Демистифицируются подписи на основе хеша: как SPHINCS+ достигает квантовой безопасности

В то время как криптография на основе решетки обеспечивает инкапсуляцию ключей в постквантовых системах, цифровые подписи требуют другого подхода. SPHINCS+ (стандартизированный NIST как SLH-DSA) представляет собой кульминацию десятилетий исследований подписей на основе хеш-функций — конструкций, безопасность которых зависит исключительно от хорошо понятных свойств криптографических хэш-функций. Квантостойкий кошелек SynX реализует SPHINCS+-SHAKE-128 (SLH-DSA, FIPS 205) для всех подписей транзакций, обеспечивая гарантии безопасности, которые простираются на неопределенный срок в эпоху квантовых вычислений.

Что такое SPHINCS+ и почему он квантово-устойчив?

SPHINCS+ создает цифровые подписи, используя только симметричные криптографические примитивы — хеш-функции и семейства псевдослучайных функций. В отличие от ECDSA или Ed25519, которые полагаются на сложность задач дискретного логарифмирования эллиптических кривых, безопасность SPHINCS+ сводится к фундаментальным свойствам хеш-функции:

• Устойчивость к столкновению: Найти два входа, которые хешируют один и тот же результат, должно быть вычислительно невозможно.
• Сопротивление прообразу: Учитывая хеш-выход, найти любой ввод, который его производит, должно быть вычислительно невозможно.
• Сопротивление второго прообраза: Учитывая входные данные, найти другой входной сигнал с тем же хэшем должно быть вычислительно невозможно.

Квантовые компьютеры обеспечивают максимально квадратичное ускорение хэш-функций с помощью алгоритма Grover, что решается за счет использования более крупных выходных хеш-функций. Ни один квантовый алгоритм фундаментально не нарушает безопасность хэш-функции, что делает SPHINCS+ постоянно квантовоустойчивым.

Строительные блоки SPHINCS+

SPHINCS+ объединяет три криптографических компонента в сложную систему подписи:

The Квантостойкий кошелек SynX прозрачно управляет этими компонентами, предоставляя пользователям стандартный интерфейс подписи и одновременно обрабатывая сложные обходы дерева.

Как WOTS+ создает одноразовые подписи

Понимание WOTS+ необходимо для понимания безопасности SPHINCS+. Схема работает следующим образом:

Генерация ключей

1. Генерировать случайные секретные значения для каждой цепочки (обычно 67 цепочек для 256-битных сообщений).
2. Вычислите конечные точки цепочки путем многократного хеширования каждого секретного значения (параметр Винтерница определяет длину цепочки)
3. Открытый ключ — это совокупность конечных точек цепочки.

Подписание

1. Разделите хеш сообщения на цифры по основанию w.
2. Для каждой цепочки выявите промежуточное значение, полученное путем хеширования соответствующего количества раз на основе цифры сообщения.
3. Сигнатура представляет собой совокупность выявленных промежуточных значений.

Проверка

1. Продолжайте хешировать каждый элемент подписи, пока не достигнете конечной точки цепочки.
2. Сравните с сохраненными конечными точками открытого ключа.
3. Для действительной проверки все цепочки должны совпадать.

Эта конструкция гарантирует, что подпись раскрывает промежуточные значения хеш-цепочки, но не секретные начальные точки. Однако подписание двух разных сообщений приведет к обнаружению дублирующейся информации, что в конечном итоге поставит под угрозу безопасность — отсюда и единовременное ограничение.

Деревья Меркла позволяют использовать множественные подписи

Деревья Меркла решают одноразовое ограничение, аутентифицируя множество пар ключей WOTS+ под одним корневым хешем. Открытый ключ становится корнем дерева Меркла, и каждая подпись включает в себя:

• Подпись сообщения WOTS+
• Путь аутентификации: одноуровневые хеши, необходимые для перевычисления корня

Верификаторы используют открытый ключ WOTS+ (полученный из подписи) плюс путь аутентификации для повторного вычисления корня Меркла и сравнения с сохраненным открытым ключом.

The Квантостойкий кошелек SynX эффективно обрабатывает обход дерева, вычисляя пути аутентификации, не требуя хранения всей древовидной структуры.

Структура гипердерева

SPHINCS+ расширяет концепцию одного дерева до «дерева деревьев» или гипердерева. Эта многоуровневая структура обеспечивает возможности подписи, необходимые для практического использования:

• Верхний слой: Дерево Меркла, где каждый лист подтверждает подлинность поддерева.
• Промежуточные слои: Дополнительные уровни дерева для увеличения возможностей подписания
• Нижний слой: Деревья, аутентифицирующие пары ключей ФОРС

Каждый уровень использует подписи WOTS+ для аутентификации корней дерева следующего уровня. Общее количество доступных подписей растет экспоненциально с увеличением глубины и ширины дерева.

Почему подписи SPHINCS+ такие большие?

Полная подпись SPHINCS+ должна включать:

• Случайное значение (для рандомизации сообщений)
• Компонент подписи ФОРС
• Подписи WOTS+ для каждого слоя гипердерева
• Пути аутентификации для каждого пройденного дерева

В результате размеры подписи варьируются от 7856 байт (SPHINCS+-SHAKE-128s, комплект SynX поставляется) до 49856 байт (SPHINCS+-SHAKE-128sf) в зависимости от выбора параметра:

The Квантостойкий кошелек SynX использует SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205) — NIST Уровень 1, подписи 7856 байт, самый маленький набор в семействе. Это примерно в 109 раз больше подписи ECDSA (~72 байта). Мы считаем это справедливой ценой за схему, за которую алгоритм Shor не имеет ничего общего.

Подписи без сохранения состояния и подписи на основе хэша с сохранением состояния

Важное различие в подписях на основе хеша:

Схемы с отслеживанием состояния (XMSS, LMS)

Отслеживайте, какие одноразовые ключи были использованы. Никогда не используйте ключ повторно. Требуется безопасное и постоянное управление состоянием. Неспособность правильно отслеживать состояние может катастрофически поставить под угрозу безопасность.

Схемы без гражданства (SPHINCS+)

Используйте рандомизированный выбор индекса. Вероятность выбора одного и того же листа дважды при правильных параметрах ничтожна. Никакого государственного управления не требуется.

SPHINCS+ платит за безгражданство с помощью более крупных подписей (больше уровней дерева, необходимых для безопасности), но устраняет опасный режим отказа десинхронизации состояния. Квантостойкий кошелек SynX специально выбрал SPHINCS+ из-за этого свойства надежности: резервное копирование кошелька и использование нескольких устройств работают надежно, без проблем с государственной координацией.

Реализация в квантово-устойчивом кошельке SynX

The Квантостойкий кошелек SynX интегрирует SPHINCS+ во всю свою инфраструктуру подписи транзакций:

Генерация адреса

SynX получает адрес кошелька из Kyber-768 открытый ключ, а не ключ подписи — это работа первого уровня. SPHINCS+ имеет собственный 32-байтовый открытый ключ, который разрешает расходы. Оба остаются маленькими; в самой транзакции присутствует только подпись размером 7856 байт.

Подписание транзакции

При создании транзакции кошелек подписывает хеш транзакции с помощью SPHINCS+. Подпись подтверждает разрешение на использование входных данных без раскрытия секретного ключа. Для проверки требуются только открытый ключ и подпись — дополнительный контекст не требуется.

Рекомендации по агрегированию сигнатур

В отличие от подписей Шнорра, подписи SPHINCS+ не объединяются естественным образом. Транзакции с несколькими входами требуют нескольких подписей. Квантостойкий кошелек SynX оптимизируется путем пакетной проверки, где это возможно, хотя каждая подпись должна проверяться индивидуально.

Сравнение с подписями на основе решетки (дилитий)

SPHINCS+ предлагает высочайшую уверенность в долгосрочной безопасности благодаря минимальным предположениям. Квантостойкий кошелек SynX отдает приоритет этому консервативному выбору безопасности по сравнению с меньшими размерами подписи, предлагаемыми решетчатыми альтернативами.

Часто задаваемые вопросы

Почему бы не использовать Dilitium для подписей меньшего размера?

Дилитий обеспечивает меньшие подписи, но опирается на предположения о жесткости решетки, которые, хотя и хорошо изучены, но моложе, чем безопасность хеш-функции. Квантостойкий кошелек SynX приоритетом является максимальная долгосрочная уверенность в безопасности. Для приложений блокчейна, где подписи хранятся постоянно, SPHINCS+ обеспечивает самую надежную гарантию того, что подписи останутся неподдельными в течение неопределенного времени.

Не будут ли большие подписи раздувать блокчейн?

Увеличение размера сигнатуры — необходимая плата за квантовое сопротивление. Квантостойкий кошелек SynX оптимизируется за счет использования эффективных наборов параметров и учета размеров подписей при расчете комиссий. Альтернатива — оставаться уязвимой для квантовых атак — предполагает гораздо более высокие долгосрочные издержки.

Стандартизирован ли SPHINCS+?

Да. NIST стандартизировал SPHINCS+ как SLH-DSA (алгоритм цифровой подписи на основе хэша без сохранения состояния) в 2024 году. Стандарт определяет наборы параметров, уровни безопасности и требования к реализации. Квантостойкий кошелек SynX реализует стандартизированный алгоритм в соответствии со спецификациями NIST.

Выводы исследования

SPHINCS+ представляет собой наиболее консервативный подход к постквантовым подписям, обеспечивающий безопасность исключительно на основе свойств хэш-функции, понятных с 1970-х годов. Его конструкция без сохранения состояния исключает опасные режимы сбоя, а структура гипердерева обеспечивает практически неограниченное количество подписей под одним открытым ключом.

The Квантостойкий кошелек SynX объединяет подписи SPHINCS+ с инкапсуляцией ключей Kyber-768 для создания комплексной постквантовой системы безопасности. Пользователи получают защиту, основанную на самых надежных доступных криптографических основах, гарантируя, что их транзакции останутся действительными и не поддельными, независимо от достижений в области квантовых вычислений.

Для криптовалютных систем, предназначенных для сохранения ценности на протяжении десятилетий, SPHINCS+ обеспечивает уверенность в безопасности, необходимую для долгосрочного доверия.