SLH-DSA mínithe go matamaiticiúil

1. Cad atá i gceist anseo

Ag McGesund is féidir le custaiméirí ar Léirmheasanna Premium agus Comharthaí Premium an leibhéal sínithe PQ-Dual-Diversified a roghnú. Ansin iompraíonn gach cód QR dhá shíniú chandam-fhriotaíocha chomh maith leis an síniú clasaiceach Ed25519: ML-DSA-87 agus SLH-DSA-SHA2-256f.

Míníonn an t-alt seo an dara ceann. Tá sé tógtha ar bhealach difriúil ó gach rud eile a úsáidimid.

Ní criptiú é SLH-DSA. Fanann an t-ábhar inléite go poiblí. Cruthaíonn SLH-DSA bunús agus sláine — díreach mar a dhéanann gach síniú digiteach.

Seasann SLH-DSA do Stateless Hash-Based Digital Signature Algorithm. Forbraíodh é as SPHINCS+ agus caighdeánaíodh é in 2024 mar FIPS 205. Léiríonn an t-ainm cheana féin cad atá speisialta faoi: ní úsáideann an scéim ach feidhmeanna haiseála. Gan laitísí, gan cuair éilipseacha, gan uimhreacha príomha móra.

---

2. Cad a shínítear go díreach?

Ag McGesund síníonn SLH-DSA an taifead céanna a chlúdaíonn an síniú Ed25519 sa chód QR: pálasta an chóid QR. Insíonn sé, i measc nithe eile, cén gnólacht lena mbaineann an cód (fid), cén cineál cóid é (typ), cathain a eisíodh é (iat) agus go dtí cathain atá sé bailí (exp) — mar shraith beart ionchódaithe go dlúth (CBOR).

Is í an tsraith beart sin ár dteachtaireacht $M$. Má athraíonn duine giotán amháin ina dhiaidh sin, ní oireann ceann ar bith de na sínithe a thuilleadh.

Níl an síniú SLH-DSA sa chód QR féin. Ag thart ar 49 KB tá sé i bhfad rómhór chuige sin. Luíonn sé mar "stampa" ar leith leis an taifead QR i gcúlchóras McGesund agus lódáiltear isteach sa bhrabhsálaí é nuair a chliceálann tú ar "Seiceáil barántúlacht".

---

3. Cén fáth scéim nach bhfuil inti ach feidhmeanna haiseála?

Tá gach scéim sínithe bunaithe ar thasc nach féidir a réiteach go praiticiúil gan an eochair rúnda:

Bhrisfeadh ríomhaire candamach mór Ed25519. Meastar FALCON agus ML-DSA a bheith candam-fhriotaíoch — ach braitheann an dá cheann ar fhadhbanna laitíse. Dá n-aimseofaí lá éigin ionsaí bunúsach ar laitísí, bheadh tionchar aige ar an dá cheann san am céanna.

Ní theastaíonn ó SLH-DSA, os a choinne sin, ach go ndéanann an fheidhm haiseála an rud ar tógadh í chuige:

Is é seo an toimhde is faide agus is mionsonraithe a ndearnadh staidéar uirthi sa chripteagrafaíocht ar fad. Fiú ríomhaire candamach, níl sé in ann cabhrú anseo ach go teoranta: laghdaíonn algartam Grover na giotáin slándála faoi leath. Sin é an fáth a n-úsáideann an leagan 256 haisluachanna de $n = 32$ beart $= 256$ giotán — tar éis Grover fanann 128 giotán fós.

Is é sin go díreach an fáth a dtugtar Diversified ar an leibhéal: tagann ML-DSA (laitísí) agus SLH-DSA (hais) ó theaghlaigh mhatamaiticiúla éagsúla. Má thiteann ceann acu, seasann an ceann eile.

---

4. Bloc tógála 1: síniú le slabhraí haiseála (WOTS+)

Tá an bunsmaoineamh simplí thar an gcoitiantacht. Tosaímid le digit amháin.

Tóg luach randamach rúnda $s$ agus haiseáil é arís agus arís eile:

Foilsítear deireadh an tslabhra, $p$. Is é sin an eochair phoiblí don digit amháin seo.

Chun digit $d$ idir 0 agus 15 a shíniú, nochtar luach an tslabhra ag suíomh $d$:

An té ar mian leis fíorú, haiseálann sé $\sigma$ $15 - d$ uair eile. Má thagann $p$ amach go díreach, is fíor an síniú:

Mionsampla

Sínímid an digit $d = 6$:

• Foilsíonn an sínitheoir $\sigma = H^6(s)$.
• Ríomhann an fíoraitheoir $H^{9}(\sigma) = H^{15}(s)$ agus cuireann sé i gcomparáid le $p$ é. Oireann sé.

Is féidir le falsaitheoir a chonaic $\sigma$ $H^7(s)$, $H^8(s)$ srl. a ríomh as gan stró — agus mar sin digití níos mó a shíniú. Ní féidir leis digití níos lú a shíniú, mar chaithfeadh sé haiseáil siar chuige sin.

An tsuim sheiceála in aghaidh "comhaireamh suas"

Ionas nach féidir le héinne digití a mhéadú go simplí, sínítear suim sheiceála freisin:

Má mhéadaíonn falsaitheoir digit den teachtaireacht, éiríonn $C$ níos lú — agus chuige sin chaithfeadh sé ríomh siar i slabhra na suime seiceála. Tá an dá threo faoi ghlas dá bharr.

Scálaithe suas go haisluach iomlán

Tá 64 digit i mbonn 16 i haisluach 32 beart. Cuirtear 3 dhigit suime seiceála leo:

WOTS+ (Winternitz One-Time Signature) a thugtar ar a leithéid de shíniú. Tá a laige mhór san ainm: One-Time. An té a shíníonn dhá theachtaireacht dhifriúla leis an eochair chéanna, nochtann sé an oiread sin luachanna slabhra go mbíonn falsuithe indéanta.

---

5. Bloc tógála 2: go leor eochracha aon-uaire faoi aon díon amháin (crann Merkle)

Mura féidir gach eochair a úsáid ach uair amháin, teastaíonn an-chuid acu — ach níl tú ag iarraidh ach eochair phoiblí amháin a fhoilsiú.

Is é an réiteach crann Merkle: is iad eochracha poiblí $2^{h'}$ péire WOTS+ na duilleoga. Haiseáiltear dhá chomharsa le chéile i gcónaí, na torthaí arís ina bpéirí, go dtí go mbíonn fréamh amháin ag an mbarr.

In SLH-DSA-SHA2-256f tá airde $h' = 4$ ag gach crann, is é sin $2^4 = 16$ duilleog.

Chun a thaispeáint go mbaineann duilleog áirithe leis an gcrann, soláthraítear a chonair fíordheimhnithe: na 4 nód deirfiúracha ar an mbealach suas. Leo sin haiseálann an fíoraitheoir a bhealach suas ón duilleog go dtí an fhréamh. Má thagann an fhréamh aitheanta amach, baineann an duilleog leis an gcrann.

---

6. Bloc tógála 3: crainn ar chrainn (hipearchrann)

Ar ndóigh ní leor 16 eochair aon-uaire. Mar sin cruachann SLH-DSA crainn ar a chéile: sínítear fréamh crainn le heochair WOTS+ den chrann os a cionn. Hipearchrann a thugtar ar an túr seo.

In SLH-DSA-SHA2-256f tá $d = 17$ sraith ann, agus airde 4 ag gach ceann:

Ag an mbun ar fad, mar sin, tá

duilleog ar fáil. $\text{PK.root}$ a thugtar ar fhréamh an chrainn is airde — is í an fíoreochair phoiblí í.

Tábhachtach: ní ríomhann éinne na crainn seo roimh ré. Díorthaítear na luachanna rúnda ar fad de réir mar is gá ó shíol rúnda $\text{SK.seed}$. Ní stóráiltear ach ceithre luach de 32 beart an ceann:

Is iad na ceithre cinn le chéile an eochair phríobháideach (128 beart); níl san eochair phoiblí ach PK.seed agus PK.root (64 beart).

---

7. Bloc tógála 4: foraois in aghaidh buillí seans (FORS)

Anois an fhadhb cheart: conas a bhíonn a fhios ag an sínitheoir cé acu de na $2^{68}$ duilleog nár úsáideadh fós?

Coinníonn scéimeanna níos sine atá bunaithe ar haiseanna (XMSS, LMS) áiritheoir chuige sin. Ní ceadmhach é a athshocrú riamh — ní trí chúltaca, ní trí dhara freastalaí. Má tharlaíonn sé mar sin féin, úsáidtear eochair aon-uaire faoi dhó agus tá an scéim briste. Tugtar scéimeanna le staid ar a leithéid.

Tá SLH-DSA gan staid: roghnaítear an duilleog go bréag-randamach as an teachtaireacht féin. Ansin d'fhéadfadh sé tarlú go mbuailfeadh dhá theachtaireacht an duilleog chéanna. Sin é an fáth nach síniú aon-uaire atá ag an mbun, ach síniú cúpla-uaire: FORS (Forest of Random Subsets).

Is éard atá in FORS ná $k = 35$ crann beag Merkle le $2^a = 2^9 = 512$ duilleog an ceann. Is luachanna randamacha rúnda iad na duilleoga.

Chun síniú, roinntear hais na teachtaireachta ina 35 uimhir de 9 ngiotán an ceann. Roghnaíonn gach uimhir duilleog amháin go díreach ina crann "féin". Tá na nithe seo sa síniú do gach crann:

• luach rúnda na duilleoige sin
• a conair fíordheimhnithe (9 nód)

Chaithfeadh falsaitheoir, do theachtaireacht eile, duilleoga a bhualadh i ngach ceann de na 35 crann a bhfuil a rúin nochta cheana. Fiú má úsáideadh an t-ásc FORS céanna cúpla uair, níl aon dóchas ann.

---

8. An próiseas sínithe iomlán

1. Comhpháirt randamach. As $\text{SK.prf}$, uimhir randamach úr agus an teachtaireacht, faightear luach 32 beart $R$.
2. Hais na teachtaireachta.
   $$\text{digest} = H_{\text{msg}}(R,\ \text{PK.seed},\ \text{PK.root},\ M)$$
   Roinntear 49 beart an digest: roghnaíonn 40 beart na 35 duilleog FORS, agus socraíonn an chuid eile cén crann (idx_tree) agus cén duilleog (idx_leaf) ag bun an hipearchrainn a úsáidtear.
3. Síniú FORS thar an teachtaireacht. Eascraíonn eochair phoiblí FORS as.
4. Síniú an hipearchrainn thar an eochair FORS sin: 17 síniú WOTS+, conair fíordheimhnithe ag gach ceann, sraith ar shraith suas go $\text{PK.root}$.

Níl sa síniú críochnaithe ach na codanna sin i ndiaidh a chéile:

---

9. Cén fáth a bhfuil an síniú 49,856 beart ar méid

Le paraiméadair SLH-DSA-SHA2-256f is féidir an méid a ríomh go beacht ($n = 32$ beart in aghaidh an haisluacha):

Mar chomparáid: tá síniú Ed25519 64 beart, agus síniú ML-DSA-87 4,627 beart. Is é an méid an praghas a íoctar as go n-éiríonn le SLH-DSA gan aon rud ach feidhmeanna haiseála.

---

10. Conas a fhíoraíonn an brabhsálaí

Le SLH-DSA, is ionann fíorú agus: haiseáil arís.

1. An digest a ríomh as an nua ó $R$, ón eochair phoiblí agus ón teachtaireacht.
2. As na 35 duilleog FORS nochta agus a gconairí, na 35 fréamh crainn a ríomh agus eochair phoiblí FORS astu sin.
3. Le gach ceann de na 17 síniú WOTS+, na slabhraí a haiseáil go dtí a ndeireadh, eochair phoiblí WOTS+ a fhoirmiú agus haiseáil suas feadh na conaire go fréamh an chrainn.
4. Ag an deireadh caithfidh $\text{PK.root}$ teacht amach go díreach.

Is ionann sin agus cúpla míle glao haiseála — mionrud do ríomhaire. Sa bhrabhsálaí tógann an fíorú thart ar 6 go 12 milleasoicind againne.

---

11. Cad a tharlaíonn má athraíonn duine an taifead?

Má athraíonn fiú giotán amháin den teachtaireacht $M$, athraíonn an digest go hiomlán. Dá bharr sin díríonn na 35 uimhir ar dhuilleoga FORS eile agus an scéim ar áit eile sa hipearchrann.

Ní oireann na rúin nochta a thuilleadh: tá na fréamhacha athríofa difriúil, agus ní thagann $\text{PK.root}$ amach ag an deireadh. Teipeann ar an bhfíorú.

Chun síniú bailí a thógáil mar sin féin, chaithfeadh rúin a bheith ar eolas ag ionsaitheoir nár foilsíodh riamh — is é sin, feidhm haiseála a ríomh siar.

---

12. Cén fáth 256f go háirithe?

Sainmhíníonn FIPS 205 dhá thacar déag paraiméadar: dhá theaghlach haiseála (SHA-2 agus SHAKE), trí leibhéal slándála (128, 192, 256) agus, do gach ceann, leagan tapa ("f") agus leagan beag ("s").

Ciallaíonn 256 catagóir slándála 5 de chuid NIST — an leibhéal céanna le FALCON-1024 agus ML-DSA-87.

Roghnaíomar "f" mar is féidir le gnólachtaí suas le 500 cód QR a eisiúint d'aon iarraidh amháin. Le "s" thógfadh an síniú os cionn 20 nóiméad, le "f" níos lú ná nóiméad. Mar chúiteamh tá an síniú níos mó — ós rud é nach bhfuil sé sa chód QR, is féidir glacadh leis sin.

SHA-2 in ionad SHAKE, mar go bhfuil SHA-256 agus SHA-512 luathaithe ar bheagnach gach crua-earra.

---

13. Randamacht agus síniú ar siúl

Ceadaíonn FIPS 205 dhá bhealach chun $R$ a ghiniúint:

• cinntitheach: an teachtaireacht chéanna, an síniú céanna
• randamaithe ("hedged"): cuirtear uimhir randamach úr isteach

Úsáidimid an leagan randamaithe. Dá bhrí sin breathnaíonn dhá shíniú thar an teachtaireacht chéanna difriúil — agus tá an dá cheann bailí. Déanann sé sin ionsaithe níos deacra a chuireann tomhais ar an ngléas (ídiú cumhachta, am) le chéile le sínithe athuaire.

---

14. Cad a dhéanann McGesund leis go praiticiúil

An leibhéal. Tá PQ-Dual-Diversified ar fáil ar Léirmheasanna Premium agus Comharthaí Premium. Iompraíonn cód QR trí shíniú ansin:

An síniú. Tógann síniú SLH-DSA thart ar cheathrú soicind d'am ríomhaireachta. Ionas go bhfanann an freastalaí ar fáil do gach duine eile idir an dá linn, déanann snáitheanna cúlra tiomnaithe an ríomh.

An fíorú. Lódálann brabhsálaí an léitheora an dá stampa agus fíoraíonn sé iad leis an modúl WASM céanna leis na sínithe PQ eile ar fad. Soláthraímid na sonraí; déantar an ríomh ar ghléas an chuairteora.

An chomparáid le NIST. Éiríonn lenár modúl i veicteoirí tástála oifigiúla NIST do SLH-DSA-SHA2-256f: as síolta NIST eascraíonn na heochracha céanna beart ar bheart, agus diúltaítear do gach síniú a ndearnadh ionramháil air d'aon ghnó. Is féidir leat é sin a sheiceáil tú féin sa bhrabhsálaí ar leathanach tástála NIST.

An t-ancaire ama. Mar a dhéantar le gach eochair, ancairítear méarlorg na heochrach SLH-DSA i mbloc Bitcoin trí OpenTimestamps.

---

15. SLH-DSA, ML-DSA agus FALCON taobh le taobh

I mbeagán focal: is é SLH-DSA an ceann is moille agus is mó de na trí scéim — agus an ceann is coimeádaí. Ní bhraitheann sé ar aon rud nach nglacann gach síniú eile leis cheana féin ar aon nós: feidhm haiseála shlán.

---

16. Abairt le tabhairt leat

An té a bhfuil an síol rúnda aige, síníonn sé i gceathrú soicind. An té nach bhfuil sé aige, chaithfeadh sé SHA-256 nó SHA-512 a ríomh siar — fiú le ríomhaire candamach.

Do léitheoir léirmheasa ciallaíonn sé seo: fiú dá dtitfeadh na scéimeanna laitíse ar fad lá éigin, fanfaidh an síniú seo infhíoraithe. Ní gá dó sinne a chreidiúint. Is féidir leis é a ríomh.