本番環境では OpenSSL のバージョン管理やセキュリティパッチ適用を徹底する必要があります。

pem-jwk は、特定の形式変換が必要な場合にピンポイントで利用します。汎用ライブラリとしてではなく、変換ツールとして依存に追加するのが適切です。

結論: 基本的には Node.js 組み込み crypto 模块を軸にし、ブラウザ対応が必要なら node-forge を併用します。pem は開発支援ツールとして、pem-jwk は変換専用として、必要最小限の範囲で導入するのが安全です。