💻 computer science

TALUS: Threshold ML-DSA with One-Round Online Signing via Boundary Clearance and Carry Elimination

यह शोधपत्र TALUS को प्रस्तुत करता है, जो पहला थ्रेशोल्ड ML-DSA निर्माण है जो एक बाउंड्री क्लीयरेंस कंडीशन (Boundary Clearance Condition) और एक कैरी एलिमिनेशन फ्रेमवर्क (Carry Elimination Framework) के माध्यम से योजना की नॉन-लीनियर राउंडिंग बाधा को पार करते हुए, मानक सिग्नेचर अनुकूलता और सुरक्षा बनाए रखते हुए 99% से अधिक सफलता के साथ वन-राउंड ऑनलाइन साइनिंग प्राप्त करता है।

मूल लेखक: Leo Kao

प्रकाशित 2026-07-09

📖 8 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Leo Kao

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

यहाँ "TALUS: Threshold ML-DSA with One-Round Online Signing" पेपर का सरल भाषा और रचनात्मक उपमाओं (analogies) के साथ अनुवाद दिया गया है।

बड़ी तस्वीर: "डिजिटल वॉल्ट" की समस्या

कल्प Imagine कीजिए कि आपके पास एक डिजिटल वॉल्ट (एक प्राइवेट की/private key) है जो इतनी कीमती है कि आप नहीं चाहते कि केवल एक ही व्यक्ति के पास इसकी चाबी हो। यदि वह व्यक्ति हैक हो जाता है, तो वॉल्ट खो जाएगा। इसलिए, आप चाबी को टुकड़ों में बाँट देते हैं और उन्हें एक समूह (एक कमेटी) को दे देते हैं। वॉल्ट खोलने के लिए (एक दस्तावेज़ पर हस्ताक्षर करने के लिए), उनमें से एक निश्चित संख्या (मान लीजिए 5 में से 3) को मिलकर काम करना होगा।

इसे थ्रेशोल्ड साइनिंग (Threshold Signing) कहा जाता है। यह एक बैंक वॉल्ट की तरह है जिसे खोलने के लिए तीन चाबियाँ एक साथ घुमानी पड़ती हैं।

लंबे समय से, नए, "क्वांटम-प्रूफ" डिजिटल हस्ताक्षरों (जिन्हें ML-DSA या FIPS 204 कहा जाता है) के साथ ऐसा करना एक बुरा सपना रहा है। यह बहुत धीमा था, इसमें संदेशों के आदान-प्रदान के कई राउंड (जैसे "टेलीफोन" गेम जिसमें बहुत समय लगता है) की आवश्यकता होती थी, या इसके लिए एक भरोसेमंद "सुपर-यूज़र" की आवश्यकता होती थी जिसके पास चाबी का एक हिस्सा हो, जो जोखिम साझा करने के उद्देश्य को ही खत्म कर देता है।

TALUS एक नई विधि है जो इसे हल करती है। यह कमेटी को एक ही राउंड में दस्तावेज़ पर हस्ताक्षर करने की अनुमति देता है, जिससे यह एक अकेले व्यक्ति के हस्ताक्षर करने जितना तेज़ हो जाता है, जबकि एक साझा चाबी की सुरक्षा भी बनी रहती है।

दो मुख्य बाधाएं (और TALUS उन्हें कैसे पार करता है)

पेपर दो विशिष्ट "बॉटलनेक" (bottlenecks) की पहचान करता है जिन्होंने पिछले प्रयासों को विफल कर दिया था। TALUS इन दोनों से बचने के लिए दो चतुर तरकीबों का उपयोग करता है।

1. "राउंडिंग बाउंड्री" की समस्या (द बाउंड्री क्लीयरेंस कंडीशन)

उपमा (Analogy): कल्पना कीजिए कि आप एक विशिष्ट ऊँचाई तक पहुँचने के लिए ब्लॉक (blocks) जमा करने की कोशिश कर रहे हैं। नियम कहते हैं: "यदि आपका ढेर मेज के किनारे के बहुत करीब है, तो आपको यह जांचना होगा कि क्या एक भारी वजन (चाबी का एक गुप्त हिस्सा) इसे गिरा देगा।" पिछले सिस्टम में, कमेटी को रुकना पड़ता था, मिलकर इस भारी वजन की गणना करनी पड़ती थी, और यह जांचना पड़ता था कि क्या ढेर सुरक्षित है। इसमें बहुत समय और अतिरिक्त कदम लगते थे।

TALUS की तरकीब: लेखकों ने महसूस किया कि यदि आप अपने ब्लॉक्स (जिसे "नॉन्स" या nonce कहा जाता है) को सावधानीपूर्वक चुनते हैं, तो आप सुनिश्चित कर सकते हैं कि वे मेज के किनारे से दूर हों।

"सेफ ज़ोन" (Safe Zone): यदि ब्लॉक्स मेज के बीच में हैं, तो भारी वजन चाहे कितना भी भारी क्यों न हो, वे उन्हें संभवतः गिरा नहीं सकता!
परिणाम: यदि ब्लॉक्स इस "सेफ ज़ोन" में हैं, तो आपको भारी वजन की गणना करने की बिल्कुल भी आवश्यकता नहीं है! आप बस उन्हें जमा सकते हैं और आगे बढ़ सकते हैं।
चुनौती: यह "सेफ ज़ोन" केवल 31.7% समय (लगभग 3 में से 1 बार) ही होता है।
समाधान: TALUS इस "जांच" को ऑफलाइन (वास्तविक साइनिंग होने से पहले) करता है। यह बैकग्राउंड में एक "सेफ ज़ोन" ब्लॉक सेटअप खोजने की कोशिश करता है। एक बार जब इसे मिल जाता है, तो यह इसे सहेज लेता है। जब वास्तविक साइनिंग का समय आता है, तो यह बस पहले से स्वीकृत "सेफ ज़ोन" ब्लॉक्स को उठा लेता है। यह वास्तविक साइनिंग के दौरान धीमी, भारी गणना की आवश्यकता को समाप्त कर देता है।

2. "कैरी" की समस्या (द कैरी एलिमिनेशन फ्रेमवर्क)

उपमा (Analogy): कल्पना कीजिए कि कमेटी अपना कुल योग प्राप्त करने के लिए अपने नंबरों को जोड़ने की कोशिश कर रही है। सामान्य गणित में, यदि आप 7 + 8 जोड़ते हैं, तो आपको 15 मिलता है। "1" अगले कॉलम में 'कैरी' (carry) के रूप में जाता है। इस डिजिटल सिग्नेचर की दुनिया में, गणित अजीब है: जब टुकड़ों को जोड़ा जाता है, तो "कैरी" (अतिरिक्त बिट) खो जाता है या गड़बड़ा जाता है क्योंकि नंबर जिस तरह से घूमते (wrap around) हैं, वैसा ही होता है।

पुराना तरीका: खोए हुए "कैरी" को ठीक करने के लिए, कमेटी को यह पता लगाने के लिए एक जटिल, बहु-चरणीय बातचीत करनी पड़ती थी कि कैरी वास्तव में कहाँ गया। इसमें संदेशों के कई राउंड लग जाते थे।
TALUS की तरकीब: लेखकों ने एक गणितीय "शॉर्टकट" (संख्या 16 और मोडुलस से जुड़ी एक विशिष्ट पहचान) खोजा। उन्होंने महसूस किया कि वे पूरे, बिखरे हुए योग को फिर से बनाने की आवश्यकता के बिना ही अंतिम कुल योग की गणना कर सकते हैं।
परिणाम: लंबी बातचीत करने के बजाय, वे एक चतुर मास्किंग तकनीक का उपयोग करते हैं। प्रत्येक व्यक्ति अपने नंबर का थोड़ा "स्कैम्बल" (scrambled - उलझा हुआ) संस्करण भेजता है। कोऑर्डिनेटर (वह व्यक्ति जो हस्ताक्षर को इकट्ठा करता है) एक सरल सूत्र का उपयोग करके कुल योग को अनस्कैम्बल कर सकता है, जिससे जटिल कैरी-फिक्सिंग बातचीत की आवश्यकता ही खत्म हो जाती है।

TALUS के दो संस्करण

पेपर में इस सिस्टम का उपयोग करने के दो तरीके दिए गए हैं, जो इस बात पर निर्भर करते हैं कि आप अपने हार्डवेयर पर कितना भरोसा करते हैं:

TALUS-TEE (द "ट्रस्टेड हार्डवेयर" वर्जन):
- यह कैसे काम करता है: एक व्यक्ति (कोऑर्डिनेटर) के पास एक विशेष, अटूट डिजिटल तिजोरी (एक ट्रस्टेड एक्जीक्यूशन एनवायरनमेंट या TEE) होती है। यह तिजोरी चाबी के "भारी वजन" वाले हिस्से को रखती है।
- लाभ: क्योंकि तिजोरी भरोसेमंद है, इसलिए कोऑर्डिनेटर "सेफ ज़ोन" की जांच और "कैरी" की गणित खुद कर सकता है। अन्य कमेटी सदस्य पहेली का अपना हिस्सा भेजते हैं।
- परिणाम: अत्यंत तेज़, यह छोटे समूहों के लिए भी काम करता है (बहुमत के ईमानदार होने की आवश्यकता नहीं है), और इसमें संदेशों का केवल एक राउंड ही लगता है।
TALUS-MPC (द "फुल्ली डिस्ट्रीब्यूटेड" वर्जन):
- यह कैसे काम करता है: कोई किसी पर भरोसा नहीं करता। सभी समान हैं। वे बिना अपने रहस्य प्रकट किए मिलकर गणित करने के लिए "कैरी एलिमिनेशन" ट्रिक का उपयोग करते हैं।
- चुनौती: बिना भरोसेमंद तिजोरी के गणित को काम करने योग्य बनाने के लिए, उन्हें साइनिंग शुरू होने से पहले (ऑफलाइन राउंड्स में) थोड़ा अधिक सेटअप समय की आवश्यकता होती है ताकि "स्कैम्बल किए गए" नंबर तैयार किए जा सकें। साथ भी, बड़े समूहों के लिए, उन्हें एक "ईमानदार बहुमत" (धोखाधड़ी रोकने के लिए आधे से अधिक लोग अच्छे होने चाहिए) की आवश्यकता होती है।
- परिणाम: वास्तविक साइनिंग के दौरान अभी भी केवल एक राउंड का संदेश ही लगता है, लेकिन इसके लिए पहले से थोड़ी अधिक तैयारी की आवश्यकता होती है।

यह क्यों मायने रखता है (द "वन-राउंड" मिरेकल)

डिजिटल हस्ताक्षरों की दुनिया में, समय ही पैसा है। हर बार जब कमेटी को संदेश भेजने और प्राप्त करने के लिए चक्कर लगाने पड़ते हैं, तो देरी होती है।

पुराने तरीके: इसमें संदेशों के 3 से 29 राउंड लग सकते हैं। यदि आप समुद्र पार किसी ट्रांजेक्शन पर हस्ताक्षर कर रहे हैं, तो इसमें सेकंड या मिनट भी लग सकते हैं।
TALUS: ठीक एक राउंड लेता है। कमेटी अपना हिस्सा भेजती है, और हस्ताक्षर हो जाता है।
उपमा: एक रिले रेस की कल्पना करें। पुराने तरीके फिनिश लाइन पार करने से पहले 10 बार बैटन पास करने जैसे थे। TALUS ऐसा है जैसे हर कोई एक साथ अपनी दौड़ पूरी करे और फिनिश लाइन को एक साथ पार करे।

ऊपर दी गई "नोट" (रियलिटी चेक)

पेपर के बिल्कुल शुरुआत में एक बहुत ही ईमानदार नोट (जुलाई 2026 को दिनांकित) शामिल है। यह स्वीकार करता है कि एक शोधकर्ता गिलहेम निओट (Guilhem Niot) ने मूल डिज़ाइन में कुछ सुरक्षा खामियां पाई थीं:

"कमिटमेंट" की खामी: डिस्ट्रीब्यूटेड वर्जन (MPC) में, जिस तरह से उन्होंने रहस्यों को सुरक्षित रखने का वादा किया था, वह थोड़ा लीक वाला था। एक ऑब्जर्वर गणितीय रूप से गुप्त चाबियों को रिवर्स-इंजीनियर कर सकता था।
"चेक" की खामी: उन्होंने दावा किया था कि उन्हें अपनी "सेफ ज़ोन" ट्रिक के कारण एक विशिष्ट सुरक्षा स्थिति ( $s_2$ चेक) की जांच करने की आवश्यकता नहीं है, लेकिन वे गलत थे; पूर्ण सुरक्षा के लिए वह चेक अभी भी आवश्यक है।

पेपर का जवाब: वे इसे छिपा नहीं रहे हैं। वे स्वीकार करते हैं कि हमले सही हैं। वे कहते हैं कि "सेफ ज़ोन" वाली ट्रिक (BCC) अभी भी काम करती है, लेकिन उन्हें अपने रहस्यों को लॉक करने के तरीके को ठीक करने की आवश्यकता है (एक अलग प्रकार के लॉक का उपयोग करके जिसे "हाइडिंग कमिटमेंट" कहा जाता है)। वे एक संशोधित संस्करण पर काम कर रहे हैं।

सारांश

TALUS लोगों के समूह के लिए "क्वांटम-प्रूफ" डिजिटल हस्ताक्षर चलाने में एक बड़ी सफलता है। यह धीमी गणनाओं को छोड़ने के लिए "सेफ ज़ोन" ट्रिक और लंबी बातचीत से बचने के लिए "कैरी एलिमिनेशन" ट्रिक का उपयोग करता है। यह एक समूह को एक एकल चरण में दस्तावेज़ पर हस्ताक्षर करने की अनुमति देता है, जो एक अकेले व्यक्ति जितना ही तेज़ है। हालांकि लेखक स्वीकार करते हैं कि उन्हें डिस्ट्रीब्यूटेड वर्जन में कुछ सुरक्षा खामियों को ठीक करने की आवश्यकता है, लेकिन कुशल और तेज़ थ्रेशोल्ड साइनिंग बनाने का उनका मूल विचार एक बड़ी प्रगति है।

तकनीकी सारांश: TALUS – वन-राउंड ऑनलाइन साइनिंग के साथ थ्रेशोल्ड ML-DSA

1. समस्या विवरण (Problem Statement)

थ्रेशोल्ड सेटिंग में ML-DSA (FIPS 204, आधारित CRYSTALS-Dilithium) को तैनात करना एक खुला प्रश्न बना हुआ है क्योंकि इस स्कीम में अंतर्निहित गैर-रैखिक राउंडिंग स्टेप (non-linear rounding step) होता है। शास्त्रीय थ्रेशोल्ड सिग्नेचर (जैसे, Schnorr/ECDSA के लिए FROST) के विपरीत, जो योगात्मक होमोमोर्फिक (additive homomorphism) पर निर्भर करते हैं, ML-DSA को यह सुनिश्चित करने के लिए एक माध्यमिक अवशेष $r_0 - cs_2$ पर चेक की आवश्यकता होती है कि सिग्नेचर हिंट सीमाओं के भीतर रहे। थ्रेशोल्ड सेटिंग में, गुप्त कुंजी घटक $s_2$ को विभिन्न पक्षों के बीच साझा किया जाता है। $r_0$ -चेक को संभालने के पिछले तरीकों ने निम्नलिखित की आवश्यकता रखी:

महंगा MPC: $cs_2$ का मूल्यांकन करने के लिए मल्टी-पार्टी कंप्यूटेशन (MPC)।
विश्वसनीय समन्वयकर्ता (Trusted Coordinators): $s_2$ को एक विश्वसनीय निष्पादन वातावरण (TEE) या एकल विश्वसनीय पक्ष में रखना।
नॉइज़ फ्लडिंग (Noise Flooding): चेक को छिपाने के लिए मापदंडों (parameters) को कम करना।

ये विधियाँ या तो ऑनलाइन विलंबता (latency) को बढ़ाती हैं (कई राउंड), विश्वास मॉडल को प्रतिबंधित करती हैं, या सुरक्षा मापदंडों को कम करती हैं। इसके अलावा, एक मौलिक "लैटिस थ्रेशोल्ड ट्राइलेमा" (Lattice Threshold Trilemma) मौजूद है: नॉन्स स्पेस (nonce space) से कोई भी ग्रुप होमोमोर्फिज्म एक साथ छिपा हुआ (hiding) और बाइंडिंग (binding) नहीं हो सकता, जो डिस्क्रीट-लॉग सेटिंग्स में उपयोग किए जाने वाले मानक होमोमोर्फिक कमिटमेंट स्कीम्स को खारिज करता है।

2. कार्यप्रणाली और मुख्य नवाचार (Methodology and Core Innovations)

TALUS (Threshold Agile Lattice Unified Signatures) $r_0$ -चेक को ऑनलाइन साइनिंग चरण से अलग करके और एक नए बीजगणितीय ढांचे (algebraic framework) के माध्यम से वितरित कमिटमेंट समस्या को हल करके इन बाधाओं को दूर करता है।

2.1 बाउंड्री क्लीयरेंस कंडीशन (Boundary Clearance Condition - BCC)

पेपर ML-DSA कमिटमेंट स्पेस के एक ज्यामितीय गुण की पहचान करता है। साइनिंग प्रक्रिया में एक अवशेष $r_0 = \text{LowBits}(Ay)$ शामिल है। गुप्त-निर्भर शिफ्ट $cs_2$ केवल तभी राउंडिंग बाउंड्री क्रॉसिंग का कारण बन सकता है जब $r_0$ मॉड्यूलर सीमाओं ( $\pm \gamma_2$ ) के करीब हो।

अवलोकन: यदि $r_0$ का प्रत्येक गुणांक सीमाओं से $\beta = \tau\eta$ (जहाँ $\tau$ चैलेंज वेट है और $\eta$ सीक्रेट बाउंड है) से अधिक दूर है, तो शिफ्ट $cs_2$ किसी भी सीमा को पार नहीं कर सकता है।
निहितार्थ: इस बाउंड्री क्लीयरेंस कंडीशन (BCC) के तहत, कमिटमेंट का उच्च-क्रम भाग ( $w_1$ ) $s_2$ द्वारा अपरिवर्तित रहता है, और हिंट $h$ पूरी तरह से सार्वजनिक मानों ( $r = Az - ct_1 \cdot 2^d$ और $w_1$ ) से गणनीय हो जाता है।
संभावना: BCC प्रति नॉन्स प्रयास लगभग $p_{BCC} \approx 31.7\%$ की दर से सत्य होता है।
रणनीति: TALUS BCC को संतुष्ट करने वाले नॉन्स उत्पन्न करने के लिए ऑफलाइन प्रीप्रोसेसिंग करता है। यह ऑनलाइन चरण से पहले "खराब" नॉन्स को फ़िल्टर कर देता है, जिससे साइनिंग के दौरान $cs_2$ की गणना करने या $r_0$ की जांच करने की आवश्यकता समाप्त हो जाती है।

2.2 कैरी एलिमिनेशन फ्रेमवर्क (Carry Elimination Framework - CEF)

BCC के साथ भी, पक्षों को कमिटमेंट हैश इनपुट $w_1 = \text{HighBits}(Ay)$ को वितरित रूप से कंप्यूट करना होगा। चूंकि $\text{HighBits}$ एक ग्रुप होमोमोर्फिज्म नहीं है, इसलिए व्यक्तिगत एडिटिव नॉन्स शेयर्स को जोड़ने से "कैरी" (carries) उत्पन्न होते हैं जिन्हें पूरे नॉन्स को पुनर्गठित किए बिना हल किया जाना चाहिए।

मुख्य पहचान: पेपर मॉड्यूलर पहचान $\alpha^{-1} \equiv -16 \pmod q$ (जहाँ $\alpha = 2\gamma_2$ ) का लाभ उठाता है।
प्रोटोकॉल:
- TALUS-TEE: एक विश्वसनीय समन्वयकर्ता (एक TEE में) समग्र नॉन्स रखता है और $w_1$ को सीधे कंप्यूट करता है।
- TALUS-MPC: पक्ष एक कैरी-सेफ कंपेरिजन प्रोटोकॉल (CSCP) का उपयोग करते हैं। वे अपने एडिटिव नॉन्स टुकड़ों के मास्क किए गए डिकम्पोजिशन को ब्रॉडकास्ट करते हैं। बीवर ट्रिपल्स (Beaver triples) और एक प्रिफिक्स-ट्री तुलना सर्किट का उपयोग करके, पक्ष एक एकल कैरी बिट $c$ और एक FIPS करेक्शन बिट $\delta$ कंप्यूट करते हैं। यह समन्वयकर्ता को नॉन्स के व्यक्तिगत लो-बिट्स को सीखे बिना सटीक $w_1$ को पुनर्गठित करने की अनुमति देता है।
दक्षता: $T=2$ के लिए, यह एक डिस्ट्रिब्यूटेड कंपेरिजन फंक्शन (DCF) में बदल जाता है, जिससे संचार काफी कम हो जाता है। $T \ge 3$ के लिए, इसमें $O(\log N)$ ऑफलाइन राउंड की आवश्यकता होती है लेकिन यह ऑनलाइन चरण से स्वतंत्र रहता है।

3. प्रोटोकॉल इंस्टेंशिएशन (Protocol Instantiations)

पेपर दो परिनियोजन प्रोफाइल प्रस्तुत करता है:

TALUS-TEE (Trusted Execution Environment)

मॉडल: एक समन्वयकर्ता TEE के भीतर $s_2$ और $t_0$ रखता है। साइनर्स $s_1$ के शेयर्स रखते हैं।
प्रक्रिया: TEE BCC-अनुपालक नॉन्स खोजने के लिए ऑफलाइन प्रीप्रोसेसिंग करता है। यह $w_1$ को ब्रॉडकास्ट करता है। साइनर्स $z_i = y_i + c \cdot s_{1,i}$ के साथ प्रतिक्रिया देते हैं। TEE सिग्नेचर को असेंबल करता है।
विश्वास: एक सेमी-होनेस्ट (semi-honest) TEE समन्वयकर्ता की आवश्यकता होती; साइनर्स दुर्भावनापूर्ण हो सकते हैं (पहचान योग्य अबॉर्ट/identifiable abort)।
सीमाएँ: कोई ईमानदार-बहुमत (honest-majority) की आवश्यकता नहीं है ( $N \ge T$ )।

TALUS-MPC (Fully Distributed)

मॉडल: पूर्णतः वितरित; कोई भी पक्ष $s_2$ या समग्र नॉन्स नहीं रखता है।
प्रक्रिया: पक्ष ऑफलाइन प्रीप्रोसेसिंग के दौरान CEF के माध्यम से $w_1$ को संयुक्त रूप से कंप्यूट करते हैं। ऑनलाइन साइनिंग TEE के समान है (एक राउंड)।
विश्वास: $T \ge 2$ के लिए आइडेंटिफिएबल अबॉर्ट (IA) के साथ मैलिसियस सुरक्षा।
सीमाएँ: $T \ge 3$ के लिए, एक रशिंग एडवरसरी (rushing adversary) को नॉन्स के लो-बिट्स सीखने से रोकने के लिए ईमानदार बहुमत ( $N \ge 2T - 1$ ) की आवश्यकता होती है ("डिसहोनेस्ट मेजॉरिटी बैरियर")। $T=2$ के लिए, किसी ईमानदार बहुमत की आवश्यकता नहीं है।

4. मुख्य योगदान (Key Contributions)

लैटिस थ्रेशोल्ड ट्राइलेमा: एक प्रमाण कि लैटिस नॉन्स स्पेस से कोई भी ग्रुप होमोमोर्फिज्म एक साथ हाइडिंग (hiding) और बाइंडिंग (binding) नहीं हो सकता। यह स्थापित करता है कि कैरी रिज़ॉल्यूशन (carry resolution) एक गणितीय आवश्यकता है, न कि केवल एक प्रोटोकॉल आर्टिफैक्ट।
बाउंड्री क्लीयरेंस कंडीशन: यह औपचारिक प्रमाण कि $r_0$ -चेक को $\approx 31.7\%$ नॉन्स के लिए बायपास किया जा सकता है, जिससे ऑनलाइन चरण में $s_2$ गणना को समाप्त करना संभव होता है।
कैरी एलिमिशन फ्रेमवर्क: पूरे $y$ को पुनर्गठित किए बिना $\text{HighBits}(Ay)$ को कंप्यूट करने के लिए एक वितरित प्रोटोकॉल, जो ML-DSA के विशिष्ट मॉड्यूलर अंकगणित गुणों का उपयोग करता है।
वन-राउंड ऑनलाइन साइनिंग: दोनों वेरिएंट्स एक सिंगल ब्रॉडकास्ट राउंड प्राप्त करते हैं, जो सिंगल-पार्टी साइनिंग की विलंबता से मेल खाता है और पूर्ववर्ती FIPS-संगत प्रस्तावों (जैसे, Mithril) की तुलना में बेहतर प्रदर्शन करता है जो 2-3 राउंड की आवश्यकता रखते हैं।
कार्यान्वयन: सभी तीन FIPS 204 सुरक्षा स्तरों (ML-DSA-44, 65, 87) के लिए एक Rust रेफरेंस इम्प्लीमेंटेशन।

5. परिणाम और प्रदर्शन (Results and Performance)

सफलता दर: सफल सिग्नेचर के लिए अपेक्षित ऑफलाइन प्रीप्रोसेसिंग प्रयास $\approx 3.15$ है (31.7% BCC पास रेट के कारण)।
विलंबता (ML-DSA-65, $T=3$ ):
- TALUS-TEE: ऑनलाइन साइनिंग में 0.29 ms लगता है; कुल एम्बोरिटाइज्ड (amortized) समय (ऑफलाइन तैयारी सहित) 1.52 ms है।
- TALUS-MPC: ऑनलाइन साइनिंग में 0.68 ms लगता है; एम्बोरिटाइज्ड कुल 4.09 ms है।
- तुलना: TALUS-TEE ऑनलाइन विलंबता में Mithril (3.6 ms) से 2.4x तेज़ है। TALUS-MPC, Mithril के प्रतिस्पर्धी है लेकिन यह Mithril के 3 राउंड के मुकाबले एक सिंगल ऑनलाइन राउंड के साथ यह उपलब्धि हासिल करता है।
संचार (Communication):
- T=2: ऑफलाइन लागत प्रति बैच $\approx 5$ KB (DCF) है।
- T $\ge$ 3: ऑफलाइन लागत प्रति बैच $\approx 350$ KB (CarryCompare द्वारा संचालित) है।
- ऑनलाइन: प्रति साइनर $\approx 3.6$ KB पर स्थिर, जो $T$ और $N$ से स्वतंत्र है।
नेटवर्क विलंबता: वितरित प्रयोगों (GCP) में, एंड-टू-एंड विलंबता नेटवर्क RTT के साथ रैखिक रूप से स्केल करती है (जैसे, US-Europe के लिए $\approx 350$ ms), जो सिंगल-राउंड लाभ की पुष्टि करती है।

6. महत्व और दावे (Significance and Claims)

पेपर दावा करता है कि TALUS पहला थ्रेशोल्ड ML-DSA निर्माण है जो एक साथ निम्नलिखित प्राप्त करता है:

पूर्ण FIPS 204 अनुकूलता: सिग्नेचर बिना किसी संशोधन के मानक वेरीफायर द्वारा सत्यापित किए जा सकते हैं।
स्वतंत्र थ्रेशोल्ड: किसी भी $1 \le T \le N$ के लिए $T$ -of- $N$ का समर्थन करता है (MPC $T \ge 3$ के लिए विशिष्ट ईमानदार-बहुमत बाधाओं के साथ)।
वन-राउंड ऑनलाइन साइनिंग: सिंगल-पार्टी साइनिंग की विलंबता से मेल खाता है, जो कई ऑनलाइन राउंड की आवश्यकता वाले पूर्ववर्ती कार्यों की तुलना में एक महत्वपूर्ण सुधार है।

लेखक इस बात पर जोर देते हैं कि "कैरी कॉस्ट" (carry cost) लैटिस सेटिंग की एक अंतर्निहित बीजगणितीय कीमत है, लेकिन TALUS इसे पूरी तरह से ऑफलाइन चरण में स्थानांतरित करके इस लागत को न्यूनतम करता है। यह कार्य प्रदर्शित करता है कि FIPS 204 अनुकूलता के लिए थ्रेशोल्ड सेटिंग में प्रदर्शन दंड (performance penalty) आवश्यक नहीं है।

नोट ऑन क्रिप्टेनालिसिस: पेपर में एक नोट (दिनांक 2026-07-09) शामिल है जो G. Niot द्वारा किए गए क्रिप्टेनालिसिस को स्वीकार करता है। हमले पुष्टि करते हैं कि TALUS-MPC में कमिटमेंट स्कीम 'हाइडिंग' नहीं है (Ax से x को रिकवर करना) और $s_2$ चेक को हटाने से सांख्यिकीय लीकेज (statistical leakage) होता है। लेखक इन बिंदुओं को स्वीकार करते हैं, $As_{1,i}$ के हाइडिंग के संबंध में विशिष्ट दावों को वापस लेते हैं और $s_2$ चेक की गोपनीयता के लिए रेडंडेंसी को स्वीकार करते हैं, और कहते हैं कि वास्तव में हाइडिंग कमिटमेंट्स का उपयोग करने वाला एक संशोधित निर्माण तैयार किया जा रहा है। वे यह भी नोट करते हैं कि TALUS-TEE इन कमिटमेंट हमलों से प्रभावित नहीं है।