技术摘要：TALUS – 具有单轮在线签名的阈值 ML-DSA

1. 问题陈述

在阈值设置中部署 ML-DSA（基于 CRYSTALS-Dilithium 的 FIPS 204）一直是一个悬而未决的问题，原因在于该方案固有的非线性舍入步骤。与依赖加法同态的经典阈值签名（如针对 Schnorr/ECDSA 的 FROST）不同，ML-DSA 需要对次级残差 $r_0 - cs_2$ 进行检查，以确保签名提示（hint）保持在范围内。在阈值设置中，私钥组件 $s_2$ 由各方共享。以往处理此 $r_0$ 检查的方法需要：

1. 昂贵的 MPC： 使用多方计算在在线阶段评估 $cs_2$。
2. 可信协调器： 将 $s_2$ 持有在可信执行环境（TEE）或单个可信方中。
3. 噪声淹没（Noise Flooding）： 通过降低参数来掩盖检查过程。

这些方法要么增加了在线延迟（多轮交互），要么限制了信任模型，或者降低了安全参数。此外，存在一个基本的“格阈值三难困境”（Lattice Threshold Trilemma）：不存在一种来自非（nonce）空间的群同构，能够同时实现隐匿性（hiding）和绑定性（binding），这排除了在离散对数设置中使用的标准同态承诺方案。

2. 方法论与核心创新

TALUS（Threshold Agile Lattice Unified Signatures）通过将 $r_0$ 检查与在线签名阶段解耦，并通过一种新的代数框架解决分布式承诺问题，从而克服了这些障碍。

2.1 边界清除条件 (Boundary Clearance Condition, BCC)

论文识别了 ML-DSA 承诺空间的一个几何特性。签名过程涉及一个残差 $r_0 = \text{LowBits}(Ay)$。受密钥影响的偏移量 $cs_2$ 只有在 $r_0$ 靠近模边界（$\pm \gamma_2$）时才会导致舍入边界跨越。

• 观察： 如果 $r_0$ 的每个系数都远离边界超过 $\beta = \tau\eta$（其中 $\tau$ 是挑战权重，$\eta$ 是密钥界限），那么偏移量 $cs_2$ 就不会跨越任何边界。
• 含义： 在此 边界清除条件 (BCC) 下，承诺的高阶部分 ($w_1$) 不受 $s_2$ 的影响，且提示 $h$ 完全可以从公开值（$r = Az - ct_1 \cdot 2^d$ 和 $w_1$）计算得出。
• 概率： 在每次非（nonce）尝试中，BCC 成立的概率 $p_{BCC} \approx 31.7\%$。
• 策略： TALUS 通过 离线预处理 生成满足 BCC 的非（nonce），从而在在线阶段之前过滤掉“坏”的非（nonce），消除了在签名期间计算 $cs_2$ 或检查 $r_0$ 的必要性。

2.2 进位消除框架 (Carry Elimination Framework, CEF)

即使在 BCC 下，各方也必须分布式地计算承诺哈希输入 $w_1 = \text{HighBits}(Ay)$。由于 $\text{HighBits}$ 不是群同构，对单个非（nonce）分量 $w_{1,i}$ 求和会引入必须在不重构完整非（nonce）的情况下进行解决的“进位”。

• 关键恒等式： 论文利用了模恒等式 $\alpha^{-1} \equiv -16 \pmod q$（其中 $\alpha = 2\gamma_2$）。
• 协议：
  • TALUS-TEE： 一个可信协调器（在 TEE 中）持有聚合的非（nonce）并直接计算 $w_1$。
  • TALUS-MPC： 各方使用 进位安全比较协议 (CSCP)。他们广播各自加法非（nonce）部分的掩码分解形式。利用 Beaver 三元组和前缀树比较电路，各方计算出一个单一的进位位 $c$ 和一个 FIPS 修正位 $\delta$。这使得协调器可以在不获知单个非（nonce）低位信息的情况下，重构出精确的 $w_1$。
• 效率： 对于 $T=2$，这退化为分布式比较函数 (DCF)，显著减少了通信量。对于 $T \ge 3$，它需要 $O(\log N)$ 轮离线交互，但在在线阶段保持独立。

3. 协议实例化

论文提出了两种部署配置：

TALUS-TEE (可信执行环境)

• 模型： 协调器在 TEE 内部持有 $s_2$ 和 $t_0$。签名者持有 $s_1$ 的分量。
• 流程： TEE 执行离线预处理以寻找符合 BCC 的非（nonce）。它广播 $w_1$。签名者响应以 $z_i = y_i + c \cdot s_{1,i}$。TEE 组装签名。
• 信任： 需要半诚实 TEE 协调器；签名者可以是恶意的（可识别中止）。
• 约束： 无需诚实多数假设（$N \ge T$）。

TALUS-MPC (完全分布式)

• 模型： 完全分布式；没有任何一方持有 $s_2$ 或聚合的非（nonce）。
• 流程： 各方在离线预处理期间通过 CEF 共同计算 $w_1$。在线签名与 TEE 相同（一轮）。
• 信任： 具有可识别中止 (IA) 特性的恶意安全性，适用于 $T \ge 2$。
• 约束： 对于 $T \ge 3$，需要诚实多数（$N \ge 2T - 1$）以防止冲刺攻击者（rushing adversary）获知非（nonce）的低位信息（即“不诚实多数障碍”）。对于 $T=2$，则不需要诚实多数。

4. 主要贡献

1. 格阈值三难困境： 证明了不存在一种来自格非（nonce）空间的群同构能同时实现隐匿性和绑定性。这确立了进位解决是 FIPS 兼容的格阈值方案的数学必然要求，而非协议的人为产物。
2. 边界清除条件 (BCC)： 形式化证明了对于约 $31.7\%$ 的非（nonce），$r_0$ 检查可以被绕过，从而允许在在线阶段消除 $s_2$ 的计算。
3. 进位消除框架 (CEF)： 一种分布式协议，用于在不重构 $y$ 的情况下计算 $\text{HighBits}(Ay)$，利用了 ML-DSA 特有的模运算性质。
4. 单轮在线签名： 两种变体均实现了单轮广播在线签名，其延迟与单方签名匹配，优于以往需要 2–3 轮的 FIPS 兼容提案（如 Mithril, Quorus）。
5. 实现： 提供了一个涵盖所有三种 FIPS 204 安全等级（ML-DSA-44, 65, 87）的 Rust 参考实现。

5. 结果与性能

• 成功率： 每次成功签名所需的预期预处理尝试次数约为 $\approx 3.15$（由于 $31.7\%$ 的 BCC 通过率）。
• 延迟 (ML-DSA-65, $T=3$)：
  • TALUS-TEE： 在线签名耗时 0.29 ms；摊销总耗时（包括离线准备）为 1.52 ms。
  • TALUS-MPC： 在线签名耗时 0.68 ms；摊销总耗时为 4.09 ms。
  • 对比： 在在线延迟方面，TALUS-TEE 比 Mithril (3.6 ms) 快 2.4 倍。TALUS-MPC 与 Mithril 相当，但它是通过单轮在线完成，而 Mithril 需要 3 轮。
• 通信：
  • T=2： 离线成本为每批次 $\approx 5$ KB (DCF)。
  • T $\ge$ 3： 离线成本为每批次 $\approx 350$ KB（由 CarryCompare 主导）。
  • 在线： 恒定在每位签名者 $\approx 3.6$ KB，与 $T$ 和 $N$ 无关。
• 网络延迟： 在分布式实验（GCP）中，端到端延迟随网络 RTT 线性缩放（例如，美欧之间约为 $\approx 350$ ms），证实了单轮优势。

6. 重要性与声明

论文声称 TALUS 是第一个同时实现以下目标的阈值 ML-DSA 构建：

1. 完全 FIPS 204 兼容性： 签名可由未经修改的标准验证器进行验证。
2. 任意阈值： 支持任何 $1 \le T \le N$ 的 $T$-of-$N$（对于 $T \ge 3$ 的 MPC 有特定的诚实多数约束）。
3. 单轮在线签名： 匹配单方签名的延迟，这相对于以往需要多轮在线交互的工作是一个显著改进。

作者强调，“进位成本”是格设置中固有的代数代价，但 TALUS 通过将其完全移至离线阶段来最小化这一成本。该工作表明，FIPS 204 兼容性并不意味着在阈值设置中必须承担性能损失。

关于密码分析的说明： 论文包含一段备注（日期为 2026-07-09），承认了 G. Niot 的密码分析。这些攻击确认了 TALUS-MPC 中的承诺方案不具备隐匿性（可从 $Ax$中恢复$x$）并且移除$s_2$检查会引入统计泄露。作者承认了这些观点，撤回了关于$As_{1,i}$的隐匿性和$s_2$ 检查对于秘密性冗余性的特定声明，并表示正在准备使用真正具有隐匿性的承诺进行修订后的构建。他们指出，TALUS-TEE 不受此类承诺攻击的影响。