Resumo Técnico: TALUS – ML-DSA de Limiar com Assinatura Online de Um Único Round

1. Definição do Problema

A implementação de ML-DSA (FIPS 204, baseado em CRYSTALS-Dilithium) em um cenário de limiar (threshold) tem permanecido um problema em aberto devido ao passo de arredondamento inerentemente não linear do esquema. Diferente das assinaturas de limiar clássicas (ex: FROST para Schnorr/ECDSA), que dependem de homomorfismo aditivo, o ML-DSA requer uma verificação de um resíduo secundário $r_0 - cs_2$ para garantir que a dica (hint) da assinatura permaneça dentro dos limites. Em um cenário de limiar, o componente da chave secreta $s_2$ é compartilhado entre as partes. Abordagens anteriores para lidar com essa verificação de $r_0$ exigiram:

1. MPC Caro: Computação multipartidária para avaliar $cs_2$ online.
2. Coordenadores Confiáveis: Manter $s_2$ em um Ambiente de Execução Confiável (TEE) ou em uma única parte confiável.
3. Inundação de Ruído (Noise Flooding): Degradar os parâmetros para mascarar a verificação.

Esses métodos ou aumentam a latência online (múltiplos rounds) ou restringem o modelo de confiança ou degradam os parâmetros de segurança. Além disso, existe um "Trilema de Limiar de Lattice" fundamental: nenhum homomorfismo de grupo do espaço do nonce pode ser simultaneamente ocultador (hiding) e vinculativo (binding), o que descarta esquemas de compromisso homomórfico padrão usados em configurações de logaritmo discreto.

2. Metodologia e Inovações Principais

O TALUS (Threshold Agile Lattice Unified Signatures) supera essas barreiras ao desacoplar a verificação de $r_0$ da fase de assinatura online e resolver o problema do compromisso distribuído por meio de uma nova estrutura algébrica.

2.1 Condição de Clareamento de Fronteira (Boundary Clearance Condition - BCC)

O artigo identifica uma propriedade geométrica do espaço de compromisso do ML-DSA. O processo de assinatura envolve um resíduo $r_0 = \text{LowBits}(Ay)$. O deslocamento dependente do segredo $cs_2$ só pode causar uma travessia de fronteira de arredondamento se $r_0$ estiver próximo das fronteiras modulares ($\pm \gamma_2$).

• Observação: Se cada coeficiente de $r_0$ estiver afastado das fronteiras por mais de $\beta = \tau\eta$ (onde $\tau$ é o peso do desafio e $\eta$ é o limite do segredo), então o deslocamento $cs_2$ não pode cruzar nenhuma fronteira.
• Implicação: Sob esta Condição de Clareamento de Fronteira (BCC), a parte de alta ordem do compromisso ($w_1$) permanece inalterada por $s_2$, e a dica $h$ torna-se computável inteiramente a partir de valores públicos ($r = Az - ct_1 \cdot 2^d$ e $w_1$).
• Probabilidade: A BCC ocorre com uma probabilidade $p_{BCC} \approx 31,7\%$ por tentativa de nonce.
• Estratégia: O TALUS realiza um pré-processamento offline para gerar nonces que satisfaçam a BCC. Isso filtra nonces "ruins" antes da fase online, eliminando a necessidade de computar $cs_2$ ou verificar $r_0$ durante a assinatura.

2.2 Estrutura de Eliminação de Carry (Carry Elimination Framework - CEF)

Mesmo com a BCC, as partes devem computar o input do hash do compromisso $w_1 = \text{HighBits}(Ay)$ de forma distribuída. Como o $\text{HighBits}$ não é um homomorfismo de grupo, somar as partes individuais de nonce introduz "carries" (transportes) que devem ser resolvidos sem reconstruir o nonce completo.

• Identidade Chave: O artigo explora a identidade modular $\alpha^{-1} \equiv -16 \pmod q$ (onde $\alpha = 2\gamma_2$).
• Protocolo:
  • TALUS-TEE: Um coordenador confiável (em um TEE) detém o nonce agregado e computa $w_1$ diretamente. Os signatários respondem com $z_i = y_i + c \cdot s_{1,i}$. O TEE monta a assinatura.
  • TALUS-MPC: As partes utilizam um Protocolo de Comparação Seguro contra Carry (CSCP). Elas transmitem decomposições mascaradas de suas partes aditivas de nonce. Usando triplas de Beaver e um circuito de comparação de árvore de prefixo, as partes computam um único bit de carry $c$ e um bit de correção FIPS $\delta$. Isso permite que o coordenador reconstrua o $w_1$ exato sem aprender os low-bits individuais do nonce.
• Eficiência: Para $T=2$, isso degenera para uma Função de Comparação Distribuída (DCF), reduzindo significamente a comunicação. Para $T \ge 3$, requer $O(\log N)$ rounds offline, mas permanece independente da fase online.

3. Instanciações do Protocolo

O artigo apresenta dois perfis de implantação:

TALUS-TEE (Ambiente de Execução Confiável)

• Modelo: Um coordenador detém $s_2$ e $t_0$ dentro de um TEE. Os signatários detêm partes de $s_1$.
• Processo: O TEE realiza o pré-processamento offline para encontrar um nonce compatível com a BCC. Ele transmite $w_1$. Os signatários respondem com $z_i = y_i + c \cdot s_{1,i}$. O TEE monta a assinatura.
• Confiança: Requer um coordenador TEE semi-honesto; os signatários podem ser maliciosos (aborto identificável).
• Restrições: Não há requisito de maioria honesta ($N \ge T$).

TALUS-MPC (Totalmente Distribuído)

• Modelo: Totalmente distribuído; nenhuma parte detém $s_2$ ou o nonce agregado.
• Processo: As partes computam conjuntamente $w_1$ via CEF durante o pré-processamento offline. A assinatura online é idêntica à do TEE (um round).
• Confiança: Segurança maliciosa com Aborto Identificável (IA) para $T \ge 2$.
• Restrições: Para $T \ge 3$, requer uma maioria honesta ($N \ge 2T - 1$) para evitar que um adversário apressado (rushing adversary) aprenda os low-bits do nonce (A Barreira da Maioria Desonesta). Para $T=2$, nenhum requisito de maioria honesta é necessário.

4. Contribuições Principais

1. Trilema de Limiar de Lattice: Uma prova de que nenhum homomorfismo de grupo do espaço de nonce de lattice pode ser simultaneamente ocultador e vinculativo. Isso estabelece que a resolução de carry é uma necessidade matemática para esquemas de limiar compatíveis com FIPS, não um artefato de protocolo.
2. Condição de Clareamento de Fronteira: Uma prova formal de que a verificação de $r_0$ pode ser ignorada para $\approx 31,7\%$ dos nonces, permitindo a eliminação da computação de $s_2$ na fase online.
3. Estrutura de Eliminação de Carry: Um protocolo distribuído para computar $\text{HighBits}(Ay)$ sem reconstruir $y$, utilizando as propriedades específicas de aritmética modular do ML-DSA.
4. Assinatura Online de Um Único Round: Ambas as variantes alcançam um único round de broadcast para a assinatura online, igualando a latência de uma assinatura de parte única e superando propostas anteriores compatíveis com FIPS (ex: Mithril, Quorus) que exigem 2–3 rounds.
5. Implementação: Uma implementação de referência em Rust para todos os três níveis de segurança FIPS 204 (ML-DSA-44, 65, 87).

5. Resultados e Desempenho

• Taxa de Sucesso: O número esperado de tentativas de pré-processamento por assinatura bem-sucedida é $\approx 3,15$ (devido à taxa de passagem de BCC de $31,7\%$).
• Latência (ML-DSA-65, $T=3$):
  • TALUS-TEE: A assinatura online leva 0,29 ms; o total amortizado (incluindo prep offline) é 1,52 ms.
  • TALUS-MPC: A assinatura online leva 0,68 ms; o total amortizado é 4,09 ms.
  • Comparação: O TALUS-TEE é 2,4x mais rápido que o Mithril (3,6 ms) em latência online. O TALUS-MPC é competitivo com o Mithril, mas alcança isso com um único round online contra os 3 rounds do Mithril.
• Comunicação:
  • T=2: Custo offline é $\approx 5$ KB por lote (DCF).
  • T $\ge$ 3: Custo offline é $\approx 350$ KB por lote (dominado por CarryCompare).
  • Online: Constante em $\approx 3,6$ KB por signatário, independente de $T$ e $N$.
• Latência de Rede: Experimentos distribuídos (GCP) mostram que a latência ponta a ponta escala linearmente com o RTT da rede (ex: $\approx 350$ ms para EUA-Europa), confirmando a vantagem do round único.

6. Significância e Alegações

O artigo afirma que o TALUS é a primeira construção de limiar de ML-DSA que alcança simultaneamente:

1. Compatibilidade Total com FIPS 204: As assinaturas são verificáveis por verificadores padrão não modificados.
2. Limiar Arbitrário: Suporta $T$-de-$N$ para qualquer $1 \le T \le N$ (com restrições específicas de maioria honesta para MPC $T \ge 3$).
3. Assinatura Online de Um Único Round: Iguala a latência de uma assinatura de parte única, uma melhoria significativa sobre trabalhos anteriores que exigem múltiplos rounds online.

Os autores enfatem que o "custo de carry" é um preço algébrico inerente ao ambiente de lattice, mas o TALUS minimiza esse custo movendo-o inteiramente para a fase offline. O trabalho demonstra que a compatibilidade com FIPS 204 não exige uma penalidade de desempenho em configurações de limiar.

Nota sobre Criptoanálise: O artigo inclui uma nota (datada de 09-07-2026) reconhecendo uma criptoanálise por G. Niat. Os ataques confirmam que o esquema de compromisso em TALUS-MPC não é ocultador (recuperando $x$ de $Ax$) e que a remoção da verificação de $s_2$ introduz vazamento estatístico. Os autores admitem esses pontos, retiram alegações específicas sobre o ocultamento de $As_{1,i}$ e a redundância da verificação de $s_2$ para segredo, e afirmam que uma construção revisada usando compromissos genuinamente ocultadores está em preparação. Eles observam que o TALUS-TEE não é afetado pelos ataques de compromisso.