想象一下，区块链就像一个巨大的、公开的数字账本，每个人都记录着谁拥有什么。为了保证这个账本的安全，每当有人发送资金时，他们必须用一个独特的数字“印章”（数字签名）为交易签名。目前，大多数区块链（如比特币）使用一种特定的印章，这种印章基于对普通计算机来说很难解决、但对未来的超级量子计算机来说很容易破解的数学问题。如果今天制造出了一台量子计算机，它就能伪造这些印章，窃取资金并重写历史。
这篇论文就像是一次试驾，旨在测试如果我们现在将新的、“抗量子”的印章更换到区块链引擎中时，它们会如何运作。
以下是实验的详细分解：
1. 问题所在：“锁”太弱了
把目前的区块链安全想象成日记上的锁。对于普通的窃贼（经典计算机）来说，这把锁足够强壮；但量子计算机就像一把万能钥匙，可以瞬间打开任何锁。作者 Tushar Jain 构建了一个小型、本地化的区块链版本，用来测试即使是量子计算机也无法破解的新型锁具。
2. 新锁：“后量子”竞争者
论文测试了四种不同类型的数字签名（锁）。把它们想象成不同风格的钥匙：
- ML-DSA（前身为 Dilithium）： 这是“标准配置”锁。它已获得美国标准机构（NIST）的正式批准。它很可靠，但有点笨重。把它想象成一把沉重的铁挂锁。它效果很好，但会占用你很多口袋空间。
- Falcon： 这是“紧凑型”锁。它同样得到了 NIST 的批准。它比铁挂锁更小、更轻，但制造难度更高（更复杂）。它就像一张精巧的钛合金卡片。
- Hawk： 这是“速度猛兽”锁。它尚未获得官方批准，但使用起来非常快且体积很小。它就像一个高科技生物识别扫描仪，工作瞬间完成，但仍在进行长期耐用性测试。
- HAETAE： 这是“潜力新星”。它的设计目标是极其微小且高效，但作者无法将其纳入主要的试驾测试中，因为它需要不同的工具才能运行。作者仅在隔离环境下对其进行了测量，就像是在台架上测试汽车发动机，而不是将其装入汽车中。
3. 试驾：它们的表现如何
作者构建了一个包含 1,000 笔虚拟交易（例如从“Alice”发送钱给“Bob”）的原型区块链，并通过更换锁具来观察变化。以下是他们的发现：
体积很重要（“背包”测试）：
- ML-DSA 是最重的。如果你背着一袋装有 1,000 笔交易的背包，使用 ML-DSA 会让背包重量接近 10 MB。
- Falcon 和 Hawk 要轻得多。对于同样的 1,000 笔交易，它们的背包重量仅约为 2.5 MB。
- 为什么这很重要： 在现实世界中，更轻的背包意味着数据在互联网上传输更快，并且占用的个人电脑存储空间更少。
速度很重要（“交通”测试）：
- 签名（Alice 发送资金）： Hawk 在签名交易方面速度最快。Falcon 紧随其后。ML-DSA 最慢。
- 验证（网络检查印章）： 这是最重要的部分，因为网络中的每个节点都必须检查每一笔交易。Falcon 和 Hawk 在验证印章方面明显比 ML-DSA 快。
- 类比： 想象一个收费站。ML-DSA 就像是一个收费员必须为每辆车阅读一份冗长复杂的说明书，从而导致交通拥堵。Falcon 和 Hawk 则像是自动闸门，只需瞬间扫描车辆即可放行。
权衡取舍：
- ML-DSA 是“稳妥之选”。它被标准化且简单，但你会以更大的数据量和更慢的速度作为代价。
- Falcon 和 Hawk 是“性能之选”。它们创建的数据块更小，移动速度更快，但实现起来更复杂（就 Hawk 而言，它尚未被正式标准化）。
4. 结论
论文得出结论，不存在单一的“完美”锁具。
- 如果你想要标准化和简单性，你会选择 ML-DSA，但你要承担数据体积变大和速度变慢的代价。
- 如果你想要速度和极小的体积（这对于处理数百万用户的区块链至关重要），Falcon 和 Hawk 看起来更有前景，尽管它们的实现更为复杂。
作者指出，这只是在单台计算机上的测试。在现实世界中，当成千上万台计算机相互通信时，结果可能会发生轻微偏移，但核心教训依然不变：为区块链进行抗量子化改造，可能意味着要在“标准但笨重”与“复杂但快速轻便”之间做出选择。
技术摘要：区块链中量子安全数字签名算法的性能分析
问题陈述
公有链的长期安全性高度依赖于其底层数字签名方案的硬度假设。目前的部署（如比特币和以太坊）广泛使用椭圆曲线密码学（ECC），特别是基于 secp256k1 的 ECDSA 或 Schnorr 签名。这些方案在面对大规模量子计算机时是脆弱的，因为 Shor 算法可以高效地解决大数离散对数问题。这造成了“现在存储，稍后解密”的风险，即攻击者可以在量子能力实现后，通过收集当前的交易数据并伪造签名。虽然后量子密码学（PQC）提供了解决方案，但现有文献主要关注密码学特性和微基准测试（独立库性能）。目前对于这些方案在集成到实际区块链系统中时的表现仍存在认知空白，因为在实际系统中，成本受交易量、区块大小和验证延迟的影响。
方法论
为了填补这一空白，作者开发了一个本地单节点区块链原型，旨在隔离数字签名算法对系统性能的影响。该原型实现了类似于以太坊的账户模型，但省略了共识层和网络层，以便专注于研究密码学开销。
- 系统设计： 系统使用工厂模式来抽象签名方案，从而实现透明地切换算法，而不改变应用逻辑（钱包、交易、区块）。
- 评估算法： 研究重点关注四种基于格（lattice-based）的签名方案：
- CRYSTALS-Dilithium (ML-DSA)： 由 NIST 标准化（ML-DSA-44, 65, 87）。
- Falcon： NIST 标准化方案（Falcon-512, 1024）。
- Hawk： 一种较新的基于格的方案（Hawk-512, 1024）。
- HAETAE： 仅通过独立的微基准测试进行评估，因为其参考实现与作者的 MSVC 工具链不兼容。
- 实验工作流：
- 密钥生成： 每个方案进行 100 次迭代，以测量生成时间。
- 交易签名： 每个区块创建 1,000 笔交易，测量平均签名时间。
- 区块验证： 重复验证（100 次）一个包含 1,000 笔交易的区块，以测量总区块验证时间并推导出单笔交易的验证延迟。
- 指标： 收集的数据包括密钥/签名大小、序列化交易/区块大小，以及用于密钥生成、签名和验证的计时指标（单位为微秒）。
核心贡献
- 原型实现： 本文展示了一个类区块链原型，它将应用逻辑与底层签名技术分离，从而能够对量子安全算法在系统语境下进行公平比较。
- 集成基准测试： 它概述了一种结合微基准测试数据（密钥生成、签名、验证）与区块链级指标（验证延迟、区块创建大小）的方法论，超越了孤立的库测试。
- 对比分析： 本研究在区块链环境下对 ML-DSA、Falcon 和 Hawk 进行了详细的性能对比，并通过独立测试将分析扩展到了 HAETAE。
实验结果
实验在 Windows x86_64 环境下进行，使用了 liboqs 库处理 ML-DSA 和 Falcon，并使用 Hawk 和 HAETAE 的参考实现。
- 规模指标（存储/带宽）：
- ML-DSA： 表现出最大的数据占用。对于 1,000 笔交易的区块，大小范围从 ~5.1 MB (ML-DSA-44) 到 ~9.9 MB (ML-DSA-87)。
- Falcon： 提供更紧凑的签名。Falcon-512 区块约为 2.5 MB，Falcon-1024 约为 4.9 MB。
- Hawk： 在集成的方案中提供最紧凑的签名。Hawk-512 的区块大小约为 2.65 MB，其签名（555 字节）在同等安全水平下比 Falcon 和 ML-DSA 更小。
- 计时指标（性能）：
- 密钥生成： ML-DSA 最快（亚毫秒级），而 Falcon 最慢（Falcon-512 为 5.7 ms，Falcon-1024 为 16.8 ms），这归因于复杂的格采样过程。Hawk 介于两者之间。
- 签名： Hawk 是最快的签名器（Hawk-512 为 0.03 ms），其次是 Falcon（0.21 ms）和 ML-DSA（0.28 ms）。
- 验证： 这是验证节点的关键指标。Hawk-512 (0.047 ms) 和 Falcon-512 (0.052 ms) 显著快于 ML-DSA 变体 (0.10 ms 至 0.23 ms)。
- 区块验证： 对于 1,000 笔交易的区块，验证时间范围从 ~47 ms (Hawk-512) 到 ~234 ms (ML-DSA-87)。
- HAETAE（独立测试）： 微基准测试表明，HAETAE 的密钥和签名比 ML-DSA 小，但比 Falcon/Hawk 大。其验证时间（0.07–0.16 ms）处于较快的 Falcon/Hawk 变体与较慢的 ML-DSA-87 之间。
意义与主张
本文谦虚地指出，没有一种单一的后量子方案能在所有性能和规模指标上都占据主导地位。相反，选择取决于具体的权衡：
- ML-DSA 设计最简单且符合 NIST 标准，但会产生更高的存储和验证成本。
- Falcon 和 Hawk 在验证速度和数据紧凑性方面表现更优，这对于高吞吐量区块链和带宽受限的节点至关重要。然而，它们也带来了更高的实现复杂度（尤其是 Falcon 的密钥生成），且对于 Hawk 而言，缺乏标准化支持。
- HAETAE 在尺寸效率方面展现出潜力，但需要进一步的集成工作才能在区块链语境下得到充分评估。
作者得出结论，从业者在选择用于区块链迁移的后量子签名时，必须平衡实现复杂度、规模开销和验证延迟。本研究强调，虽然 ML-DSA 是一个可行的标准，但像 Falcon 和 Hawk 这样的方案在针对验证密集型工作负载时可能提供更具吸引力的权衡。
局限性与未来工作
本文承认该原型是一个不含网络或共识机制的单节点系统，因此无法捕捉区块传播延迟或点对点带宽限制。未来的工作旨在将原型扩展到多节点环境，评估多样化的工作负载（例如智能合约），并将 HAETAE 集成到当前工具链中或迁移至 Linux 环境。此外，未来的研究还将考虑嵌入式设备上的内存使用情况和能耗。
每周获取最佳 quantum physics 论文。
受到斯坦福、剑桥和法国科学院研究人员的信赖。
请查收邮箱确认订阅。
出了点问题，再试一次？
无垃圾邮件，随时退订。