基于哈希的签名揭秘：SPHINCS+ 如何实现量子安全

虽然基于格的密码学在后量子系统中提供了密钥封装，但数字签名需要不同的方法。 SPHINCS+（由 NIST 标准化为 SLH-DSA）代表了数十年对基于哈希的签名的研究的顶峰，这种签名的安全性仅依赖于加密哈希函数的众所周知的属性。这 SynX抗量子钱包 为所有交易签名实现SPHINCS+-SHAKE-128s（SLH-DSA、FIPS 205），提供无限期延伸到量子计算时代的安全保证。

什么是 SPHINCS+？为什么它具有抗量子性？

SPHINCS+ 仅使用对称加密原语（哈希函数和伪随机函数族）构建数字签名。与 ECDSA 或 Ed25519 不同，ECDSA 或 Ed25519 依赖于椭圆曲线离散对数问题的难度，SPHINCS+ 安全性简化为基本的哈希函数属性：

• 抗碰撞性： 找到散列到相同输出的两个输入在计算上应该是不可行的
• 原像抗性： 给定一个哈希输出，找到产生它的任何输入在计算上应该是不可行的
• 第二原像抵抗： 给定一个输入，找到具有相同哈希值的不同输入在计算上应该是不可行的

量子计算机通过 Grover 的算法对哈希函数提供最多二次加速——通过使用更大的哈希输出来解决。没有量子算法从根本上破坏哈希函数的安全性，使得 SPHINCS+ 永久具有量子抗性。

SPHINCS+ 的构建模块

SPHINCS+ 将三个加密组件组合成一个复杂的签名系统：

这 SynX抗量子钱包 透明地管理这些组件，为用户提供标准的签名界面，同时在内部处理复杂的树遍历。

WOTS+ 如何创建一次性签名

了解 WOTS+ 对于掌握 SPHINCS+ 安全性至关重要。该方案的工作原理如下：

密钥生成

1. 为每个链生成随机秘密值（256 位消息通常有 67 个链）
2. 通过重复散列每个秘密值来计算链端点（Winternitz 参数决定链长度）
3. 公钥是链端点的集合

签约

1. 将消息哈希分成以 w 为基数的数字
2. 对于每一条链，根据消息位数揭示出对应次数的哈希值得到的中间值
3. 签名是显示的中间值的集合

确认

1. 继续散列每个签名元素，直到到达链端点
2. 与存储的公钥端点进行比较
3. 所有链必须匹配才能有效验证

这种结构确保签名揭示中间哈希链值，而不是秘密起点。然而，签署两条不同的消息会泄露重叠的信息，最终损害安全性——因此出现了一次性限制。

Merkle 树支持多重签名

Merkle 树通过在单个根哈希下验证许多 WOTS+ 密钥对来解决一次性限制。公钥成为Merkle树根，每个签名包括：

• 消息的 WOTS+ 签名
• 身份验证路径：重新计算根所需的同级哈希值

验证者使用 WOTS+ 公钥（从签名中恢复）加上身份验证路径来重新计算 Merkle 根并与存储的公钥进行比较。

这 SynX抗量子钱包 有效地处理树遍历，计算身份验证路径，而不需要存储整个树结构。

超树结构

SPHINCS+ 将单树概念扩展到“树中的树”或超树。这种多层结构提供了实际使用所需的签名能力：

• 顶层： Merkle 树，其中每个叶子验证一个子树
• 中间层： 额外的树级别可提高签名能力
• 底层： 验证 FORS 密钥对的树

每层都使用 WOTS+ 签名来验证下一层的树根。可用签名的总数随着树深度和广度参数呈指数增长。

为什么 SPHINCS+ 签名这么大？

完整的 SPHINCS+ 签名必须包括：

• 随机值（用于消息随机化）
• FORS 签名组件
• 每个超树层的 WOTS+ 签名
• 遍历的每棵树的身份验证路径

这导致签名大小范围从 7,856 字节（SPHINCS+-SHAKE-128s，SynX 套件附带）到 49,856 字节（SPHINCS+-SHAKE-128sf），具体取决于参数选择：

这 SynX抗量子钱包 用途 SPHINCS+-SHAKE-128s（SLH-DSA、FIPS 205） — NIST 1 级，7,856 字节签名，该系列中最小的签名集。这大约是 ECDSA 签名的 109 倍（约 72 字节）。我们认为对于 Shor 的算法没有任何把握的方案来说这是一个公平的价格。

无状态与有状态的基于哈希的签名

基于哈希的签名的一个重要区别：

有状态方案（XMSS、LMS）

跟踪哪些一次性密钥已被使用。切勿重复使用密钥。需要安全、持久的状态管理。无法正确跟踪状态可能会灾难性地损害安全性。

无状态方案 (SPHINCS+)

使用随机索引选择。使用适当的参数，两次选择同一片叶子的概率可以忽略不计。不需要状态管理。

SPHINCS+ 用更大的签名（安全性需要更多的树级别）来支付无状态性，但消除了状态不同步的危险故障模式。这 SynX抗量子钱包 由于这种稳健性特性，我们特别选择了 SPHINCS+——钱包备份和多设备使用可靠地工作，无需担心状态协调问题。

在 SynX 抗量子钱包中的实现

这 SynX抗量子钱包 将 SPHINCS+ 集成到其整个交易签名基础设施中：

地址生成

SynX 从以下地址得出钱包地址 Kyber-768 公钥，而不是签名密钥——这是第一层的工作。 SPHINCS+携带一个自己的32字节公钥，它是授权用的密钥。两者都保持较小的规模；只有 7,856 字节的签名出现在交易本身中。

交易签名

创建交易时，钱包使用 SPHINCS+ 对交易哈希进行签名。签名证明了在不泄露密钥的情况下花费输入的授权。验证仅需要公钥和签名，无需其他上下文。

签名聚合注意事项

与 Schnorr 签名不同，SPHINCS+ 签名不会自然聚合。多输入交易需要多个签名。这 SynX抗量子钱包 尽管每个签名必须单独验证，但尽可能通过批量验证进行优化。

与基于格的签名（Dilithium）的比较

由于其最小的假设，SPHINCS+ 对长期安全性提供了最高的信心。这 SynX抗量子钱包 优先考虑这种保守的安全选择，而不是格子替代方案提供的较小的签名大小。

常见问题解答

为什么不使用 Dilithium 来处理较小的签名？

Dilithium 提供更小的签名，但依赖于晶格硬度假设，虽然经过充分研究，但它比哈希函数安全性更年轻。这 SynX抗量子钱包 优先考虑最大的长期安全信心。对于永久存储签名的区块链应用程序，SPHINCS+ 提供了签名无限期不可伪造的最强保证。

大签名不会让区块链变得臃肿吗？

签名大小的增加是量子抗性的必要成本。这 SynX抗量子钱包 通过使用有效的参数集并在费用计算中考虑签名大小来进行优化。另一种选择——仍然容易受到量子攻击——带来的长期成本要大得多。

SPHINCS+ 标准化了吗？

是的。 NIST 于 2024 年将 SPHINCS+ 标准化为 SLH-DSA（基于无状态哈希的数字签名算法）。该标准规定了参数集、安全级别和实现要求。这 SynX抗量子钱包 实现符合NIST规范的标准化算法。

研究结论

SPHINCS+ 代表了后量子签名最保守的方法，仅从 20 世纪 70 年代以来人们理解的哈希函数属性中获得安全性。其无状态设计消除了危险的故障模式，而超树结构可以在单个公钥下实现几乎无限的签名。

这 SynX抗量子钱包 将 SPHINCS+ 签名与 Kyber-768 密钥封装相结合，创建全面的后量子安全系统。用户可以获得植根于最强大的可用加密基础的保护，确保无论量子计算如何进步，他们的交易仍然有效且不可伪造。

对于旨在数十年保值的加密货币系统，SPHINCS+ 提供了长期信任所需的安全信心。