【密码学】聚合签名

        聚合签名是一种高级的数字签名技术，这种技术在多种场景下都非常有用，特别是在区块链、多方计算、分布式系统等领域中。下面让我来对它的基本概念、主要类型、实现步骤等来进行介绍。

一、聚合签名的基本概念

        聚合签名到底是什么？有那么多数字签名方法，聚合签名又到底有什么特别之处呢？

（1）定义

        聚合签名是一种能够将一组签名合并成单个签名的技术，使得验证者只需要验证一个签名就可以确认所有原始签名的有效性。

（2）优点

• 减少存储需求：多个签名被压缩成一个签名，减少了存储空间的需求。
• 减少带宽消耗：在网络传输时，只需要发送一个签名而不是多个签名，降低了带宽使用。
• 简化验证流程：验证一个聚合签名比验证多个单独的签名要快得多。

二、聚合签名的主要类型

        聚合签名可以简单的理解为，把一组签名变成一个。所以各个聚合签名的不同类型的区别就在于，“一组签名”在聚合签名之前是什么样的形式或者理解成以一种怎样的形式组织在一起。

签名类型	描述
标准聚合签名	最基础的形式，将多个签名合并为一个签名，验证者只需验证这个签名即可确认所有原始签名的有效性。
多签名	多个签名者共同签署同一份消息，生成一个签名，该签名代表所有签名者的意图。
门限签名	要求至少达到一定数量的签名者参与才能生成有效的签名。
环签名	隐藏签名者身份的一种特殊形式，其中签名者可以从一组可能的签名者中匿名地签署消息。

三、聚合签名的关键技术与步骤

（1）聚合签名的步骤

先看整体步骤图，再分布看文字描述

① 密钥生成

        每个签名者生成自己的私钥和对应的公钥。这通常通过安全的随机数生成器来完成，并且确保私钥保密，公钥则可以公开分享。

② 密钥聚合

        将所有的公钥聚合成为一个公钥集合。聚合的方式取决于具体的聚合签名方案。例如，在BLS聚合签名中，公钥可以通过椭圆曲线上的点加法来聚合；在Schnorr聚合签名中，通过更复杂的协议来确保公钥的聚合不会泄露任何签名者的秘密信息。

【注】这里谈到的BLS签名算法，后续我会单独出文章介绍。

③ 签名生成

        每个签名者用自己的私钥对消息进行签名。签名算法需要与所选的签名方案兼容。例如，在BLS签名方案中，签名是通过对消息哈希值进行标量乘法生成的。

④ 签名聚合

        将各个签名聚合为一个签名。这个过程也依赖于所使用的具体签名方案。例如，在BLS中，签名可以直接通过椭圆曲线上点的加法来聚合。对于其他类型的聚合签名，可能需要更复杂的协议来确保聚合的正确性和安全性。

⑤ 验证过程

        使用聚合后的公钥集合验证聚合签名。验证算法检查聚合签名是否对应于给定的消息和聚合公钥。如果验证成功，这意味着所有原始签名都是有效的，并且来自相应的签名者。

（2）关键技术细节

• 签名者的协作：在某些聚合签名方案中，签名者之间可能需要交互以确保签名的有效聚合。例如，在MuSig中，签名者之间需要交换信息（对应下图中交换随机数）来构建最终的公钥。

Schnorr聚合签名

• 安全性和隐私保护：聚合签名的设计需要考虑到如何防止伪造和如何保护签名者的隐私。例如，某些方案可能需要采用特殊的技术来确保签名者不能否认他们参与了签名过程。

• 可扩展性：聚合签名的一个重要目标是提高可扩展性，即无论有多少签名者，签名验证的成本都应该是固定的或者非常低的。

• 适应性：有些聚合签名方案允许在签名后添加更多的签名，从而形成更大的聚合签名。例如，BLS签名方案允许在任何时候向现有的聚合签名中添加新的签名。

• 门限特性：某些聚合签名方案还具备门限特性，这意味着只有当达到一定数量的签名者参与时，签名才会被认为是有效的。

• 审计和跟踪：某些情况下，可能需要能够审计聚合签名，以确定哪些签名者参与了签名过程。例如，在链式聚合签名中，可以追溯到最初的签名者。

四、支持聚合签名的算法方案和应用场景

（1）支持聚合签名的算法

① BLS签名方案

        BLS签名方案是最知名的聚合签名方案之一。它基于双线性配对，允许将多个签名聚合为一个单一的签名，并且可以在任何时候向现有的聚合签名中添加新的签名。

② Schnorr签名方案

        Schnorr签名方案是一种基于离散对数问题的数字签名算法，它可以被用来构建高效的聚合签名。

此外还有改进的Schnorr签名方案如：

• MuSig是一种改进的Schnorr签名方案，用于创建多签名。
• MSS是另一种基于Schnorr签名的方案，它可以用于构建多签名方案，在某些情况下用于构建聚合签名。

在这里简单对比一下BLS聚合签名和Schnorr聚合签名：

        BLS签名涉及双线性映射，这是一种计算密集型操作，目前还没有得到很好的硬件加速。现有的软件实现可能不够成熟，导致BLS签名的整体性能不如ECDSA（椭圆曲线数字签名算法）。

        Schnorr签名的验证方程非常直观，且没有模倒数运算，这使得它的数学基础更加简洁。为了验证聚合签名，验证者需要访问所有参与者的公钥，并将它们聚合在一起。这一步骤增加了额外的操作。Schnorr聚合签名通常需要参与者之间有额外的交互步骤，以确保签名的一致性和正确性。例如，在MuSig方案中，签名者之间需要进行多轮通信以生成一个安全的聚合签名。

签名方法	签名时间/计算量	验证时间/计算量	安全性基础	安全性等级	密钥长度	支持聚合签名
Schnorr	快速	快速	椭圆曲线上的离散对数问题	较高	256位（或更高）	是
BLS	中等到较快	中等到较快	配对的椭圆曲线离散对数问题	最高	256位 (BLS12-381)	是

③ 其他签名方案

        IBS是一种允许用户使用其身份作为公钥的签名方案，虽然它主要用于身份验证，但在某些构造中也可以实现聚合签名功能。

        ASAF签名方案允许在任何时间点向现有的聚合签名中添加新的签名（支持动态添加签名），同时保证了签名的正确性和安全性。

        ASAS（自适应安全聚合签名）这类签名方案允许在不知道签名者集合的情况下动态地添加新的签名。 能做到适应性安全性和动态添加签名。

（2）聚合签名的应用场景

• 区块链：减少区块大小，提高交易处理速度。
• 多方安全计算：简化多方之间的交互和验证过程。
• 分布式账本技术：降低存储和传输成本，加快共识达成速度。
• 隐私保护：通过环签名等技术保护用户隐私。
• 物联网：在大规模物联网部署中，聚合签名可以减少设备认证所需的通信量，特别是在资源受限的设备上。