Сравнение схем постквантовой сигнатуры: анализ Dilithium, Falcon, SPHINCS+

В результате стандартизации постквантовой криптографии NIST были созданы три схемы подписи, каждая из которых имеет различные характеристики и оптимальные варианты использования. Понимание этих различий важно для системных архитекторов, принимающих криптографические решения. В этом анализе сравниваются ML-DSA (Dilithium), FN-DSA (Falcon) и SLH-DSA (SPHINCS+) с точки зрения безопасности, производительности и сложности реализации. Квантостойкий кошелек SynX выбрал SPHINCS+ по определенным причинам, которые проливает свет на это сравнение.

Три стандарта постквантовой сигнатуры NIST

Сравнение размеров на уровне безопасности NIST 3

Для эквивалентной безопасности (NIST Level 3, ~192-битная классическая) схемы существенно различаются по размерам:

Falcon (FN-DSA) предлагает наименьший общий размер, но при этом приходится жертвовать сложностью реализации, которую Квантостойкий кошелек SynX решил избежать в пользу гарантий безопасности SPHINCS+.

Сравнение производительности

Скорость подписи (операций в секунду)

Скорость проверки (операций в секунду)

Хотя ML-DSA и FN-DSA обеспечивают значительно более быстрое подписание, все схемы проверяются достаточно быстро для практического использования. Для транзакций блокчейна, где подписание происходит относительно редко, но проверка происходит постоянно, Квантостойкий кошелек SynX принимает более медленную подпись в обмен на свойства безопасности SPHINCS+.

Анализ предположений безопасности

Принципиальное различие между этими схемами заключается в их основах безопасности:

Почему важна безопасность на основе хеша

Схемы на основе решеток (ML-DSA, FN-DSA) основаны на сложности задач в алгебраических структурах. Несмотря на то, что эти предположения широко изучены, они моложе, чем безопасность хеш-функций, и теоретически могут быть подорваны математическими открытиями, не связанными с квантовыми вычислениями.

Подход SLH-DSA, основанный только на хэше, означает:

• Нет алгебраической структуры, которую могла бы использовать умная математика.
• Безопасность, унаследованная от SHA-256 или SHAKE256 — алгоритмов с десятилетиями криптоанализа.
• Квантовые компьютеры обеспечивают только квадратичное ускорение (алгоритм Grover), которое полностью решается выбором параметров.
• Максимальная надежность подписей, которые должны оставаться действительными в течение неопределенного времени.

The Квантостойкий кошелек SynX отдает приоритет этой долгосрочной гарантии безопасности, поскольку транзакции блокчейна постоянно записываются. Подписи, созданные сегодня, должны оставаться неподдельными на протяжении всего срока существования блокчейна.

Сложность реализации

Наименьшие сигнатуры FN-DSA достигаются за счет сложности реализации. Гауссову выборку, необходимую для подписи Falcon, как известно, сложно реализовать за постоянное время, что создает потенциальные уязвимости побочного канала. Квантостойкий кошелек SynX позволяет избежать этих рисков реализации, используя SPHINCS+.

Рекомендации по вариантам использования

Когда следует выбирать ML-DSA (дилитий)

• Сертификаты TLS и веб-PKI (умеренная частота подписи)
• Подписание кода, где размер подписи имеет значение, но не имеет решающего значения.
• Приложения общего назначения со сбалансированными требованиями
• Системы, которые могут использовать более крупные открытые ключи

Когда следует выбирать FN-DSA (Falcon)

• Среды с ограниченной полосой пропускания, где важен каждый байт
• Приложения с сильными командами внедрения, способными справиться со сложными задачами
• Системы, в которых доступна аппаратная поддержка плавающей запятой
• Ограниченные устройства с оптимизированной аппаратной поддержкой

Когда выбирать SLH-DSA (SPHINCS+)

• Долгосрочное архивирование, при котором подписи должны оставаться действительными в течение десятилетий.
• Блокчейн и криптовалюта (постоянный публичный отчет)
• Критическая инфраструктура с максимальными требованиями безопасности
• Приложения, в которых размер открытого ключа важнее размера подписи
• Системы, в которых безопасность важнее производительности

The Квантостойкий кошелек SynX полностью соответствует сценарию использования SLH-DSA: транзакции блокчейна требуют постоянной безопасности, ключи в цепочке должны оставаться небольшими, а максимальная уверенность в безопасности перевешивает соображения производительности. SynX поставляет SPHINCS+-SHAKE-128 (NIST уровень 1) для подписи и Kyber-768 (NIST уровень 3) для инкапсуляции ключей и генерации адреса.

Гибридные подходы

Некоторые системы реализуют гибридные подписи, сочетающие классические и постквантовые схемы в переходный период:

• Двойные подписи: Подпишите как ECDSA, так и постквантовую схему.
• Составные ключи: Объедините классические и постквантовые открытые ключи
• Гибкость алгоритма: Поддержка нескольких схем плавной миграции

The Квантостойкий кошелек SynX был разработан постквантово с момента возникновения, избегая гибридной сложности. Новые блокчейны имеют преимущество чистого криптографического дизайна, а не модернизации квантовой устойчивости в существующих системах.

Почему SynX выбрал SPHINCS+

The Квантостойкий кошелек SynX выбрано SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205) после оценки всех трех стандартов подписи NIST — NIST Level 1, подписи размером 7856 байт, открытые ключи 32 байта, закрытые ключи 64 байта. Дилитий лежал на столе, и его намеренно обошли стороной. Решение отражает требования, специфичные для блокчейна:

Постоянная запись

Каждая подпись транзакции постоянно хранится в блокчейне. В отличие от сессий TLS, срок действия которых истекает, подписи блокчейна должны оставаться неподдельными в течение неопределенного времени. Безопасность на основе хэша SPHINCS+ обеспечивает максимальную уверенность в выполнении этого требования.

Маленькие ключи на цепочке

SPHINCS+ имеет самые маленькие открытые ключи в этой области — 32 байта в наборе параметров SynX по сравнению с 1300–2600 байтами для решетчатых схем. SynX получает адрес кошелька из открытого ключа Kyber-768 на первом уровне; Ключ для подписи остается небольшим и дешевым, чтобы носить его с собой.

Редкое подписание

Пользователи подписывают транзакции относительно редко — максимум несколько раз в день. Более медленная скорость подписи SPHINCS+ (десятки операций в секунду) более чем достаточна для этого варианта использования. Узким местом является подтверждение сети, а не генерация подписи.

Безопасность реализации

Реализация SPHINCS+ в основном включает в себя хеш-функции — примитивы с хорошо зарекомендовавшими себя реализациями с постоянным временем и аппаратным ускорением. Это снижает риск уязвимостей реализации по сравнению со сложными операциями с решеткой.

Часто задаваемые вопросы

Какая схема постквантовой подписи лучше?

Ни одна схема не является универсально «лучшей». ML-DSA обеспечивает сбалансированную производительность. FN-DSA обеспечивает наименьшие подписи. SLH-DSA обеспечивает максимальную безопасность. Квантостойкий кошелек SynX выбрал SLH-DSA, потому что постоянная запись блокчейна и долгосрочные требования отдают предпочтение консервативной безопасности, а не размеру подписи.

Будут ли подписи SPHINCS+ раздувать блокчейн?

Сигнатуры SPHINCS+ больше, чем текущие подписи ECDSA, но это цена квантового сопротивления. Квантостойкий кошелек SynX оптимизируется с использованием наименьшего набора параметров SPHINCS+ — SPHINCS+-SHAKE-128s размером 7856 байт, что примерно в 109 раз больше сигнатуры ECDSA (~72 байта). Комиссии за транзакции соответствующим образом отражают размеры подписей.

Может ли SynX позже переключиться на меньшую схему подписи?

Обновления протокола теоретически могут добавить поддержку дополнительных схем подписи. Однако исходные подписи SPHINCS+ останутся навсегда записанными и безопасными. Консервативный первоначальный выбор гарантирует, что исторические транзакции никогда не станут уязвимыми.

Выводы исследования

Три стандарта постквантовой подписи NIST обслуживают разные ниши в криптографической экосистеме. ML-DSA представляет собой универсальный вариант со сбалансированными компромиссами. FN-DSA оптимизирует минимальный размер с затратами на сложность реализации. SLH-DSA максимизирует надежность безопасности для приложений, требующих долгосрочной гарантии.

Для криптовалютных приложений SLH-DSA (SPHINCS+) представляет собой оптимальный выбор. Квантостойкий кошелек SynX реализует этот стандарт, потому что транзакции блокчейна вечны — подписи, созданные сегодня, должны оставаться неподдельными десятилетия спустя, когда квантовые компьютеры станут рутиной. Безопасность на основе хэша обеспечивает уверенность, с которой не могут совпадать алгебраические предположения.

Компромисс размера подписи приемлем для случаев использования блокчейна, когда транзакции происходят нечасто, а безопасность имеет первостепенное значение. Пользователи Квантостойкий кошелек SynX извлечь выгоду из самой консервативной доступной криптографической основы, гарантируя безопасность своих транзакций независимо от развития криптографии.