资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
比特币（BTC）交易用抗量子签名草案 SHRINCS：以记录替代数据压缩的设计挑战
抗量子签名草案 SHRINCS 旨在通过记录钱包已使用的签名位置来减少签名数据的大小。然而，这一设计给钱包制造商留下了两大难题：一是如何在利用恢复助记词重构钱包后安全地进行签名；二是如何防止在多设备环境下状态被重复使用。
Treasure CTO Tomáš Sušánka 强调：“状态追踪不应成为用户的负担。” Decrypt 于当地时间 12 日报道了 Sušánka CTO 的此次访谈。
小尺寸签名要求维护钱包记录
SHRINCS 草案结合了状态型与无状态型基于哈希的签名方案：
- 状态型签名：钱包需记忆已使用的签名位置，签名大小介于 548 至 4619 字节之间。
- 无状态型签名：无需记录即可进行签名，但签名大小固定为 5777 字节。
此前，本媒体已深入探讨过 SHRINCS 草案中的签名尺寸及状态恢复结构。该草案警告称，如果状态型钱包在不同的交易中重用相同的计数器（即已使用的签名位置），第三方可能利用这两个签名伪造新的签名。计数器是用于管理并防止同一签名位置被重复使用的关键记录。
为此，提案建议不要从备份中恢复计数器或将其迁移到其他软件中，而是应禁止并发签名操作。如果在恢复后发现计数器不可信，则应停止使用状态型签名，仅采用无状态型路径。
此外，当多个设备输入相同的恢复助记词时，如何实现状态共享也是一大挑战。如果各设备的签名记录出现偏差，将导致重用相同位置的风险，因此必须同时设计恢复流程及设备间的同步机制。
Sušánka CTO 表示，Treasure 正在考虑将不追踪状态的无状态型签名设为默认选项，而将尺寸较小的状态型签名作为高级设置。此举旨在确保产品默认配置不会将状态记录的管理责任推给用户。
Antoine Riard 在 9 月 1 日的比特币开发者邮件列表中提出，为了避免 Lightning Network 等链下交易的多处复制问题，可能需要无状态型签名以实现状态同步，并询问应如何评估 5777 字节签名的运营负担。
提案撰写者回应称，不能仅凭签名大小直接计算实际交易手续费的增加幅度。签名数据的大小与最终手续费的变化并非简单的线性对应关系。
算法草案与设备安全属于不同范畴
美国国家标准与技术研究院（NIST）已于 2024 年将无状态型基于哈希的签名算法 SLH-DSA 标准化为 FIPS 205。虽然 SHRINCS 的无状态组件也利用了 SLH-DSA，但其指定的参数与标准中包含的参数有所不同。
目前，SHRINCS 文档仍处于草案阶段，尚未分配 BIP 编号。其安全性证明、全面的测试向量以及优化实现均未完成。文档明确警告，示例实现不得用于实际运营环境。
Treasure 在其官方说明中指出，Safe 7 的启动过程应用了 SLH-DSA-128 以验证引导加载程序。设备证书则使用 ML-DSA-44。该公司表示，当这些功能完全集成到固件和 Trezor Suite 中后，将提供额外的安全层。
需要注意的是，此类设备安全机制主要涉及启动过程和硬件真伪验证。即使设备上应用了抗量子算法，也不意味着比特币网络所验证的交易签名会自动具备抗量子性。
要更改比特币交易的签名规则，除了需要更新钱包的实现外，还需要网络层面采纳新签名规则的共识过程。此前，本媒体曾报道过七个主要国家敦促政府和企业向后量子密码学过渡的背景。然而，SHRINCS 草案中并未包含适用于比特币网络的共识规则或具体的采用时间表。
