Fiat–Shamir 轉換

什麼是 Fiat–Shamir 轉換？

Fiat–Shamir 轉換是一種密碼學技術，可將特定互動式證明協議轉換為非互動式證明或數位簽章。

此技術免除驗證者直接向證明者傳送全新隨機挑戰的需求。

證明者改為對協議逐字稿、公開陳述、承諾、訊息與其他必要上下文進行雜湊，以計算挑戰。

產生的證明只需建立一次，之後任何取得相同公開資訊的人都能驗證。

此技術也稱為 Fiat–Shamir 啟發式，因為其安全性通常依賴將密碼學雜湊函數建模為隨機預言機。

Amos Fiat 與 Adi Shamir 於 1986 年的研究《如何證明自己：識別與簽章問題的實用解決方案》中提出此方法。

Fiat–Shamir 轉換對加密貨幣很重要，因為區塊鏈系統不一定能支援每位證明者與驗證者之間反覆進行私人通訊。

非互動式證明可納入交易、區塊、智能合約呼叫、Rollup 證明、簽章與跨鏈訊息。

Fiat–Shamir 轉換解決什麼問題？

許多知識證明協議最初被設計成證明者與驗證者之間的對話。

證明者首先對隱藏的隨機數或與秘密相關的資訊作出承諾。

接著，驗證者傳送一個隨機挑戰，而證明者在作出承諾前無法預測該挑戰。

證明者使用秘密見證值與挑戰作出回應。

驗證者會檢查承諾、挑戰、回應與公開陳述是否符合協議方程式。

在去中心化網路中，這種互動可能不方便，因為證明者與驗證者必須同時在線並交換多則訊息。

區塊鏈交易之後可能由數千個節點各自檢查，而這些節點在建立證明時並未參與。

Fiat–Shamir 轉換以可由所有驗證者重新計算的決定性雜湊挑戰，取代驗證者即時產生的隨機挑戰。

這會產生可攜式證明逐字稿，可儲存、傳送並驗證，而不必聯絡原始證明者。

互動式證明如何運作？

常見的三訊息互動式協議包含承諾、挑戰與回應。

證明者知道一個稱為見證值的秘密值。

公開陳述說明證明者聲稱知道什麼，或聲稱已正確完成什麼計算。

第一步，證明者取樣私有隨機數並產生承諾。

第二步，驗證者產生不可預測的隨機挑戰。

第三步，證明者結合見證值、私有隨機數與挑戰計算回應。

只有當回應符合承諾、挑戰與公開陳述時，驗證者才會接受。

建立承諾時，挑戰必須仍不可預測。

否則，不誠實的證明者可能預先建立只適用於某個事先選定挑戰的承諾。

Fiat–Shamir 轉換如何運作？

此轉換移除驗證者的第二則訊息，並以密碼學雜湊計算取代。

證明者首先建立互動式協議中使用的相同承諾。

接著，證明者對公開陳述、承諾、訊息、協議識別資訊與其他必要逐字稿資料進行雜湊。

雜湊輸出會轉換為協議有效挑戰空間中的挑戰。

證明者使用此挑戰與秘密見證值計算回應。

最終的非互動式證明通常包含承諾與回應；驗證者則可重新計算挑戰。

驗證者重建逐字稿、計算相同的雜湊挑戰，並執行原始驗證方程式。

簡化後的轉換可表示為：

確切的輸入與編碼規則對安全性至關重要。

Schnorr 協議範例

Schnorr 身分識別協議是 Fiat–Shamir 轉換的清楚範例。

假設循環群有生成元

與階數 。

證明者持有私鑰

與公鑰 。

證明者想證明自己知道

，但不揭露該值。

在互動式協議中，證明者會選擇隨機值

，並傳送承諾 。

驗證者以隨機挑戰

回應。

證明者計算

。

驗證者檢查

是否成立。

有效回應表示證明者能針對不可預測的挑戰滿足該方程式。

將 Fiat–Shamir 應用於 Schnorr 協議

非互動版本會以雜湊取代驗證者產生的挑戰。

證明者計算例如

的挑戰。

接著，證明者計算

。

證明或簽章會包含承諾

與回應 。

驗證者會根據相同的公鑰、承諾、上下文與訊息重新計算挑戰。

若 Schnorr 驗證方程式成立，驗證者便會接受。

RFC 8235 規範了一種由三階段 Schnorr 身分識別方案透過 Fiat–Shamir 轉換建立的 Schnorr 非互動式零知識證明。

轉換如何建立數位簽章

身分識別證明可證明證明者知道與某個公開身分相關的秘密。

若要建立數位簽章，挑戰也必須綁定特定訊息。

訊息變更時，雜湊輸出也會改變，因此挑戰亦會不同。

針對某筆交易建立的證明，通常無法重複用作另一筆交易的有效簽章。

簽署者的回應會證明其知道私鑰，並將此知識與簽署的訊息綁定。

這種從身分識別轉換為簽章的模式，是 Fiat–Shamir 轉換最重要的用途之一。

Fiat–Shamir 與 Bitcoin Schnorr 簽章

Bitcoin 的 BIP 340 規範 secp256k1 橢圓曲線上的 Schnorr 簽章。

簽章挑戰是透過對 nonce 承諾、公鑰與訊息進行雜湊而導出。

這符合 Fiat–Shamir 轉換所採用的非互動式 Schnorr 簽章模式。

BIP 340 也使用標記雜湊，將其雜湊計算與其他協議用途區隔。

標記雜湊會在輸入前加上由協議專屬標籤導出的值。

這可降低相同雜湊函數與輸入格式被解讀為兩種不同密碼學操作的風險。

BIP 340 簽章用於 Bitcoin 的 Taproot 交易規則。

此轉換的適用範圍不只 Bitcoin，也能用於許多證明系統、代數群與密碼學假設。

Fiat–Shamir 在零知識證明系統中的應用

現代零知識證明系統通常先以證明者與驗證者之間互動的方式描述協議。

證明者會傳送多項式承諾、Merkle 根、群元素或其他訊息。

驗證者則會回覆隨機域元素或查詢位置。

Fiat–Shamir 會從逐字稿導出這些挑戰，而非要求驗證者即時參與。

如此一來，證明便可在鏈下產生，之後由區塊鏈節點或智能合約驗證。

此轉換用於支援隱私交易、有效性證明、可擴展 Rollup、可驗證運算與區塊鏈互通性的系統。

Fiat–Shamir 在 Halo2 中的應用

Halo2 在分析時會以互動式方式描述其證明協議，但透過 Fiat–Shamir 轉換實現非互動式證明。

逐字稿包含承諾與其他證明者訊息。

密碼學雜湊輸出會轉換為驗證者挑戰，用於多項式求值與證明檢查。

Halo2 協議文件說明，透過以密碼學強度足夠的雜湊函數取代驗證者，公開擲幣式互動論證即可轉為非互動式論證。

Halo2 也會分析相關安全屬性，納入證明者建立與重新檢視逐字稿狀態的能力。

這說明安全應用 Fiat–Shamir 並非只要以一次雜湊呼叫取代亂數產生器。

Fiat–Shamir 在 STARK 證明中的應用

STARK 證明系統會使用多輪承諾與驗證者挑戰。

這些挑戰可用來決定隨機係數、多項式求值點與低次測試查詢。

Fiat–Shamir 通道會從不斷更新的證明逐字稿中導出這些非互動式隨機值。

證明者會先將承諾納入通道，再要求產生下一個挑戰。

驗證者會重複相同的逐字稿操作，並取得相同挑戰。

STARK 證明者文件說明，Fiat–Shamir 通道會在整個證明建構過程中產生非互動式隨機值。

若承諾或公開輸入改變，後續挑戰也應隨之改變。

什麼是隨機預言機模型？

隨機預言機模型是一種安全模型，將雜湊函數視為理想的公開隨機函數。

每個唯一輸入都會取得彼此獨立的隨機輸出。

重複使用相同輸入時，輸出始終相同。

任何人都能查詢預言機，但若未提出相應查詢，就無法預測新的輸出。

實際雜湊函數是決定性演算法，而非理想隨機預言機。

若 Fiat–Shamir 的安全性證明採用隨機預言機模型，代表其安全性是在此理想化假設下成立。

實作者接著會以實際的密碼學雜湊函數實現預言機，並相信該函數在協議用途上足以近似此模型。

隨機預言機模型很有用，但在此模型下的證明，並不等於對所有可能的雜湊實作都無條件安全。

為什麼雜湊必須包含完整逐字稿？

每個挑戰都應綁定所有會影響其意義的先前協議資訊。

這些資訊可能包括公開參數、公鑰、陳述、承諾、訊息、先前挑戰、鏈識別碼與協議版本。

省略重要值可能讓證明被移用到其他上下文。

若原本只應適用於單一公鑰、應用程式、區塊鏈網路或協議階段，證明卻可能在兩者間都有效。

在多輪證明中，每個挑戰都應取決於該挑戰產生前累積的逐字稿。

證明者必須先對先前資料作出承諾，才能得知導出的挑戰。

只雜湊最終訊息，可能破壞互動式協議所需的順序保證。

什麼是領域分離？

領域分離可確保一種雜湊操作不會與使用相同底層函數的另一種雜湊操作混淆。

協議可在前面加上唯一標籤，例如協議名稱、版本、網路、證明階段或操作類型。

即使其他資料完全相同，標籤仍會改變雜湊輸入。

若沒有領域分離，一個協議中作為挑戰產生的值可能在另一個協議中被解讀為 nonce、承諾或挑戰。

在加密貨幣軟體中，領域分離尤其重要，因為相同雜湊函數可能會重複用於交易識別碼、簽章、Merkle 樹、金鑰推導與證明逐字稿。

BIP 340 中的協議專屬標記雜湊，是此防護方式的實際範例。

為什麼標準編碼很重要？

證明者與驗證者必須對完全相同的位元組序列進行雜湊。

數學值有時可能存在多種有效位元組表示法。

整數可能採用不同長度、位元組順序或前置零進行編碼。

橢圓曲線點可能有壓縮、未壓縮或無效的其他編碼方式。

若未明確編碼元素長度與界線，清單可能產生歧義。

標準序列化會為每個有效逐字稿值定義唯一可接受的表示法。

長度前綴、型別標籤、固定寬度欄位與嚴格解碼規則，有助於避免歧義。

實作應拒絕非標準值，而非以不同驗證者可能處理不一致的方式進行正規化。

挑戰長度與可靠度

挑戰空間會影響不誠實的證明者在不知道有效見證值的情況下成功的機率。

只有 1 位元的挑戰，會讓作弊者在單輪中有相對高的猜中機率。

重複執行協議或使用更大的挑戰，可降低此可靠度錯誤。

雜湊輸出必須轉換為足夠大的挑戰，以符合所需安全等級。

若過度截短挑戰，可能削弱證明安全性。

將雜湊輸出映射至域或群階數時，也必須避免不可接受的統計偏差。

協議可採用拒絕取樣、寬位元縮減或其他有文件說明的方法，正確導出挑戰。

什麼是 Fiat–Shamir 磨算？

磨算是指證明者反覆更改允許調整的承諾隨機數，並對每種逐字稿雜湊，直到出現有利挑戰為止。

由於挑戰是在本機產生，而非由獨立的即時驗證者提供，證明者可以進行這種搜尋。

安全性分析必須納入雜湊查詢次數與挑戰空間大小。

若挑戰空間夠大，在協議假設下，實際利用磨算取得有利結果便難以計算完成。

若證明者控制的值並非必要，應避免將其加入逐字稿，以免降低磨算成本或造成偏差。

使用 Fiat–Shamir 的證明系統必須分析此行為，而非假設證明者只會誠實地進行一次雜湊查詢。

重放與上下文綁定風險

非互動式證明是一種公開資料物件，因此可能遭到複製。

若證明只用來證明不隨時間改變的公開陳述，複製通常沒有問題。

若應用程式錯誤地將持有證明視為執行了新操作或提供了新授權的證據，複製就會帶來風險。

逐字稿可包含交易識別碼、接收方、網路、工作階段值、合約地址、到期時間或應用程式專屬 nonce。

這能將證明綁定至預定上下文。

若驗證者沒有確認該上下文值是否符合目前要求，加入上下文值也無法解決問題。

新鮮度要求應由完整應用程式協議處理，而不只是證明方程式。

Fiat–Shamir 會自動提供零知識性嗎？

不會，此轉換不會自動讓任何協議都具有零知識性。

原始互動式協議必須具備適當的零知識或誠實驗證者零知識屬性。

轉換後的協議也必須在所選安全模型下進行分析。

承諾可能需要盲化隨機數，以避免洩漏見證值。

逐字稿挑戰可能需要限制，避免特殊值洩漏私人資訊。

證明可以是非互動式，但不具零知識性。

「非互動式」只代表證明者不必接收驗證者即時傳送的訊息，就能產生證明。

Fiat–Shamir 會自動提供可靠度嗎？

不會，安全地轉換某一個協議，不代表所有類似協議都安全。

原始互動式協議必須具備所需的可靠度、特殊可靠度或知識證明屬性。

雜湊輸入與挑戰映射必須保留先承諾、後挑戰的預期順序。

部分協議在轉換後需要更強的假設或專門證明。

某種建構可能在經典隨機預言機模型中安全，卻沒有足夠的量子攻擊者安全性證明。

開發者應採用經審查且具有安全性證明的建構，而非非正式地將 Fiat–Shamir 套用於新協議。

Fiat–Shamir 與後量子密碼學

Fiat–Shamir 設計模式也出現在後量子簽章研究中。

以格、編碼或多方計算為基礎的身分識別方案，可利用雜湊導出的挑戰建立簽章。

部分格基簽章使用稱為「帶中止的 Fiat–Shamir」的變體。

若中間回應可能洩漏資訊或不符合可接受分布，簽署者可能會重新開始部分簽署程序。

NIST FIPS 204 標準化了 ML-DSA，這是一種源自 Dilithium 設計、以模組格為基礎的數位簽章演算法。

存在後量子簽章標準，不代表所有經典 Fiat–Shamir 證明都能抵禦量子電腦攻擊。

Fiat–Shamir 與量子隨機預言機模型

量子攻擊者可能以多個輸入的疊加狀態查詢模型化的隨機預言機。

這不同於一次提交一筆一般查詢的經典攻擊者。

經典隨機預言機證明不會自動在量子隨機預言機模型（通常縮寫為 QROM）中繼續成立。

密碼學研究人員已提出額外證明技術與協議條件，用於分析 Fiat–Shamir 建構如何抵禦量子攻擊者。

因此，後量子安全性的主張應以涵蓋 QROM 或其他適當量子安全模型的分析為依據。

僅將經典群替換為格問題，本身並不足以確保安全。

Fiat–Shamir 與門檻簽章

門檻簽章會將簽署權分配給多位參與者。

所需數量的參與者會合作產生一個有效簽章，而不必在同一處重建完整私鑰。

門檻 Schnorr 協議必須謹慎協調 nonce 承諾與挑戰計算。

挑戰必須綁定組合公鑰、組合 nonce 承諾、訊息、參與者上下文與協議規則。

逐字稿建構錯誤可能導致 nonce 操縱、惡意公鑰行為或跨工作階段攻擊。

RFC 9591 規範了 FROST 門檻 Schnorr 簽章協議及其以雜湊為基礎的密碼套件操作。

Fiat–Shamir 轉換的優點

此轉換可免除相容證明系統中驗證者的即時互動。

證明只需建立一次，就能由許多區塊鏈節點各自驗證。

它減少通訊輪次，並簡化非同步驗證。

證明可納入交易、區塊、智能合約與分散式儲存。

驗證者不必提供私人隨機數或維持互動工作階段，也能檢查相同證明。

此轉換也提供從身分識別協議實際建立數位簽章方案的方法。

對可能永遠不會直接通訊的去中心化網路而言，這些特性非常有價值。

Fiat–Shamir 轉換的限制

此轉換通常依賴隨機預言機模型。

它無法安全地轉換所有互動式證明。

逐字稿遺漏資訊與編碼不一致，可能造成嚴重漏洞。

證明者可以重複計算雜湊，因此安全性分析必須納入磨算行為。

若應用程式未將非互動式證明綁定至適當上下文，證明就可能遭到重放。

量子安全性需要另外分析。

此轉換無法保護實作免於側通道資訊洩漏、隨機數品質不佳、記憶體損毀或私鑰遭竊。

即使移除互動，產生證明仍可能需要大量運算。

Fiat–Shamir 轉換與互動式證明的差異

互動式證明需要在證明者與驗證者之間傳遞訊息。

驗證者會在互動過程中提供全新的隨機挑戰。

Fiat–Shamir 證明則從逐字稿雜湊導出這些挑戰。

非互動式證明更容易分發，也更適合非同步驗證。

互動式協議可依賴真正由驗證者產生的隨機數；轉換後的協議則依賴雜湊函數具有類似隨機預言機的行為。

Fiat–Shamir 轉換與非互動式零知識證明的差異

Fiat–Shamir 轉換是建構非互動式證明的一種方法。

非互動式零知識證明（NIZK）則是更廣泛的一類證明，不需要驗證者即時互動，也不會洩漏受保護的見證資訊。

部分 NIZK 使用 Fiat–Shamir；其他則採用共同參考字串、可信設定、透明設定或不同的密碼學技術。

將證明稱為非互動式，並未說明其建構方法。

Fiat–Shamir 轉換與數位簽章的差異

數位簽章使用私鑰與公開驗證金鑰驗證訊息。

Fiat–Shamir 轉換是一種建構技術，可將某些身分識別協議轉為簽章方案。

並非所有數位簽章都是透過 Fiat–Shamir 建立。

也並非所有 Fiat–Shamir 證明都用於數位簽章。

證明可能用來證明知道某個見證值或計算正確，而非驗證個人或錢包身分。

Fiat–Shamir 轉換與雜湊至曲線的差異

雜湊至曲線會將任意輸入資料轉換為橢圓曲線上的有效點。

Fiat–Shamir 則將逐字稿資料轉換為驗證者挑戰。

證明系統可能同時使用這兩種操作。

挑戰可能是純量，而另一個協議元件可能需要雜湊導出的曲線點。

兩種處理程序都需要各自的領域分離與編碼規則。

Fiat–Shamir 轉換與承諾揭露的差異

承諾揭露協議要求參與者先公開承諾，之後再揭露隱藏值。

此方法可用來減少對共享隨機數的預先掌握或操縱。

Fiat–Shamir 不會等待之後公開揭露隨機數。

它會從現有逐字稿產生決定性挑戰。

承諾揭露與 Fiat–Shamir 解決的是不同的協調問題，儘管兩者都使用密碼學承諾與雜湊。

實作最佳做法

開發者應使用已公開並經審查 Fiat–Shamir 安全性分析的證明系統。

逐字稿應包含定義陳述與上下文的所有公開值。

每個協議與證明階段都應使用獨特的領域分離。

所有值都應使用標準序列化，並明確標示型別與長度界線。

產生相依的挑戰前，必須先納入承諾。

挑戰輸出應使用文件說明的無偏差方法映射至域或群。

無效點、非標準純量、禁止的域值與格式錯誤的逐字稿都應遭拒絕。

證明者隨機數與簽章 nonce 必須安全產生，或以核准的決定性方法導出。

實作應測試陳述、承諾、訊息、網路識別碼或協議版本改變時，導出的挑戰是否也隨之改變。

測試向量應涵蓋逐字稿順序、編碼、領域標籤、空值、邊界值與格式錯誤的證明。

常見 Fiat–Shamir 實作錯誤

一種錯誤是只對承諾進行雜湊，卻未將公開陳述納入雜湊。

另一種錯誤是證明預計用作簽章時，未將訊息納入雜湊。

使用有歧義的串接方式，可能讓兩種不同逐字稿產生相同位元組字串。

不相關的協議若使用相同領域標籤，可能造成跨協議混淆。

在納入所有先前證明者訊息前就產生後續挑戰，會破壞逐字稿順序。

將短雜湊直接縮減至大型域，可能造成挑戰熵不足。

接受非標準曲線點或純量，可能導致不同實作對不同表示法進行雜湊。

重複使用證明者隨機數，可能在類似 Schnorr 的協議中洩漏秘密見證值。

假設經典證明自然就具備後量子安全性，也是嚴重錯誤。

Fiat–Shamir 轉換為何對加密貨幣很重要？

加密貨幣網路需要由世界各地參與者獨立驗證的證明。

區塊鏈交易不能依賴與每個未來驗證節點之間的私人對話。

Fiat–Shamir 能將互動式密碼學推理封裝成靜態證明物件。

這支援精簡簽章、隱私系統、零知識 Rollup、可驗證智能合約執行、門檻錢包及其他區塊鏈應用。

此轉換也展現了加密貨幣設計的一項重要原則。

雜湊函數不只能建立交易識別碼，也能產生看似不可預測的挑戰，將完整協議逐字稿串連起來。

要發揮此功能，必須採用謹慎的建構方式、精確的序列化、強健的領域分離與適當的安全性證明。

常見問題

Fiat–Shamir 轉換有什麼作用？

它以根據逐字稿進行密碼學雜湊而導出的挑戰，取代特定互動式協議中驗證者產生的隨機挑戰。

Fiat–Shamir 為什麼對加密貨幣有用？

它讓區塊鏈節點之後能驗證證明與簽章，而不必與證明者即時互動。

誰創建了 Fiat–Shamir 轉換？

Amos Fiat 與 Adi Shamir 在 1986 年發表的研究中提出此技術。

Fiat–Shamir 轉換與雜湊函數相同嗎？

不同，它是一種利用雜湊函數產生驗證者挑戰的協議轉換。

什麼是互動式證明？

這是一種證明者與驗證者交換承諾、挑戰與回應的協議。

什麼是公開擲幣式協議？

這是一種互動式協議，其中驗證者的訊息由公開可見的隨機挑戰構成。

什麼是 Fiat–Shamir 逐字稿？

它是證明所使用的公開參數、陳述、承諾、挑戰、回應、訊息與上下文的有序集合。

什麼是隨機預言機模型？

這是一種理想化安全模型，將雜湊函數視為輸出一致的公開隨機函數。

實際的雜湊函數是隨機預言機嗎？

不是，實際雜湊函數具有決定性，但協議可能會在分析時將其視為具有理想隨機預言機的行為。

Fiat–Shamir 會自動產生零知識性嗎？

不會，原始協議與轉換後的建構都必須符合所需的零知識條件。

Fiat–Shamir 會建立數位簽章嗎？

若將訊息納入挑戰雜湊，它可以將特定身分識別協議轉換為簽章。

Bitcoin 使用 Fiat–Shamir 模式嗎？

Bitcoin 的 BIP 340 Schnorr 簽章使用雜湊導出的挑戰，將 nonce 承諾、公鑰與訊息綁定。

Fiat–Shamir 用於零知識 Rollup 嗎？

許多 Rollup 證明系統使用 Fiat–Shamir 類型的逐字稿挑戰，將互動式證明協議轉為非互動式。

Fiat–Shamir 用於 STARK 嗎？

是，STARK 證明者與驗證者可使用 Fiat–Shamir 通道，從承諾導出非互動式挑戰。

Fiat–Shamir 用於 Halo2 嗎？

是，Halo2 透過 Fiat–Shamir 將其互動式證明描述實現為非互動式論證。

什麼是領域分離？

領域分離會在雜湊輸入中加入協議專屬標籤，避免不同密碼學操作的輸出遭到混淆。

為什麼必須對公鑰進行雜湊？

對公鑰進行雜湊可將證明或簽章綁定至預定身分，並有助於避免金鑰替換或跨金鑰攻擊。

為什麼必須對訊息進行雜湊？

將訊息納入雜湊，可確保針對某則訊息建立的簽章無法用於另一則訊息。

什麼是挑戰磨算？

挑戰磨算是指反覆產生承諾，直到逐字稿雜湊產生對證明者有利的挑戰。

Fiat–Shamir 證明可能遭到重放嗎？

公開證明可能遭到複製，因此需要新鮮度的協議必須加入並驗證適當的工作階段或交易上下文。

什麼是標準序列化？

標準序列化會為每個逐字稿值指定唯一可接受的位元組表示法。

為什麼逐字稿順序很重要？

每個挑戰都必須取決於所有先前訊息，避免證明者在得知挑戰後才更改承諾。

Fiat–Shamir 可以用於橢圓曲線嗎？

可以，Schnorr 證明與簽章通常會在橢圓曲線群中使用此方法。

Fiat–Shamir 可以用於後量子密碼學嗎？

可以，相關建構出現在後量子簽章中，但其安全性需要適當的量子分析。

什麼是量子隨機預言機模型？

這是一種允許量子攻擊者以量子疊加方式查詢隨機預言機的模型。

經典安全性證明能繼續適用於量子攻擊者嗎？

不一定，因為該證明可能未納入量子預言機查詢或量子擷取限制。

什麼是帶中止的 Fiat–Shamir？

這是一種變體，若回應不符合必要的分布或大小條件，簽署者便可重新開始。

Fiat–Shamir 需要可信設定嗎？

不需要，此轉換本身不要求可信設定，但底層證明系統可能另有設定需求。

智能合約可以驗證 Fiat–Shamir 證明嗎？

可以，前提是合約能重新計算逐字稿雜湊，並有效檢查證明方程式。

最大的實作風險是什麼？

常見主要風險包括逐字稿綁定不完整、編碼有歧義、領域分離不足、nonce 產生方式薄弱，以及安全假設未經驗證。

結論

Fiat–Shamir 轉換可將相容的公開擲幣式互動協議轉為非互動式證明或數位簽章。

它以根據證明逐字稿進行密碼學雜湊而導出的挑戰，取代驗證者即時產生的不可預測挑戰。

因此，證明只需建立一次，即可由區塊鏈節點、錢包、智能合約與其他加密貨幣應用獨立驗證。

此轉換支援 Schnorr 簽章、零知識證明系統、STARK、Halo2 類型協議、門檻簽章與後量子簽章研究。

其安全性取決於原始互動式協議的特性，以及用於建模雜湊函數的假設。

正確實作必須以標準逐字稿綁定完整陳述、承諾、訊息、公開參數、上下文與協議版本。

實作也必須採用強健的領域分離、足夠長的挑戰、安全的 nonce 產生方式，以及經仔細審查的挑戰映射規則。

Fiat–Shamir 轉換並非能自動提升所有證明協議安全性的工具。

它是一種強大的建構方式，但其安全性取決於嚴謹的協議設計、實作紀律，以及對經典與量子攻擊者進行的安全性分析。