BLS 簽章

什麼是 BLS 簽章？

BLS 簽章是一種用於加密貨幣系統的數位簽章方案，可用來證明某則訊息已獲私鑰持有者核准。

BLS 這個名稱取自提出短簽章方案的研究人員 Boneh、Lynn 和 Shacham。他們在論文 Short Signatures from the Weil Pairing 中介紹了這項方案。

BLS 簽章在加密貨幣領域最受重視的特點，是能將多個個別簽章合併成一個精簡的聚合簽章。

這項聚合功能有助於區塊鏈減少儲存空間用量、降低頻寬需求，並更有效率地驗證多個驗證者的核准。

一般數位簽章可證明某把私鑰簽署了一則訊息；聚合 BLS 簽章則能證明多把私鑰簽署了訊息，而不必分別儲存每一個簽章。

因此，BLS 簽章適用於權益證明共識、驗證者委員會、門檻簽章、多重簽章錢包、跨鏈通訊，以及其他需要多方核准同一事件的系統。

CFRG BLS Signature 草案將 BLS 描述為一種具備聚合特性、確定性、不可延展且有效率的數位簽章方案。

對加密貨幣使用者而言，最簡單的理解方式是：BLS 簽章能協助區塊鏈以較少資料證明多項核准。

BLS 簽章為何對加密貨幣很重要

區塊鏈通常需要在短時間內驗證大量簽章。

驗證者會簽署區塊、證明訊息、檢查點、投票、跨鏈橋訊息、預言機報告及治理操作。

如果每個簽章都必須分開儲存與驗證，網路可能需要更多磁碟空間、頻寬及運算能力。

BLS 簽章允許將多個簽章壓縮成一個，有助於解決這項問題。

當多位驗證者簽署同一則訊息時，這項功能尤其實用，例如確認區塊或投出最終性投票。

參與者不必在網路上傳送數百或數千個簽章，而可以傳送一個聚合簽章，以及相關公鑰或參與者清單。

如此一來，驗證者數量龐大的區塊鏈系統就能採用更精簡且更具擴展性的設計。

這並不代表區塊鏈在所有情況下都會因此自動加快，但能為協議設計者提供強大的密碼學工具，以減少簽章所帶來的負擔。

BLS 簽章的運作方式

BLS 簽章需要私鑰、公鑰和訊息。

私鑰是一個必須保密的秘密數值，絕不可分享。

公鑰由私鑰推導而來，可以分享給網路。

驗證者或錢包簽署訊息時，會先將訊息映射至橢圓曲線上的一個點。

這項映射必須謹慎處理，因為不安全的雜湊方式可能削弱簽章方案的安全性。

RFC 9380 雜湊至曲線規範說明如何安全地將任意位元組字串雜湊至橢圓曲線上的點。

訊息映射至曲線上的點之後，簽署者會使用私鑰產生一個簽章點。

驗證者接著使用公鑰、訊息及稱為雙線性配對的數學運算檢查簽章。

雙線性配對正是 BLS 簽章與許多其他簽章方案不同之處。

它讓驗證者能確認私鑰已正確使用，而不會揭露私鑰本身。

什麼是簽章聚合？

簽章聚合是將多個有效簽章合併成一個簽章的能力。

BLS 能進行聚合，是因為簽章是可以相加的橢圓曲線點。

如果 10 位驗證者簽署同一則訊息，他們的 10 個 BLS 簽章便可合併成一個聚合簽章。

如果 1,000 位驗證者簽署某個檢查點，其簽章也能合併成一個聚合簽章。

之後，驗證者可以使用參與者的公鑰檢查這個聚合簽章。

這項功能很有價值，因為最終證明可能比原本的一組簽章小得多。

對區塊鏈而言，較小的證明代表區塊可能更精簡、傳播速度更快，網路負擔也更低。

對使用者而言，這有助於改善網路背後的基礎架構，讓網路維持靈敏並具備擴展性。

對開發者而言，BLS 聚合讓設計需要多個獨立參與者簽署同一資料的協議變得更容易。

BLS 簽章與權益證明驗證者

BLS 簽章經常出現在權益證明區塊鏈設計的討論中，因為驗證者必須定期證明自己同意特定網路事件。

驗證者可能需要簽署區塊提案、證明訊息或最終性投票。

多位驗證者共同簽署時，網路需要可靠的方式計算核准數量，同時避免永久攜帶不必要的資料。

BLS 聚合可將多項驗證者核准表示為一個精簡的密碼學物件，因此相當實用。

Ethereum 共識規範是採用 BLS 相關簽章邏輯的知名權益證明設計範例之一，其用途位於共識層。

這對加密貨幣教育很重要，因為它顯示 BLS 簽章並非只是一項理論上的密碼學概念。

實際區塊鏈系統會運用 BLS 簽章，支援大規模的驗證者協作。

若沒有聚合功能，驗證者數量龐大的系統可能需要更多頻寬和儲存空間，才能記錄相同程度的密碼學問責資訊。

BLS12-381 與 BLS 簽章

BLS 簽章常搭配一種適用於配對運算的橢圓曲線 BLS12-381 使用。

這可能令人困惑，因為 BLS 同時出現在簽章方案名稱和曲線家族名稱中。

在「BLS 簽章」中，BLS 代表 Boneh、Lynn 和 Shacham。

在「BLS12-381」中，BLS 則代表以 Barreto、Lynn 和 Scott 命名的一系列適用於配對運算的曲線。

兩者在實務上有關聯，因為 BLS 簽章需要適用於配對運算的曲線，而 BLS12-381 是現代加密貨幣系統常見的曲線選擇。

適用於配對運算的曲線支援 BLS 驗證所依賴的雙線性配對運算。

BLS12-381 之所以受歡迎，是因為在許多區塊鏈應用中，它兼顧了實際效能與強健的安全性。

不過，開發者不應假設所有使用 BLS12-381 的系統都能自動與其他 BLS 實作相容。

相容性也取決於密碼套件、序列化規則、雜湊至曲線方法、網域分離、子群檢查，以及協議是否採用持有權證明。

BLS 簽章方案的主要組成

BLS 簽章方案包含金鑰生成、簽署、驗證及聚合。

金鑰生成會建立私鑰與公鑰組。

簽署時會使用私鑰簽署特定訊息。

驗證則會檢查某個簽章對指定訊息和公鑰是否有效。

聚合會將多個簽章合併成一個簽章。

聚合驗證則會檢查合併後的簽章對相關訊息和公鑰是否有效。

許多實際實作還包含公鑰驗證、子群檢查、密碼套件識別碼、網域分離標籤，以及防範惡意金鑰攻擊的機制。

這些細節聽起來或許很專業，但對安全的加密貨幣基礎架構至關重要。

實作上的一個小錯誤，就可能讓原本強健的簽章方案變成脆弱的系統。

基本型、增強型與持有權證明 BLS 方案

CFRG BLS 草案說明了不同的 BLS 方案變體，以滿足不同的安全性與效能需求。

基本型方案較簡單，但涉及多個公鑰時必須謹慎處理。

增強型方案會將公鑰納入簽署訊息的輸入內容，有助於防範部分與聚合相關的問題。

持有權證明方案要求簽署者先證明自己確實掌握某個公鑰所對應的私鑰，該公鑰才會被接受用於聚合。

持有權證明很重要，因為若未妥善檢查公鑰，BLS 聚合可能受到惡意金鑰攻擊。

在惡意金鑰攻擊中，惡意參與者可能選擇一個數學上能抵銷或操控其他參與者金鑰的公鑰。

安全的系統會驗證金鑰，並要求使用者證明自己知道相符的私鑰，以防範這類攻擊。

對區塊鏈驗證者而言，這點尤其重要，因為驗證者身分和投票權重不能透過巧妙操控公鑰來偽造。

什麼是惡意金鑰攻擊？

惡意金鑰攻擊是多重簽章或聚合簽章系統可能面臨的威脅。

攻擊者不一定會直接破解密碼學。

相反地，攻擊者會註冊一個與他人公鑰相關聯的惡意公鑰。

如果協議未要求證明私鑰所有權，攻擊者就可能以不誠實的方式讓聚合簽章看起來有效。

因此，公鑰驗證與持有權證明對許多以 BLS 為基礎的加密貨幣系統至關重要。

完善的 BLS 設計不會只檢查最終簽章。

也會檢查每個公鑰是否有效、是否屬於聲稱的參與者，以及是否遵循正確的子群和編碼規則。

對使用者而言，重點很簡單：BLS 功能強大，但必須搭配正確的安全規則實作。

BLS 簽章與傳統數位簽章的比較

ECDSA 和 Schnorr 類型簽章等傳統數位簽章，可以證明私鑰所有權並授權交易。

BLS 簽章也具備這項基本功能，另外還加入了極具實用性的聚合特性。

由於配對運算的計算成本較高，個別驗證 BLS 簽章的速度可能比某些較簡單的簽章方案慢。

不過，若需要合併並共同驗證大量簽章，BLS 就可能更具吸引力。

這形成了個別驗證成本與聚合驗證效率之間的取捨。

若只是進行單筆簡單付款，BLS 不一定是顯而易見的最佳選擇。

若應用於驗證者委員會或門檻簽章系統，BLS 就很實用，因為能以精簡形式表示多個簽章。

加密協議會根據設計目標選擇簽章方案，而不是認定某一種簽章方案適用於所有情境。

多重簽章系統中的 BLS 簽章

多重簽章系統需要一位以上的簽署者核准某項操作。

例如，財務庫錢包可能要求多位團隊成員核准一筆轉帳。

BLS 簽章可支援多重簽章設計，因為不同私鑰產生的簽章可以合併。

如此一來，最終簽章可能比逐一儲存每項核准更精簡，也更容易驗證。

在某些設計中，鏈上 BLS 多重簽章看起來就像一個簽章，儘管實際上有多人參與核准。

這有助於提升隱私、減少資料量，並簡化複雜授權政策的處理方式。

不過，系統仍須具備安全的金鑰註冊、持有權證明、清楚的簽署規則，以及防範重放攻擊的措施。

只有周邊錢包或協議設計安全，精簡簽章才真正有用。

門檻密碼學中的 BLS 簽章

門檻密碼學允許一個群組共同控制簽署金鑰。

門檻規則可能要求 5 位成員中的 3 位、15 位驗證者中的 10 位，或其他最低數量的參與者共同產生有效簽章。

BLS 適用於部分門檻簽章設計，因為部分簽章可以合併成一個最終簽章。

這有助於去中心化系統避免依賴由單一個人或單一伺服器控制的私鑰。

在加密貨幣託管中，門檻簽章可減少單點故障。

在區塊鏈基礎架構中，門檻簽章可支援跨鏈橋、驗證者群組、預言機網路及去中心化治理系統。

主要優點是，任何單一簽署者都不必獨自掌握全部簽署權限。

主要風險則是門檻系統相當複雜，必須謹慎設計、稽核與營運。

BLS 簽章與區塊鏈跨鏈橋

區塊鏈跨鏈橋通常需要多位獨立參與者先確認某事件已在一個網路發生，另一個網路才會執行相關操作。

BLS 聚合可協助跨鏈橋營運者將多項核准壓縮成一份證明。

這能減少必須提交至鏈上的資料量。

資料量較少可能降低成本並改善使用體驗，尤其是目的鏈依運算或儲存用量收費時。

不過，BLS 簽章本身並不能讓跨鏈橋變得安全。

跨鏈橋仍取決於驗證者選擇、金鑰管理、詐欺控管、監控、升級規則，以及簽署群組的經濟安全性。

BLS 是密碼學工具，不是完整的信任模型。

使用者應評估整體跨鏈橋設計，而不應只關注簽章類型。

BLS 簽章與加密貨幣錢包

大多數日常加密貨幣錢包都不需要使用者直接了解 BLS 簽章。

使用者通常只會看到簡單的核准畫面、交易雜湊值或驗證者狀態頁面。

在幕後，驗證者、託管系統、質押基礎架構或多重簽章工具可能會使用 BLS。

採用 BLS 簽署的錢包必須像保護其他加密貨幣私鑰一樣，嚴肅保護私鑰。

若私鑰遭竊，攻擊者可能得以簽署訊息或參與協議操作。

若私鑰遺失，簽署者可能無法再使用簽署權限或控制驗證者。

BLS 常用於驗證者系統，因此金鑰管理不當可能導致錯失獎勵、遭受罰則或營運故障。

良好的錢包安全仍取決於可靠備份、安全裝置、防範網路釣魚，以及仔細檢查交易。

BLS 簽章的優點

BLS 簽章最大的優點是聚合功能。

聚合能減少表示多項核准所需的資料量。

這有助於區塊鏈網路更有效率地處理大型驗證者群組。

BLS 簽章也具備確定性，也就是相同金鑰和訊息會產生可預測的簽章流程，簽署時不需要依賴新的隨機值。

這有助於降低隨機性不足導致其他簽章方案失效時可能出現的某些風險。

從整體原理來看，BLS 簽章也相對簡潔，因為簽署與驗證遵循清楚的數學關係。

BLS 適用於多重簽章與門檻系統，因為多項簽署貢獻可以合併。

對加密貨幣基礎架構而言，這些優點有助於提升擴展性、驗證者協作效率、證明精簡度及協議設計的簡潔性。

BLS 簽章的限制與風險

BLS 簽章並非適用於所有加密貨幣情境的完美方案。

與較簡單的橢圓曲線運算相比，配對運算的成本可能較高。

實際實作細節也比基本概念所呈現的更複雜。

開發者必須正確處理雜湊至曲線規則、子群檢查、序列化、網域分離、金鑰驗證及持有權證明邏輯。

若這些部分處理不當，系統可能接受無效金鑰、允許重放攻擊，或無法提供預期的安全性。

驗證者使用必須持續保持連線以定期簽署的熱金鑰時，BLS 簽章也可能帶來營運風險。

熱金鑰方便自動簽署，但相比完全離線儲存的金鑰，更容易暴露於風險之中。

因此，採用 BLS 的驗證者系統需要強健的營運安全、監控、Slashing 防護及安全備份做法。

什麼是 BLS 的網域分離？

網域分離是一種確保某項用途產生的簽章不會被挪作其他用途的方法。

在加密貨幣領域，相同的訊息位元組可能出現在不同情境中。

若沒有網域分離，原本用於某項協議操作的簽章可能會被誤認為核准另一項操作。

BLS 系統通常會使用網域分離標籤或密碼套件識別碼，將簽章綁定至特定用途。

這有助於防範重放攻擊與跨協議混淆。

例如，驗證者投票、提領相關訊息及治理核准不應共用相同簽署情境，除非協議明確允許。

網域分離也是使用相同曲線的兩個 BLS 系統仍可能不相容的原因之一。

曲線只是完整簽章規範的一部分。

什麼是 BLS 的雜湊至曲線？

雜湊至曲線是將訊息轉換為橢圓曲線上有效點的流程。

BLS 簽署需要這個步驟，因為簽章是由與訊息相關的曲線點產生。

一般雜湊函式會產生位元組，但 BLS 需要正確數學群組中的點。

轉換過程必須避免偏差、無效點及側通道弱點。

因此，現代實作會採用規格完善的雜湊至曲線方法，而非自行設計的簡化作法。

橢圓曲線雜湊標準十分重要，因為它為開發者提供更安全的流程指引。

使用者看不到雜湊至曲線的過程，但這是確保 BLS 簽署可靠的重要技術細節之一。

BLS 簽章在加密貨幣中的常見用途

許多需要以精簡證明呈現多項核准的加密貨幣系統，都已使用或考慮採用 BLS 簽章。

權益證明共識可透過 BLS 聚合有效率地收集驗證者投票。

質押系統可使用 BLS 金鑰執行驗證者簽署工作。

門檻託管系統可使用 BLS 類型簽署，降低單一金鑰帶來的風險。

跨鏈橋協議可使用聚合簽章證明委員會已核准跨鏈事件。

預言機網路可使用聚合簽章確認多個來源的資料報告。

去中心化治理系統可使用聚合簽章壓縮多位參與者的核准資訊。

Layer 2 系統若需要有效率的批次驗證或委員會核准，也可使用 BLS 簽章。

共同特點是：簽署者越多，BLS 通常越有用。

使用者應如何理解 BLS 簽章

加密貨幣使用者不必計算配對或橢圓曲線點，也能理解 BLS 的價值。

實際概念是，BLS 能將多個簽章轉化為一份證明。

這能提升驗證者系統的效率，並協助網路擴展共識通訊能力。

使用者也應了解，BLS 簽章的安全性仍取決於周邊系統。

私鑰必須受到保護。

公鑰必須經過驗證。

訊息必須清楚定義。

實作必須遵循正確規範。

協議必須防範重放攻擊、惡意金鑰攻擊及不安全的聚合方式。

符合這些條件時，BLS 簽章就能成為現代區塊鏈基礎架構中最實用的密碼學工具之一。

常見問題

BLS 簽章中的 BLS 代表什麼？

BLS 代表 Boneh、Lynn 和 Shacham，他們是提出短簽章方案的研究人員。

BLS 簽章在加密貨幣領域有什麼用途？

BLS 簽章可用來證明私鑰持有者已核准訊息，也能將多項核准聚合成一個精簡簽章。

BLS 簽章為何對區塊鏈很有用？

BLS 簽章能減少區塊鏈需要儲存、傳輸和驗證的簽章資料量，因此相當實用。

什麼是 BLS 簽章聚合？

BLS 簽章聚合是將多個 BLS 簽章合併成一個簽章，同時仍能證明多位簽署者參與的流程。

BLS 簽章與 BLS12-381 相同嗎？

不同。BLS 簽章是一種簽章方案，而 BLS12-381 是一種適用於配對運算的橢圓曲線，常用來實作 BLS 簽章。

什麼是 BLS 的惡意金鑰攻擊？

惡意金鑰攻擊是惡意簽署者註冊經操控的公鑰，企圖以不誠實的方式讓聚合簽章看起來有效。

BLS 系統如何防範惡意金鑰攻擊？

BLS 系統可透過公鑰驗證、持有權證明及安全的聚合規則，防範惡意金鑰攻擊。

BLS 簽章比其他簽章更快嗎？

單一簽章的處理速度不一定較快，但聚合並共同驗證大量簽章時，BLS 簽章可能更有效率。

BLS 簽章能保護私鑰嗎？

不能。BLS 簽章只能證明私鑰簽署了訊息；使用者和驗證者仍須採取強健的安全措施保護私鑰。

驗證者為什麼使用 BLS 金鑰？

驗證者可能使用 BLS 金鑰，因為 BLS 聚合能協助網路以較少資料收集並驗證多位驗證者的投票。

結論

BLS 簽章是一種在現代加密貨幣基礎架構中扮演重要角色的數位簽章方案。

它的主要優點是能將多個簽章聚合成一份精簡證明。

因此，BLS 簽章特別適用於權益證明驗證者、多重簽章系統、門檻簽署、跨鏈橋、預言機網路，以及其他依賴多方獨立核准的加密貨幣系統。

BLS 簽章仰賴適用於配對運算的橢圓曲線、安全的雜湊至曲線方法、謹慎的公鑰驗證及完善的網域分離。

它可以減少資料量並提升協議效率，但必須依照嚴格的安全規則實作。

對一般加密貨幣使用者而言，重點很簡單：BLS 簽章能協助區塊鏈以較少資料證明多個簽章。

對開發者和驗證者而言，更深入的重點是：只有完整系統正確處理金鑰、訊息、聚合與驗證時，BLS 才能發揮效用。