Bitcoin จะต้านทานคอมพิวเตอร์ควอนตัมได้อย่างไร? เปรียบเทียบ 3 แผนลายเซ็นแบบแลตทิซ

ผู้เขียนต้นฉบับ: ทีม Blockstream

ผู้เรียบเรียงต้นฉบับ: Saoirse, Foresight News

Blockstream Research ได้เผยแพร่รายงานวิจัยฉบับสมบูรณ์เกี่ยวกับลายเซ็นแบบแลตทิซสำหรับ Bitcoin บทความนี้สรุปเนื้อหางานวิจัย ข้อค้นพบสำคัญ และข้อเสนอแนะที่เกี่ยวข้อง สามารถเข้าถึงรายงานฉบับเต็มได้ที่นี่.

ลายเซ็นดิจิทัลเป็นกลไกหลักในการอนุญาตธุรกรรม Bitcoin และลายเซ็น Schnorr และ ECDSA ที่ใช้อยู่ในปัจจุบันมีต้นทุนต่ำมาก ในปี 1994 Shor พิสูจน์ว่าคอมพิวเตอร์ควอนตัมที่มีพลังเพียงพอสามารถทำลายลายเซ็นทั้งสองประเภทได้ แม้จะยังมีการถกเถียงว่าเครื่องดังกล่าวจะพร้อมใช้งานเมื่อใด แต่เราจำเป็นต้องพัฒนาแผนการปรับใช้ลายเซ็นหลังควอนตัมที่ใช้งานได้จริงก่อนที่ปัญหาจะมาถึงจริง

แผนลายเซ็นแบบแลตทิซเป็นตัวเลือกยอดนิยมในการแทนที่ลายเซ็นที่มีอยู่ วิทยาการเข้ารหัสแบบแลตทิซมีประวัติการวิจัยยาวนานกว่าศตวรรษ และการประยุกต์ใช้ด้านการเข้ารหัสได้รับการพัฒนามาเกือบสามทศวรรษ ในการเข้ารหัสหลังควอนตัม ลายเซ็นแบบแลตทิซมีข้อดีหลายประการ: ขนาดรวมของกุญแจสาธารณะและลายเซ็นอาจต่ำกว่า 1.6 กิโลไบต์ และโครงสร้างพีชคณิตของมันมีแนวโน้มที่จะรองรับมัลติซิกเนเจอร์ ลายเซ็นแบบธรณีชโฮลด์ และการพิสูจน์แบบกระชับในอนาคต

รายงานนี้ศึกษา 3 แผน ได้แก่ Dilithium, Falcon และ Hawk สำหรับผู้อ่านที่ไม่คุ้นเคยกับวิทยาการเข้ารหัสแบบแลตทิซ เราจะอธิบายเหตุผลการออกแบบของแต่ละแผน ให้คำอธิบายขั้นตอนวิธีอย่างสมบูรณ์ และวิเคราะห์จากมิติต่างๆ เช่น ความปลอดภัย ประสิทธิภาพ และการปรับใช้จริง (เช่น การได้มาของกุญแจ) ในบรรดาสามแผนนี้ แผนใดที่สามารถปรับใช้บนบล็อกเชน Bitcoin ได้จริง?

เกณฑ์การประเมิน

Bitcoin มีข้อจำกัดของตัวเองในการเลือกแผนลายเซ็น และการประเมินนี้มุ่งเน้นที่เกณฑ์หลักสี่ประการ:

• ต้นทุนบนเชน: หนึ่งในเมตริกที่สำคัญที่สุดคือขนาดรวมของกุญแจสาธารณะและลายเซ็น เมื่อเอาต์พุตถูกใช้จ่าย ทั้งกุญแจสาธารณะและลายเซ็นจะถูกบันทึกบนเชน และโหนดเต็มรูปแบบต้องดาวน์โหลดและจัดเก็บทุกไบต์ ค่าใช้จ่ายในการตรวจสอบก็สำคัญไม่แพ้กัน: ลายเซ็นทุกอันถูกตรวจสอบโดยโหนดทั้งหมดในเครือข่าย และการตรวจสอบที่ช้าจะเป็นภาระต่อเครือข่ายทั้งหมด
• ความซับซ้อนในการนำไปใช้: แผนสามารถนำไปใช้ได้อย่างปลอดภัยหรือไม่เป็นสิ่งสำคัญ หากการออกแบบต้องใช้เลขคณิตทศนิยมหรือการสุ่มแบบเกาส์เซียนที่ละเอียดอ่อน ข้อผิดพลาดในการนำไปใช้หรือการโจมตีช่องทางด้านข้าง เช่น การวิเคราะห์เวลา อาจรั่วไหลกุญแจได้ เพื่อให้การโยกย้ายเป็นไปอย่างราบรื่น ความซับซ้อนในการนำไปใช้เป็นปัจจัยที่มองข้ามไม่ได้
• ความเสี่ยงในการปรับใช้: เมื่อบูรณาการเข้ากับ Bitcoin จริง มีอุปสรรคในทางปฏิบัติหลายประการ: การเลือกฟังก์ชันแฮชในระดับฉันทามติ (ตัวเลือกส่วนใหญ่ใช้ SHAKE ในขณะที่ Bitcoin ใช้ SHA-256) ความสามารถในการทำซ้ำของผลลัพธ์ลายเซ็นข้ามแพลตฟอร์ม และขั้นตอนการลงนามเหมาะสมกับข้อจำกัดหน่วยความจำของฮาร์ดแวร์วอลเล็ตหรือไม่
• ศักยภาพในการพัฒนา: กระเป๋าเงิน Bitcoin ส่วนใหญ่ใช้กลไกการกำหนดลำดับชั้นแบบดีเทอร์มินิสติก BIP-32: จากกุญแจสาธารณะหลักหนึ่งอัน สามารถได้กุญแจสาธารณะลูกจำนวนไม่จำกัดโดยไม่ต้องเข้าถึงกุญแจส่วนตัว ปัจจุบันยังไม่มีแผนลายเซ็นหลังควอนตัมมาตรฐานที่รองรับคุณสมบัตินี้โดยกำเนิด ดังนั้นเราจึงศึกษาต้นทุนในการเพิ่มความสามารถนี้ และตรวจสอบแผนรูปแบบต่างๆ ที่ไม่เป็นมาตรฐานซึ่งอาจให้ประโยชน์เพิ่มเติม

ควรเลือกระดับความปลอดภัยใด?

ก่อนเปรียบเทียบขนาด เราต้องกำหนดระดับความปลอดภัยเป้าหมายก่อน และตัวเลือกนี้ไม่ง่ายอย่างที่คิด NIST แบ่งระดับความปลอดภัยจาก 1 ถึง 5 ระดับที่สูงขึ้นให้ความปลอดภัยที่แข็งแกร่งขึ้น แต่ก็มีขนาดกุญแจและลายเซ็นที่ใหญ่ขึ้นด้วย

เราเชื่อว่า Bitcoin ควรใช้อย่างน้อย ระดับความปลอดภัย 3 เอาต์พุต Bitcoin อาจยังไม่ถูกใช้จ่ายเป็นเวลาหลายทศวรรษ และหากความก้าวหน้าในการวิเคราะห์รหัสลับลดระดับความปลอดภัยที่แท้จริงของแผน สินทรัพย์จะถูกล็อกด้วยกุญแจที่อ่อนแอลงและเผชิญความเสี่ยงระยะยาว ข้อสมมติฐานแบบแลตทิซได้ผ่านการวิเคราะห์รหัสลับสาธารณะมาเกือบสามทศวรรษแล้ว นานกว่ารากฐานการวิจัยเมื่อ Bitcoin นำเส้นโค้งเชิงวงรีมาใช้ อย่างไรก็ตาม โครงสร้างพีชคณิตที่ซับซ้อนของวิทยาการเข้ารหัสแบบแลตทิซยังคงเปิดช่องทางมากมายสำหรับการโจมตีในอนาคต และเราไม่ควรเดิมพันความปลอดภัยระยะยาวทั้งหมดไว้กับมัน

ผลิตภัณฑ์หลักรายใหญ่ได้ตัดสินใจเช่นเดียวกัน โปรโตคอล PQ3 ของ iMessage ของ Apple ทิ้งพารามิเตอร์แลตทิซระดับ 1 โดยตรงและใช้พารามิเตอร์ระดับ 3 และระดับ 5 ตลอด; Cloudflare ใช้ ML-KEM-768 (ระดับ 3) ในการปรับใช้ TLS หลังควอนตัม โดยระบุว่าแม้ระดับ 1 ดูปลอดภัยในปัจจุบัน แต่จำเป็นต้องสำรองส่วนต่างความปลอดภัยสำหรับการวิเคราะห์รหัสลับในอนาคตหลายทศวรรษ ขอบเขตเวลาความปลอดภัยของ Bitcoin ยาวนานกว่าทั้งสอง

การเพิ่มระดับความปลอดภัยมีต้นทุน ตัวอย่างเช่น การย้าย Dilithium จากระดับ 2 เป็นระดับ 3 เพิ่มขนาดรวมประมาณ 1.5 กิโลไบต์ รายงานเปรียบเทียบชุดพารามิเตอร์ในทุกระดับความปลอดภัย ช่วยให้ผู้อ่านชั่งน้ำหนักข้อแลกเปลี่ยนด้วยตนเอง กรณีของ Hawk พิสูจน์ว่าข้อพิจารณาด้านความปลอดภัยแบบอนุรักษ์นิยมไม่ใช่เพียงทฤษฎี

การวิเคราะห์โดยละเอียดของแผนตัวเลือก

Dilithium: การออกแบบที่เรียบง่าย

Dilithium ซึ่ง NIST กำหนดมาตรฐานเป็น ML-DSA ใน FIPS 204 ย้ายกระบวนทัศน์การผูกมัด-การท้าทาย-การตอบสนองของลายเซ็น Schnorr ไปยังเลขคณิตแลตทิซแบบมอดุลาร์

คุณสมบัติที่ยิ่งใหญ่ที่สุดคือความเรียบง่าย การดำเนินการทั้งหมดใน Dilithium เป็นการดำเนินการจำนวนเต็ม: การดำเนินการริง การคูณเมทริกซ์-เวกเตอร์ การแฮช และการปัดเศษ ไม่มีเลขคณิตทศนิยมและไม่มีการสุ่มแบบเกาส์เซียนแบบไม่ต่อเนื่อง ง่ายต่อการเขียนการนำไปใช้แบบเวลาคงที่ที่ปลอดภัย และยังเป็นตัวเลือกที่ถูกปรับใช้อย่างกว้างขวางที่สุด รวมเข้ากับ OpenSSL, BoringSSL, AWS-LC และ Apple CryptoKit แล้ว

ข้อแลกเปลี่ยนคือขนาดที่ใหญ่กว่า ที่ระดับความปลอดภัย 3 ML-DSA-65 มีกุญแจสาธารณะ 1952 ไบต์และลายเซ็น 3309 ไบต์ รวม 5261 ไบต์ ประมาณ 55 เท่าของขนาดรวมของกุญแจสาธารณะ/ส่วนตัวและลายเซ็นดั้งเดิมของ Bitcoin ทำให้เป็นแผนที่ใหญ่ที่สุดในสามแผนที่ระดับความปลอดภัยเดียวกัน

สำหรับ Bitcoin สิ่งที่มีค่าที่สุดของ Dilithium คือเป็นแผนเดียวในสามแผนที่ใกล้เคียงกับการนำการได้มาของกุญแจแบบ BIP-32 มาใช้ การสร้างกุญแจแบบสุ่มใหม่ได้ DilithiumRK สามารถสร้างกุญแจลูกจากกุญแจแม่โดยใช้ข้อมูลสาธารณะเท่านั้น รายงานวิเคราะห์สามรูปแบบ รวมถึง DilithiumRKS ที่เราเสนอ ซึ่งตรรกะการได้มาอยู่ในซอฟต์แวร์กระเป๋าเงินทั้งหมด และเชนต้องการเพียงตัวตรวจสอบมาตรฐานเพื่อประมวลผลลายเซ็น ML-DSA ธรรมดา อย่างไรก็ตาม ไม่มีรูปแบบใดในสามที่พร้อมสำหรับการผลิต: สองรูปแบบต้องมีการแก้ไขตัวตรวจสอบ และ DilithiumRKS เองยังขาดการพิสูจน์ความไม่สามารถปลอมแปลงได้อย่างสมบูรณ์ แผนทั้งหมดพึ่งพาเมทริกซ์ที่ใช้ร่วมกันทั่วเครือข่าย ซึ่งปลอดภัยอย่างเป็นทางการภายใต้ข้อสมมติฐานมอดูล-แอลดับเบิลยูอี แต่ผูกความปลอดภัยของกุญแจทั้งหมดไว้กับอินสแตนซ์เดียว เราเชื่อว่าการได้มาของกุญแจสาธารณะบนพื้นฐานของ Dilithium ในปัจจุบันเป็นเพียงการพิสูจน์แนวคิดและไม่สามารถปรับใช้ในทางปฏิบัติได้

Falcon: แผนที่กะทัดรัด

Falcon ซึ่ง NIST เลือกและกำหนดมาตรฐานเป็น FN-DSA เป็นแผนที่กะทัดรัดที่สุดในสามแผน ที่ระดับความปลอดภัย 1 Falcon-512 มีขนาดรวมของกุญแจสาธารณะและลายเซ็น 1563 ไบต์; ที่ระดับ 5 Falcon-1024 รวม 3073 ไบต์ Falcon-1024 ซึ่งมีส่วนต่างความปลอดภัยสูงกว่า ยังเล็กกว่า Dilithium ระดับ 3 เสียอีก

Falcon ใช้แนวทางที่แตกต่างจาก Dilithium: กระบวนทัศน์แฮช-และ-ลงนามบนพื้นฐานของแลตทิซเอ็นทีอาร์ยู กุญแจส่วนตัวของผู้ลงนามคือเบซิสสั้นของแลตทิซ ข้อความถูกแฮชไปยังจุดในปริภูมิ และผู้ลงนามใช้เบซิสสั้นเพื่อหาเวกเตอร์แลตทิซที่ใกล้กับจุดนั้น จุดและเวกเตอร์ใกล้เคียงรวมกันเป็นลายเซ็น การตรวจสอบเพียงตรวจสอบว่าเวกเตอร์เป็นของแลตทิซและใกล้พอ ความท้าทายในการนำไปใช้คือการหาเวกเตอร์โดยไม่รั่วไหลข้อมูลเกี่ยวกับเบซิส แผนยุคแรก GGH และ NTRUSign เลือกจุดแลตทิซใกล้เคียงโดยตรง รั่วไหลข้อมูลทางเรขาคณิตบางส่วนกับทุกลายเซ็น Falcon ใช้กรอบงานจีพีวี สุ่มเวกเตอร์ใกล้เคียงจากการแจกแจงแบบเกาส์เซียน ซึ่งพิสูจน์ได้ว่าผลลัพธ์ที่สุ่มเป็นอิสระจากเบซิส กำจัดความเสี่ยงการรั่วไหล แต่ความยากในการนำตัวสุ่มไปใช้เพิ่มขึ้นอย่างมาก

ตัวสุ่มเป็นจุดอ่อนทางวิศวกรรมของ Falcon มันทำงานในโดเมนฟูเรียร์เชิงซ้อนและต้องใช้การคำนวณเลขคณิตจุดลอยตัว โปรเซสเซอร์ คอมไพเลอร์ และตัวเลือกการปรับแต่งการคอมไพล์ที่แตกต่างกันอาจทำให้ผลลัพธ์ทศนิยมไม่สอดคล้องกัน นี่ไม่ใช่แค่ปัญหาความเข้ากันได้ แต่ยังเป็นข้อกังวลด้านความปลอดภัย: การพิสูจน์ความปลอดภัยของ GPV ต้องการให้ผู้ลงนามไม่เคยส่งออกเวกเตอร์สั้นสองอันที่แตกต่างกันสำหรับไดเจสต์เดียวกัน หากลายเซ็นกลายเป็นแบบกำหนดได้ ความแตกต่างในการปัดเศษทศนิยมที่เกิดจากแพลตฟอร์มจะละเมิดเงื่อนไขนี้ มีวิธีแก้ปัญหาที่เป็นไปได้: Falcon แบบดีเทอร์มินิสติกสามารถแทนที่ทศนิยมฮาร์ดแวร์ด้วยการจำลองจำนวนเต็ม ผลิตลายเซ็นที่เหมือนกันในทุกแพลตฟอร์ม ต้นทุนคือความเร็วในการลงนามช้าลงประมาณ 15 เท่า และการสร้างกุญแจช้าลงประมาณ 2 เท่า

ที่สำคัญ การตรวจสอบไม่ได้รับผลกระทบ: การตรวจสอบของ Falcon เป็นจำนวนเต็มทั้งหมด กำหนดได้ และยังเร็วที่สุดในบรรดาตัวเลือก คุณสมบัติไม่สมมาตรนี้เป็นมิตรกับ Bitcoin มาก: การลงนามทำครั้งเดียวโดยกระเป๋าเงินเมื่อใช้จ่ายธุรกรรม ในขณะที่ทุกลายเซ็นถูกตรวจสอบโดยโหนดเต็มรูปแบบทั้งหมดในเครือข่าย การช้าลง 15 เท่าในการลงนามเป็นต้นทุนความถี่ต่ำ และเพื่อแลกเปลี่ยนเราได้ความสามารถในการทำซ้ำข้ามแพลตฟอร์มและเลขคณิตจำนวนเต็ม ซึ่งเราถือว่าเป็นการแลกเปลี่ยนที่สมเหตุสมผล ดังนั้น ปัญหาทศนิยมจึงเป็นอุปสรรคที่แก้ไขได้ด้วยวิธีการทางวิศวกรรม ไม่ใช่ข้อบกพร่องร้ายแรง

สองประเด็นที่ควรทราบ: เนื่องจากข้อจำกัดทางโครงสร้าง Falcon ไม่มีพารามิเตอร์ระดับ 3 ต้องเลือกอย่างใดอย่างหนึ่งระหว่างระดับ 1 หรือระดับ 5 จากข้อพิจารณาส่วนต่างความปลอดภัย เราแนะนำ Falcon-1024 ประการที่สอง การลงนามใช้หน่วยความจำจำนวนมาก: ตัวสุ่มสำหรับชุดพารามิเตอร์ 1024 พึ่งพาต้นไม้ที่คำนวณล่วงหน้า ใช้หน่วยความจำประมาณ 90 กิโลไบต์ ฮาร์ดแวร์วอลเล็ตสามารถสร้างต้นไม้ใหม่ทีละกิ่งแบบไดนามิก ลดการใช้หน่วยความจำเหลือ 16 กิโลไบต์ แต่เวลาในการลงนามเพิ่มเป็นสองเท่า การลงนามที่ช้าลงบนอุปกรณ์ฮาร์ดแวร์เป็นต้นทุนจริง แต่ยังยอมรับได้

Hawk: แผนที่ล้มเหลว

Hawk มุ่งหวังที่จะรวมข้อดีของอีกสองแผน: ลายเซ็น Hawk-512 มีขนาดเพียง 555 ไบต์ เล็กกว่า Falcon; การลงนามเป็นจำนวนเต็มทั้งหมด โดยมีรอยเท้าหน่วยความจำขั้นต่ำเพียง 6 กิโลไบต์ และยังเป็นตัวเลือกแบบแลตทิซเพียงตัวเดียวที่เหลืออยู่ในรอบที่สามของการแข่งขันลายเซ็นเพิ่มเติมของ NIST และรายงานให้พื้นที่กับแผนนี้ค่อนข้างมาก

ข้อแลกเปลี่ยนอยู่ที่ข้อสมมติฐานความปลอดภัย มันไม่พึ่งพาปัญหา NTRU หรือ SIS ที่ผ่านการวิเคราะห์รหัสลับมานานหลายทศวรรษ แต่พึ่งพาปัญหาสมสัณฐานแลตทิซและข้อสมมติฐานวันมอร์-เอสวีพี ซึ่งทั้งคู่มีประวัติการวิจัยค่อนข้างสั้น

ก่อนที่รายงานจะเสร็จสิ้น Straznickas และ Weis จาก Anthropic ค้นพบข้อบกพร่องเชิงโครงสร้างในการสร้างแลตทิซของ Hawk: มิติของปัญหา SVP ที่ต้องแก้จริงสำหรับการกู้คืนกุญแจมีเพียงครึ่งหนึ่งของที่ผู้ออกแบบตั้งใจไว้ บิตความปลอดภัยในการกู้คืนกุญแจของชุดพารามิเตอร์ตัวเลือกอ่อนแอลงอย่างมาก นักวิจัยทำการโจมตีกู้คืนกุญแจแบบครบวงจรอย่างสมบูรณ์บนพารามิเตอร์ท้าทาย HAWK-256 ที่ใช้สำหรับการวิเคราะห์รหัสลับ; แม้ภายใต้การโจมตี HAWK-512 และ HAWK-1024 ที่เสนออย่างเป็นทางการยังคงไม่สามารถทำลายได้ในทางปฏิบัติ ทีม Hawk ยืนยันความถูกต้องของการโจมตีและถอนแผนออกจากกระบวนการ NIST; ทีมระบุว่าหากแก้ไขช่องโหว่โดยเพิ่มพารามิเตอร์เป็นสองเท่า ข้อได้เปรียบด้านขนาดดั้งเดิมของ Hawk จะหายไปโดยสิ้นเชิง

รายงานยังคงเก็บส่วน Hawk ไว้เพราะการโจมตีมุ่งเป้าไปที่คุณสมบัติพีชคณิตของฟิลด์จำนวน และไม่ได้ลบล้างกระบวนทัศน์การออกแบบทั้งหมด การออกแบบใหม่จะหลีกเลี่ยงช่องโหว่ได้หรือไม่ยังเป็นคำถามเปิด เหตุการณ์ Hawk ยังยืนยันอย่างเป็นรูปธรรมถึงการยืนกรานของเราในเรื่องส่วนต่างความปลอดภัยแบบอนุรักษ์นิยม: แผนที่มีขนาดและความเร็วที่ยอดเยี่ยม ผ่านการมาตรฐานหลายรอบ สามารถถูกลดระดับความปลอดภัยโดยประมาณลงอย่างมากด้วยบทความเพียงฉบับเดียว

ตารางเปรียบเทียบแผน

แผนทั้งหมดในตารางข้างต้น (รวมถึง SPHINCS+) เป็นลายเซ็นแบบไร้สถานะ: ผู้ลงนามไม่จำเป็นต้องบันทึกลายเซ็นในอดีต ลายเซ็นแบบแฮชที่มีสถานะ เช่น XMSS สามารถบรรลุขนาดลายเซ็นที่เล็กกว่า แต่ต้องรักษาสถานะลายเซ็น; ดู รายงานพิเศษลายเซ็นแบบแฮช สำหรับการเปรียบเทียบ

ยังมีอุปสรรคมากมายสำหรับการปรับใช้

Falcon ขาดแผนการได้มาของกุญแจที่ใช้งานได้ แผนการได้มาแบบ BIP-32 ของ Falcon ที่เปิดเผยต่อสาธารณะเพียงแผนเดียวสุ่มเบซิสกุญแจส่วนตัวใหม่ ทำให้ขอบเขตบนของนอร์มลายเซ็นเพิ่มขึ้นอย่างมาก และลายเซ็นบนเชนพองโตเป็นประมาณ 23.7 กิโลไบต์ ยิ่งกว่านั้น พารามิเตอร์ของแผนไม่ตรงตามเงื่อนไขความปลอดภัยของตัวเอง และการแก้ไขปัญหานี้จะเพิ่มขนาดขึ้นอีก ปัจจุบันยังไม่มีการนำการได้มาของกุญแจสาธารณะ Falcon ที่ใช้งานได้จริง ซึ่งเป็นปัญหาปลายเปิดที่มีค่าที่สุดที่ระบุในรายงาน

มาตรฐาน Falcon ยังไม่สิ้นสุด แม้ NIST ได้เลือก Falcon แล้ว แต่ร่าง FN-DSA ยังไม่ได้รับการเผยแพร่อย่างเป็นทางการ หลังจากการมาตรฐานเสร็จสมบูรณ์เท่านั้น เราจึงจะมีการนำไปใช้ที่ผ่านการตรวจสอบ เวกเตอร์ทดสอบ และการสนับสนุนระดับฮาร์ดแวร์ การนำไปใช้อย่างแพร่หลายสามารถลดความเสี่ยงและความยากในการบูรณาการเข้ากับชั้นฉันทามติของ Bitcoin เราแนะนำให้รอการเผยแพร่อย่างเป็นทางการของ FN-DSA; จนกว่าจะถึงตอนนั้น Falcon ยังคงอยู่ในสถานะที่เปลี่ยนแปลงได้

รูปแบบ Falcon-WS: รูปแบบนี้ผ่อนคลายพารามิเตอร์ภายในและพึ่งพาการสุ่มแบบปฏิเสธเพื่อชดเชย บีบอัดขนาดรวมเหลือ 1114 ไบต์ที่ระดับ 1 และ 2387 ไบต์ที่ระดับ 5 ลดขนาดลงอีกเมื่อเทียบกับ Falcon ดั้งเดิม ทิศทางนี้มีคุณค่าทางการวิจัย แต่จะไม่รวมอยู่ในมาตรฐานอย่างเป็นทางการและต้องมีการตรวจสอบการวิเคราะห์รหัสลับเพิ่มเติม งานวิจัยที่มีอยู่พบข้อบกพร่องในการพิสูจน์ความไม่สามารถปลอมแปลงได้อย่างแข็งแกร่งของแผนที่ได้มา (ความไม่สามารถปลอมแปลงได้ธรรมดาไม่ได้รับผลกระทบ)

จะมีแผนที่ดีกว่าในอนาคตหรือไม่? นอกเหนือจากแผนข้างต้น ตระกูลเฟียต-ชาเมียร์ย้อนกลับไปถึง BLISS ในปี 2013 ผลลัพธ์ล่าสุดโดย Gärtner ที่ CRYPTO 2025 บนพื้นฐานของข้อสมมติฐานที่成熟แล้ว มีขนาดกระดาษเทียบเคียงกับ Falcon สาเหตุหลักของความยากในการทำวิศวกรรมตระกูลนี้อยู่ที่ความปลอดภัยในการนำไปใช้: BLISS ถูกทำลายโดยการโจมตีช่องทางด้านข้างเนื่องจากการสุ่มแบบเกาส์เซียนที่ไม่ใช่เวลาคงที่; แผนต่อมายังไม่ได้แก้ไขปัญหานี้อย่างสมบูรณ์ และผลลัพธ์ล่าสุดยังชี้ว่าการปกป้องขั้นตอนการสุ่มนั้นยากยิ่งขึ้น จนกว่าปัญหาจะได้รับการแก้ไข แผนดังกล่าวน่าสนใจในทางทฤษฎีเท่านั้นและไม่เหมาะสำหรับการปรับใช้

ลายเซ็นแบบแลตทิซและแบบแฮชสามารถเสริมซึ่งกันและกันได้ ลายเซ็นแบบแลตทิซสามารถทำหน้าที่เป็นส่วนประกอบของแผนไฮบริด ตัวอย่างเช่น ใน SHRINCS เส้นทางการกู้คืนแบบไร้สถานะปัจจุบันใช้ลายเซ็นสฟิงซ์พลัสหลายกิโลไบต์; การแทนที่ด้วยลายเซ็น Falcon (หรือ Falcon-WS) จะเล็กกว่าและตรวจสอบได้เร็วกว่า ลดค่าใช้จ่ายของเส้นทางการกู้คืนที่ไม่บ่อยครั้งลงอย่างมากโดยไม่กระทบเส้นทางการใช้งานประจำวัน

ข้อสรุปการวิจัย

การจัดอันดับตัวเลือกแบบแลตทิซชัดเจน: Hawk ถอนตัวจากการแข่งขันหลังการโจมตีโดยทีม Anthropic; Dilithium มีความยากในการนำไปใช้ต่ำที่สุดและเป็นแผนเดียวที่มีรากฐานการวิจัยสำหรับการได้มาของกุญแจ แต่ขนาดของมันไม่เป็นมิตรต่อต้นทุนบนเชนของ Bitcoin; Falcon ผสมผสานขนาดกะทัดรัด การตรวจสอบที่รวดเร็ว และข้อสมมติฐานความปลอดภัยที่成熟แล้ว; จุดอ่อนหลัก—เลขคณิตจุดลอยตัวในฝั่งการลงนาม—มีวิธีแก้ปัญหาทางวิศวกรรมที่ใช้งานได้แล้ว หากต้องเลือกแผนลายเซ็นแบบแลตทิซสำหรับ Bitcoin ในวันนี้ เราจะเลือก Falcon-1024

สำหรับตอนนี้ มุมมองของเราสอดคล้องกับรายงานลายเซ็นแบบแฮช: เส้นทางระยะสั้นแบบอนุรักษ์นิยมยังคงเป็นลายเซ็นแบบแฮช ซึ่งมีข้อสมมติฐานความปลอดภัยที่成熟ที่สุดและความเสี่ยงต่ำที่สุด เหมาะเป็นแผนเปลี่ยนผ่าน เมื่อ FN-DSA ได้รับการสรุปอย่างเป็นทางการ พร้อมข้อกำหนดที่เสถียร ฐานโค้ดที่ผ่านการตรวจสอบ และการสนับสนุนฮาร์ดแวร์วอลเล็ต Falcon จะนำมาซึ่งการปรับปรุงที่สำคัญเหนือลายเซ็นแบบแฮชล้วน; การปรับใช้แบบไฮบริดก็สามารถนำมาใช้ได้ ช่วยให้ระบบลายเซ็นทั้งสองเสริมซึ่งกันและกัน