比特幣抗量子簽章草案：Trezor評估以無狀態簽章為預設

比特幣（BTC）交易用抗量子簽章草案 SHRINCS，透過記錄錢包已使用的簽章位置來縮小簽章資料量。使用復原種子重建錢包後如何安全簽章，以及如何避免多台裝置重複使用狀態，仍是錢包製造商需要處理的問題。

Trezor 技術長托馬什·蘇尚卡（Tomáš Sušánka）表示：「狀態追蹤不該成為使用者的工作。」Decrypt於12日（當地時間）刊出對蘇尚卡的訪問。

SHRINCS草案結合有狀態與無狀態的雜湊式簽章。有狀態簽章會記住錢包已使用的簽章位置，大小為548至4619位元組；無狀態簽章則不需記錄，大小為5777位元組。TokenPost先前曾報導SHRINCS草案的簽章大小與狀態復原設計。

草案警告，若有狀態錢包把同一計數器用於不同交易，第三方看到兩份簽章後，可能偽造新簽章。計數器用來記錄已使用的簽章位置，避免重複使用。

因此，提案要求不得從備份還原計數器，也不得將計數器移轉至其他軟體，並須避免同時簽章。若復原後無法確認計數器可信，錢包就應停止使用有狀態簽章，只採用無狀態簽章。

同一組復原種子輸入多台裝置後，如何同步狀態也是待解問題。若各裝置的簽章紀錄不同步，就有重複使用同一簽章位置的風險，因此復原流程與裝置間同步都需要納入設計。

蘇尚卡表示，Trezor正評估將不追蹤狀態的無狀態簽章設為預設，並把簽章較小的有狀態方案放進進階設定。這項設計希望避免把狀態紀錄管理工作交給使用者。

安托萬·里亞爾（Antoine Riard）9月1日在比特幣開發者郵件論壇表示，若要將閃電網路等鏈下交易複製到多個位置，無狀態簽章可能有助於避免同步狀態。他也提出，應如何評估5777位元組簽章帶來的營運負擔。

提案作者回應，單看簽章大小，無法直接計算實際交易手續費會增加多少；簽章資料大小與最終手續費變化不能視為同一數值。

美國國家標準暨技術研究院（NIST）於2024年將無狀態雜湊式簽章演算法SLH-DSA標準化為FIPS 205。SHRINCS的無狀態組件也採用SLH-DSA，但指定的參數與標準所列內容不同。

SHRINCS文件目前仍是草案，尚未取得BIP編號。安全性證明、完整測試向量與最佳化實作都尚未完成，文件也警告不得在實際營運中使用範例實作。

Trezor在產品說明中表示，Safe 7的啟動流程採用SLH-DSA-128驗證開機載入程式，裝置憑證則使用ML-DSA-44。待這項功能完整整合至韌體與Trezor Suite後，將提供額外的安全層。

這類裝置安全設計涉及啟動流程與裝置真偽驗證。即使裝置採用抗量子演算法，比特幣網路驗證的交易簽章也不會因此自動具備抗量子能力。

更改比特幣交易簽章，除了錢包實作外，還需要網路採納新的簽章規則。TokenPost先前曾報導七個主要國家呼籲政府與企業轉向後量子密碼技術的背景。SHRINCS草案並未列出比特幣網路的共識規則或採納時程。