雜湊簽章

什麼是雜湊簽章？

雜湊簽章是一種數位簽章系統，其安全性主要建構於加密雜湊函數，而非橢圓曲線、整數分解或離散對數。

持有私密簽署金鑰的人可以藉此證明，加密貨幣交易、區塊鏈訊息、軟體更新或其他資料已由該金鑰授權。

驗證者可以使用相應的公開金鑰，確認簽署資料未遭竄改，且簽章是由經授權的簽署者建立。

雜湊簽章在加密貨幣領域尤其重要，因為它被視為後量子數位簽章技術的主要形式之一。

目前區塊鏈常用的簽章仰賴特定數學問題，而足夠強大的量子電腦可能威脅這些問題的安全性。

雜湊式系統則依賴加密雜湊函數的安全特性；一般認為，只要採用足夠大的安全參數，這些函數在量子運算環境中仍可使用。

美國國家標準暨技術研究院於 FIPS 205 中標準化了無狀態雜湊式數位簽章演算法（Stateless Hash-Based Digital Signature Algorithm），簡稱 SLH-DSA。

XMSS 與 LMS 等有狀態方案則納入NIST 特別出版物 800-208。

雜湊簽章不是加密貨幣挖礦雜湊、錢包地址、交易識別碼或一般訊息雜湊。

它是一套由雜湊式建構元件組成的完整公私鑰簽章系統。

數位簽章為何對加密貨幣很重要

數位簽章對加密貨幣至關重要，因為使用者可以透過數位簽章授權交易，而不必揭露私鑰。

錢包傳送加密貨幣時，通常會使用私鑰對交易資料產生簽章。

網路參與者會先使用公開資訊驗證簽章，再判斷是否接受該交易。

有效簽章顯示，交易已由掌控所需簽署金鑰的人授權。

簽章也能保護交易完整性，因為如果簽署資料遭到修改，驗證應會失敗。

數位簽章也可用於授權驗證者訊息、治理投票、智能合約操作、跨鏈訊息、軟體發布、預言機更新與多重簽章核准。

Bitcoin 的公開文件在Bitcoin 網路概述中說明，交易真實性透過與傳送地址相關的數位簽章受到保護。

未來，雜湊簽章可能執行類似的授權功能，同時對量子攻擊提供更強的防護。

雜湊簽章如何運作

雜湊簽章系統會從構成私密簽署資料一部分的隨機秘密值開始。

簽署者會對這些值套用加密雜湊函數，產生相關的公開值。

簽署訊息時，系統會根據訊息摘要揭露或處理選定的私密值。

驗證者會對揭露的值進行雜湊，並確認結果是否符合預期的公開資訊。

基本的一次性簽章系統，每個私鑰只能安全地驗證一則訊息。

Merkle 樹可將多個一次性公開金鑰，以單一精簡根值表示。

Merkle 樹的根可以作為主要公開金鑰。

簽章會包含一個一次性簽章，以及一條驗證路徑，用來證明該一次性公開金鑰屬於已承諾的 Merkle 樹。

更進階的系統會結合多棵樹、一次性簽章、少次簽章、偽隨機金鑰產生及階層式結構，以支援大量簽章。

什麼是加密雜湊函數？

加密雜湊函數會將幾乎任何長度的資料轉換為固定長度的輸出。

輸出通常稱為雜湊、摘要或訊息摘要。

安全的雜湊函數應使人難以從輸出還原原始輸入。

它也應使人難以找到兩個會產生相同輸出的不同輸入。

輸入即使只發生細微變化，產生的摘要也應有明顯差異。

加密貨幣網路會將雜湊函數用於交易識別碼、區塊承諾、Merkle 樹、工作量證明系統、地址建構及許多其他用途。

雜湊簽章方案則以這些函數為基礎，建立公鑰驗證機制。

簽章的安全性取決於所選雜湊函數、參數大小、領域分離、實作品質與金鑰管理規則。

雜湊簽章並不等於雜湊運算

對交易進行雜湊，與簽署交易並不相同。

通常任何人都能計算公開資料的雜湊值。

數位簽章則需要只有經授權簽署者才應持有的秘密資訊。

一般訊息雜湊可以顯示資料是否變更，卻無法證明是誰核准資料。

雜湊簽章結合秘密簽署資料、公開驗證資料與安全雜湊運算，提供身分驗證功能。

這項區別很重要，因為加密貨幣系統使用雜湊與簽章來達成不同的安全目的。

一次性雜湊簽章

一次性簽章方案的設計目標，是讓一個私鑰只能安全地簽署一則訊息。

最早的案例之一是 Lamport 一次性簽章方案。

Lamport 私鑰包含許多隨機秘密值。

公開金鑰則包含這些秘密值的雜湊。

訊息摘要會決定簽章中要揭露哪些秘密值。

驗證者會對揭露的值進行雜湊，並與公開金鑰比較。

主要限制是，同一個私鑰若重複簽署多則訊息，就會揭露更多秘密資訊。

重複使用足夠多次，攻擊者可能就能偽造簽章。

因此，一次性簽章雖是強大的密碼學建構元件，但仍需要系統來建立並驗證許多獨立的一次性金鑰。

Winternitz 一次性簽章

Winternitz 一次性簽章透過使用雜湊鏈，而非基本 Lamport 簽章較大型的結構，來縮小簽章大小。

Winternitz 參數會在簽章大小與運算量之間形成取捨。

較大的參數設定可以減少簽章元素數量，但需要執行更多雜湊運算。

WOTS+ 是改良版的 Winternitz 建構方式，應用於 XMSS 與 SLH-DSA 等現代雜湊簽章系統。

RFC 8391 中的 XMSS 規格指出，WOTS+ 是 XMSS 及其多樹變體的主要建構元件。

WOTS+ 仍是一次性簽章方案，因此通常會置於管理多次簽署機會的較大型 Merkle 樹結構中。

雜湊簽章中的 Merkle 樹

Merkle 樹是由雜湊值構成的樹狀結構，能以單一根雜湊值承諾多筆資料。

每個葉節點都可以代表一個一次性簽章的公開金鑰。

系統會將成對的葉節點雜湊值合併並進行雜湊，產生父節點。

這個過程會持續進行，直到只剩下一個 Merkle 根。

Merkle 根可作為精簡承諾，涵蓋樹中的所有一次性公開金鑰。

簽署者使用某個葉節點後，簽章會包含一條 Merkle 驗證路徑。

路徑中包含從選定葉節點重建根所需的相鄰雜湊值。

驗證者會先檢查一次性簽章，再沿著 Merkle 路徑計算，直到得到已知的根值。

這種設計讓單一簡短的公開承諾可以驗證大量一次性金鑰。

有狀態雜湊簽章

有狀態雜湊簽章需要簽署者記住哪些一次性簽署金鑰或葉節點索引已使用。

每次簽章後，都必須可靠地更新狀態。

若重複使用同一把一次性金鑰，方案的安全性可能嚴重失效。

這項要求使有狀態方案難以用於需要備份、多台裝置、平行簽署者、備援伺服器或儲存不可靠的系統。

還原舊備份可能會取回過時狀態，意外重複使用已消耗的簽署資料。

兩台使用同一私鑰副本的簽署裝置，也可能選到相同索引。

因此，NIST 警告，有狀態方案需要謹慎管理狀態，不適合不受限制的一般用途。

這類方案較適合能妥善保護並可靠同步簽署狀態的受控環境。

無狀態雜湊簽章

無狀態雜湊簽章不要求簽署者維護計數器，以記錄下一個要使用的一次性金鑰。

因此，它更容易用於備份、分散式系統與多次簽署工作階段。

SLH-DSA 是主要的標準化無狀態雜湊簽章演算法。

此演算法源自參與 NIST 後量子密碼學流程的 SPHINCS+ 提案。

SLH-DSA 使用偽隨機選取與分層雜湊樹結構，避免有狀態系統中一次性金鑰遭重複使用所引發的災難性問題。

無狀態設計較容易安全操作，但代價是簽章較大、運算量較高。

若未妥善處理簽署隨機性或實作規則，其安全性仍可能減弱；但狀態意外回復不會像有狀態金鑰重複使用一樣立即導致系統崩潰。

有狀態與無狀態雜湊簽章

有狀態與無狀態雜湊簽章之間最重要的差異，在於簽署者是否必須追蹤已使用的簽署索引。

若能完美管理狀態，有狀態系統可提供高效率且原理清楚的簽章。

無狀態系統不需要永久同步計數器，因此在操作上較安全。

若簽署頻率有限，且能在受控基礎設施中管理狀態，有狀態系統可能適用於韌體簽署、憑證機構或受控基礎設施。

若難以可靠同步狀態，無狀態系統可能更適合分散式應用程式、一般軟體與相關環境。

區塊鏈驗證者網路必須考量分散式簽署、備援切換、備份復原與頻繁產生訊息等情況。

因此，狀態管理可能成為最重要的設計問題之一。

XMSS

XMSS 是 eXtended Merkle Signature Scheme（擴展 Merkle 簽章方案）的縮寫。

這是一種有狀態雜湊式數位簽章系統，已納入RFC 8391標準，並獲 NIST SP 800-208 核准。

XMSS 使用 WOTS+ 一次性簽章與 Merkle 樹，組成更大型的簽章系統。

每次簽章都會消耗樹中的特定葉節點。

簽署者必須確保同一個葉節點不會使用兩次。

XMSS 具有穩固的安全基礎，因為其安全性證明主要仰賴已定義的加密雜湊函數特性。

XMSS 公開金鑰相對精簡，但其簽章遠大於目前加密貨幣帳戶常用的簽章。

若長期抗量子能力比簽章最小化更重要，且能安全管理簽署者狀態，XMSS 可能適用。

XMSS 多樹

XMSS 多樹通常寫作 XMSSMT，會將數棵 XMSS 樹組成階層。

上層樹會對下層樹的根進行簽署。

這種設計讓系統能支援更多簽章，而不必建構一棵極大的樹。

也能更有效率地分散金鑰生命週期中的運算工作。

由於下層的一次性金鑰不能安全地重複使用，簽署者仍須追蹤狀態。

XMSSMT 已納入 RFC 8391 與 NIST 的有狀態雜湊簽章建議。

LMS

LMS 是 Leighton-Micali Signature（Leighton-Micali 簽章）的縮寫。

這是另一種獲 NIST 核准的有狀態 Merkle 樹簽章系統。

該方案詳載於RFC 8554。

LMS 使用稱為 LM-OTS 的一次性簽章建構方式，並透過 Merkle 樹驗證多個 LM-OTS 公開金鑰。

與 XMSS 一樣，LMS 要求簽署者避免重複使用一次性簽署索引。

其安全性以加密雜湊函數為基礎，而非許多傳統公鑰系統採用的數論假設。

LMS 常被考慮用於程式碼簽署與韌體驗證等應用，因為這些應用可由中央控管簽署作業。

階層式簽章系統

階層式簽章系統通常稱為 HSS，會將多棵 LMS 樹組成階層。

頂層 LMS 金鑰會簽署下層 LMS 樹的公開金鑰。

接著，下層樹會簽署一般訊息。

此結構支援更多簽章，並能在下層金鑰的一次性葉節點用盡時替換金鑰。

HSS 並未消除狀態管理的需求。

每一棵使用中的 LMS 樹仍須正確追蹤已使用的簽署索引。

HSS 與 LMS 一同納入 RFC 8554，並獲 NIST SP 800-208 核准。

SLH-DSA

SLH-DSA 是 Stateless Hash-Based Digital Signature Algorithm（無狀態雜湊式數位簽章演算法）的縮寫。

NIST 於 2024 年 8 月 13 日發布最終版FIPS 205 標準。

該演算法源自 SPHINCS+，並經 NIST 後量子密碼學標準化流程評估。

SLH-DSA 使用由 Merkle 樹組成的超樹、WOTS+，以及稱為 FORS 的少次簽章元件。

此系統不需要維護永久簽署者狀態，因此比 XMSS 或 LMS 更容易備份與分散式運作。

SLH-DSA 支援不同參數集，可採用 SHA-2 或 SHAKE 雜湊函數，並滿足不同的安全與效能目標。

較快的參數集通常會產生較大的簽章；簽章較小的參數集則需要較長的處理時間。

SLH-DSA 提供保守的後量子安全性，但其簽章明顯大於目前許多區塊鏈系統使用的簽章。

SPHINCS+ 與 SLH-DSA

SPHINCS+ 是提交至 NIST 後量子密碼學競賽的演算法。

SLH-DSA 則是根據該提案制定的標準化版本。

兩者名稱相關，但在技術實作中不應一概視為完全可互換。

宣稱符合 FIPS 205 的系統，必須實作標準化的 SLH-DSA 規定與核准參數集。

開發者應依循正式標準，不應假設任何早期 SPHINCS+ 實作都自動符合 SLH-DSA。

FORS

FORS 是 Forest of Random Subsets（隨機子集森林）的縮寫。

這是 SLH-DSA 使用的少次簽章元件。

FORS 會將訊息摘要轉換成在多棵小型樹中的選取結果。

選出的秘密值與驗證路徑會成為簽章的一部分。

接著，FORS 公開值會透過更大的 SLH-DSA 超樹進行驗證。

FORS 讓無狀態系統無須維護簡單的一次性金鑰計數器，也能簽署多則訊息。

這也是 SLH-DSA 簽章資料量明顯大於一般橢圓曲線簽章的原因之一。

雜湊簽章為何被視為後量子技術

目前許多公鑰簽章都仰賴離散對數或相關數論問題的求解難度。

Shor 的量子演算法可在足夠強大的容錯量子電腦上，有效率地解決其中數項問題。

雜湊簽章並不仰賴這些相同問題。

其安全性主要取決於原像抗性、第二原像抗性、抗碰撞性、偽隨機產生及相關雜湊函數特性。

量子演算法仍可能降低搜尋雜湊值的有效安全性。

對某些暴力搜尋而言，Grover 演算法可提供平方根加速。

這項影響可透過採用足夠大的雜湊輸出與保守參數來因應。

因此，雜湊簽章會被描述為抗量子或後量子技術，而不是數學上絕不可能遭到攻擊。

量子運算對加密貨幣簽章的風險

大型容錯量子電腦可能威脅目前加密貨幣網路使用的數種簽章演算法。

如果攻擊者能從已公開的公鑰資訊中還原私鑰，就可能授權未經許可的交易。

驗證者簽章、跨鏈橋簽署者、多重簽章系統、治理帳戶與長期使用的金庫金鑰也可能成為攻擊目標。

威脅不只涉及存放在一般錢包中的幣。

共識協議與跨鏈通訊系統也可能採用容易受到類似量子演算法攻擊的簽章方案。

目前尚未有公開展示的量子電腦具備攻擊主要區塊鏈金鑰所需的規模與錯誤更正能力。

然而，區塊鏈遷移可能耗時數年，因為錢包軟體、共識規則、硬體裝置、應用程式、託管程序與使用者資金都需要協調更新。

NIST 透過其後量子密碼學計畫建議組織開始辨識易受攻擊的密碼學技術，並規劃遷移作業。

雜湊簽章與 Ethereum

Ethereum 目前採用的簽章系統，並非為抵抗能力足夠強大的量子電腦而設計。

其共識層依賴 BLS 簽章，而一般外部擁有帳戶通常使用橢圓曲線簽章。

Ethereum Foundation 目前的後量子路線圖討論了以稱為 leanXMSS 的雜湊式設計取代驗證者簽章。

該路線圖將 leanXMSS 視為研究方向，而非已完成的主網遷移方案。

雜湊式驗證者簽章遠大於目前的 BLS 簽章，因此會帶來重大的擴充挑戰。

Ethereum 研究者正在探索證明聚合，讓大量大型簽章能透過較小的證明進行驗證。

Ethereum 後量子研究入口網站介紹了雜湊簽章、密碼學敏捷性、驗證者身分驗證與基於證明的聚合等相關工作。

Ethereum 若要進行任何最終變更，都需要研究、實作、測試、社群審查與協議升級協調。

雜湊式驗證者簽章

驗證者會對與區塊提議、證明、最終確定及共識參與相關的頻繁訊息簽章。

替代簽章方案必須支援大量訊息，同時避免網路頻寬或儲存負擔過重。

有狀態簽章會帶來額外風險，因為驗證者可能執行備份系統，或在不同機器間切換。

若狀態同步錯誤，可能導致一次性簽署金鑰遭重複使用。

無狀態簽章可避免這種特定失效情況，但會產生較大的簽章並增加驗證工作量。

因此，區塊鏈研究者正在研究聚合、遞迴證明、專用硬體與協議重新設計，讓雜湊式驗證者簽章更具實用性。

雜湊簽章與加密貨幣錢包

若區塊鏈支援所需的驗證規則，加密貨幣錢包就可能使用雜湊式簽署金鑰授權交易。

錢包必須產生相應的私鑰、計算簽章、追蹤任何必要狀態，並建構相容的交易。

有狀態錢包簽章會造成嚴重的備份與多裝置管理挑戰。

使用者還原舊備份時，可能意外重複使用已消耗的簽署索引。

行動錢包與硬體錢包若使用同一把有狀態金鑰，也可能出現狀態衝突。

無狀態雜湊簽章較容易備份，但產生的交易可能大得多，處理成本也可能更高。

錢包開發者也必須考量助記詞產生、金鑰輪替、地址設計、硬體支援、使用者復原及從舊簽章系統遷移等問題。

雜湊簽章與智能合約錢包

有時，智能合約錢包能支援新的簽章演算法，而不必替換區塊鏈上所有帳戶的基礎簽章規則。

合約可以為雜湊式公開金鑰加入自訂驗證邏輯。

使用者可以提交雜湊簽章，由合約依照程式規則進行驗證。

這種方式可能讓實驗性的後量子帳戶，在全網遷移前先行推出。

不過，鏈上驗證可能需要大量雜湊運算，並消耗可觀的區塊空間或執行資源。

開發者必須權衡安全效益、交易成本、合約複雜度與阻斷服務風險。

未來，證明系統或許能讓合約驗證一份精簡證明，確認較大的雜湊簽章有效。

雜湊簽章與帳戶抽象

帳戶抽象讓帳戶可以採用可程式化授權規則，而不必完全依賴單一固定簽章演算法。

抽象化帳戶可能接受傳統簽章、雜湊簽章、多重簽章政策，或由其他驗證系統產生的證明。

這種彈性可能讓後量子遷移更容易，因為使用者可以在協議層強制採用抗量子簽章之前，先更新帳戶驗證邏輯。

帳戶抽象也帶來安全責任，因為升級金鑰、復原模組與驗證合約可能引入新的攻擊途徑。

如果攻擊者能透過薄弱的復原模組或管理金鑰繞過簽章，後量子簽章就無法保護帳戶。

雜湊簽章與多重簽章安全性

多重簽章系統要求多把經授權的金鑰共同核准一項操作。

雜湊簽章可以作為獨立簽署方式，納入多重簽章安排。

混合政策可能同時要求傳統簽章與雜湊簽章。

如果其中一種密碼學系列失效，而另一種仍安全，這種做法可提供防護。

不過，混合系統會產生更大的交易、增加驗證複雜度，並使復原程序更困難。

系統必須明確規定是需要所有簽章，還是任一簽章有效即可。

設計不佳的備援規則可能抵銷較強簽章帶來的好處。

混合簽章

混合簽章會結合兩種或更多種密碼學演算法的簽章。

其中一個元件可能採用現行橢圓曲線演算法，另一個則採用 SLH-DSA 或其他後量子系統。

目標是在其中一種演算法日後遭破解時，仍能維持安全性。

NIST 的後量子密碼學常見問題討論了資料與數位憑證採用雙重簽章的方式。

混合遷移可以降低對新演算法的依賴，避免在缺乏數十年部署經驗前就完全仰賴該演算法。

但這也會增加實作複雜度，並需要明確規定如何合併兩種驗證結果。

如果任一簽章驗證成功，交易就有效，那麼破解較弱的方案仍可能足以攻擊帳戶。

如果兩種簽章都必須有效，帳戶就會同時依賴兩個系統的可用性與正確運作。

雜湊簽章與區塊空間

雜湊簽章占用的區塊空間，可能遠多於精簡的橢圓曲線簽章。

如果容量或聚合方法未改變，交易變大會降低每個區塊可容納的使用者操作數量。

更多資料也可能增加頻寬、儲存、傳播時間與歷史資料同步需求。

這些成本對底層區塊鏈尤其重要，因為每個驗證節點都必須處理相同資料。

透過零知識證明或專用協議進行簽章聚合，可能降低每個節點都必須直接驗證的資料量。

但聚合本身也會引入其他密碼學假設、證明成本、延遲與實作複雜度。

簽章大小

簽章較大是雜湊簽章在實務上的主要缺點之一。

依參數集不同，SLH-DSA 簽章可能包含數千或數萬位元組。

XMSS 與 LMS 簽章也遠大於常見的橢圓曲線簽章。

對偶爾發布的軟體更新或根憑證而言，大型簽章可能仍可接受。

但在大量區塊鏈交易中，每個位元組都可能增加網路與手續費成本，因此支援大型簽章較為困難。

參數選擇必須在簽章大小、簽署速度、驗證速度、最大簽章數與安全等級之間取得平衡。

公開金鑰大小

雜湊簽章公開金鑰可能相對精簡，因為 Merkle 根能承諾許多一次性金鑰。

與分別儲存每個一次性公開金鑰相比，這是一項重要優勢。

公開金鑰精簡並不會消除簽章成本，因為仍須提供驗證路徑與一次性簽章資料。

在區塊鏈系統中，公開金鑰大小會影響帳戶建立、狀態儲存、交易見證資料與證明建構。

私鑰大小

基本的雜湊式私鑰可能包含大量隨機秘密值。

現代方案通常會以較小的主種子，透過偽隨機方式產生其中許多值。

這能減少儲存需求，但也使種子極為敏感。

主種子遭到入侵，可能使所有衍生的一次性簽署金鑰暴露。

有狀態方案必須同時保留秘密種子與目前的簽署索引。

若只備份種子而未備份最新狀態，可能很危險，因為還原時可能造成金鑰重複使用。

簽署速度

雜湊式簽署需要大量雜湊計算與樹狀結構操作。

有些參數集以更大的簽章為代價，換取更快的簽署速度。

其他參數集則縮小簽章，但需要更多運算。

有狀態系統可能會預先計算樹節點或驗證路徑，以提高簽署速度。

預先計算會增加儲存與狀態管理需求。

區塊鏈錢包與驗證者必須評估能否在嚴格的時間限制內產生簽章。

驗證速度

驗證同樣需要多次雜湊計算。

雜湊運算通常簡單、應用廣泛，也容易透過硬體加速。

然而，每個區塊若要驗證數千個大型簽章，仍可能造成龐大的總成本。

區塊鏈必須考量最壞情況下的驗證負載，因為攻擊者可能提交大量結構有效、但驗證成本高昂的交易。

手續費規則與交易限制可能需要反映實際驗證成本。

狀態管理風險

狀態管理是 XMSS、LMS、XMSSMT 與 HSS 的主要操作風險。

簽署者必須在簽署前或簽署過程中記錄所有已使用的一次性索引，並確保系統當機或斷電後仍能保存記錄。

更新作業必須是原子性操作，避免系統產生簽章，卻未能儲存新狀態。

不得允許備份副本使用過時的索引進行簽署。

高可用性系統必須協調多台機器，避免重複使用同一索引。

可使用安全硬體來執行單調計數器，或隔離簽署狀態。

NIST 的有狀態方案建議將這些系統限用於能嚴格控管金鑰與狀態的環境。

側通道安全性

雜湊簽章具有吸引力的原因之一，是雜湊函數相對簡單，可以透過規則化操作實作。

與某些複雜數論演算法相比，這可能讓防範特定計時、功耗分析或電磁側通道攻擊更容易。

但雜湊簽章並非自動免於側通道攻擊。

依賴秘密值的分支、記憶體存取、亂數產生、故障注入及金鑰處理程式碼，仍可能洩漏資訊。

硬體錢包與驗證者實作，在必要時必須使用經審查的常數時間技術。

隨機性需求

產生雜湊式私鑰與種子時，安全的隨機數至關重要。

可預測的秘密值可能讓攻擊者還原簽署金鑰。

部分方案也會使用每次簽章所需的隨機數，以防範多目標攻擊或隱藏確定性的關聯。

亂數產生器若遭到破壞，即使數學上安全的演算法也可能變得不安全。

錢包應透過可信的加密亂數來源產生金鑰資料，不應使用時間戳記、使用者自行選取的詞句或一般應用程式的亂數函式。

金鑰耗盡

有狀態雜湊金鑰只能安全地簽署有限數量的訊息。

可簽署數量取決於所選 Merkle 樹的高度與階層結構。

所有允許的一次性金鑰都用完後，必須停用該金鑰組。

超出金鑰設計容量繼續使用，可能造成金鑰重複使用或產生無效簽章。

系統必須監控剩餘容量，並在耗盡前輪替金鑰。

需要簽署大量訊息的區塊鏈驗證者，尤其必須仔細規劃金鑰容量。

金鑰輪替

金鑰輪替是以新簽署金鑰取代舊金鑰。

有狀態樹接近耗盡、參數已變更，或金鑰可能已暴露時，雜湊式系統可能需要輪替金鑰。

若可行，應使用舊金鑰驗證新公開金鑰。

區塊鏈協議必須規定帳戶、驗證者、跨鏈橋與治理系統如何更新已授權金鑰。

遷移流程應防止攻擊者將自己的替代金鑰植入系統。

若舊金鑰在輪替完成前遺失，使用者也需要明確的復原程序。

長期驗證

雜湊簽章可能適用於需要多年維持可驗證性的紀錄。

例如協議版本發布、歷史檢查點、韌體映像檔、創世檔案與治理決策。

要維持長期驗證能力，仍須保存已簽署資料、公開金鑰、演算法識別碼、參數集及所需雜湊函數。

若雜湊函數日後安全性減弱，系統可能需要時間戳記、重新簽署或遷移程序。

後量子並不代表簽章無須維護就能永遠安全。

用於軟體發布的雜湊簽章

加密貨幣使用者經常安裝錢包應用程式、節點用戶端、驗證者軟體、韌體與開發者工具。

發布簽章可協助使用者確認下載的軟體來自經授權的開發團隊，且簽署後未遭修改。

由於軟體發布的頻率低於區塊鏈交易，基於狀態的雜湊簽章可能適合用於此目的。

發布團隊可以控管簽署裝置，並謹慎管理其簽署索引。

後量子發布簽章可保護長期運作的軟體供應鏈，避免未來針對傳統簽章演算法發動的攻擊。

使用者仍須透過可信來源驗證公鑰。

硬體錢包韌體的雜湊簽章

硬體錢包會安裝韌體，以控制金鑰產生、交易顯示與簽署行為。

惡意韌體更新可能竊取私鑰，或顯示不實的交易資訊。

製造商可以為韌體簽章，讓裝置只接受經授權的更新。

由於韌體更新頻率有限，且抗量子能力可能具有價值，因此雜湊簽章可作為長期韌體驗證的一種選擇。

更新機制也必須防止回復至較舊且存在漏洞的韌體。

安全開機、硬體信任根、版本計數器及受保護的公鑰仍不可或缺。

橋接器與預言機的雜湊簽章

橋接器與預言機通常仰賴委員會、營運者或分散式節點提供簽章。

這些簽章可能授權資產轉移，或回報會影響大量加密資產價值的資訊。

如果底層演算法變得脆弱，長期使用的公鑰可能成為量子攻擊目標。

雜湊簽章可為委員會訊息提供更強的後量子防護。

不過，較大的簽章與狀態需求仍可能增加鏈上驗證成本。

如果智能合約、治理機制、經濟假設或驗證者門檻設計不佳，橋接器仍然容易受到攻擊。

更換簽章演算法無法解決橋接器或預言機面臨的所有風險。

Layer 2 網路的雜湊簽章

Layer 2 網路會使用排序器、證明者、驗證者、委員會或其他系統，在基礎區塊鏈之外處理交易。

這些參與者可能會為批次、狀態根、資料可用性聲明或跨層訊息簽章。

雜湊簽章可保護這些訊息免受未來量子攻擊。

Layer 2 可能會先將多個簽章彙整成一份證明，再將資料傳送至基礎層。

這可降低鏈上驗證成本，同時在鏈下維持後量子簽章政策。

整體設計的安全性取決於證明系統、資料可用性、升級金鑰、橋接合約與爭議處理規則。

雜湊簽章與零知識證明

零知識證明系統有助於壓縮大量雜湊簽章的驗證流程。

證明者可以在電路中驗證多個簽章，並產生較小的證明，證明驗證過程正確。

區塊鏈只需驗證該證明，而不必直接處理每一個簽章。

此方法可降低區塊空間占用與驗證成本。

不過，它也會帶來所選證明系統的假設與實作風險。

證明產生速度也必須符合網路的時效要求。

Ethereum 目前的後量子研究正在探索這種方法，以彙整大量驗證者簽章。

密碼學敏捷性

密碼學敏捷性是指在不重新設計整個系統的情況下，更換或新增密碼學演算法的能力。

這對區塊鏈十分重要，因為不應假設任何簽章演算法能永遠維持安全。

具備密碼學敏捷性的錢包可能支援多種簽章類型，並透過經驗證的升級流程遷移資產。

具備密碼學敏捷性的協議可能使用版本化公鑰、可程式化帳戶驗證，或可升級的共識驗證機制。

敏捷性不得造成容易降級至弱勢演算法的途徑。

每一種支援的演算法、備援規則與遷移金鑰都會成為攻擊面的一部分。

從現有加密簽章遷移

要讓區塊鏈從傳統簽章轉換為雜湊簽章，光是發布新的錢包軟體並不足夠。

網路需要能夠識別新的公鑰與簽章格式。

節點需要更新驗證規則。

錢包需要產生、儲存、備份並輪替新金鑰。

使用者需要將資產從舊帳戶轉移至受保護的帳戶。

驗證者、橋接器、智能合約、治理系統與託管政策都需要升級。

閒置資金會造成棘手問題，因為所有者可能無法在量子威脅迫切到來之前完成遷移。

協議設計者可能需要為已暴露的公鑰、舊帳戶類型與長期無人管理的資產制定緊急規則。

先儲存，日後再攻擊

「先儲存，日後再攻擊」通常是指現在先收集加密資料，等量子電腦效能提升後再解密。

加密貨幣簽章也有相關但不同的疑慮。

區塊鏈資料永久公開，因此未來可以研究已公開的公鑰與歷史簽章。

攻擊者通常無法僅因日後取得某筆交易的私鑰，就更改已完成最終確認的交易。

攻擊者可能竊取仍由同一個脆弱金鑰控制的資金，或攻擊仍信任該金鑰的系統。

因此，長期使用的金庫帳戶、重複使用的地址、驗證者身分與橋接器金鑰都需要及早規劃遷移。

雜湊簽章的優點

雜湊簽章的主要優點，是其作為後量子簽章候選方案具有強健的安全基礎。

這類建構主要依賴經過深入研究的密碼學雜湊函數。

它們不依賴會受到 Shor 演算法威脅的離散對數問題。

多種方案已獲 NIST 與 IETF 制定正式標準。

雜湊運算已廣泛實作，且在硬體與軟體上的效能表現良好。

Merkle 樹可讓多個一次性公鑰以單一根節點表示。

無狀態設計可降低重複使用簽署索引所造成的操作風險。

有狀態設計則適用於受控且低頻率的簽署環境。

雜湊簽章的缺點

最大的缺點是簽章大小。

大型簽章可能增加加密貨幣交易手續費、區塊傳播時間、儲存需求與驗證頻寬。

有狀態方案需要嚴格管理索引；若備份或平行簽署者重複使用狀態，可能造成嚴重問題。

無狀態方案不需要永久保存狀態，但通常需要更多資料與運算。

許多現有錢包晶片、智能合約、節點用戶端與區塊鏈協議目前都不支援這些演算法。

雜湊簽章也缺乏部分現行簽章系統具備的精簡原生彙整特性。

基於證明的彙整或許能解決部分問題，但也會引入另一層複雜的密碼學機制。

雜湊簽章無法破解嗎？

雜湊簽章並非無法破解。

其安全性取決於底層雜湊函數的強度，以及整體建構是否正確。

弱隨機數產生器可能洩露私密簽署資料。

軟體錯誤可能導致計算出錯誤的驗證路徑。

重複使用狀態可能破壞有狀態方案。

側通道攻擊可能洩露機密資料。

惡意更新可能替換用於驗證的公鑰。

未來的密碼分析發現可能削弱所選的雜湊函數或參數組合。

後量子抗性只針對特定類型的攻擊，並不能防範所有安全失效情況。

對雜湊簽章的常見誤解

常見誤解之一，是所有區塊鏈雜湊都已能提供抗量子的交易授權。

交易雜湊值可識別資料，但不能取代用來授權支出的數位簽章。

另一個誤解是，雜湊簽章的雜湊輸出很小，因此簽章必然很小。

完整簽章包含一次性簽章資料、驗證路徑，以及其他結構資訊。

第三個誤解是，只要保護好私密種子，有狀態簽章就安全。

有狀態簽章也要求妥善保護目前的簽署狀態。

第四個誤解是，抗量子代表免疫所有攻擊。

實作錯誤、網路釣魚、惡意軟體、治理失效與智能合約漏洞仍可能發生。

第五個誤解是，區塊鏈可以立即採用新的簽章格式。

遷移需要協調協議、錢包、硬體、託管、應用程式與使用者。

雜湊簽章系統安全檢查清單

僅使用經審查且參數組合明確的演算法。

使用符合密碼學安全要求的隨機數產生器產生私密種子。

透過安全硬體或經過謹慎設計的金鑰管理系統保護主種子。

除非具備安全的狀態協調設計，否則絕不可將有狀態私鑰複製到兩個獨立的簽署者。

讓狀態更新以原子方式執行，並防範斷電或回復至舊狀態。

監控 XMSS、LMS、XMSSMT 或 HSS 金鑰剩餘的簽署次數。

對金鑰輪替進行驗證，避免攻擊者替換更新後的公鑰。

完全依照標準要求使用域分離。

使用官方測試向量與獨立實作進行互通性測試。

在現有方案變得不安全之前，先規劃演算法遷移。

常見問題

什麼是雜湊簽章？

雜湊簽章是一種數位簽章，其安全性主要仰賴密碼學雜湊函數與雜湊樹建構。

雜湊簽章為何對加密貨幣很重要？

雜湊簽章可能為錢包、驗證者、橋接器、治理系統、軟體發布及其他區塊鏈基礎設施提供後量子授權機制。

雜湊簽章具有抗量子能力嗎？

使用安全的雜湊函數與足夠強度的參數時，雜湊簽章被視為具有抗量子能力；不過，量子演算法仍會降低部分暴力破解安全裕度。

什麼是 SLH-DSA？

SLH-DSA 是 NIST 在 FIPS 205 中標準化的無狀態雜湊數位簽章演算法。

SLH-DSA 與 SPHINCS+ 相同嗎？

SLH-DSA 是 NIST 標準化、衍生自 SPHINCS+ 的演算法，但實作時應遵循 FIPS 205，不應假設先前所有 SPHINCS+ 版本都完全相同。

什麼是 XMSS？

XMSS 是一種有狀態的 Merkle 樹簽章系統，使用 WOTS+ 一次性簽章，並要求謹慎追蹤已使用的簽署索引。

什麼是 LMS？

LMS 是一種有狀態的雜湊簽章方案，結合 LM-OTS 一次性簽章與 Merkle 樹驗證。

什麼是 HSS？

HSS 是一種階層式系統，將多棵 LMS 樹連結起來，使金鑰結構能支援更多簽章。

有狀態簽章與無狀態簽章有何不同？

有狀態簽章要求簽署者追蹤已使用的一次性金鑰；無狀態簽章則不需要維護永久簽署計數器。

為什麼重複使用狀態很危險？

重複使用一次性簽署金鑰，可能洩露足夠的機密資訊，削弱甚至破壞有狀態雜湊簽章方案的安全性。

什麼是 Merkle 樹簽章？

Merkle 樹簽章使用 Merkle 根節點，透過精簡的雜湊驗證路徑驗證多個一次性公鑰。

什麼是 WOTS+？

WOTS+ 是一種 Winternitz 一次性簽章建構，可作為 XMSS 與 SLH-DSA 的基礎元件。

什麼是 FORS？

FORS 是一種少次簽章建構，在 SLH-DSA 中用於簽署訊息摘要，之後再透過超樹驗證結果。

主要區塊鏈目前已使用雜湊簽章嗎？

目前，雜湊簽章尚未成為多數主要區塊鏈網路的常規交易簽章，但相關研究持續進行，專門部署的範圍也逐漸擴大。

Ethereum 目前正在使用雜湊簽章嗎？

Ethereum 目前尚未將其用作標準驗證者或使用者簽章，但其後量子研究路線圖正在探索 leanXMSS 與基於證明的彙整。

智能合約可以驗證雜湊簽章嗎？

智能合約可以實作相容的驗證邏輯，但運算與交易資料成本可能相當高。

為什麼雜湊簽章這麼大？

雜湊簽章必須包含一次性簽章值、Merkle 驗證路徑，以及將訊息簽章連結至公鑰根節點所需的其他資訊。

雜湊簽章可以彙整嗎？

雜湊簽章通常不具備部分現行方案所支援的精簡原生彙整功能，但證明系統可能可以彙整其驗證結果。

硬體錢包可以使用雜湊簽章嗎？

只要硬體錢包具備相容韌體、安全金鑰儲存、足夠的處理能力，以及必要的安全狀態管理，就可以支援雜湊簽章。

雜湊簽章會取代加密嗎？

不會。簽章提供身分驗證與完整性，加密則旨在保護資訊機密性。

我可以將現有的加密貨幣私鑰轉換成雜湊金鑰嗎？

安全遷移通常需要產生新的雜湊金鑰對，並透過現有帳戶或協議規則授權新的公鑰。

雜湊簽章比所有其他後量子方案都安全嗎？

雜湊簽章具有較保守的安全基礎，但安全性也取決於效能需求、實作品質、金鑰管理、參數與周邊協議。

XMSS 與 LMS 的主要風險是什麼？

主要操作風險是因備份回復、平行簽署或狀態更新失敗，意外重複使用一次性簽署索引。

SLH-DSA 的主要風險是什麼？

其主要實際限制是簽章很大且運算量可觀；實作錯誤與隨機性不足也仍是安全疑慮。

量子電腦會立即破解加密貨幣嗎？

目前尚無已展示的量子電腦能對主要區塊鏈金鑰發動所需攻擊，但遷移必須及早開始，因為全球性的協議變更需要大量準備。

結論

雜湊簽章是主要由密碼學雜湊函數、一次性簽章與 Merkle 樹驗證所建構的數位簽章系統。

雜湊簽章與加密貨幣密切相關，因為它們為交易與驗證者身分驗證提供了一條可信途徑，可抵禦已知的量子運算攻擊。

XMSS、XMSSMT、LMS 與 HSS 等有狀態方案可提供強健的安全性，但必須精確追蹤每一個已使用的簽署索引。

還原舊備份，或在兩部裝置上使用同一個有狀態金鑰，都可能意外重複使用簽署資料，並大幅削弱金鑰安全性。

無狀態的 SLH-DSA 不需要永久保存狀態，並於 2024 年 8 月透過 FIPS 205 成為 NIST 正式標準。

其代價是，SLH-DSA 簽章遠大於目前加密貨幣帳戶與驗證者通常使用的簽章。

大型簽章會影響交易手續費、區塊空間、頻寬、儲存、同步與驗證成本。

因此，區塊鏈研究人員正在研究帳戶抽象、混合簽章、零知識彙整、可程式化驗證與密碼學敏捷性。

Ethereum 目前的後量子研究包括雜湊式驗證者簽章，以及旨在壓縮其驗證流程的證明系統。

雜湊簽章無法解決所有加密貨幣安全問題。

錢包惡意軟體、助記詞遭竊、網路釣魚、智能合約錯誤、治理薄弱、不安全的橋接器、隨機性不足與實作錯誤仍可能造成損失。

應將雜湊簽章視為強大的身分驗證技術，而非完整的安全解決方案。

對加密貨幣網路而言，長期挑戰不只是選擇抗量子簽章演算法。

更大的挑戰是在不影響網路安全、也不遺漏閒置使用者的情況下，遷移數十億美元的帳戶、應用程式、驗證者系統與基礎設施。

雜湊簽章為這項轉型提供了最成熟且設計理念最保守的基礎之一。