比特币如何抵御量子计算威胁？三种格基签名方案的比较

正文：

原文作者：Blockstream Team

原文编译：Saoirse，Foresight News

Blockstream 研究院近期发布了一份详细的研究报告，探讨了比特币中的格基签名技术。本文将概述研究的主要内容、发现及相关建议，完整报告请点击查阅。

数字签名是比特币交易授权的关键机制，目前主要使用 Schnorr 和 ECDSA 签名，其成本非常低廉。然而，1994 年 Shor 的研究表明，强大的量子计算机能够破解这两种签名。尽管量子计算机何时会出现仍存在争议，我们必须在问题真正来临之前，准备好可行的后量子签名解决方案。

格基签名方案是目前被广泛视为替代现有签名的有力选择。格密码的研究已有超过一百年的历史，其在密码学中的应用也发展了近三十年。在后量子密码体系中，格基签名具有许多优势：公钥和签名的总大小可以低于 1.6 千字节，并且其代数结构未来有潜力支持多重签名、门限签名以及简洁证明等功能。

本报告对 Dilithium、Falcon 和 Hawk 三种方案进行了深入分析。为了帮助不了解格密码的读者，我们详细解释了每种方案的设计理念，完整介绍了算法流程，并从安全性、性能及实际部署（如钱包密钥派生）等方面进行评价。究竟哪种方案能够真正应用于比特币链上？

比特币在选择签名方案时受到自身约束，本次评估围绕四项核心标准展开：

在对比尺寸之前，首先需要确定目标安全等级，这并非简单的选择。NIST 将安全等级划分为 1 至 5 级；等级越高，安全性越强，但所需的密钥和签名体积也会相应增加。

我们认为，比特币至少应采用 3 级安全标准。比特币可能会在数十年内不被使用，如果密码分析技术的进步导致方案的实际安全等级下降，资产将面临长期风险。格密码经过近三十年的公开密码分析，其安全性相比于比特币采用椭圆曲线时的研究积累要更为扎实。然而，格密码复杂的代数结构仍然存在许多潜在的攻击点，因此我们不应完全依赖于未来安全性的赌注。

主流产品也做出了相似的判断。苹果的 iMessage PQ3 协议直接放弃了 1 级的格密码参数，全面采用 3 级和 5 级参数；Cloudflare 在其后量子 TLS 部署中则使用 ML‑KEM‑768（3 级），指出尽管 1 级目前看似安全，但仍需为未来的密码分析留有安全余地。比特币的安全时间跨度要比这两者更长。

提高安全等级势必需要付出代价。例如，Dilithium 从 2 级提升至 3 级，其总大小将增加约 1.5 千字节。报告中对所有安全等级下的参数集进行了比较，读者可以自行权衡利弊。Hawk 的经历证明了保守的安全考虑并非无的放矢。

Dilithium 已被 NIST 标准化为 FIPS 204 标准下的 ML‑DSA，它将 Schnorr 签名的承诺-挑战-响应模型迁移至模块格算术上。

其最大特点在于简洁性。Dilithium 的所有运算均为整数运算，包括环运算、矩阵向量乘法、哈希和取整，不涉及浮点运算，也不需离散高斯采样。这使得开发出安全且时间复杂度恒定的实现变得更为容易。它也是落地应用最广泛的候选方案，已被集成至 OpenSSL、BoringSSL、AWS‑LC 和 Apple CryptoKit。

然而，Dilithium 的体积相对较大。在 3 级安全下，ML‑DSA‑65 的公钥为 1952 字节，签名为 3309 字节，总计 5261 字节，约为比特币原生公私钥和签名总大小的 55 倍，体积最大。

对比特币而言，Dilithium 的一大价值在于，它是三者中唯一接近实现 BIP‑32 风格密钥派生的方案。可重随机化密钥构造 DilithiumRK 仅依靠公开信息便可由父密钥生成子密钥。报告分析了三种变体，包括我们提出的 DilithiumRKS，该派生逻辑完全在钱包软件内处理，链上仅需标准验证器处理普通 ML‑DSA 签名。然而，这三种变体尚未达到上线标准：其中两种变体需修改验证器，而 DilithiumRKS 本身缺乏完整的不可伪造性证明；所有方案均依赖全网共用的矩阵，尽管在 Module‑LWE 假设下形式上安全，但会将所有密钥的安全性绑定到同一个实例上。因此，我们认为现阶段基于 Dilithium 的公钥派生仅处于概念验证阶段，无法进行实际部署。

Falcon 被 NIST 选定，标准化名称为 FN‑DSA，是三种方案中最为精简的。1 级安全的 Falcon‑512 公钥及签名总计 1563 字节；而 5 级安全的 Falcon‑1024 总计 3073 字节。安全余量更高的 Falcon‑1024，体积甚至小于 3 级的 Dilithium。

Falcon 的设计思路与 Dilithium 不同：它基于 NTRU 格的哈希-签名模式。签名者的私钥是格的一组短基；消息通过哈希映射到空间中的一个点，签名者利用短基找到与该点非常接近的向量。该点与邻近向量共同构成签名；验证过程仅需检查向量是否属于该格，并且距离足够近。实现的难点在于寻找向量时不能泄露基的信息。早期方案 GGH、NTRUSign 直接就近取格点，每次签名都会泄露一部分几何信息。Falcon 采用 GPV 框架，从高斯分布中采样邻近向量，能够证明采样输出与基相互独立，从而消除泄漏风险，但采样器的实现难度大幅提高。

采样器是 Falcon 的工程短板。它在复数傅里叶域运算中需要浮点计算。不同的处理器、编译器和编译优化选项可能导致浮点输出结果不一致。这不仅是兼容性问题，更是安全隐患：GPV 安全证明要求，对于同一摘要，签名者绝不应输出两组不同的短向量；一旦签名变为确定性签名，平台带来的浮点舍入差异就可能破坏这一条件。可行的解决方案是确定性 Falcon，它可以用整数模拟替代硬件浮点，在所有平台上输出完全一致的签名。代价是签名速度下降约 15 倍，密钥生成速度下降约 2 倍。

值得注意的是，验证过程不受影响：Falcon 的验证全程为整数运算，结果确定，同时也是候选方案中验证速度最快的。这种非对称特性对比特币极为友好：签名由钱包在花费交易时执行一次，而每一笔签名都需被全网各节点验证。签名环节慢 15 倍属于低频开销，换来跨平台可复现和整数运算，在我们看来是合理的权衡。因此，浮点问题是可以通过工程手段解决的障碍，而非致命缺陷。

需要注意两点：由于结构限制，Falcon 没有 3 级参数，只能选择 1 级或 5 级。基于安全余量的考虑，我们推荐 Falcon‑1024。第二点是，签名会消耗大量内存：1024 参数集的采样器依赖预计算树，占用约 90 千字节内存。硬件钱包可以逐分支动态重建该树，将内存占用压缩至 16 千字节

来源：Odaily星球日报