Resumen Técnico: TALUS – ML-DSA de Umbral con Firma en Línea de Una Sola Ronda

1. Planteamiento del Problema

El despliegue de ML-DSA (FIPS 204, basado en CRYSTALS-Dilithium) en un entorno de umbral ha seguido siendo un problema abierto debido al paso de redondeo no lineal inherente al esquema. A diferencia de las firmas de umbral clásicas (por ejemplo, FROST para Schnorr/ECDSA) que dependen de la homomorfia aditiva, ML-DSA requiere una verificación de un residuo secundario $r_0 - cs_2$ para asegurar que el hint de la firma permanezca dentro de los límites. En un entorno de umbral, el componente de la clave secreta $s_2$ se comparte entre las partes. Los enfoques previos para manejar este control de $r_0$ han requerido:

1. MPC Costoso: Computación multi-parte para evaluar $cs_2$ en línea.
2. Coordinadores de Confianza: Mantener $s_2$ en un Entorno de Ejecución Confiable (TEE) o en una única parte de confianza.
3. Inundación de Ruido (Noise Flooding): Degradar los parámetros para enmascarar el control.

Estos métodos aumentan la latencia en línea (múltiples rondas), restringen el modelo de confianza o degradan los parámetros de seguridad. Además, existe un "Trilema de Umbral de Redes" fundamental: ningún homomorfismo de grupo desde el espacio de los nonces puede ser simultáneamente ocultador (hiding) y vinculante (binding), lo que descarta los esquemas de compromiso homomórficos estándar utilizados en entornos de logaritmo discreto.

2. Metodología e Innovaciones Principales

TALUS (Threshold Agile Lattice Unified Signatures) supera estas barreras desacoplando el control de $r_0$ de la fase de firma en línea y resolviendo el problema del compromiso distribuido mediante un nuevo marco algebraico.

2.1 Condición de Claridad de Frontera (BCC)

El artículo identifica una propiedad geométrica del espacio de compromiso de ML-DSA. El proceso de firma implica un residuo $r_0 = \text{LowBits}(Ay)$. El desplazamiento dependiente del secreto $cs_2$ solo puede causar un cruce de frontera de redondeo si $r_0$ está cerca de las fronteras modulares ($\pm \gamma_2$).

• Observación: Si cada coeficiente de $r_0$ está alejado de las fronteras por más de $\beta = \tau\eta$ (donde $\tau$ es el peso del desafío y $\eta$ es el límite del secreto), entonces el desplazamiento $cs_2$ no puede cruzar ninguna frontera.
• Implicación: Bajo esta Condición de Claridad de Frontera (BCC), la parte de alto orden del compromiso ($w_1$) permanece inalterada por $s_2$, y el hint $h$ es computable enteramente a partir de valores públicos ($r = Az - ct_1 \cdot 2^d$ y $w_1$).
• Probabilidad: La BCC se cumple con una probabilidad $p_{BCC} \approx 31.7\%$ por intento de nonce.
• Estrategia: TALUS realiza un preprocesamiento offline para generar nonces que satisfagan la BCC. Esto filtra los "malos" nonces antes de la fase en línea, eliminando la necesidad de computar $cs_2$ o verificar $r_0$ durante la firma.

2.2 Marco de Eliminación de Acarreo (CEF)

Incluso con la BCC, las partes deben computar el input del hash del compromiso $w_1 = \text{HighBits}(Ay)$ de forma distribuida. Dado que $\text{HighBits}$ no es un homomorfismo de grupo, la suma de las partes individuales de $w_{1,i}$ introduce "acarreos" que deben resolverse sin reconstruir el nonce completo.

• Identidad Clave: El artículo explota la identidad modular $\alpha^{-1} \equiv -16 \pmod q$ (donde $\alpha = 2\gamma_2$).
• Protocolo:
  • TALUS-TEE: Un coordinador de confianza (en un TEE) posee el nonce agregado y computa $w_1$ directamente.
  • TALUS-MPC: Las partes utilizan un Protocolo de Comparación Seguro contra Acarreos (CSCP). Estas difunden descomposiciones enmascaradas de sus piezas de nonce aditivas. Utilizando triplas de Beaver y un circuito de comparación de árbol de prefijos, las partes computan un único bit de acarreo $c$ y un bit de corrección FIPS $\delta$. Esto permite al coordinador reconstruir el $w_1$ exacto sin conocer los low-bits individuales del nonce.
• Eficiencia: Para $T=2$, esto degenera en una Función de Comparación Distribuida (DCF), reduciendo significativamente la comunicación. Para $T \ge 3$, requiere $O(\log N)$ rondas offline pero permanece independiente de la fase en línea.

3. Instanciaciones del Protocolo

TALUS-TEE (Entorno de Ejecución Confiable)

• Modelo: Un coordinador posee $s_2$ y $t_0$ dentro de un TEE. Los firmantes poseen partes de $s_1$.
• Proceso: El TEE realiza el preprocesamiento offline para encontrar un nonce que cumpla con la BCC. Difunde $w_1$. Los firmantes responden con $z_i = y_i + c \cdot s_{1,i}$. El TEE ensambla la firma.
• Confianza: Requiere un coordinador TEE semi-honesto; los firmantes pueden ser maliciosos (aborto identificable).
• Restricciones: No requiere mayoría honesta ($N \ge T$).

TALUS-MPC (Totalmente Distribuido)

• Modelo: Totalmente distribuido; ninguna parte posee $s_2$ ni el nonce agregado.
• Proceso: Las partes computan conjuntamente $w_1$ a través del CEF durante el preprocesamiento offline. La firma en línea es idéntica a la de TEE (una ronda).
• Confianza: Seguridad maliciosa con Aborto Identificable (IA) para $T \ge 2$.
• Restricciones: Para $T \ge 3$, requiere una mayoría honesta ($N \ge 2T - 1$) para evitar que un adversario apresurado (rushing adversary) aprenda los low-bits del nonce (La "Barrera de Mayoría Deshonesta"). Para $T=2$, no se requiere mayoría honesta.

4. Contribuciones Clave

1. Trilema de Umbral de Redes: Una prueba de que ningún homomorfismo de grupo desde el espacio de los nonces de la red puede ser simultáneamente ocultador y vinculante. Esto establece que la resolución de acarreos es una necesidad matemática para los esquemas de umbral de redes compatibles con FIPS, no un artefacto del protocolo.
2. Condición de Claridad de Frontera: Una prueba formal de que el control de $r_0$ puede omitirse para aproximadamente el $31.7\%$ de los nonces, permitiendo la eliminación del cálculo de $s_2$ en la fase en línea.
3. Marco de Eliminación de Acarreo: Un protocolo distribuido para computar $\text{HighBits}(Ay)$ sin reconstruir $y$, utilizando las propiedades específicas de la aritmética modular de ML-DSA.
4. Firma en Línea de Una Sola Ronda: Ambas variantes logran una sola ronda de difusión para la firma en línea, igualando la latencia de la firma de una sola parte y superando las propuestas previas compatibles con FIPS (ej. Mithril) que requieren 2–3 rondas.
5. Implementación: Una implementación de referencia en Rust a través de los tres niveles de seguridad de FIPS 204 (ML-DSA-44, 65, 87).

5. Resultados y Rendimiento

• Tasa de Éxito: El número esperado de intentos de preprocesamiento por firma exitosa es $\approx 3.15$ (debido a la tasa de paso de la BCC del $31.7\%$).
• Latencia (ML-DSA-65, $T=3$):
  • TALUS-TEE: La firma en línea toma 0.29 ms; el total amortizado (incluyendo la preparación offline) es 1.52 ms.
  • TALUS-MPC: La firma en línea toma 0.68 ms; el total amortizado es 4.09 ms.
  • Comparación: TALUS-TEE es 2.4x más rápido que Mithril (3.6 ms) en latencia en línea. TALUS-MPC es competitivo con Mithril pero logra esto con una sola ronda en línea frente a las 3 rondas de Mithril.
• Comunicación:
  • T=2: El costo offline es $\approx 5$ KB por lote (DCF).
  • T $\ge$ 3: El costo offline es $\approx 350$ KB por lote (dominado por CarryCompare).
  • En línea: Constante en $\approx 3.6$ KB por firmante, independiente de $T$ y $N$.
• Latencia de Red: En experimentos distribuidos (GCP), la latencia de extremo a extremo escala linealmente con el RTT de la red (ej. $\approx 350$ ms para EE. UU.-Europa), confirmando la ventaja de la ronda única.

6. Significado y Reivindicaciones

El artículo afirma que TALUS es la primera construcción de umbral de ML-DSA que logra simultáneamente:

1. Compatibilidad Total con FIPS 204: Las firmas son verificables por verificadores estándar sin modificaciones.
2. Umbral Arbitrario: Soporta $T$-de-$N$ para cualquier $1 \le T \le N$ (con restricciones específicas de mayoría honesta para MPC $T \ge 3$).
3. Firma en Línea de Una Sola Ronda: Igualando la latencia de la firma de una sola parte, lo que representa una mejora significativa sobre trabajos previos que requieren múltiples rondas en línea.

Los autores enfatizan que el "costo de acarreo" es un precio algebraico inherente al entorno de redes, pero TALUS minimiza este costo moviéndolo enteramente a la fase offline. El trabajo demuestra que la compatibilidad con FIPS 204 no requiere necesariamente una penalización de rendimiento en entornos de umbral.

Nota sobre Criptoanálisis: El artículo incluye una nota (fechada 2026-07-09) reconociendo un criptoanálisis por G. Niot. Los ataques confirman que el esquema de compromiso en TALUS-MPC no es ocultador (se recupera $x$ de $Ax$) y que la eliminación del control de $s_2$ introduce una fuga estadística. Los autores admiten estos puntos, retiran las afirmaciones específicas sobre el carácter ocultador de $As_{1,i}$ y la redundancia del control de $s_2$ para el secreto, y declaran que se está preparando una construcción revisada utilizando compromisos genuinamente ocultadores. Señalan que TALUS-TEE no se ve afectado por los ataques de compromiso.