Podpisy oparte na skrótach wyjaśnione: jak SPHINCS+ osiąga bezpieczeństwo kwantowe

Podczas gdy kryptografia oparta na sieciach zapewnia hermetyzację kluczy w systemach postkwantowych, podpisy cyfrowe wymagają innego podejścia. SPHINCS+ (standaryzowany przez NIST jako SLH-DSA) stanowi kulminację dziesięcioleci badań nad podpisami opartymi na skrótach – konstrukcjami, których bezpieczeństwo opiera się wyłącznie na dobrze poznanych właściwościach kryptograficznych funkcji skrótu. The Portfel odporny na działanie kwantów SynX implements SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205) for all transaction signatures, providing post-quantum security designed for the long term.

Co to jest SPHINCS+ i dlaczego jest odporny kwantowo?

SPHINCS+ konstruuje podpisy cyfrowe przy użyciu wyłącznie symetrycznych prymitywów kryptograficznych — funkcji skrótu i ​​rodzin funkcji pseudolosowych. W przeciwieństwie do ECDSA lub Ed25519, które opierają się na trudnościach związanych z logarytmem dyskretnym krzywej eliptycznej, bezpieczeństwo SPHINCS+ ogranicza się do podstawowych właściwości funkcji skrótu:

Related reading: Przewodnik wdrażania SPHINCS+: Podpisy oparte na skrótach dla programistów.

• Odporność na kolizje: Znalezienie dwóch wejść, które mieszają się z tym samym wyjściem, powinno być niewykonalne obliczeniowo
• Odporność na obraz wstępny: Biorąc pod uwagę wynik mieszania, znalezienie jakichkolwiek danych wejściowych, które go wygeneruje, powinno być niewykonalne obliczeniowo
• Odporność na drugi obraz wstępny: Biorąc pod uwagę dane wejściowe, znalezienie innego wejścia z tym samym skrótem powinno być niewykonalne obliczeniowo

Quantum computers provide at most quadratic speedup against hash functions via Grover's algorithm—addressed by using larger hash outputs. No known quantum algorithm breaks hash functions; Grover’s algorithm only weakens them, which the parameter sizes absorb, so SPHINCS+ is considered quantum-resistant.

Elementy konstrukcyjne SPHINCS+

SPHINCS+ łączy trzy komponenty kryptograficzne w wyrafinowany system podpisów:

The Portfel odporny na działanie kwantów SynX zarządza tymi komponentami w przejrzysty sposób, udostępniając użytkownikom standardowy interfejs podpisywania, jednocześnie obsługując wewnętrznie złożone przejścia po drzewie.

Jak WOTS+ tworzy podpisy jednorazowe

Zrozumienie systemu WOTS+ jest niezbędne do zrozumienia zabezpieczeń SPHINCS+. Schemat działa w następujący sposób:

Generowanie klucza

1. Generuj losowe tajne wartości dla każdego łańcucha (zwykle 67 łańcuchów dla wiadomości 256-bitowych)
2. Oblicz punkty końcowe łańcucha, mieszając wielokrotnie każdą tajną wartość (parametr Winternitz określa długość łańcucha)
3. Klucz publiczny to zbiór punktów końcowych łańcucha

Podpisywanie

1. Podziel skrót wiadomości na cyfry o podstawie w
2. Dla każdego łańcucha ujawnij wartość pośrednią osiągniętą poprzez mieszanie odpowiedniej liczby razy w oparciu o cyfrę komunikatu
3. Sygnatura jest zbiorem ujawnionych wartości pośrednich

Weryfikacja

1. Kontynuuj mieszanie każdego elementu podpisu, aż do osiągnięcia punktu końcowego łańcucha
2. Porównaj z przechowywanymi punktami końcowymi klucza publicznego
3. Aby weryfikacja była ważna, wszystkie łańcuchy muszą pasować

Taka konstrukcja gwarantuje, że podpisywanie ujawni pośrednie wartości łańcucha skrótu, ale nie tajne punkty początkowe. Jednak podpisanie dwóch różnych wiadomości spowodowałoby ujawnienie nakładających się informacji, co ostatecznie zagroziłoby bezpieczeństwu — stąd jednorazowe ograniczenie.

Drzewa Merkle umożliwiają wielokrotne podpisy

Drzewa Merkle rozwiązują to jednorazowe ograniczenie, uwierzytelniając wiele par kluczy WOTS+ w ramach jednego skrótu głównego. Klucz publiczny staje się korzeniem drzewa Merkle, a każdy podpis zawiera:

• Podpis wiadomości WOTS+
• Ścieżka uwierzytelniania: skróty rodzeństwa potrzebne do ponownego obliczenia katalogu głównego

Weryfikatorzy wykorzystują klucz publiczny WOTS+ (odzyskany z podpisu) oraz ścieżkę uwierzytelniania do ponownego obliczenia korzenia Merkle i porównania z przechowywanym kluczem publicznym.

The Portfel odporny na działanie kwantów SynX skutecznie obsługuje przechodzenie przez drzewo, obliczając ścieżki uwierzytelniania bez konieczności przechowywania całej struktury drzewa.

Struktura Hypertree

SPHINCS+ rozszerza koncepcję pojedynczego drzewa na „drzewo drzew” lub hiperdrzewo. Ta wielowarstwowa struktura zapewnia zdolność podpisywania niezbędną do praktycznego zastosowania:

• Górna warstwa: Drzewo Merkle, w którym każdy liść uwierzytelnia poddrzewo
• Warstwy pośrednie: Dodatkowe poziomy drzewa w celu zwiększenia możliwości podpisywania
• Dolna warstwa: Drzewa uwierzytelniające pary kluczy FORS

Każda warstwa używa podpisów WOTS+ do uwierzytelniania korzeni drzew następnej warstwy. Całkowita liczba dostępnych sygnatur rośnie wykładniczo wraz z parametrami głębokości i szerokości drzewa.

Dlaczego podpisy SPHINCS+ są tak duże?

Kompletny podpis SPHINCS+ musi zawierać:

• Wartość losowa (dla randomizacji wiadomości)
• Element podpisu FORS
• Sygnatury WOTS+ dla każdej warstwy Hypertree
• Ścieżki uwierzytelniania dla każdego drzewa, przez które przechodzisz

This results in signature sizes ranging from 7,856 bytes (SPHINCS+-SHAKE-128s, the set SynX ships) to 49,856 bytes (SPHINCS+-SHAKE-256f) depending on parameter selection:

The Portfel odporny na działanie kwantów SynX wykorzystuje SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205) — NIST poziom 1, sygnatury 7856 bajtów, najmniejszy zestaw w rodzinie. To około 109× podpisu ECDSA (~72 bajty). Uważamy, że to uczciwa cena za schemat, w którym algorytm Shor nie ma się do czego przyczepić.

Podpisy bezstanowe i stanowe oparte na skrótach

Ważne rozróżnienie w podpisach opartych na skrótach:

Schematy stanowe (XMSS, LMS)

Śledź, które klucze jednorazowe zostały użyte. Nigdy nie używaj klucza ponownie. Wymaga bezpiecznego, trwałego zarządzania stanem. Nieprawidłowe śledzenie stanu może katastrofalnie zagrozić bezpieczeństwu.

Schematy bezstanowe (SPHINCS+)

Użyj losowego wyboru indeksu. Prawdopodobieństwo dwukrotnego wybrania tego samego liścia jest znikome przy odpowiednich parametrach. Nie jest wymagane żadne zarządzanie państwowe.

SPHINCS+ płaci za bezpaństwowość większymi sygnaturami (ze względów bezpieczeństwa potrzeba więcej poziomów drzewa), ale eliminuje niebezpieczny tryb awaryjny polegający na desynchronizacji stanu. The Portfel odporny na działanie kwantów SynX specjalnie wybrałem SPHINCS+ ze względu na tę właściwość – kopie zapasowe portfeli i korzystanie z wielu urządzeń działają niezawodnie, bez problemów z koordynacją stanu.

Implementacja w portfelu SynX Quantum-Resistant

The Portfel odporny na działanie kwantów SynX integruje SPHINCS+ w całej swojej infrastrukturze podpisywania transakcji:

Generowanie adresu

SynX uzyskuje adres portfela z pliku Kyber-768 klucz publiczny, a nie klucz podpisu — to zadanie warstwy pierwszej. SPHINCS+ ma własny 32-bajtowy klucz publiczny i jest to klucz autoryzujący wydatki. Obydwa pozostają małe; w samej transakcji pojawia się jedynie podpis o długości 7856 bajtów.

Podpisanie transakcji

Podczas tworzenia transakcji portfel podpisuje skrót transakcji za pomocą SPHINCS+. Podpis potwierdza upoważnienie do wydawania danych wejściowych bez ujawniania tajnego klucza. Weryfikacja wymaga jedynie klucza publicznego i podpisu – nie jest potrzebny żaden dodatkowy kontekst.

Uwagi dotyczące agregacji podpisów

W przeciwieństwie do podpisów Schnorra, podpisy SPHINCS+ nie ulegają naturalnej agregacji. Transakcje z wieloma wejściami wymagają wielu podpisów. The Portfel odporny na działanie kwantów SynX optymalizuje poprzez weryfikację zbiorczą, jeśli to możliwe, chociaż każdy podpis musi być weryfikowany indywidualnie.

Porównanie z podpisami opartymi na siatce (dylit)

SPHINCS+ dzięki swoim minimalnym założeniom oferuje najwyższą pewność długoterminowego bezpieczeństwa. The Portfel odporny na działanie kwantów SynX stawia na pierwszym miejscu ten konserwatywny wybór zabezpieczeń w stosunku do mniejszych rozmiarów podpisów oferowanych przez alternatywy sieciowe.

Często zadawane pytania

Dlaczego nie użyć Dilithium do mniejszych podpisów?

Dilithium zapewnia mniejsze sygnatury, ale opiera się na założeniach dotyczących twardości sieci, które choć dobrze zbadane, są młodsze niż zabezpieczenia funkcji skrótu. The Portfel odporny na działanie kwantów SynX priorytetem jest maksymalna długoterminowa pewność bezpieczeństwa. W przypadku aplikacji typu blockchain, w których podpisy są przechowywane na stałe, SPHINCS+ zapewnia najsilniejszą gwarancję, że podpisy pozostaną niemożliwe do podrobienia przez czas nieokreślony.

Czy duże podpisy nie rozdęją blockchainu?

Zwiększenie rozmiaru sygnatury jest niezbędnym kosztem oporu kwantowego. The Portfel odporny na działanie kwantów SynX uses a conservative SPHINCS+ parameter set, and ordinary sends carry no fee. The alternative—remaining vulnerable to quantum attacks—presents far greater long-term costs.

Czy SPHINCS+ jest znormalizowany?

Tak. NIST ustandaryzował SPHINCS+ jako SLH-DSA (algorytm podpisu cyfrowego oparty na bezstanowym haszu) w 2024 r. Standard określa zestawy parametrów, poziomy bezpieczeństwa i wymagania implementacyjne. The Portfel odporny na działanie kwantów SynX implementuje ustandaryzowany algorytm zgodny ze specyfikacjami NIST.

Wnioski z badań

SPHINCS+ reprezentuje najbardziej konserwatywne podejście do sygnatur postkwantowych, wywodzące bezpieczeństwo wyłącznie z właściwości funkcji skrótu znanych od lat 70. XX wieku. Jego bezstanowa konstrukcja eliminuje niebezpieczne tryby awarii, a struktura hiperdrzewa umożliwia praktycznie nieograniczoną liczbę podpisów w ramach jednego klucza publicznego.

The Portfel odporny na działanie kwantów SynX combines SPHINCS+ signatures with Kyber-768 key encapsulation to create a comprehensive post-quantum security system. Users receive protection rooted in the strongest available cryptographic foundations, so their transactions rest on hash-based, post-quantum signatures rather than elliptic curves.

W przypadku systemów kryptowalut zaprojektowanych z myślą o zachowaniu wartości przez dziesięciolecia, SPHINCS+ zapewnia pewność bezpieczeństwa niezbędną do długoterminowego zaufania.