一次性簽章

什麼是一次性簽章？

一次性簽章是一種數位簽章方法，其簽署金鑰的設計用途是安全地簽署一則訊息。

在加密貨幣領域，一次性簽章很重要，因為它說明了如何在不單靠橢圓曲線數學的情況下證明數位資產所有權。

基本概念是：私密簽署金鑰可產生一個有效簽章，而公開驗證金鑰可證明簽章與訊息相符。

如果同一把一次性私鑰簽署多則訊息，該方案的安全性可能會遭到破壞。

因此，一次性簽章與 ECDSA 或 Schnorr 等常見區塊鏈簽章方案大不相同；只要正確實作，後兩者的設計可用於簽署多則訊息。

一次性簽章常見於雜湊式密碼學的討論。

雜湊式簽章之所以受到加密貨幣領域關注，是因為它主要可由密碼雜湊函數建構，而不必依賴數論假設。

NIST 的SP 800-208 建議將 LMS 與 XMSS 列為具狀態的雜湊式簽章方案，並以一次性簽章概念作為建構元件。

IETF 的XMSS RFC 8391規定了 Winternitz One-Time Signature Plus（亦稱 WOTS+），這是一種用於 XMSS 內部的一次性簽章方案。

IETF 的LMS RFC 8554也規定了 Leighton-Micali 雜湊式簽章系統中的一次性簽章方案。

對加密貨幣使用者來說，重點很簡單。

簽章可以證明某人控制一把私鑰，但這項證明是否安全，取決於是否完全按照設計使用簽章方案。

一次性簽章重點整理

• • 一次性簽章是一種數位簽章方案，一把私密簽署金鑰只應用來簽署一則訊息。
  • 同一把一次性簽署金鑰若使用兩次，可能洩漏過多機密資訊，並讓偽造簽章成為可能。
  • 一次性簽章通常以密碼雜湊函數為基礎。
  • Lamport 簽章與 Winternitz 簽章是一次性簽章概念的經典例子。
  • WOTS+ 是 XMSS 使用的現代一次性簽章元件。
  • LMS 在較大型的雜湊式簽章系統中使用一次性簽章元件。
  • Merkle 樹可將多個一次性簽章整合在同一個公開根節點之下。
  • 具狀態的雜湊式簽章需要仔細追蹤哪些一次性金鑰已經使用。
  • 一次性簽章對後量子密碼學很重要，因為其安全性可依賴雜湊函數，而非橢圓曲線假設。
  • 目前多數加密貨幣錢包不會在一般交易中使用純一次性簽章，但這個概念與未來錢包設計及後量子遷移息息相關。

一次性簽章的運作方式

一次性簽章從包含機密值的私鑰開始。

簽署者使用這些機密值為一則訊息產生簽章。

驗證者使用公開金鑰確認揭露的機密值是否與訊息相符。

在許多雜湊式設計中，公開金鑰包含機密值的雜湊值。

簽章會揭露選定的機密值。

驗證者會對揭露的值進行雜湊運算，並檢查結果是否與公開金鑰相符。

這種設計的優點在於，雜湊函數正向計算容易，反向推算則很困難。

問題是，簽章會揭露部分私鑰資料。

簽署一則訊息後，部分機密值便不再保密。

如果同一把一次性金鑰又簽署第二則不同的訊息，就會有更多機密值曝光。

資訊一旦揭露到一定程度，攻擊者可能就能為持有人未曾核准的訊息製作有效簽章。

為什麼稱為「一次性」？

之所以稱為一次性，是因為同一把簽署金鑰只應使用一次。

一次性規則不是建議，而是核心安全要求。

在一般可多次使用的簽章方案中，只要正確使用演算法，同一把私鑰就能簽署多則不同訊息。

在一次性簽章方案中，每次簽章都會揭露部分受控的私鑰資訊。

由於公開金鑰與簽署規則都是為單次使用而設計，這種資訊揭露對一則訊息而言是安全的。

但若同一把金鑰重複簽署，資訊洩漏就會變得危險。

因此，一次性金鑰需要妥善管理。

如果錢包、節點或簽署服務意外重複使用同一把一次性金鑰，使用者可能失去原有的安全保障。

在簽章可能動用真實資產的加密貨幣領域，這種錯誤可能造成極大損失。

Lamport 一次性簽章

Lamport 一次性簽章是最簡單、最知名的一次性簽章設計之一。

私鑰包含多組隨機機密值。

訊息雜湊的每個位元會從其中一組機密值中選出一個。

公開金鑰則包含所有機密值的雜湊值。

簽署訊息時，簽署者會依據訊息雜湊，從每一組中揭露一個機密值。

驗證簽章時，驗證者會對每個揭露值進行雜湊運算，並與公開金鑰比對。

其安全性來自難以找出與公開雜湊值相符的機密值。

如果簽署者只簽署一則訊息，未揭露的值仍會保密。

如果簽署者簽署兩則不同訊息，第二個簽章可能會揭露部分組合中另一側的機密值。

這可能為攻擊者提供足夠資料，以製作新訊息的簽章。

Winternitz 一次性簽章

相較於基本的 Lamport 簽章，Winternitz 一次性簽章效率更高。

Winternitz 設計不是每個位元都揭露一個機密值，而是一次處理多個位元。

依照所選參數，這可以縮小簽章與公開金鑰的大小。

代價是簽署與驗證都需要使用雜湊鏈。

雜湊鏈是對一個值反覆套用雜湊函數。

簽署者會揭露鏈中特定位置的值。

驗證者從該位置繼續進行雜湊運算，並檢查結果是否與公開金鑰中的值相符。

WOTS+ 是強化版的 Winternitz 方法。

RFC 8391 規定 WOTS+ 為 XMSS 使用的一次性簽章元件。

Winternitz 類型的設計展現了一次性簽章如何在遵守單次使用規則的同時變得更實用。

WOTS+ 與 XMSS

WOTS+ 是 Winternitz One-Time Signature Plus 的縮寫。

它是 XMSS 內部使用的一次性簽章方案。

XMSS 是 eXtended Merkle Signature Scheme 的縮寫。

RFC 8391 將 XMSS 描述為雜湊式數位簽章系統，並指出 XMSS 與 XMSS 多樹變體以 WOTS+ 作為主要建構元件。

XMSS 使用多組 WOTS+ 金鑰對，並透過 Merkle 樹將其組織起來。

Merkle 樹讓一把根公開金鑰能驗證多把一次性公開金鑰。

每個 WOTS+ 葉節點都只應使用一次。

簽署者必須追蹤已使用的葉節點索引。

因此，XMSS 被稱為具狀態系統。

每次簽章後，必須安全更新私鑰狀態，避免重複使用同一把一次性金鑰。

LMS 與一次性簽章

LMS 是 Leighton-Micali Signature 的縮寫。

這是另一種使用一次性簽章概念的雜湊式簽章系統。

RFC 8554 將 LMS 描述為以密碼雜湊函數為基礎的數位簽章系統，並規定了一種一次性簽章方案及一種一般簽章方案。

LMS 也使用樹狀結構，將多把一次性金鑰整合成較大型的簽章系統。

與 XMSS 相同，LMS 也是具狀態系統。

這代表簽署者必須追蹤哪些一次性金鑰已經使用。

若狀態追蹤失效，一次性金鑰就可能遭到重複使用。

這可能削弱或破壞與該金鑰相關簽章的安全性。

NIST SP 800-208 核准了部分 LMS、HSS、XMSS 與 XMSS 多樹參數集，用於具狀態的雜湊式簽章。

因此，對需要雜湊式簽章安全性且能安全管理狀態的正式系統而言，LMS 相當重要。

Merkle 樹與一次性簽章

Merkle 樹是一種利用雜湊值將多個葉節點連結至單一根節點的資料結構。

在雜湊式簽章系統中，每個葉節點都可代表一把一次性公開金鑰。

Merkle 根節點會成為主要公開金鑰。

簽署者使用一個葉節點簽署訊息時，簽章會包含一條驗證路徑，證明該葉節點屬於這棵樹。

驗證者會檢查一次性簽章，再沿著 Merkle 路徑一路驗證至根節點。

此設計讓一個公開根節點可以支援多個簽章。

若沒有這棵樹，每把一次性金鑰都需要個別分發公開金鑰。

Merkle 樹讓一次性簽章能實際應用於需要簽署多則訊息的系統。

代價是簽章較大，且需要仔細管理狀態。

優點則是具備清楚結構的強韌雜湊式安全性。

具狀態與無狀態雜湊式簽章

具狀態的雜湊式簽章需要簽署者記住哪些一次性簽署金鑰已經使用。

XMSS 與 LMS 都是具狀態系統。

狀態通常是標示下一把未使用一次性金鑰的索引或計數器。

如果計數器遭到複製、回復至舊值或損毀，簽署者可能會重複使用一次性金鑰。

備份還原、裝置複製、軟體錯誤、硬體故障，或多伺服器簽署協調不良，都可能造成這種情況。

無狀態雜湊式簽章則試圖避免這項問題，不必以相同方式要求簽署者維護嚴格的一次性使用計數器。

NIST 的FIPS 205 標準規定了 SLH-DSA，這是一種以 SPHINCS+ 為基礎的無狀態雜湊式數位簽章演算法。

SLH-DSA 並不是供一般使用者使用的簡單一次性簽章。

它在內部使用雜湊式結構，提供無狀態簽章方案。

這項差異很重要：具狀態系統可能效率較高，而在某些環境中，無狀態系統可能更容易安全操作。

一次性簽章與後量子密碼學

一次性簽章對後量子密碼學很重要，因為許多雜湊式簽章被認為比廣泛使用的橢圓曲線簽章更能抵禦已知量子攻擊。

足夠強大的量子電腦可能威脅依賴離散對數假設的簽章方案。

目前許多區塊鏈簽章都依賴橢圓曲線密碼學。

雜湊式簽章則主要依賴雜湊函數的安全性。

量子電腦仍可能透過通用加速方法影響雜湊安全性，但妥善選擇參數可以因應這項風險。

因此，NIST 已針對特定用途制定並建議採用雜湊式簽章方法。

WOTS+ 等一次性簽章元件也是更廣泛後量子發展的一環。

對加密貨幣網路而言，後量子遷移並不容易，因為區塊鏈必須保護舊有資金、新交易、錢包相容性、硬體錢包、多重簽章、智能合約、跨鏈橋與長期資料保存。

一次性簽章並非唯一可行的後量子解決方案。

它是後量子雜湊式簽章背後最重要的概念之一。

一次性簽章與 ECDSA 的比較

只要正確實作，ECDSA 就是一種可多次使用的數位簽章方案。

採用 ECDSA 的區塊鏈私鑰可以簽署多筆交易，前提是每次簽章都使用安全的 nonce，且私鑰始終保密。

一次性簽章金鑰不應簽署多則訊息。

這是兩者最主要的差異。

ECDSA 的安全性取決於橢圓曲線假設與安全的 nonce 管理。

一次性簽章的安全性通常取決於雜湊函數，以及嚴格遵守金鑰僅使用一次的規則。

與許多雜湊式簽章相比，ECDSA 簽章較精簡。

依設計不同，一次性簽章系統可能需要較大的公開金鑰、簽章或驗證路徑。

ECDSA 已廣泛用於現有區塊鏈基礎設施。

一次性簽章則較常出現在後量子設計、專用系統及未來遷移研究中。

一次性簽章與 Schnorr 簽章的比較

只要正確實作，Schnorr 簽章同樣可多次使用。

Bitcoin 的BIP 340定義了在 secp256k1 橢圓曲線上使用的 64 位元組 Schnorr 簽章。

相較於較早期的設計，Schnorr 簽章可支援簽章聚合及較簡潔的安全性證明等實用功能。

但它不是一次性簽章。

只要 nonce 產生安全且協定實作正確，Schnorr 私鑰就能簽署多則訊息。

不過，Schnorr 與 ECDSA 都必須嚴防 nonce 使用錯誤。

雜湊式一次性簽章面臨的風險則不同。

其最大的操作風險是同一把一次性金鑰遭到重複使用。

這兩類方案都需要仔細實作，但失效原因不同。

一次性簽章與一次性地址的比較

一次性簽章與一次性地址並不相同。

一次性簽章是一種密碼學簽署方法。

一次性地址則是一種錢包使用方式：使用者每次收款時都使用新的地址，而不重複使用同一地址。

Bitcoin.org 的隱私指南建議使用者每次收到新款項時，都使用新的 Bitcoin 地址。

使用新地址可提升隱私，因為這會增加追蹤並連結不同筆款項的難度。

在某些地址類型中，這也能減少不必要的公開金鑰曝光。

不過，使用新地址並不代表其簽章方案自動成為一次性簽章。

多數一般 Bitcoin 與 Ethereum 錢包使用的是可多次簽署的方案，而非純一次性簽章方案。

這兩個詞聽起來相似，但描述的是錢包安全的不同層面：一個關乎金鑰如何簽署訊息，另一個關乎地址如何在鏈上使用。

一次性簽章與地址重複使用

重複使用地址不等於重複使用一次性簽署金鑰，但兩者都與金鑰管理衛生有關。

重複使用地址可能將多筆款項連結至同一地址，損害隱私。

在某些 Bitcoin Script 類型中，支出時會在鏈上揭露公開金鑰。

Bitcoin 開發者的P2PKH 交易文件說明，支出腳本包含簽章與公開金鑰。

這不代表 Bitcoin 使用一次性簽章。

這表示公開金鑰曝光與地址重複使用，可能影響隱私及未來的安全性假設。

重複使用地址會讓觀察者取得更多可用來連結活動的資料。

未來轉向後量子技術時，公開金鑰曝光也可能成為更受關注的風險議題。

良好的錢包使用習慣早已建議在可行情況下為付款使用新地址。

一次性簽章則將這種金鑰管理原則推得更進一步，將簽署金鑰只能使用一次定為數學規則。

一次性簽章與錢包設計

使用一次性簽章的錢包必須管理大量簽署金鑰。

每把金鑰都應使用一次，之後便停止使用。

錢包必須知道哪些金鑰尚未使用。

錢包必須避免使用同一把一次性金鑰簽署兩筆交易。

錢包必須妥善處理備份，避免金鑰狀態回復至舊版本。

錢包也必須避免多台裝置造成重複使用。

錢包還必須謹慎處理交易失敗、重試及替代交易。

如果交易在廣播前失敗，錢包仍須判斷該一次性金鑰是否已曝光到必須停用的程度。

這些操作細節讓一次性簽章錢包的設計比表面上看起來更困難。

易於使用的一次性簽章錢包必須讓使用者不必處理複雜細節，但不能隱藏風險。

一次性簽章與區塊鏈交易

每筆區塊鏈交易都需要一種方式來證明交易已獲授權。

目前多數區塊鏈使用數位簽章，證明支出者控制相關私鑰。

一次性簽章也能證明授權，但會改變交易設計。

交易可能需要較大的簽章。

驗證腳本或虛擬機可能需要支援雜湊式驗證。

地址格式可能需要承諾一個 Merkle 根節點或其他公開驗證資料。

若簽章較大且占用更多區塊空間，手續費市場也可能受到影響。

輕用戶端可能需要新的證明格式。

硬體錢包可能需要新的安全金鑰狀態儲存機制。

多重簽章與智能合約可能需要新的聚合或門檻簽章設計。

因此，將一次性簽章導入大型區塊鏈，不只是錢包功能問題，也涉及協定設計。

一次性簽章與智能合約

只要虛擬機支援所需的密碼學運算，智能合約就能驗證簽章。

部分區塊鏈為常見演算法提供內建簽章驗證功能。

雜湊式一次性簽章可透過雜湊運算驗證，但簽章大小與 Gas 成本可能很高。

驗證 WOTS 類型簽章的合約可能需要執行大量雜湊運算。

如果區塊鏈會針對運算與資料儲存收費，這可能造成高昂成本。

在簡單的支付鏈上，大型簽章可能提高交易手續費。

在智能合約鏈上，龐大的驗證邏輯可能增加 Gas 使用量。

這不代表一次性簽章毫無用途，而是表示實作時必須仔細設計並分析費用。

後量子安全性必須符合區塊鏈的經濟模型。

一次性簽章與多重簽章

多重簽章代表需要多把金鑰共同授權一項操作。

傳統加密貨幣錢包中的多重簽章可使用數把 ECDSA 或 Schnorr 金鑰。

使用一次性簽章時，多重簽章會更加複雜，因為每位參與者都必須管理一次性金鑰狀態。

每位簽署者都必須避免重複使用其一次性簽署金鑰。

錢包協調程式可能需要追蹤各項政策中哪些一次性金鑰已使用。

如果多重簽章交易失敗後重新建立，簽署系統必須避免意外重複使用金鑰。

與部分橢圓曲線系統相比，雜湊式簽章的門檻簽署也可能更困難。

群組簽章、聚合簽章與帳戶抽象化或許能協助未來設計，但仍須仔細分析。

一次性簽章可提供強韌安全性，但多重簽章會讓操作紀律更加重要。

對機構託管而言，狀態管理可能與密碼學強度同樣重要。

一次性簽章與硬體錢包

硬體錢包實用之處在於能讓私鑰與連線至網際網路的裝置隔離。

使用一次性簽章的硬體錢包，必須安全儲存私鑰資料與簽署狀態。

裝置必須可靠地遞增一次性金鑰索引。

裝置必須避免備份還原後回復至舊狀態。

裝置必須妥善處理簽署期間的電力中斷。

裝置必須與錢包軟體協調，同時避免未使用的機密值曝光。

裝置必須在可能消耗一次性金鑰的操作前，清楚提醒使用者。

這些要求比單純儲存一把固定私鑰更複雜。

硬體錢包能妥善保護機密資訊，但也需要安全的狀態邏輯。

對具狀態的雜湊式簽章而言，狀態本身就是私鑰安全性的一部分。

一次性簽章與備份

備份是具狀態一次性簽章系統最棘手的問題之一。

一般錢包備份可還原相同助記詞並重新產生多把金鑰。

對具狀態的一次性簽章系統而言，如果舊備份還原了過時的未使用金鑰計數器，就可能造成危險。

錢包可能誤以為某把一次性金鑰尚未使用，但它其實在備份還原前已經使用過。

這可能造成金鑰重複使用。

一次性簽章方案中的金鑰重複使用可能讓簽章遭到偽造。

安全的備份系統必須保留最新簽署狀態。

系統可能需要安全計數器、單調遞增硬體、同步儲存，或保守地停用金鑰。

這是無狀態雜湊式簽章在某些環境中具有吸引力的主要原因之一。

狀態容易說明，卻很難做到絕對安全。

一次性簽章與抗量子能力

一次性簽章常被稱為具抗量子能力，因為其安全性主要可依賴雜湊函數。

但必須謹慎理解這一點。

抗量子不代表完全不可能遭到攻擊。

這表示該方案的設計目標，是比依賴量子演算法可有效解決之問題的方案更能抵禦已知量子攻擊方法。

雜湊函數仍須採用強健參數，因為量子搜尋可能降低部分雜湊式假設的有效安全性。

現代標準會選擇參數以因應這項問題。

NIST 的 SLH-DSA FIPS 205 標準，是推動標準化後量子簽章的整體趨勢之一。

XMSS 與 LMS 等具狀態雜湊式方案也很重要，因為它們為特定用途提供成熟的雜湊式簽章選項。

對區塊鏈而言，必須從錢包、交易、共識、跨鏈橋及智能合約等層面評估抗量子能力。

只有整個系統都能安全使用，後量子簽章才有實際效益。

一次性簽章的優點

一次性簽章的第一項優點，是安全性基礎簡單。

許多設計主要依賴密碼雜湊函數。

第二項優點是與後量子技術相關。

雜湊式簽章是研究最深入的後量子簽章類型之一。

第三項優點是概念透明。

基本的 Lamport 簽章比許多進階簽章方案更容易理解。

第四項優點是降低對橢圓曲線假設的依賴。

這對規劃長期密碼學遷移的系統很重要。

第五項優點是模組化。

一次性簽章元件可與 Merkle 樹及其他結構結合，建立較大型的簽章系統。

這些優點說明，為什麼一次性簽章概念仍持續出現在重要的密碼學標準中。

一次性簽章的限制

第一項限制是只能使用一次。

一次性私鑰無法安全地簽署無限多則訊息。

第二項限制是金鑰管理複雜。

錢包或簽署者必須仔細追蹤未使用的金鑰。

第三項限制是簽章大小。

雜湊式簽章可能比常見的橢圓曲線簽章更大。

第四項限制是操作狀態風險。

備份、裝置複製、伺服器備援及交易重試都可能造成金鑰意外重複使用。

第五項限制是整合成本。

區塊鏈可能需要新的地址格式、腳本規則、虛擬機支援、費用模型與錢包標準。

第六項限制是使用者體驗。

使用者不應需要手動理解每個一次性金鑰索引，但錢包仍必須正確管理索引。

一次性簽章的安全風險

最大的風險是使用同一把一次性金鑰簽署多則訊息。

這可能揭露足夠的機密資料，協助攻擊者偽造簽章。

第二項風險是產生私鑰時的隨機性不足。

若機密值可被預測，方案就可能失效。

第三項風險是雜湊函數過弱或參數不安全。

如果雜湊函數強度不足，攻擊者可能找到原像或其他可利用的捷徑。

第四項風險是實作錯誤。

編碼錯誤、索引追蹤不正確、校驗碼處理不當或域分離失效，都可能造成漏洞。

第五項風險是側通道資訊洩漏。

裝置若透過運算時間、耗電量、記憶體存取或故障注入洩漏機密值，安全性就可能遭到破壞。

第六項風險是狀態回復。

若簽署者回到舊狀態，可能重複使用本應停用的金鑰。

一次性簽章與 Nonce 重複使用

一次性簽章金鑰重複使用，不應與 ECDSA 的 nonce 重複使用混為一談。

在 ECDSA 中，nonce 是每次簽章都會使用的機密值。

如果 nonce 重複使用或外洩，長期私鑰可能曝光。

在一次性簽章中，一次性私鑰本身就是為簽署一則訊息而設計。

重複使用金鑰會揭露過多一次性機密資料。

這兩種錯誤都很嚴重，但發生在不同的簽章類型中。

共同教訓是，簽署系統通常需要為每次簽章或每種簽署情境使用獨特的機密資料。

錢包開發者必須清楚知道哪些資料絕不可重複使用。

使用者可能看不到這些細節，但資產安全有賴於此。

一次性簽章與隱私

結合新地址及謹慎的交易建構方式後，一次性簽章可支援注重隱私的錢包設計。

不過，一次性簽章不會自動讓區塊鏈具備隱私性。

交易金額、時間、輸入、輸出、網路中繼資料與智能合約互動仍可能揭露資訊。

一次性金鑰可減少重複曝光同一把金鑰。

但它本身無法隱藏所有活動。

Bitcoin 隱私指南建議新付款使用新地址，因為重複使用地址可能讓不同活動彼此連結。

這項原則也符合一次性簽章的精神。

使用新的密碼學資料可降低可連結性與重複曝光。

然而，隱私需要完整的系統設計。

一次性簽署只是其中一個環節。

一次性簽章在未來區塊鏈設計中的角色

未來的區塊鏈可能採用雜湊式簽章，以提升後量子韌性。

部分設計可能採用 XMSS 或 LMS 等具狀態系統。

其他設計可能使用 SLH-DSA 等無狀態雜湊式系統。

有些網路可能在遷移期間支援多種簽章演算法。

部分錢包可能讓使用者將資金從舊簽章類型轉移至後量子地址類型。

部分智能合約平台可能加入預編譯合約或內建後量子簽章驗證功能。

這些改變會影響交易大小、手續費市場、區塊空間、輕用戶端、託管系統與硬體錢包。

即使一般使用者從未直接看到「一次性簽章」這個詞，其概念很可能仍會持續發揮作用。

它是長期區塊鏈安全所需密碼學工具的一部分。

挑戰在於如何大規模實際應用。

關於一次性簽章的常見誤解

一種常見誤解是認為一次性簽章只是謹慎地只使用一次的一般簽章。

真正的一次性簽章，是以私密簽署金鑰只能使用一次為前提設計的簽章方案。

另一種誤解是認為一次性地址等同於一次性簽章。

一次性地址是錢包地址的使用方式；一次性簽章則是一種密碼學方法。

第三種誤解是認為一次性簽章能自動解決所有量子風險。

它有助於處理其中一部分問題，但區塊鏈仍須規劃協定層級的遷移。

第四種誤解是認為具狀態的雜湊式簽章很容易操作。

狀態管理可能相當困難，尤其是涉及備份及多台簽署裝置時。

第五種誤解是認為較大的簽章只會影響儲存空間。

在區塊鏈上，較大的簽章可能影響手續費、吞吐量、驗證成本及使用者體驗。

開發者最佳實務

使用標準化且經過審查的方案，不要自行發明一次性簽章設計。

在適用情況下，遵循 RFC 8391、RFC 8554、NIST SP 800-208 或 FIPS 205 等正式規格。

絕不可重複使用一次性簽署金鑰。

保護金鑰狀態的謹慎程度，應與保護私鑰本身相同。

設計備份時，應避免簽署索引回復至舊值。

產生金鑰時使用高強度隨機數。

使用域分離，避免簽章意外跨協定重複使用。

測試中斷簽署、替代交易、伺服器當機及裝置還原等失敗情境。

清楚記錄一次性金鑰何時視為已消耗。

當操作會消耗簽署容量時，介面應明確告知使用者。

加密貨幣使用者最佳實務

使用遵循現行安全標準並定期更新的錢包。

若錢包建議使用新地址，請避免手動重複使用地址。

不要因簽章請求出現在錢包中，就認定它一定安全。

簽署前請檢查交易詳情。

妥善保管錢包備份，並仔細遵循錢包的復原說明。

在可行的情況下，大額資產可使用硬體錢包保管。

除非了解相關風險且專案經過充分審查，否則避免使用實驗性的後量子錢包。

除非錢包文件明確指出安全，否則不要在不同裝置間複製私鑰、助記詞或簽署檔案。

對聲稱具備量子安全性、卻未說明簽章方案及取捨的錢包軟體保持謹慎。

請記住，密碼學強度無法防範網路釣魚、惡意軟體或不安全的授權操作。

一次性簽章的適用情境

當系統需要以雜湊函數為主要基礎的數位簽章時，一次性簽章便有其用途。

它可作為後量子簽章方案的建構元件。

它適用於 XMSS 與 LMS 等具狀態雜湊式簽章系統。

當長期真實性很重要，且系統能安全管理金鑰狀態時，一次性簽章便有用。

它適用於後量子區塊鏈安全的研究與協定設計。

當設計者希望降低對橢圓曲線假設的依賴時，一次性簽章也能派上用場。

在可仔細計算簽署次數的韌體、基礎設施與高保障環境中，也可使用一次性簽章。

若使用者需要同一把金鑰無限次簡單簽署，且不想管理狀態，一次性簽章就較不適合。

若簽章必須極小，也較不適合。

若未嚴格追蹤金鑰使用情況就進行實作，則可能造成危險。

一句話認識一次性簽章

一次性簽章是一種通常以雜湊函數建構的數位簽章方案，每把私密簽署金鑰都只應簽署一則訊息，因為重複使用可能洩漏機密資料並讓簽章遭到偽造。

常見問題

一次性簽章是什麼意思？

一次性簽章是一種數位簽章方法，讓私密簽署金鑰只安全地簽署一則訊息。

為什麼一次性簽章金鑰只能使用一次？

因為每次簽章都會揭露部分私鑰資料；若簽署更多訊息，可能會洩漏足夠資訊，讓攻擊者偽造簽章。

一次性簽章與一次性地址相同嗎？

不同。一次性簽章是密碼學簽署方案；一次性地址則是每筆付款使用新地址的錢包操作方式。

什麼是 Lamport 簽章？

Lamport 簽章是一種經典的雜湊式一次性簽章設計，簽署時會揭露與訊息雜湊位元相符的指定機密值。

什麼是 WOTS+？

WOTS+ 是 Winternitz One-Time Signature Plus，是 XMSS 使用的現代一次性簽章建構元件。

什麼是 XMSS？

XMSS 是 eXtended Merkle Signature Scheme，是一種具狀態的雜湊式簽章系統，會在 Merkle 樹中使用 WOTS+ 一次性金鑰。

什麼是 LMS？

LMS 是 Leighton-Micali Signature 系統，是一種使用一次性簽章與樹狀結構的具狀態雜湊式簽章方案。

一次性簽章具備後量子能力嗎？

許多一次性簽章系統被視為後量子候選方案，因為它們主要依賴雜湊函數，但安全性仍取決於參數與實作品質。

Bitcoin 和 Ethereum 現在使用一次性簽章嗎？

一般 Bitcoin 與 Ethereum 交易通常使用 ECDSA 或 Schnorr 類型等可多次簽署的方案，而非純一次性簽章。

重複使用一次性簽署金鑰會怎樣？

重複使用一次性簽署金鑰可能洩漏過多機密資訊，並讓攻擊者有機會偽造有效簽章。

為什麼一次性簽章會搭配 Merkle 樹？

Merkle 樹可讓多把一次性公開金鑰由同一個根公開金鑰驗證，使雜湊式簽章系統更實用。

一次性簽章最大的挑戰是什麼？

最大的挑戰是安全管理金鑰狀態，因為錢包與簽署系統必須避免意外重複使用一次性金鑰。

結論

一次性簽章是一個簡單卻強大的密碼學概念。

它讓簽署者能證明自己控制某把私鑰，通常是揭露經過精心挑選的機密值，再透過雜湊進行驗證。

讓這種設計優雅的特點，也使其使用規則十分嚴格。

簽署金鑰不可重複使用。

如果同一把一次性金鑰簽署多則訊息，簽章可能揭露過多私人資訊，並讓偽造簽章成為可能。

這項單次使用規則讓一次性簽章與 ECDSA、Schnorr 等常見區塊鏈簽章方案大不相同。

在目前的加密貨幣市場中，多數一般錢包不會以純一次性簽章處理日常交易。

不過，這個概念仍十分重要，因為一次性簽章是 WOTS+、XMSS 與 LMS 等雜湊式簽章系統的核心建構元件。

這些系統之所以重要，是因為雜湊式密碼學是邁向後量子數位簽章的重要途徑之一。

NIST 標準與 IETF 規格顯示，這不只是學術概念，也是長期安全領域中嚴謹密碼學工程的一部分。

對區塊鏈而言，一次性簽章帶來地址格式、交易大小、手續費、驗證成本、錢包備份、硬體錢包、多重簽章及智能合約支援等實務問題。

最困難的問題往往不是數學，而是確保一次性金鑰絕不會意外重複使用。

這需要仔細追蹤狀態、安全備份、可靠裝置及完善的使用者介面。

對使用者來說，眼前的教訓是遵守良好的錢包管理習慣，避免不安全的簽署行為。

對開發者來說，應使用經審查的標準，並將金鑰狀態視為關鍵安全資料。

對區塊鏈設計者來說，後量子遷移需要兼具強健密碼學與實用系統工程。

一次性簽章並不能解決所有加密貨幣安全問題。

它是一項基礎工具，有助於說明未來數位資產系統如何在舊有簽章假設需要演進的世界中保護所有權。