SPHINCS+ 簽名解釋：後量子數位簽名

🔏 關於 SPHINCS+ 的基本信息

• 官方名稱： SLH-DSA (FIPS 205)
• 類型： 基於哈希的無狀態簽名
• 安全依據： 僅雜湊函數（SHAKE、SHA-256）
• 標準化： 2024 年 8 月，作者：NIST
• SynX 變體： SPHINCS+-SHAKE-128s（SLH-DSA、FIPS 205）

SPHINCS+ 的工作原理

SPHINCS+ 使用層次結構建立簽名 一次性簽名（OTS） 在 Merkle 樹中組織的方案。這是概念結構：

See also: SPHINCS+ 實作指南：面向開發人員的基於哈希的簽名.

1. 超樹 – 用於身份驗證的多層 Merkle 樹
2. XMSS 樹 – 每層的擴充 Merkle 簽章方案樹
3. 福斯 – 底部的Few-time Signature方案用於訊息簽名
4. 沃特斯+ – 樹節點的 Winternitz 一次性簽名

為什麼基於哈希 = 量子安全

SPHINCS+的安全性取決於 僅有的 on hash function properties:

• 抗原像性 – 無法從雜湊輸出中找到輸入
• 第二原像抗性 – 找不到衝突輸入
• 耐碰撞 – 找不到任何兩個衝突的輸入

量子電腦可以使用 Grover的演算法 加速哈希攻擊，但這只會使安全等級減半（例如，256 位元 → 128 位元）。 SPHINCS+ 參數解決了這個問題，保持了針對量子對手的全面安全性。

SPHINCS+ vs ECDSA vs 二鋰

特徵	SPHINCS+	ECDSA	雙鋰
抗量子	✅ 是的	❌ 沒有	✅ 是的
安全基礎	哈希函數	ECDLP	格子
NIST 標準化演算法	✅FIPS 205	✅（遺留）	✅FIPS 204
簽名尺寸	7,856 位元組（SynX：128 秒）	〜72位元組	~2.4 KB
簽名速度	慢點	快速地	快速地
安全假設	最小（哈希）	ECDLP硬	MLWE 硬

為什麼SynX選擇SPHINCS+

7,856 位元組的簽名大約是 ECDSA 簽名成本約 72 位元組的 109 倍。 SynX 會故意為每筆交易支付該帳單，因為：

• 保守安全 – 僅依賴經過充分研究的雜湊函數
• 無結構化晶格假設 – 格密碼學較新
• 經過實戰考驗的原語 – 雜湊函數經過數十年的分析
• 面向未來 – 即使晶格攻擊有所改善，SPHINCS+ 仍然安全

SPHINCS+ 技術規格

參數（SPHINCS+-SHAKE-128s）	價值
安全等級	NIST 1 級（≥128 位元經典）
公鑰大小	32位元組
密鑰大小	64字節
簽名尺寸	7,856 字節
哈希函數	SHAKE256
樹高	63（共7層）

常見問題解答