Riepilogo Tecnico: TALUS – ML-DSA a Soglia con Firma Online a Singolo Round

1. Definizione del Problema

L'implementazione di ML-DSA (FIPS 204, basato su CRYSTALS-Dilithium) in un contesto a soglia è rimasta un problema aperto a causa della natura intrinsecamente non lineare del suo passaggio di arrotondamento. A differenza dei classici schemi di firma a soglia (ad es. FROST per Schnorr/ECDSA) che si basano sull'omomorfismo additivo, ML-DSA richiede un controllo su un residuo secondario $r_0 - cs_2$ per garantire che l'hint della firma rimanga entro i limiti. In un contesto a soglia, la componente della chiave segreta $s_2$ è condivisa tra più parti. Gli approcci precedenti per gestire questo controllo su $r_0$ hanno richiesto:

1. MPC Costoso: Calcolo multi-party per valutare $cs_2$ online.
2. Coordinatori Fidati: Detenzione di $s_2$ all'interno di un ambiente di esecuzione fidato (TEE) o da parte di una singola parte fidata.
3. Noise Flooding: Degradazione dei parametri per mascherare il controllo.

Questi metodi aumentano la latenza online (multipli round), restringono il modello di fiducia o degradano i parametri di sicurezza. Inoltre, esiste un fondamentale "Trilemma della Soglia nei Reticoli": nessun omomorfismo di gruppo dallo spazio dei nonce può essere simultaneamente occultante (hiding) e vincolante (binding), escludendo gli standard schemi di impegno omomorfi utilizzati negli ambiti del logaritmo discreto.

2. Metodologia e Innovazioni Principali

TALUS (Threshold Agile Lattice Unified Signatures) supera queste barriere disaccoppiando il controllo $r_0$-check dalla fase di firma online e risolvendo il problema dell'impegno distribuito tramite un nuovo framework algebrico.

2.1 Condizione di Liberazione dal Confine (Boundary Clearance Condition - BCC)

Il documento identifica una proprietà geometrica dello spazio di impegno di ML-DSA. Il processo di firma comporta un residuo $r_0 = \text{LowBits}(Ay)$. Lo shift dipendente dal segreto $cs_2$ può causare un superamento del confine di arrotondamento solo se $r_0$ è vicino ai confini modulari ($\pm \gamma_2$).

• Osservazione: Se ogni coefficiente di $r_0$ è distante dai confini di una quantità superiore a $\beta = \tau\eta$ (dove $\tau$ è il peso della sfida e $\eta$ è il limite del segreto), allora lo shift $cs_2$ non può superare alcun confine.
• Implicazione: Sotto questa Condizione di Liberazione dal Confine (BCC), la parte di ordine superiore dell'impegno ($w_1$) rimane invariata da $s_2$, e l'hint $h$ diventa computabile interamente da valori pubblici ($r = Az - ct_1 \cdot 2^d$ e $w_1$).
• Probabilità: La BCC è soddisfatta con una probabilità $p_{BCC} \approx 31,7\%$ per ogni tentativo di nonce.
• Strategia: TALUS esegue un pre-processing offline per generare nonce che soddisfino la BCC. Questo filtra i "bad" nonce prima della fase online, eliminando la necessità di calcolare $cs_2$ o controllare $r_0$ durante la firma.

2.2 Framework di Eliminazione del Carry (Carry Elimination Framework - CEF)

Anche con la BCC, le parti devono calcolare in modo distribuito l'input dell'hash dell'impegno $w_1 = \text{HighBits}(Ay)$. Poiché $\text{HighBits}$ non è un omomorfismo di gruppo, la somma delle singole parti del nonce $w_{1,i}$ introduce "carry" (riporti) che devono essere risolti senza ricostruire il nonce completo $y$.

• Identità Chiave: Il documento sfrutta l'identità modulare $\alpha^{-1} \equiv -16 \pmod q$ (dove $\alpha = 2\gamma_2$).
• Protocollo:
  • TALUS-TEE: Un coordinatore fidato (in un TEE) detiene il nonce aggregato e calcola direttamente $w_1$.
  • TALUS-MPC: Le parti utilizzano un Protocollo di Confronto Sicuro rispetto al Carry (CSCP). Esse trasmettono decomposizioni mascherate dei loro pezzi additivi del nonce. Utilizzando Beaver triples e un circuito di confronto ad albero prefisso, le parti calcolano un singolo bit di carry $c$ e un bit di correzione FIPS $\delta$. Ciò consente al coordinatore di ricostruire l'esatto $w_1$ senza apprendere i singoli low-bits del nonce.
• Efficienza: Per $T=2$, questo degenera in una Funzione di Confronto Distribuita (DCF), riducendo significativamente la comunicazione. Per $T \ge 3$, richiede $O(\log N)$ round offline ma rimane indipendente dalla fase online.

3. Istanze del Protocollo

Il documento presenta due profili di implementazione:

TALUS-TEE (Ambiente di Esecuzione Fidato)

• Modello: Un coordinatore detiene $s_2$ e $t_0$ all'interno di un TEE. I firmatari detengono le quote di $s_1$.
• Processo: Il TEE esegue il pre-processing offline per trovare un nonce conforme alla BCC. Trasmette $w_1$. I firmatari rispondono con $z_i = y_i + c \cdot s_{1,i}$. Il TEE assembla la firma.
• Fiducia: Richiede un coordinatore TEE semi-onesto; i firmatari possono essere malevoli (abort identificabile).
• Vincoli: Nessun requisito di maggioranza onesta ($N \ge T$).

TALUS-MPC (Completamente Distribuito)

• Modello: Completamente distribuito; nessuna parte detiene $s_2$ o il nonce aggregato.
• Processo: Le parti calcolano congiuntamente $w_1$ tramite il CEF durante il pre-processing offline. La firma online è identica alla versione TEE (un round).
• Fiducia: Sicurezza malevola con Abort Identificabile (IA) per $T \ge 2$.
• Vincoli: Per $T \ge 3$, richiede una maggioranza onesta ($N \ge 2T - 1$) per prevenire che un avversario che agisce per primo (rushing adversary) apprenda i low-bits del nonce (La "Barriera della Maggioranza Disonesta"). Per $T=2$, non è richiesta una maggioranza onesta.

4. Contributi Chiave

1. Trilemma della Soglia nei Reticoli: Una prova che nessun omomorfismo di gruppo dallo spazio dei nonce dei reticoli può essere simultaneamente occultante e vincolante. Ciò stabilisce che la risoluzione del carry è una necessità matematica per gli schemi a soglia compatibili con FIPS, non un artefatto del protocollo.
2. Condizione di Liberazione dal Confine (BCC): Una prova formale che il controllo $r_0$-check può essere bypassato per circa il $31,7\%$ dei nonce, permettendo l'eliminazione del calcolo di $s_2$ nella fase online.
3. Framework di Eliminazione del Carry (CEF): Un protocollo distribuito per calcolare $\text{HighBits}(Ay)$ senza ricostruire $y$, utilizzando le specifiche proprietà di aritmetica modulare di ML-DSA.
4. Firma Online a Singolo Round: Entrambe le varianti raggiungono un singolo round di broadcast per la firma online, eguagliando la latenza della firma a singola parte e superando le proposte precedenti compatibili con FIPS (ad es. Mithril) che richiedono 2–3 round.
5. Implementazione: Un'implementazione di riferimento in Rust per tutti i tre livelli di sicurezza FIPS 204 (ML-DSA-44, 65, 87).

5. Risultati e Prestazioni

• Tasso di Successo: Il numero atteso di tenti di pre-processing per una firma riuscita è $\approx 3,15$ (a causa del tasso di passaggio BCC del $31,7\%$).
• Latenza (ML-DSA-65, $T=3$):
  • TALUS-TEE: La firma online richiede 0,29 ms; il totale ammortizzato (incluso il pre-processing offline) è 1,52 ms.
  • TALUS-MPC: La firma online richiede 0,68 ms; il totale ammortizzato è 4,09 ms.
  • Confronto: TALUS-TEE è 2,4 volte più veloce di Mithril (3,6 ms) in latenza online. TALUS-MPC è competitivo con Mithril ma lo ottiene con un singolo round online rispetto ai 3 round di Mithril.
• Comunicazione:
  • T=2: Il costo offline è di circa 5 KB per batch (DCF).
  • T $\ge$ 3: Il costo offline è di circa 350 KB per batch (dominato da CarryCompare).
  • Online: Costante a circa 3,6 KB per firmatario, indipendente da $T$ e $N$.
• Latenza di Rete: Esperimenti distribuiti (GCP), la latenza end-to-end scala linearmente con il RTT di rete (ad es. $\approx 350$ ms per US-Europa), confermando il vantaggio del singolo round.

6. Significato e Rivendicazioni

Il documento afferma che TALUS è il primo costrutto ML-DSA a soglia che riesce simultaneamente a:

1. Piena Compatibilità FIPS 204: Le firme sono verificabili da verifier standard non modificati.
2. Soglia Arbitraria: Supporta $T$-di-$N$ per qualsiasi $1 \le T \le N$ (con specifici vincoli di maggioranza onesta per l'MPC $T \ge 3$).
3. Firma Online a Singolo Round: Esegue l'eguaglianza della latenza della firma a singola parte, un miglioramento significativo rispetto ai lavori precedenti che richiedono più round online.

Gli autori sottolineano che il "costo del carry" è un prezzo algebrico inerente all'impostazione dei reticoli, ma TALUS minimizza tale costo spostandolo interamente nella fase offline. Il lavoro dimosta che la compatibilità con FIPS 204 non deve necessariamente comportare una penalità di prestazioni nei contesti a soglia.

Nota sulla Criptanalisi: Il documento include una nota (datata 2026-07-09) che riconosce una criptanalisi da parte di G. Niot. Gli attacchi confermano che lo schema di impegno in TALUS-MPC non è occultante (recupero di $x$ da $Ax$) e che la rimozione del controllo $s_2$ introduce una fuga statistica. Gli autori ammettono questi punti, ritirano le specifiche rivendicazioni riguardanti l'occultamento di $As_{1,i}$ e la ridondanza del controllo $s_2$ per la segretezza, e dichiarano che è in preparazione un costrutto rivisto che utilizzi impegni realmente occultanti. Notano inoltre che TALUS-TEE non è influenzato dagli attacchi all'impegno.