Одноразовая цифровая подпись

Что такое одноразовая цифровая подпись?

Одноразовая цифровая подпись — это метод цифровой подписи, в котором ключ подписи предназначен для безопасного подписания только одного сообщения.

В криптовалютах одноразовая цифровая подпись важна, поскольку показывает, как можно подтвердить право владения цифровым активом, не полагаясь исключительно на математику эллиптических кривых.

Основная идея заключается в том, что закрытый ключ подписи может создать одну действительную подпись, а открытый ключ проверки позволяет подтвердить ее соответствие сообщению.

Если одним и тем же одноразовым закрытым ключом подписать несколько сообщений, безопасность схемы может быть нарушена.

Этим одноразовые цифровые подписи существенно отличаются от распространенных схем подписи в блокчейнах, таких как ECDSA и Schnorr: при правильной реализации они рассчитаны на многократное использование.

Одноразовые цифровые подписи часто рассматривают в контексте хеш-криптографии.

Хеш-подписи интересны для криптоиндустрии, поскольку в их основе лежат главным образом криптографические хеш-функции, а не предположения из теории чисел.

В рекомендации NIST SP 800-208 схемы LMS и XMSS определены как хеш-схемы подписи с состоянием, использующие принципы одноразовых подписей в качестве строительных блоков.

В документе IETF RFC 8391 для XMSS определена Winternitz One-Time Signature Plus, также называемая WOTS+, — схема одноразовой подписи, используемая в XMSS.

В документе IETF RFC 8554 для LMS также определена схема одноразовой подписи, используемая в хеш-системе подписи Leighton-Micali.

Для пользователей криптовалют главный вывод прост.

Подпись подтверждает контроль над секретным ключом, но безопасность этого подтверждения зависит от точного соблюдения правил использования схемы подписи.

Главное об одноразовых цифровых подписях

• • Одноразовая цифровая подпись — это схема цифровой подписи, в которой один закрытый ключ следует использовать только для одного сообщения.
  • Повторное использование одного и того же ключа может раскрыть слишком много секретной информации и привести к подделке подписи.
  • Одноразовые цифровые подписи часто основаны на криптографических хеш-функциях.
  • Подписи Lamport и Winternitz — классические примеры одноразовых схем.
  • WOTS+ — современный компонент одноразовой подписи, используемый в XMSS.
  • LMS использует компонент одноразовой подписи в более крупной хеш-системе подписи.
  • Деревья Меркла позволяют объединить множество одноразовых подписей под одним открытым корневым ключом.
  • В хеш-подписях с состоянием необходимо тщательно отслеживать, какой одноразовый ключ уже использован.
  • Одноразовые цифровые подписи важны для постквантовой криптографии, поскольку их безопасность может основываться на хеш-функциях, а не на предположениях об эллиптических кривых.
  • Большинство современных криптокошельков не используют чистые одноразовые подписи для обычных транзакций, однако эта концепция важна для будущих разработок кошельков и перехода на постквантовую криптографию.

Как работает одноразовая цифровая подпись

Одноразовая цифровая подпись создается с помощью закрытого ключа, содержащего секретные значения.

Подписывающая сторона использует эти значения, чтобы создать подпись для одного сообщения.

Проверяющая сторона использует открытый ключ, чтобы убедиться, что раскрытые секретные значения соответствуют сообщению.

Во многих хеш-схемах открытый ключ содержит хеши секретных значений.

Подпись раскрывает выбранные секретные значения.

Проверяющая сторона хеширует раскрытые значения и проверяет, совпадают ли они с данными открытого ключа.

Этот подход эффективен благодаря тому, что хеш-функцию легко вычислить в одном направлении и сложно обратить.

Проблема в том, что при создании подписи раскрывается часть материала закрытого ключа.

После подписания одного сообщения некоторые секреты перестают быть секретными.

Если тем же одноразовым ключом подписать второе, отличающееся сообщение, раскроется еще больше секретов.

Получив достаточно информации, злоумышленник может создать действительную подпись для сообщения, которое владелец никогда не одобрял.

Почему подпись называется одноразовой

Она называется одноразовой, потому что один и тот же ключ подписи следует использовать только один раз.

Это не рекомендация, а ключевое требование безопасности.

В обычной схеме многократной подписи один и тот же закрытый ключ можно использовать для подписания множества разных сообщений, если алгоритм применяется правильно.

В одноразовой схеме каждая подпись раскрывает контролируемую часть закрытого ключа.

Для одного сообщения это безопасно, поскольку открытый ключ и правила подписи рассчитаны на однократное использование.

Если тот же ключ используется повторно, такое раскрытие становится опасным.

Поэтому одноразовые ключи требуют тщательного управления.

Если кошелек, узел или сервис подписи случайно повторно использует одноразовый ключ, пользователь может лишиться предусмотренной схемой защиты.

В криптоиндустрии, где подписи могут перемещать реальные активы, такая ошибка может обойтись очень дорого.

Одноразовые подписи Lamport

Одноразовая подпись Lamport — одна из самых простых и известных схем одноразовой подписи.

Закрытый ключ содержит пары случайных секретных значений.

Каждый бит хеша сообщения выбирает одно секретное значение из пары.

Открытый ключ содержит хеши всех секретных значений.

Чтобы подписать сообщение, подписывающая сторона раскрывает по одному значению из каждой пары в соответствии с хешем сообщения.

Для проверки подписи проверяющая сторона хеширует каждое раскрытое значение и сравнивает результат с открытым ключом.

Безопасность основана на сложности поиска секретного значения, соответствующего открытому хешу.

Если подписывается только одно сообщение, нераскрытые значения остаются скрытыми.

Если подписываются два разных сообщения, вторая подпись может раскрыть секретные значения с противоположной стороны некоторых пар.

Это может дать злоумышленнику достаточно данных для создания подписей к новым сообщениям.

Одноразовые подписи Winternitz

Одноразовые подписи Winternitz эффективнее базовых подписей Lamport.

Вместо раскрытия одного секретного значения для каждого бита схемы Winternitz обрабатывают несколько битов за раз.

В зависимости от выбранного параметра это может уменьшить размер подписи и открытого ключа.

Компромисс состоит в том, что для проверки и создания подписи используются хеш-цепочки.

Хеш-цепочка создается путем многократного применения хеш-функции к значению.

Подписывающая сторона раскрывает значение на определенном этапе цепочки.

Проверяющая сторона продолжает хешировать это значение и проверяет, совпадает ли результат со значением открытого ключа.

WOTS+ — усиленная версия подхода Winternitz.

В RFC 8391 WOTS+ определена как компонент одноразовой подписи, используемый в XMSS.

Схемы на основе Winternitz показывают, как сделать одноразовые подписи практичнее, сохранив правило однократного использования.

WOTS+ и XMSS

WOTS+ расшифровывается как Winternitz One-Time Signature Plus.

Это схема одноразовой подписи, используемая в XMSS.

XMSS расшифровывается как eXtended Merkle Signature Scheme.

В RFC 8391 XMSS описана как хеш-система цифровой подписи; в документе также указано, что XMSS и ее многодеревные варианты используют WOTS+ в качестве основного строительного блока.

XMSS использует множество пар ключей WOTS+ и организует их с помощью дерева Меркла.

Дерево Меркла позволяет одному открытому корневому ключу подтверждать подлинность множества одноразовых открытых ключей.

Каждый лист WOTS+ следует использовать только один раз.

Подписывающая сторона должна отслеживать, какой индекс листа уже использован.

Поэтому XMSS называют схемой с состоянием.

После каждой подписи состояние закрытого ключа необходимо безопасно обновлять, чтобы не допустить повторного использования одноразового ключа.

LMS и одноразовые подписи

LMS расшифровывается как Leighton-Micali Signature.

Это еще одна хеш-система подписи, использующая принципы одноразовых подписей.

В RFC 8554 LMS описана как система цифровой подписи на основе криптографических хеш-функций; в документе определены как схема одноразовой подписи, так и общая схема подписи.

LMS также использует древовидную структуру, объединяющую множество одноразовых ключей в более крупную систему подписи.

Как и XMSS, LMS — схема с состоянием.

Это означает, что подписывающая сторона должна отслеживать, какой одноразовый ключ уже использован.

При сбое отслеживания состояния одноразовый ключ может быть использован повторно.

Это может ослабить или полностью разрушить безопасность подписей, связанных с этим ключом.

В NIST SP 800-208 одобрены отдельные наборы параметров LMS, HSS, XMSS и многодеревных вариантов XMSS для хеш-подписей с состоянием.

Поэтому LMS важна для серьезных систем, которым нужна безопасность хеш-подписей и которые могут надежно управлять состоянием.

Деревья Меркла и одноразовые подписи

Дерево Меркла — это структура данных, которая с помощью хешей связывает множество листьев с одним корнем.

В хеш-системах подписи каждый лист может представлять одноразовый открытый ключ.

Корень Меркла становится основным открытым ключом.

Когда подписывающая сторона использует лист для подписи сообщения, в подпись включается путь аутентификации, подтверждающий принадлежность листа дереву.

Проверяющая сторона проверяет одноразовую подпись, а затем проверяет путь Меркла до корня.

Такая структура позволяет одному открытому корню поддерживать множество подписей.

Без дерева для каждого одноразового ключа пришлось бы отдельно распространять открытый ключ.

Деревья Меркла делают одноразовые подписи практичными для систем, которым нужно подписывать более одного сообщения.

Цена этого — более крупные подписи и необходимость тщательно управлять состоянием.

Преимущество — надежная безопасность на основе хеш-функций и четкая структура.

Хеш-подписи с состоянием и без него

При использовании хеш-подписей с состоянием подписывающая сторона должна помнить, какие одноразовые ключи подписи уже были использованы.

XMSS и LMS — системы с состоянием.

Обычно состояние представляет собой индекс или счетчик, указывающий на следующий неиспользованный одноразовый ключ.

Если счетчик скопировать, откатить или повредить, подписывающая сторона может повторно использовать одноразовый ключ.

Это может произойти при восстановлении резервной копии, клонировании устройства, ошибке программного обеспечения, аппаратном сбое или плохой координации подписания на нескольких серверах.

Хеш-подписи без состояния пытаются избежать этой проблемы: для них не требуется такой же строгий счетчик однократного использования.

В стандарте NIST FIPS 205 определен SLH-DSA — алгоритм хеш-подписи без состояния, основанный на SPHINCS+.

SLH-DSA — не простая одноразовая подпись для повседневных пользователей.

Внутри она использует хеш-структуры, чтобы обеспечить схему подписи без состояния.

Это различие важно: системы с состоянием могут быть эффективнее, а системы без состояния — проще в безопасной эксплуатации в некоторых условиях.

Одноразовые подписи и постквантовая криптография

Одноразовые подписи важны для постквантовой криптографии, поскольку считается, что многие хеш-подписи лучше противостоят известным квантовым атакам, чем широко используемые подписи на эллиптических кривых.

Достаточно мощный квантовый компьютер может поставить под угрозу схемы подписи, основанные на предположениях о дискретном логарифмировании.

Во многих современных блокчейнах используются подписи на основе криптографии на эллиптических кривых.

Хеш-подписи опираются главным образом на свойства безопасности хеш-функций.

Квантовые компьютеры также могут ослабить безопасность хеш-функций за счет универсального ускорения поиска, однако этот риск можно компенсировать тщательным выбором параметров.

Именно поэтому NIST стандартизировал и рекомендовал хеш-подписи для некоторых сценариев использования.

Компоненты одноразовых подписей, такие как WOTS+, — часть более широкой концепции постквантовой криптографии.

Для криптосетей переход на постквантовую криптографию сложен: необходимо защитить старые средства, новые транзакции, совместимость кошельков, аппаратные кошельки, мультиподписи, смарт-контракты, мосты и долгосрочные архивы.

Одноразовые подписи — не единственное возможное решение для постквантовой криптографии.

Однако это одна из важнейших концепций, лежащих в основе постквантовых хеш-подписей.

Одноразовые подписи и ECDSA

При правильной реализации ECDSA — схема цифровой подписи для многократного использования.

Закрытым ключом ECDSA в блокчейне можно подписывать множество транзакций, если для каждой подписи используется безопасный одноразовый параметр nonce, а сам закрытый ключ остается секретным.

Одноразовый ключ подписи нельзя использовать для подписания множества сообщений.

В этом и состоит главное различие.

Безопасность ECDSA зависит от предположений об эллиптических кривых и безопасного использования nonce.

Безопасность одноразовых подписей часто зависит от хеш-функций и строгого соблюдения правила однократного использования ключа.

Подписи ECDSA компактны по сравнению со многими хеш-подписями.

В зависимости от схемы системы одноразовых подписей могут иметь более крупные открытые ключи, подписи или пути аутентификации.

ECDSA широко применяется в современной блокчейн-инфраструктуре.

Одноразовые подписи чаще рассматривают в контексте постквантовых разработок, специализированных систем и исследований по будущему переходу.

Одноразовые подписи и подписи Schnorr

При правильной реализации подписи Schnorr также можно использовать многократно.

В документе Bitcoin BIP 340 определены подписи Schnorr размером 64 байта на эллиптической кривой secp256k1.

Подписи Schnorr поддерживают полезные функции, например агрегацию подписей, и позволяют строить более простые доказательства безопасности по сравнению с ранними схемами.

Это не одноразовые подписи.

Закрытым ключом Schnorr можно подписывать множество сообщений при условии безопасной генерации nonce и правильной реализации протокола.

Однако и Schnorr, и ECDSA требуют надежной защиты от ошибок при работе с nonce.

У одноразовой хеш-подписи другой тип риска.

Главный операционный риск — повторное использование одного и того же одноразового ключа.

Для обеих групп схем важна тщательная реализация.

Но причины возможных сбоев у них разные.

Одноразовые подписи и одноразовые адреса

Одноразовая подпись — не то же самое, что одноразовый адрес.

Одноразовая подпись — это криптографический метод подписания.

Одноразовый адрес — практика использования кошелька, при которой пользователь получает средства на новый адрес, а не повторно использует прежний.

В рекомендациях Bitcoin.org по защите конфиденциальности советуют использовать новый адрес Bitcoin при каждом получении платежа.

Новые адреса повышают конфиденциальность, поскольку затрудняют связывание платежей между собой.

В некоторых типах адресов это также может уменьшить ненужное раскрытие открытого ключа.

Однако использование нового адреса не означает автоматически, что применяется схема одноразовой подписи.

В большинстве обычных кошельков Bitcoin и Ethereum используются схемы многократной подписи, а не чистые схемы OTS.

Эти термины похожи, но относятся к разным уровням безопасности кошелька.

Один термин описывает, как ключи подписывают сообщения, другой — как адреса используются в блокчейне.

Одноразовые подписи и повторное использование адресов

Повторное использование адреса — не то же самое, что повторное использование одноразового ключа подписи, однако оба понятия связаны с правильным управлением ключами.

Повторное использование адреса может снизить конфиденциальность, связывая несколько платежей с одним адресом.

В некоторых типах скриптов Bitcoin при расходовании средств открытый ключ раскрывается в блокчейне.

В документации для разработчиков Bitcoin о транзакциях P2PKH показано, что скрипт расходования включает и подпись, и открытый ключ.

Это не означает, что Bitcoin использует одноразовые подписи.

Это означает, что раскрытие открытого ключа и повторное использование адресов могут иметь значение для конфиденциальности и будущих предположений о безопасности.

Повторно используя адреса, пользователь предоставляет наблюдателям больше данных для связывания своей активности.

При будущем переходе на постквантовую криптографию раскрытие открытых ключей может стать более актуальным риском.

По возможности для платежей уже рекомендуется использовать новые адреса.

Одноразовые подписи развивают эту идею гигиены ключей еще дальше, делая однократное использование ключа математическим правилом.

Одноразовые подписи и проектирование кошельков

Кошельку, использующему одноразовые подписи, необходимо управлять множеством ключей подписи.

Каждый ключ следует использовать один раз, а затем выводить из обращения.

Кошелек должен знать, какие ключи еще не использовались.

Он должен не допускать подписания двух транзакций одним и тем же одноразовым ключом.

Кошелек должен обрабатывать резервные копии так, чтобы не откатывать состояние ключей.

Необходимо поддерживать несколько устройств, не допуская повторного использования ключа.

Также нужно тщательно обрабатывать неудачные транзакции, повторные попытки и транзакции-замены.

Если транзакция не была отправлена в сеть, кошельку все равно нужно решить, насколько сильно ключ успел раскрыться и следует ли вывести его из обращения.

Эти операционные нюансы делают проектирование кошелька с одноразовыми подписями сложнее, чем может показаться.

Удобный для пользователя кошелек OTS должен скрывать сложность, не скрывая риски.

Одноразовые подписи и блокчейн-транзакции

Для каждой блокчейн-транзакции нужно подтвердить наличие полномочий на ее выполнение.

В большинстве современных блокчейнов для этого используются цифровые подписи, подтверждающие контроль отправителя над соответствующим закрытым ключом.

Одноразовая подпись также может подтверждать полномочия, но ее использование меняет устройство транзакций.

Подпись может быть больше по размеру.

Скрипту проверки или виртуальной машине может потребоваться поддержка проверки хеш-подписей.

Формат адреса может привязываться к корню Меркла или другим открытым данным для проверки.

Если подписи крупнее и занимают больше места в блоке, это может повлиять на комиссии.

Легким клиентам могут понадобиться новые форматы доказательств.

Аппаратным кошелькам может потребоваться новое защищенное хранилище состояния ключей.

Для мультиподписей и смарт-контрактов могут понадобиться новые схемы агрегации или пороговой подписи.

Поэтому внедрение одноразовых подписей в крупный блокчейн — вопрос проектирования протокола, а не только функция кошелька.

Одноразовые подписи и смарт-контракты

Смарт-контракты могут проверять подписи, если виртуальная машина поддерживает необходимые криптографические операции.

В некоторых сетях предусмотрены встроенные функции проверки распространенных алгоритмов подписи.

Хеш-подписи можно проверять с помощью хеш-операций, однако размер подписи и комиссия за газ могут быть высокими.

Контракту, проверяющему подпись на основе WOTS, может потребоваться выполнить множество хеш-вычислений.

Это может быть дорого, если сеть взимает плату за вычисления и хранение данных.

В простой платежной сети крупные подписи могут увеличить комиссии за транзакции.

В сети смарт-контрактов сложная логика проверки может увеличить расход газа.

Это не делает одноразовые подписи бесполезными.

Это означает, что их реализация требует тщательного проектирования и анализа комиссий.

Постквантовая безопасность должна соответствовать экономической модели сети.

Одноразовые подписи и мультиподпись

Мультиподпись означает, что для подтверждения действия нужны несколько ключей.

В традиционных криптокошельках для мультиподписи могут использоваться несколько ключей ECDSA или Schnorr.

С одноразовыми подписями мультиподпись становится сложнее, поскольку каждому участнику нужно управлять состоянием одноразовых ключей.

Каждый подписант должен избегать повторного использования своего одноразового ключа подписи.

Координатор кошелька может быть вынужден отслеживать использованные одноразовые ключи для каждой политики.

Если транзакция с мультиподписью не проходит и ее создают заново, система подписания должна исключить случайное повторное использование ключа.

В хеш-схемах пороговое подписание также может быть сложнее, чем в некоторых системах на эллиптических кривых.

Групповые и агрегированные подписи, а также абстракция аккаунта могут помочь в будущих разработках, но требуют тщательного анализа.

Одноразовые подписи обеспечивают высокий уровень безопасности, но мультиподпись делает особенно важной операционную дисциплину.

Для институционального хранения активов управление состоянием может быть не менее важно, чем криптографическая стойкость.

Одноразовые подписи и аппаратные кошельки

Аппаратные кошельки полезны тем, что хранят закрытые ключи отдельно от устройств с подключением к интернету.

Аппаратному кошельку с одноразовыми подписями понадобятся защищенное хранение секретного материала ключей и состояния подписания.

Устройство должно надежно увеличивать индекс одноразового ключа.

Оно должно предотвращать откат состояния после восстановления резервной копии.

Необходимо учитывать отключение питания во время подписания.

Устройство должно взаимодействовать с программным обеспечением кошелька, не раскрывая неиспользованные секретные значения.

Перед действиями, расходующими одноразовый ключ, устройство должно четко предупреждать пользователя.

Эти требования сложнее, чем простое хранение статического закрытого ключа.

Аппаратный кошелек может надежно защищать секреты, но ему также нужна безопасная логика управления состоянием.

В хеш-подписях с состоянием состояние является частью безопасности закрытого ключа.

Одноразовые подписи и резервные копии

Резервное копирование — одна из самых сложных задач для систем одноразовых подписей с состоянием.

Обычная резервная копия кошелька может восстановить ту же сид-фразу и сгенерировать множество ключей заново.

Для системы OTS с состоянием восстановление старой резервной копии может быть опасным, если вместе с ней возвращается старый счетчик неиспользованных ключей.

Кошелек может считать одноразовый ключ неиспользованным, хотя до восстановления копии его уже применяли.

Это может привести к повторному использованию ключа.

Повторное использование ключа в одноразовых схемах может позволить подделать подпись.

Безопасная система резервного копирования должна сохранять актуальное состояние подписания.

Для этого могут понадобиться защищенные счетчики, монотонные аппаратные счетчики, синхронизированное хранилище или консервативный вывод ключей из обращения.

Это одна из основных причин, по которым хеш-подписи без состояния привлекательны в некоторых условиях.

Состояние легко описать, но трудно защитить безупречно.

Одноразовые подписи и устойчивость к квантовым атакам

Одноразовые подписи часто называют устойчивыми к квантовым атакам, поскольку они могут опираться главным образом на хеш-функции.

Однако это утверждение следует понимать правильно.

Устойчивость к квантовым атакам не означает невозможность взлома.

Это означает, что схема рассчитана на более эффективное противодействие известным квантовым методам атак, чем схемы, основанные на задачах, которые квантовые алгоритмы могут решать быстро.

Для хеш-функций все равно нужны надежные параметры, поскольку квантовый поиск может снизить эффективный уровень безопасности некоторых предположений, лежащих в основе хеш-схем.

В современных стандартах параметры выбираются с учетом этого фактора.

Стандарт NIST FIPS 205 для SLH-DSA — часть более широкого перехода к стандартизированным постквантовым подписям.

Хеш-схемы с состоянием, такие как XMSS и LMS, тоже важны, поскольку предлагают проверенные варианты хеш-подписей для отдельных сценариев использования.

Для блокчейнов устойчивость к квантовым атакам необходимо оценивать на уровне кошельков, транзакций, консенсуса, мостов и смарт-контрактов.

Постквантовая подпись полезна лишь в том случае, если вся система может безопасно ее использовать.

Преимущества одноразовых подписей

Первое преимущество одноразовых подписей — простая основа безопасности.

Многие схемы опираются главным образом на криптографические хеш-функции.

Второе преимущество — актуальность для постквантовой криптографии.

Хеш-подписи относятся к наиболее изученным семействам постквантовых подписей.

Третье преимущество — концептуальная наглядность.

Базовую подпись Lamport понять проще, чем многие сложные схемы подписи.

Четвертое преимущество — меньшая зависимость от предположений об эллиптических кривых.

Это важно для систем, планирующих долгосрочный переход на новые криптографические решения.

Пятое преимущество — модульность.

Компоненты одноразовых подписей можно сочетать с деревьями Меркла и другими структурами для создания более крупных систем подписи.

Эти преимущества объясняют, почему концепции OTS продолжают использоваться в серьезных криптографических стандартах.

Ограничения одноразовых подписей

Первое ограничение — правило однократного использования.

Одним одноразовым закрытым ключом нельзя безопасно подписывать неограниченное количество сообщений.

Второе ограничение — сложность управления ключами.

Кошелек или система подписания должны тщательно отслеживать неиспользованные ключи.

Третье ограничение — размер подписи.

Хеш-подписи могут быть крупнее распространенных подписей на эллиптических кривых.

Четвертое ограничение — операционные риски, связанные с состоянием.

Резервные копии, клонирование устройств, резервирование серверов и повторные попытки транзакций могут привести к случайному повторному использованию ключей.

Пятое ограничение — стоимость интеграции.

Блокчейнам могут понадобиться новые форматы адресов, правила скриптов, поддержка виртуальных машин, модели комиссий и стандарты кошельков.

Шестое ограничение — пользовательский опыт.

Пользователям не нужно вручную разбираться в каждом индексе одноразового ключа, но кошельки все равно должны корректно им управлять.

Риски безопасности одноразовых подписей

Самый большой риск — подписание нескольких сообщений одним и тем же одноразовым ключом.

Это может раскрыть достаточно секретного материала, чтобы помочь злоумышленнику подделать подпись.

Второй риск — недостаточно качественная случайность при генерации закрытого ключа.

Если секретные значения предсказуемы, схема может оказаться небезопасной.

Третий риск — слабые хеш-функции или небезопасные параметры.

Если хеш-функция слишком слаба, злоумышленники могут найти прообразы или воспользоваться другими уязвимостями.

Четвертый риск — ошибки реализации.

Неправильное кодирование, ошибочное отслеживание индексов, некорректная обработка контрольных сумм или нарушенное разделение доменов могут привести к уязвимостям.

Пятый риск — утечка данных через побочные каналы.

Если устройство раскрывает секретные значения через время выполнения операций, энергопотребление, доступ к памяти или инъекцию сбоев, безопасность может быть нарушена.

Шестой риск — откат состояния.

Если система подписания возвращается к прежнему состоянию, она может повторно использовать ключ, который следовало вывести из обращения.

Одноразовые подписи и повторное использование nonce

Повторное использование одноразового ключа подписи не следует путать с повторным использованием nonce в ECDSA.

В ECDSA nonce — это секретное значение, используемое для каждой подписи.

Если nonce использовать повторно или раскрыть, долгосрочный закрытый ключ может оказаться скомпрометированным.

В одноразовой подписи сам закрытый ключ рассчитан на подписание одного сообщения.

Повторное использование ключа раскрывает слишком много секретного материала этого одноразового ключа.

Обе ошибки серьезны.

Они возникают в разных семействах схем подписи.

Общий вывод: системам подписи часто нужны уникальные секретные данные для каждой подписи или каждого контекста подписания.

Разработчики кошельков должны точно понимать, какие данные нельзя использовать повторно.

Пользователи могут не видеть этих деталей, но от них зависит сохранность средств.

Одноразовые подписи и конфиденциальность

В сочетании с новыми адресами и тщательно продуманными транзакциями одноразовые подписи могут использоваться в кошельках с повышенным уровнем конфиденциальности.

Однако сами по себе одноразовые подписи не обеспечивают конфиденциальность блокчейна.

Суммы и время транзакций, входы и выходы, сетевые метаданные и взаимодействия со смарт-контрактами все равно могут раскрывать информацию.

Одноразовый ключ может уменьшить повторное раскрытие ключей.

Но сам по себе он не скрывает всю активность.

В рекомендациях Bitcoin по конфиденциальности советуют использовать новые адреса для новых платежей, поскольку повторное использование адресов может связывать операции.

Этот принцип хорошо согласуется с идеей одноразовых подписей.

Свежие криптографические данные могут уменьшить возможность связывания операций и повторного раскрытия информации.

Но для конфиденциальности нужна комплексная архитектура.

Одноразовое подписание — лишь одна ее составляющая.

Одноразовые подписи в будущих блокчейнах

В будущих блокчейнах могут применяться хеш-подписи для повышения устойчивости к квантовым атакам.

В одних проектах могут использоваться схемы с состоянием, например XMSS или LMS.

Другие могут выбрать хеш-схемы без состояния, такие как SLH-DSA.

Некоторые сети на период перехода могут поддерживать несколько алгоритмов подписи.

В некоторых кошельках пользователи смогут переводить средства со старых типов подписей на постквантовые адреса.

На некоторых платформах смарт-контрактов могут появиться предкомпиляции или встроенная поддержка проверки постквантовых подписей.

Такие изменения затронут размер транзакций, комиссии, место в блоках, легкие клиенты, системы хранения активов и аппаратные кошельки.

Концепции одноразовых подписей, вероятно, останутся важными, даже если конечные пользователи никогда не будут встречать этот термин.

Они входят в набор криптографических инструментов для долгосрочной безопасности блокчейна.

Главная задача — сделать их практичными в широком масштабе.

Распространенные заблуждения об одноразовых подписях

Одно из распространенных заблуждений — считать одноразовые подписи обычными подписями, которые просто используют аккуратно и только один раз.

Настоящая одноразовая подпись — это схема, изначально рассчитанная на однократное использование закрытого ключа подписи.

Другое заблуждение — считать одноразовый адрес и одноразовую подпись одним и тем же.

Одноразовый адрес — это практика использования адреса кошелька, а одноразовая подпись — криптографический метод.

Третье заблуждение — полагать, что одноразовые подписи автоматически решают все проблемы квантовых рисков.

Они помогают решить часть проблемы, но для блокчейнов по-прежнему необходимо планировать переход на уровне протокола.

Четвертое заблуждение — считать хеш-подписи с состоянием простыми в эксплуатации.

Управлять состоянием может быть сложно, особенно при использовании резервных копий и нескольких устройств для подписания.

Пятое заблуждение — считать, что крупные подписи создают только проблему хранения.

В блокчейнах больший размер подписи может влиять на комиссии, пропускную способность, стоимость проверки и пользовательский опыт.

Рекомендации разработчикам

Используйте стандартизированные и проверенные схемы вместо разработки собственной одноразовой подписи.

При необходимости следуйте официальным спецификациям, таким как RFC 8391, RFC 8554, NIST SP 800-208 или FIPS 205.

Никогда не используйте одноразовый ключ подписи повторно.

Защищайте состояние ключа так же тщательно, как сам закрытый ключ.

Проектируйте резервное копирование так, чтобы оно не могло откатить индекс подписания.

Используйте качественный источник случайных данных для генерации ключей.

Применяйте разделение доменов, чтобы случайно не использовать подписи повторно в разных протоколах.

Тестируйте сценарии сбоев: прерывание подписания, замену транзакции, отказ сервера и восстановление устройства.

Точно документируйте, в какой момент одноразовый ключ считается использованным.

Понятно сообщайте пользователям, когда операция расходует возможность подписи.

Рекомендации пользователям криптовалют

Используйте кошельки, которые соответствуют актуальным стандартам безопасности и регулярно обновляются.

Не используйте адрес повторно вручную, если кошелек рекомендует создавать новый.

Не считайте запрос на подпись безопасным только потому, что он отображается в кошельке.

Перед подписанием проверяйте детали транзакции.

Надежно храните резервные копии кошелька и внимательно следуйте инструкциям по восстановлению.

По возможности используйте аппаратные кошельки для хранения крупных сумм.

Избегайте экспериментальных постквантовых кошельков, если не понимаете связанных с ними рисков и проект не прошел качественную проверку.

Не копируйте закрытые ключи, сид-фразы или файлы подписания между устройствами, если документация кошелька не подтверждает безопасность такого действия.

С осторожностью относитесь к программному обеспечению кошельков, которое заявляет о квантовой безопасности, но не объясняет используемую схему подписи и связанные с ней компромиссы.

Помните: криптографическая стойкость не защищает от фишинга, вредоносных программ или небезопасного подтверждения операций.

Когда полезны одноразовые подписи

Одноразовые подписи полезны, когда системе нужны цифровые подписи, основанные главным образом на хеш-функциях.

Они полезны как строительные блоки постквантовых схем подписи.

Они применяются в хеш-системах с состоянием, таких как XMSS и LMS.

Они подходят для систем, где важна долгосрочная подлинность и можно безопасно управлять состоянием ключей.

Они полезны при исследованиях и проектировании протоколов для постквантовой безопасности блокчейнов.

Они помогают уменьшить зависимость от предположений об эллиптических кривых.

Они подходят для микропрограмм, инфраструктуры и систем с повышенными требованиями к безопасности, где можно тщательно учитывать каждое подписание.

Они менее удобны, когда пользователю нужны неограниченные простые подписи одним ключом без управления состоянием.

Они менее удобны, когда размер подписи должен быть минимальным.

Их опасно использовать без строгого отслеживания ключей.

Одноразовая подпись в одном предложении

Одноразовая цифровая подпись — это схема цифровой подписи, часто основанная на хеш-функциях, в которой каждый закрытый ключ подписи следует использовать только для одного сообщения, поскольку повторное использование может раскрыть секретный материал и позволить подделать подпись.

FAQ

Что означает термин «одноразовая цифровая подпись»?

Одноразовая цифровая подпись — это метод цифровой подписи, в котором закрытый ключ предназначен для безопасного подписания только одного сообщения.

Почему одноразовый ключ подписи можно использовать только один раз?

Каждая подпись раскрывает часть секретного материала ключа, а подписание дополнительных сообщений может раскрыть достаточно данных для подделки подписи.

Одноразовая подпись — это то же самое, что одноразовый адрес?

Нет. Одноразовая подпись — криптографическая схема подписания, а одноразовый адрес — практика использования нового адреса для получения платежа.

Что такое подпись Lamport?

Подпись Lamport — классическая схема одноразовой хеш-подписи, в которой при подписании раскрываются выбранные секретные значения, соответствующие битам хеша сообщения.

Что такое WOTS+?

WOTS+ — это Winternitz One-Time Signature Plus, современная схема одноразовой подписи, используемая как строительный блок XMSS.

Что такое XMSS?

XMSS — это eXtended Merkle Signature Scheme, хеш-система подписи с состоянием, в которой одноразовые ключи WOTS+ используются внутри дерева Меркла.

Что такое LMS?

LMS — система Leighton-Micali Signature, хеш-схема подписи с состоянием, использующая одноразовые подписи и древовидные структуры.

Относятся ли одноразовые подписи к постквантовой криптографии?

Многие системы одноразовых подписей считают кандидатами для постквантовой криптографии, поскольку они опираются главным образом на хеш-функции. Однако безопасность по-прежнему зависит от параметров и качества реализации.

Используют ли Bitcoin и Ethereum одноразовые подписи?

В обычных транзакциях Bitcoin и Ethereum, как правило, применяются схемы многократной подписи, например ECDSA или схемы на основе Schnorr, а не чистые одноразовые подписи.

Что произойдет, если одноразовый ключ подписи использовать повторно?

Повторное использование одноразового ключа может раскрыть слишком много секретной информации и позволить злоумышленнику подделать действительную подпись.

Зачем в одноразовых подписях используют деревья Меркла?

Деревья Меркла позволяют подтвердить подлинность множества одноразовых открытых ключей с помощью одного открытого корневого ключа, делая хеш-системы подписи практичнее.

В чем главная сложность одноразовых подписей?

Главная сложность — безопасное управление состоянием ключей: кошельки и системы подписания должны исключать случайное повторное использование одноразовых ключей.

Заключение

Одноразовая цифровая подпись — простая, но мощная криптографическая концепция.

Она позволяет подписывающей стороне подтвердить контроль над секретным ключом для одного сообщения, обычно раскрывая тщательно выбранные секретные значения, которые можно проверить с помощью хешей.

Та же особенность, которая делает эту схему элегантной, накладывает на нее строгие требования.

Ключ подписи нельзя использовать повторно.

Если одним одноразовым ключом подписать несколько сообщений, подпись может раскрыть слишком много закрытой информации и позволить подделку.

Правило однократного использования существенно отличает одноразовые подписи от распространенных блокчейн-схем подписи, таких как ECDSA и Schnorr.

Сегодня большинство обычных криптокошельков не используют чистые одноразовые подписи для стандартных транзакций.

Тем не менее эта концепция очень важна: одноразовые подписи — ключевые строительные блоки хеш-систем подписи, таких как WOTS+, XMSS и LMS.

Эти системы важны, поскольку хеш-криптография — один из наиболее значимых путей к созданию постквантовых цифровых подписей.

Стандарты NIST и спецификации IETF показывают, что это не только академическая идея.

Она применяется в серьезных криптографических разработках для долгосрочной безопасности.

Для блокчейнов одноразовые подписи поднимают практические вопросы о форматах адресов, размере транзакций, комиссиях, стоимости проверки, резервных копиях кошельков, аппаратных кошельках, мультиподписях и поддержке смарт-контрактов.

Чаще всего главная сложность заключается не в математике.

Самое трудное — гарантировать, что одноразовый ключ никогда не будет использован повторно случайно.

Для этого нужны тщательное отслеживание состояния, безопасное резервное копирование, надежные устройства и хорошо продуманные интерфейсы.

Пользователям важно соблюдать правила безопасного обращения с кошельком и избегать небезопасных действий при подписании.

Разработчикам следует использовать проверенные стандарты и считать состояние ключей критически важными данными безопасности.

Разработчикам блокчейнов необходимо учитывать, что переход на постквантовую криптографию требует как надежных криптографических решений, так и практичной системной инженерии.

Одноразовые подписи не решают все проблемы безопасности криптоиндустрии.

Это фундаментальный инструмент, помогающий понять, как будущие системы цифровых активов смогут защищать право владения в мире, где прежние криптографические предположения нуждаются в пересмотре.