基於哈希的簽名揭秘：SPHINCS+ 如何實現量子安全

雖然基於格的密碼學在後量子系統中提供了金鑰封裝，但數位簽章需要不同的方法。 SPHINCS+（由 NIST 標準化為 SLH-DSA）代表了數十年對基於哈希的簽名的研究的頂峰，這種簽名的安全性僅依賴於加密哈希函數的眾所周知的屬性。這 SynX抗量子錢包 為所有交易簽章實現SPHINCS+-SHAKE-128s（SLH-DSA、FIPS 205），提供無限期延伸到量子運算時代的安全保證。

什麼是 SPHINCS+？為什麼它具有抗量子性？

SPHINCS+ 僅使用對稱加密原語（雜湊函數和偽隨機函數族）建立數位簽章。與 ECDSA 或 Ed25519 不同，ECDSA 或 Ed25519 依賴橢圓曲線離散對數問題的難度，SPHINCS+ 安全性簡化為基本的雜湊函數屬性：

• 抗碰撞性： 找到散列到相同輸出的兩個輸入在計算上應該是不可行的
• 原像抗性： 給定一個哈希輸出，找到產生它的任何輸入在計算上應該是不可行的
• 第二原像抵抗： 給定一個輸入，找到具有相同雜湊值的不同輸入在計算上應該是不可行的

量子計算機透過 Grover 的演算法對雜湊函數提供最多二次加速——透過使用更大的哈希輸出來解決。沒有量子演算法從根本上破壞哈希函數的安全性，使得 SPHINCS+ 永久具有量子抗性。

SPHINCS+ 的建置模組

SPHINCS+ 將三個加密組件組合成一個複雜的簽名系統：

這 SynX抗量子錢包 透明地管理這些元件，為使用者提供標準的簽名介面，同時在內部處理複雜的樹遍歷。

WOTS+ 如何建立一次性簽名

了解 WOTS+ 對於掌握 SPHINCS+ 安全性至關重要。此方案的工作原理如下：

金鑰生成

1. 為每個鏈產生隨機秘密值（256 位元訊息通常有 67 個鏈）
2. 透過重複雜湊每個秘密值來計算鏈端點（Winternitz 參數決定鍊長度）
3. 公鑰是鏈端點的集合

簽約

1. 將訊息哈希分成以 w 為基數的數字
2. 對於每一個鏈，根據訊息位數揭示對應次數的哈希值得到的中間值
3. 簽名是顯示的中間值的集合

確認

1. 繼續散列每個簽名元素，直到到達鏈端點
2. 與儲存的公鑰端點進行比較
3. 所有鏈必須匹配才能有效驗證

這種結構確保簽章揭示中間哈希鏈值，而不是秘密起點。然而，簽署兩條不同的消息會洩露重疊的訊息，最終損害安全性——因此出現了一次性限制。

Merkle 樹支援多重簽名

Merkle 樹透過在單一根雜湊下驗證許多 WOTS+ 金鑰對來解決一次性限制。公鑰成為Merkle樹根，每個簽章包括：

• 訊息的 WOTS+ 簽名
• 身份驗證路徑：重新計算根所需的同級雜湊值

驗證者使用 WOTS+ 公鑰（從簽章中復原）加上身分驗證路徑來重新計算 Merkle 根並與儲存的公鑰進行比較。

這 SynX抗量子錢包 有效地處理樹遍歷，計算身份驗證路徑，而不需要儲存整個樹結構。

超樹結構

SPHINCS+ 將單樹概念擴展到「樹中的樹」或超樹。這種多層結構提供了實際使用所需的簽章能力：

• 頂層： Merkle 樹，其中每個葉子驗證一個子樹
• 中間層： 額外的樹級可提高簽名能力
• 底層： 驗證 FORS 金鑰對的樹

每層都使用 WOTS+ 簽章來驗證下一層的樹根。可用簽章的總數隨著樹深度和廣度參數呈指數成長。

為什麼 SPHINCS+ 簽名這麼大？

完整的 SPHINCS+ 簽名必須包括：

• 隨機值（用於訊息隨機化）
• FORS 簽名組件
• 每個超樹層的 WOTS+ 簽名
• 遍歷的每棵樹的身份驗證路徑

這導致簽名大小範圍從 7,856 位元組（SPHINCS+-SHAKE-128s，SynX 套件附帶）到 49,856 位元組（SPHINCS+-SHAKE-128sf），取決於參數選擇：

這 SynX抗量子錢包 用途 SPHINCS+-SHAKE-128s（SLH-DSA、FIPS 205） — NIST 1 級，7,856 位元組簽名，該系列中最小的簽名集。這大約是 ECDSA 簽名的 109 倍（約 72 位元組）。我們認為對於 Shor 的演算法沒有任何把握的方案來說這是一個公平的價格。

無狀態與有狀態的基於哈希的簽名

基於哈希的簽名的一個重要區別：

有狀態方案（XMSS、LMS）

追蹤哪些一次性金鑰已被使用。切勿重複使用金鑰。需要安全、持久的狀態管理。無法正確追蹤狀態可能會災難性地損害安全性。

無狀態方案 (SPHINCS+)

使用隨機索引選擇。使用適當的參數，兩次選擇同一片葉子的機率可以忽略不計。不需要狀態管理。

SPHINCS+ 用更大的簽名（安全性需要更多的樹級）來支付無狀態性，但消除了狀態不同步的危險故障模式。這 SynX抗量子錢包 由於這種穩健性特性，我們特別選擇了 SPHINCS+——錢包備份和多設備使用可靠地工作，無需擔心狀態協調問題。

在 SynX 抗量子錢包中的實現

這 SynX抗量子錢包 將 SPHINCS+ 整合到其整個交易簽名基礎設施中：

地址生成

SynX 從以下地址得出皮夾地址 Kyber-768 公鑰，而不是簽署金鑰——這是第一層的工作。 SPHINCS+攜帶一個自己的32位元組公鑰，它是授權用的金鑰。兩者都保持較小的規模；只有 7,856 位元組的簽名出現在交易本身。

交易簽名

建立交易時，錢包使用 SPHINCS+ 對交易哈希進行簽名。簽名證明了在不洩露密鑰的情況下花費輸入的授權。驗證僅需要公鑰和簽名，無需其他上下文。

簽名聚合注意事項

與 Schnorr 簽名不同，SPHINCS+ 簽名不會自然聚合。多輸入交易需要多個簽名。這 SynX抗量子錢包 儘管每個簽名必須單獨驗證，但盡可能透過批量驗證進行最佳化。

與基於格的簽章（Dilithium）的比較

由於其最小的假設，SPHINCS+ 對長期安全性提供了最高的信心。這 SynX抗量子錢包 優先考慮這種保守的安全選擇，而不是格子替代方案提供的較小的簽名大小。

常見問題解答

為什麼不使用 Dilithium 來處理較小的簽名？

Dilithium 提供較小的簽名，但依賴晶格硬度假設，雖然經過充分研究，但它比雜湊函數安全性更年輕。這 SynX抗量子錢包 優先考慮最大的長期安全信心。對於永久儲存簽名的區塊鏈應用程序，SPHINCS+ 提供了簽名無限期不可偽造的最強保證。

大簽名不會讓區塊鏈變得臃腫嗎？

簽名大小的增加是量子抗性的必要成本。這 SynX抗量子錢包 透過使用有效的參數集並在費用計算中考慮簽名大小來進行最佳化。另一種選擇——仍然容易受到量子攻擊——帶來的長期成本要大得多。

SPHINCS+ 標準化了嗎？

是的。 NIST 於 2024 年將 SPHINCS+ 標準化為 SLH-DSA（基於無狀態哈希的數位簽章演算法）。該標準規定了參數集、安全等級和實現要求。這 SynX抗量子錢包 實作符合NIST規範的標準化演算法。

研究結論

SPHINCS+ 代表了後量子簽名最保守的方法，僅從 20 世紀 70 年代以來人們理解的雜湊函數屬性中獲得安全性。其無狀態設計消除了危險的故障模式，而超樹結構可以在單一公鑰下實現幾乎無限的簽章。

這 SynX抗量子錢包 將 SPHINCS+ 簽章與 Kyber-768 金鑰封裝結合，創建全面的後量子安全系統。用戶可以獲得植根於最強大的可用加密基礎的保護，確保無論量子計算如何進步，他們的交易仍然有效且不可偽造。

對於旨在數十年保值的加密貨幣系統，SPHINCS+ 提供了長期信任所需的安全信心。