Signaturmetoder

ML-DSA-87 forklaret matematisk

Sådan underskriver ML-DSA-87 (FIPS 204) en McGesund-anmeldelse — fra Module-LWE over rejection sampling til verifikationen i browseren.

Opdateret: 2026-09-07

1. Hvad det handler om

Når nogen afgiver en anmeldelse hos McGesund, sker der mere i baggrunden, end teksten lader ane. Anmeldelsen bliver digitalt signeret, når den sendes af sted. Denne signatur kan enhver besøgende senere regne efter i sin egen browser — uden at stole på os og uden at spørge os.

For kunder fra abonnementet Pro og opefter sker det blandt andet med ML-DSA-87. Dette indlæg forklarer, hvad der matematisk sker undervejs.

Vigtigt at slå fast først:

ML-DSA er ikke kryptering. Anmeldelsesteksten forbliver offentligt læsbar — det er jo meningen med en anmeldelse. ML-DSA beviser ikke hemmeligholdelse, men oprindelse og uforanderlighed.

ML-DSA er udviklet ud fra CRYSTALS-Dilithium og er standardiseret som FIPS 204. Tallet 87 betegner parameterniveauet. Der findes tre:

  • ML-DSA-44
  • ML-DSA-65
  • ML-DSA-87

ML-DSA-87 er det højeste og ligger i NIST-sikkerhedskategori 5.

2. Hvad bliver præcist signeret?

Det er ikke anmeldelsesteksten selv, der vandrer ind i signaturen, men et kompakt dataobjekt, som utvetydigt fastnagler teksten. Hos McGesund ser det i kernen sådan ud:

{
  "v":   1,
  "typ": "rev-comment",
  "f":   "<virksomheds-id>",
  "c":   "<anmeldelses-id>",
  "h":   "<SHA-256 af anmeldelsesteksten>",
  "rh":  "<SHA-256 af hele det indsendte datasæt>",
  "rv":  1,
  "qh":  "<SHA-256 af QR-konvolutten, kun ved QR-anmeldelser>",
  "iat": 1757203200
}

Dette objekt er vores besked mm. Det binder seks udsagn sammen:

  1. Hvilken virksomhed anmeldelsen hører til (f)
  2. Hvilken anmeldelse der menes (c)
  3. Hvilken tekst der stod bag — som hashværdi (h)
  4. Hvilket datasæt der samlet blev indsendt (rh): tekst, hjerter, geostatus og anledningsoplysninger, kanonisk serialiseret og hashet — i skemaversionen rv
  5. Hvilken QR-kode anmeldelsen stammer fra (qh); uden QR udgår feltet
  6. Hvornår der blev signeret (iat)

Ændrer nogen senere et eneste tegn i anmeldelsesteksten, passer h ikke længere — og rh heller ikke. Den, der i stedet kun skruer på hjerterne, lader h være urørt, men bryder rh. Ændrer nogen en af disse hashværdier, passer signaturen ikke længere. Netop denne kæde er pointen.

3. Hvad signaturen skal kunne

En besøgende, der læser anmeldelsen, skal selv kunne efterprøve tre ting:

  1. Anmeldelsen blev faktisk udstedt af McGesund.
  2. Teksten er ikke ændret siden indsendelsen.
  3. Ingen kan opfinde en ny anmeldelse, der ser gyldig ud.

Til det findes der et nøglepar:

  • en privat nøgle — ligger udelukkende i signaturtjenesten
  • en offentlig nøgle — må alle have, adresseres via nøgle-id'et (kid) i konvolutten

Der signeres med den private nøgle. Der verificeres med den offentlige — og det sker i læserens browser, ikke på vores server.

4. Hvorfor overhovedet en post-kvantemetode?

Mange signaturmetoder, der er almindelige i dag, bygger på faktorisering af store tal eller på diskrete logaritmer. En tilstrækkelig kraftig kvantecomputer kunne løse netop disse problemer betydeligt hurtigere med kendte algoritmer.

For en anmeldelse er det ikke et akademisk spørgsmål. En anmeldelse skal stadig kunne verificeres om ti år. Den, der underskriver i dag, underskriver for hele opslagets levetid.

ML-DSA bruger derfor et andet grundlag:

Gitterproblemer\boxed{\text{Gitterproblemer}}

Nærmere bestemt: Module-LWE og Module-SIS.

5. Hvad er et gitter?

Til at begynde med bare punkter i rummet. Lad os tage to vektorer:

b1=(2,0),b2=(1,2).b_1=(2,0), \qquad b_2=(1,2).

Alle heltallige kombinationer

a b1+b b2,a,b∈Za\,b_1+b\,b_2, \qquad a,b\in\mathbb{Z}

danner gitteret. For eksempel:

2b1+b2=(4,0)+(1,2)=(5,2).2b_1+b_2 = (4,0)+(1,2) = (5,2).
b₁ = (2,0)b₂ = (1,2)(5,2)0
To vektorer, alle heltallige kombinationer af dem: et gitter. Det markerede punkt opstår af to gange b₁ og én gang b₂.

Det afgørende:

I små dimensioner er gitterproblemer lette. I meget høje dimensioner bliver bestemte opgaver ekstremt vanskelige.

6. Polynomier i stedet for enkelttal

ML-DSA regner ikke med 2D-vektorer, men med polynomier og vektorer af polynomier.

Et polynomium som

a(x)=1+2x+x3a(x)=1+2x+x^3

kan skrives som koefficientliste:

a=(1,2,0,1).a=(1,2,0,1).

Der regnes i en ring:

Rq=Zq[x]/(xn+1).R_q=\mathbb{Z}_q[x]/(x^n+1).

Det betyder to ting:

  • Zq\mathbb{Z}_q: regning modulo qq
  • xn=−1x^n=-1: en ekstra regel, der fastholder polynomielængden

For alle tre ML-DSA-niveauer gælder:

n=256,q=8380417.n=256, \qquad q=8380417.

Et polynomium har altså 256 koefficienter, betragtet modulo 8.380.417. Det, der ændrer sig mellem niveauerne, er ikke nn eller qq, men matricernes størrelse — mere om det senere.

For øvrigt: Polynomiemultiplikation i denne ring foregår i praksis via NTT, den talteoretiske variant af den hurtige fouriertransformation. ML-DSA klarer sig altså på ingen måde uden FFT-idéer; de sidder blot i aritmetikken i stedet for i signaturprincippet.

7. Det centrale kneb: Module-LWE

Kerneidéen er Module Learning With Errors:

t=As1+s2(modq).\mathbf{t}=\mathbf{A}\mathbf{s}_1+\mathbf{s}_2 \pmod q.

Heri er:

  • A\mathbf{A} — offentlig, tilsyneladende tilfældig matrix af polynomier
  • s1,s2\mathbf{s}_1,\mathbf{s}_2 — små hemmelige vektorer
  • t\mathbf{t} — offentlig værdi

En angriber kender A\mathbf{A} og t\mathbf{t}, men ikke s1,s2\mathbf{s}_1,\mathbf{s}_2. Ligningen ser for ham ud som en tilfældig ligning med støj. De små hemmeligheder skal han ikke kunne regne effektivt tilbage ud af den.

8. Et ganske lille taleksempel

Vi tager med vilje en latterligt lille variant — almindelige tal i stedet for polynomier, dimension 2 i stedet for 256, og

q=17.q=17.

Lad

A=(3572),s1=(1−1),s2=(10).A=\begin{pmatrix}3&5\\7&2\end{pmatrix}, \qquad \mathbf{s}_1=\begin{pmatrix}1\\-1\end{pmatrix}, \qquad \mathbf{s}_2=\begin{pmatrix}1\\0\end{pmatrix}.

Så:

As1=(3−57−2)=(−25),A\mathbf{s}_1=\begin{pmatrix}3-5\\7-2\end{pmatrix}=\begin{pmatrix}-2\\5\end{pmatrix},
t=As1+s2=(−25)+(10)=(−15)  ≡  (165)(mod17).\mathbf{t}=A\mathbf{s}_1+\mathbf{s}_2=\begin{pmatrix}-2\\5\end{pmatrix}+\begin{pmatrix}1\\0\end{pmatrix}=\begin{pmatrix}-1\\5\end{pmatrix} \;\equiv\; \boxed{\begin{pmatrix}16\\5\end{pmatrix}} \pmod{17}.

I dette miniformat kunne man prøve alle muligheder af. Ved ML-DSA-87 er A\mathbf{A} en 8×78\times 7-matrix af polynomier med hver 256 koefficienter — det er over 14.000 ubekendte i gitterstrukturen.

9. Signaturtjenestens nøglepar

Den private nøgle indeholder blandt andet de små vektorer s1,s2\mathbf{s}_1,\mathbf{s}_2. Ved ML-DSA-87 stammer deres koefficienter fra intervallet

[−η,η]medη=2,[-\eta,\eta] \quad\text{med}\quad \eta=2,

altså fra {−2,−1,0,1,2}\{-2,-1,0,1,2\}. Denne lidenhed er ikke en detalje, men kernen: Kun fordi hemmelighederne er små, opstår der overhovedet et vanskeligt gitterproblem.

Den offentlige nøgle er forenklet

(ρ,t1).(\rho,\mathbf{t}_1).

ρ\rho er et seed, som A\mathbf{A} deterministisk kan rekonstrueres ud fra — matricen skal altså ikke overføres. t1\mathbf{t}_1 er de øverste bit af t\mathbf{t}; de nederste d=13d=13 bit falder væk, hvilket gør nøglen markant mindre. Netop denne udeladelse er senere grunden til de såkaldte hints.

Dermed opstår den ønskede asymmetri:

verificere offentligt  ≠  signere hemmeligt\boxed{\text{verificere offentligt}\;\neq\;\text{signere hemmeligt}}

10. Anmeldelsen bliver til et tal

Signaturtjenesten hasher først payload-objektet fra afsnit 2:

μ=H(m).\mu=H(m).

I vores legetøjseksempel tager vi en kunstig mini-hash. I det rigtige system er μ\mu 512 bit lang og binder desuden den offentlige nøgle ind — derved kan en signatur ikke omtolkes til at høre til en anden nøgle.

11. Commitment

Signaturtjenesten trækker en tilfældig lille vektor y\mathbf{y}. I vores eksempel:

y=(2−1).\mathbf{y}=\begin{pmatrix}2\\-1\end{pmatrix}.

Deraf opstår en mellemværdi, commitment:

w=Ay=(3⋅2+5⋅(−1)7⋅2+2⋅(−1))=(112).\mathbf{w}=A\mathbf{y} =\begin{pmatrix}3\cdot2+5\cdot(-1)\\7\cdot2+2\cdot(-1)\end{pmatrix} =\begin{pmatrix}1\\12\end{pmatrix}.

Det er endnu ikke nogen signatur.

12. Ud af anmeldelsen bliver der en challenge

Besked og commitment hashes sammen:

c=H(μ,w).c=H(\mu,\mathbf{w}).

Ved ML-DSA-87 er cc et polynomium med præcis τ=60\tau=60 koefficienter fra {−1,+1}\{-1,+1\}, alle øvrige 196 er nul. Denne struktur er tilsigtet: Den holder c⋅s1c\cdot\mathbf{s}_1 lille.

I vores legetøjseksempel sætter vi ganske enkelt

c=2.c=2.

13. Selve signaturen

z=y+c s1.\mathbf{z}=\mathbf{y}+c\,\mathbf{s}_1.

Med vores værdier:

c s1=2(1−1)=(2−2),c\,\mathbf{s}_1=2\begin{pmatrix}1\\-1\end{pmatrix}=\begin{pmatrix}2\\-2\end{pmatrix},
z=(2−1)+(2−2)=(4−3)\mathbf{z}=\begin{pmatrix}2\\-1\end{pmatrix}+\begin{pmatrix}2\\-2\end{pmatrix} =\boxed{\begin{pmatrix}4\\-3\end{pmatrix}}

14. Skridtet, man let overser: rejection sampling

Her ligger det punkt, hvor ML-DSA adskiller sig fra en naiv konstruktion — og det er ikke valgfrit.

z=y+c s1\mathbf{z}=\mathbf{y}+c\,\mathbf{s}_1 indeholder hemmeligheden s1\mathbf{s}_1. Udleverede man bare z\mathbf{z} hver gang, kunne s1\mathbf{s}_1 regnes statistisk ud af tilstrækkeligt mange signaturer. Ved en anmeldelsesportal med meget mange signaturer om dagen er det ingen teoretisk risiko.

Derfor efterprøver signaturtjenesten inden udleveringen, om z\mathbf{z} røber for meget, og kasserer ellers signaturen — så begyndes der forfra med et nyt tilfældigt y\mathbf{y}. Det kaldes Fiat-Shamir with Aborts.

Betingelsen lyder i det væsentlige:

∥z∥∞<γ1−β.\|\mathbf{z}\|_\infty < \gamma_1-\beta.
commitment w = Aychallenge c = H(μ, w)svar z = y + c · s₁‖z‖∞ < γ₁ − β ?jasignaturen udleveresnej — nyt y
Tre skridt og en løkke. Bliver z for stor, bliver der ikke justeret — hele gennemløbet kasseres, og der begyndes forfra med et frisk tilfældigt y. Derfor er signering her en løkkemetode.

For ML-DSA-87 gælder γ1=219\gamma_1=2^{19} og β=τ⋅η=60⋅2=120\beta=\tau\cdot\eta=60\cdot2=120. Dertil kommer en anden grænse på de nederste bit. I praksis er flere gennemløb normalt — signeringen er altså en løkkemetode, ikke et enkelt skridt.

For verifikationen er det vigtigt: Netop denne grænse efterprøver browseren senere også. En signatur med for store koefficienter bliver afvist, selv om ligningen går op.

15. Hvorfor browseren kan verificere det

Læserens browser kender:

  • anmeldelsen og dermed mm
  • den offentlige nøgle (ρ,t1)(\rho,\mathbf{t}_1)
  • signaturen (c~,z,h)(\tilde c,\mathbf{z},\mathbf{h})

Den kender ikke s1\mathbf{s}_1. Den sammenhæng, der alligevel bringer den videre:

z=y+c s1⟹Az=Ay+c As1.\mathbf{z}=\mathbf{y}+c\,\mathbf{s}_1 \quad\Longrightarrow\quad A\mathbf{z}=A\mathbf{y}+c\,A\mathbf{s}_1.

Og fordi

t=As1+s2\mathbf{t}=A\mathbf{s}_1+\mathbf{s}_2

gælder, kan det ukendte As1A\mathbf{s}_1 erstattes af den offentlige værdi:

Az−c t=Ay−c s2.A\mathbf{z}-c\,\mathbf{t}=A\mathbf{y}-c\,\mathbf{s}_2.

Det er den centrale ligning — og den siger noget vigtigt: Browseren rekonstruerer ikke AyA\mathbf{y} eksakt, men kun op til det lille led c s2c\,\mathbf{s}_2.

16. Minieksemplet til ende

Vi havde:

A=(3572),t=(−15),c=2,z=(4−3).A=\begin{pmatrix}3&5\\7&2\end{pmatrix},\quad \mathbf{t}=\begin{pmatrix}-1\\5\end{pmatrix},\quad c=2,\quad \mathbf{z}=\begin{pmatrix}4\\-3\end{pmatrix}.

Lad os regne efter:

Az=(12−1528−6)=(−322),c t=2(−15)=(−210),A\mathbf{z}=\begin{pmatrix}12-15\\28-6\end{pmatrix}=\begin{pmatrix}-3\\22\end{pmatrix}, \qquad c\,\mathbf{t}=2\begin{pmatrix}-1\\5\end{pmatrix}=\begin{pmatrix}-2\\10\end{pmatrix},
Az−c t=(−112).A\mathbf{z}-c\,\mathbf{t}=\begin{pmatrix}-1\\12\end{pmatrix}.

Det oprindelige commitment var

w=(112).\mathbf{w}=\begin{pmatrix}1\\12\end{pmatrix}.

Forskellen er

(−112)−(112)=(−20)=−c s2.\begin{pmatrix}-1\\12\end{pmatrix}-\begin{pmatrix}1\\12\end{pmatrix} =\begin{pmatrix}-2\\0\end{pmatrix} =-c\,\mathbf{s}_2.

Altså præcis det forudsagte lille fejlled. Den, der verificerer, får ikke w\mathbf{w}, men noget, der ligger tæt på w\mathbf{w}.

Netop derfor sammenligner ML-DSA ikke værdierne selv, men deres øverste bit. Og netop derfor indeholder signaturen desuden en hint-vektor h\mathbf{h}: Den meddeler kompakt, hvilke steder afrundingen er tippet over en grænse på grund af det lille fejlled. Ved ML-DSA-87 er højst ω=75\omega=75 sådanne hints tilladt. De røber ikke hemmeligheden — de reparerer kun afrundingen.

Til sidst beregner browseren challengen på ny. Stemmer den overens,

cny=c,c_{\text{ny}}=c,

og ligger alle normer inden for grænserne, er signaturen gyldig.

17. Hvad sker der, hvis nogen ændrer anmeldelsen?

Antag, at nogen med databaseadgang — også nogen hos os — ændrer anmeldelsesteksten eller et af hjerterne. Så ændrer mindst en af de to hashværdier i payloaden sig (h ved teksten, rh ved ethvert felt i datasættet):

H(m)≠H(m′).H(m)\neq H(m').

Dermed ændrer challengen sig:

c≠c′.c\neq c'.

Men den foreliggende signatur blev fremstillet til den gamle challenge. Browseren regner efter og konstaterer:

cny≠csignatur⟹Signatur ugyldigc_{\text{ny}}\neq c_{\text{signatur}} \quad\Longrightarrow\quad \boxed{\text{Signatur ugyldig}}

Den afgørende sætning hertil: Vi kan slette en anmeldelse, men vi kan ikke ændre den ubemærket. Hos McGesund kører den samme kontrol desuden hver nat serverside hen over hele bestanden — en anmeldelse, der ikke består denne kontrol, tæller ikke længere med i virksomhedens gennemsnit.

18. Hvorfor kan ingen opfinde en signatur?

En angriber kender A\mathbf{A} og t\mathbf{t}, men ikke s1,s2\mathbf{s}_1,\mathbf{s}_2. For at bygge en gyldig signatur skulle han finde en tripel (c~,z,h)(\tilde c,\mathbf{z},\mathbf{h}), der

  • opfylder verifikationsligningen og
  • overholder normgrænserne og
  • passer til den challenge, der fremgår af netop disse værdier selv.

Det løber i kernen ud på et vanskeligt gitterproblem — konkret på Module-SIS: at finde korte løsninger til en homogen ligning modulo qq. Lidenhedsbetingelsen er herved ikke pynt, men selve sværhedsgraden. Uden den ville en løsning være triviel.

offentlige data  →  svært gitterproblem\boxed{\text{offentlige data}\;\rightarrow\;\text{svært gitterproblem}}

19. Hvorfor „module"?

Ordet beskriver strukturen mellem simple vektorer og almindelige gitre. I stedet for at regne med enkelttal arbejder ML-DSA med vektorer af polynomier:

a=(a1(x),a2(x),…,ak(x)),\mathbf{a}=(a_1(x),a_2(x),\ldots,a_k(x)),

og med matricer af dem:

A=(a1,1(x)a1,2(x)⋯a2,1(x)a2,2(x)⋯⋮⋮⋱).\mathbf{A}= \begin{pmatrix} a_{1,1}(x)&a_{1,2}(x)&\cdots\\ a_{2,1}(x)&a_{2,2}(x)&\cdots\\ \vdots&\vdots&\ddots \end{pmatrix}.

Fordelen: Man får et gitters høje dimension, men beholder en kompakt, effektivt beregnelig repræsentation. Sikkerheden kan finjusteres via matrixstørrelsen uden at skifte ring.

20. Hvorfor netop 87?

De tre niveauer adskiller sig ikke i ringen, men i dimensionerne:

ParameterML-DSA-44ML-DSA-65ML-DSA-87
Matrixstørrelse (k,ℓ)(k,\ell)4×44\times46×56\times58×78\times7
Hemmelighedsinterval η\eta242
Challenge-vægt τ\tau394960
Offentlig nøgle1.312 B1.952 B2.592 B
Signatur2.420 B3.309 B4.627 B
NIST-kategori235

Bemærkelsesværdigt: ML-DSA-87 er ikke bare „ML-DSA-65, blot større". Hemmelighedsintervallet η\eta går fra 4 tilbage til 2; sikkerheden kommer her fra den større matrix, ikke fra større koefficienter. Der er tale om et selvstændigt, standardiseret parametervalg.

større matematisk struktur→højere sikkerhedsmargen\boxed{\text{større matematisk struktur}\rightarrow\text{højere sikkerhedsmargen}}

Prisen: 4.627 byte pr. signatur — pr. stempel, der skal gemmes og udleveres til browseren ved verifikationen. Derfor står også FALCON til valg hos McGesund ved siden af ML-DSA-87, og det klarer sig med 1.280 byte.

21. Fiat-Shamir: hvorfor det fungerer uden modpart

Et interaktivt bevis ville forløbe sådan:

  1. Signaturtjenesten sender et commitment.
  2. Den, der verificerer, sender en tilfældig challenge.
  3. Signaturtjenesten svarer.
  4. Den, der verificerer, regner efter.

Ved en anmeldelse findes denne dialog ikke — læseren kommer måneder senere. Løsningen er Fiat-Shamir-transformationen: Challengen bliver ikke slået med terning, men hashet ud af selve data:

c=H(offentlig nøgle,  besked,  commitment).c=H(\text{offentlig nøgle},\;\text{besked},\;\text{commitment}).

Dermed bliver en dialog til et dokument. Signaturtjenesten kan ikke vælge sin challenge, for det ville kræve, at den kontrollerede hashen.

22. Hele forløbet

SIGNATURTJENESTE (MCGESUND)DEN BESØGENDES BROWSERprivat nøgle s₁, s₂payload m = {virksomhed, anmeldelse, h, rh, iat}hash μtilfældig vektor ycommitment w = Aychallenge c = H(μ, w)z = y + c · s₁signatur (c, z, hints) + kidanmeldelse + signatur + off. nøgleAz − c·t → øverste bit + hintsberegn challenge på nynyberegnet challenge = medleveret?gyldigugyldigkassér, hvis z er for stor(rejection sampling)
En anmeldelses samlede vej. Det stiplede tilbagespring er rejection sampling — det tages så mange gange, indtil z er lille nok til ikke at røbe noget om den hemmelige nøgle.

23. Hvad McGesund konkret bruger det til

Tre lag griber ind i hinanden:

Konvolutten. Hver signeret anmeldelse bærer en Ed25519-signatur. Det er den obligatoriske variant — klassisk, ganske lille, nativt verificerbar i enhver browser.

Post-kvantestemplerne. Derudover kan en eller to kvanteresistente signaturer lægges ved siden af. Hvilke, afhænger af abonnementet:

Abonnementtilgængelige signaturniveauer
BasisEd25519, FN-DSA-512
KlassikEd25519, FN-DSA-512, FN-DSA-1024
ProEd25519, FN-DSA-1024, ML-DSA-87
PremiumEd25519, FN-DSA-1024, ML-DSA-87, begge parallelt

Den parallelle variant er bevidst redundant. Skulle en af de to matematiske familier — NTRU-gitre ved FALCON, module-gitre ved ML-DSA — vise sig svagere end antaget i dag, bærer den anden videre.

Tidsankeret. Signaturnøglens fingeraftryk forankres via OpenTimestamps i en Bitcoin-blok. Dermed kan man ikke bare påvise, at signaturen er ægte, men også at den allerede eksisterede på et bestemt tidspunkt — uden at nogen behøver tro på vores tidsstempel.

Alt dette bliver verificeret i læserens browser via et WASM-modul. Vi leverer data; efterregningen sker på den besøgendes eget udstyr. Gik vi af nettet i morgen, ville en allerede hentet anmeldelse stadig kunne verificeres.

24. ML-DSA og FALCON side om side

EgenskabFALCON (FN-DSA)ML-DSA
Typedigital signaturdigital signatur
GitterfamilieNTRUModule-LWE / Module-SIS
RingZq[x]/(xn+1)\mathbb{Z}_q[x]/(x^n+1), q=12289q=12289Zq[x]/(x256+1)\mathbb{Z}_q[x]/(x^{256}+1), q=8380417q=8380417
Kernemekanismekort vektor via gaussisk samplingchallenge-svar med afbrydelser
FFT / NTTflydende-komma-FFT, sikkerhedskritiskNTT, kun aritmetik
Signaturstørrelse (højeste niveau)1.280 B4.627 B
Implementeringkrævende (flydende komma)forholdsvis ligefrem
Standardiseringtiltænkt som FIPS 206 (FN-DSA), endnu ikke færdiggjortFIPS 204, færdiggjort

Kort sagt: ML-DSA er lettere at implementere og efterprøve korrekt, FALCON leverer markant mere kompakte signaturer. I QR-koden sidder ingen af dem — dér står alene Ed25519-konvolutten. Signaturstørrelsen tæller derfor ved lagring og udlevering, robustheden ved implementeringen. Derfor tilbyder vi begge dele.

25. En sætning at tage med

ML-DSA laver ud af en kort hemmelig vektor et svar pa˚ enchallenge, der er hashet ud af anmeldelsen selv — verificerbarfor enhver med den offentlige nøgle.\boxed{ \begin{array}{c} \text{ML-DSA laver ud af en kort hemmelig vektor et svar på en}\\ \text{challenge, der er hashet ud af anmeldelsen selv — verificerbar}\\ \text{for enhver med den offentlige nøgle.} \end{array}}

Den, der besidder den hemmelige vektor, underskriver på millisekunder. Den, der ikke besidder den, skulle løse et gitterproblem i over 14.000 dimensioner — også med en kvantecomputer.

For den, der læser en anmeldelse, betyder det ganske enkelt: Han behøver ikke tro på os. Han kan regne efter.