От алгебры к шуму: почему постквантовая криптография выглядит иначе

- 14 сентября 2026 г.

OpenZeppelin Security

Квантовые риски часто обсуждаются так, будто это далекая криптографическая проблема: нечто, о чем стоит беспокоиться позже органам по стандартизации, исследователям и поставщикам инфраструктуры. Для токенизированных финансов такая постановка вопроса слишком узка. Если появится криптографически значимый квантовый компьютер (CRQC), первым институциональным кризисом станет не мгновенный отказ всех хеш-функций. Им станет то, что раскрытые классические открытые ключи — особенно те, что стоят за кошельками, системами хранения, мостами, валидаторами, исполнителями управления и ролями администраторов смарт-контрактов — могут превратиться в пассивы.

Суть в том, чтобы задать практический вопрос:

Если «Квантовый день» (Q-Day) наступит раньше, чем ожидалось, какие из ваших ключей, кошельков, контрактов, мостов и путей управления выйдут из строя первыми?

Кому следует это прочитать? Руководителям, специалистам по управлению рисками, командам по хранению активов, казначействам, платформам токенизации, управляющим протоколами и руководителям служб безопасности, которым необходимо понять, почему квантовый риск важен с операционной точки зрения, прежде чем погружаться в математику.

Тезис на одной схеме

Эта схема намеренно проста, потому что риск первого порядка прост. Квантовому риску не нужно ломать каждый компонент блокчейна одновременно. Ему нужно лишь превратить неправильно раскрытый открытый ключ в пригодный для использования закрытый ключ. Как только это произойдет, злоумышленник не просто лучше поймет систему; он сможет действовать как авторизованный участник внутри нее.

Для ончейн-систем модель угроз особенно беспощадна:

Раскрывай сейчас, подделывай потом. Как только открытый ключ навсегда раскрыт в блокчейне, будущий квантовый злоумышленник сможет восстановить соответствующий закрытый ключ и подделать авторизацию — если только активы и права доступа не были предварительно перенесены.

Это блокчейн-аналог принципа «собирай сейчас, расшифровывай потом». В контексте конфиденциальности злоумышленник записывает зашифрованный трафик сегодня и расшифровывает его в будущем. В токенизированных финансах злоумышленник может вместо этого наблюдать за раскрытыми открытыми ключами сегодня и подделывать авторизацию в будущем. Записанный объект — это не зашифрованный текст, а открытый ключ, несущий права доступа.

В «Практическом руководстве по квантовым рискам в блокчейне» изложены этот риск и стандарты, которые на него отвечают. То, что следует ниже, лежит в основе обоих: криптографическая причина, по которой раскрытые ключи становятся восстановимыми, и то, сколько на самом деле стоит миграция.

Классическая криптография скрывает секреты в алгебре

Чтобы понять почему, нам нужна одна центральная идея:

Классическая криптография с открытым ключом любит чистую алгебру.

Нетехнические читатели могут пропустить этот блок и запомнить основную мысль: и RSA, и эллиптическая криптография опираются на операции, которые легко выполнить в одном направлении и трудно обратить классическими методами.

RSA основан на умножении больших простых чисел:

N = pq

Зная p и q, вычислить N легко. Считается, что зная только N, разложить его обратно на p и q для классических компьютеров сложно.

Эллиптическая криптография основана на скалярном умножении:

Q = dG

Зная d и G, вычислить Q легко. Считается, что зная Q и G, восстановить d для классических компьютеров сложно.

Большинство широко используемых алгоритмов с открытым ключом следуют этому красивому шаблону проектирования:

• Выберите математическую операцию, которую легко вычислить в прямом направлении.
• Сделайте обратное направление невыполнимым.
• Используйте прямую операцию для создания открытых ключей из секрета.
• Используйте секрет как закрытый ключ для подписи, расшифровки или получения общих ключей.

Этот шаблон проектирования элегантен, но элегантность — это также структура. А алгоритм Шора — это детектор структуры. Вот почему постквантовый переход — это не просто «использование кривых большего размера». Проблема не в старых параметрах, а в том, что тип сложности, на который они опираются, является неподходящим для противостояния квантовым компьютерам.

Алгоритм Шора: детектор структуры

Алгоритм Шора часто описывают как «квантовый алгоритм, который взламывает RSA». Это правда, но слишком узко. Более глубокая мысль заключается в следующем:

Алгоритм Шора взламывает криптосистемы, сложность которых основана на определенных видах чистой алгебраической структуры.

Он применим к:

• факторизации целых чисел,
• дискретным логарифмам в конечных полях,
• дискретным логарифмам на эллиптических кривых,
• и, следовательно, ко многим системам с открытым ключом, построенным на их основе.

Для крипто-нативных систем раскрытые классические открытые ключи становятся опасными в постквантовом мире с достаточно мощными квантовыми злоумышленниками:

раскрытый открытый ключ эллиптической кривой → восстановимый закрытый ключ

Полный алгоритм включает квантовое преобразование Фурье и поиск периода. Для интуитивного понимания ключевая идея заключается в том, что Шор превращает скрытую алгебраическую регулярность в измеримую информацию. Факторизацию можно свести к поиску периода в модульной арифметике, а дискретные логарифмы можно рассматривать как поиск скрытой структуры внутри группы. Квантовые методы Фурье необычайно хороши в извлечении такого рода скрытой регулярности, поскольку они превращают алгебраическую периодичность в нечто, что можно непосредственно считать при измерении.

Вот почему RSA, DSA, Diffie-Hellman, ECDSA, EdDSA и криптография на спариваниях имеют одну и ту же уязвимость: они опираются на алгебраическую структуру, которую алгоритм Шора был разработан эксплуатировать.

Нетехнические читатели могут пропустить этот блок и запомнить основную мысль: «структура квантово слаба» — это полезная эвристика, а не теорема; Шор эксплуатирует один очень специфический вид структуры, и многие структурированные задачи устойчивы к квантовой атаке.

«Шор обнаруживает структуру» — это метафора, и ее ограничения имеют значение. Не существует теоремы — и нет реального консенсуса — о том, что структурированные задачи в целом легко решаются квантовыми компьютерами. То, что эксплуатирует Шор, узко: факторизация и оба вида дискретного логарифма сводятся к поиску периодичности в конечной циклической (абелевой) группе — абелевой задаче о скрытой подгруппе, — которую квантовое преобразование Фурье решает эффективно. Это специфическое свойство коммутативной групповой структуры, а не «алгебры» в целом.

Множество богато структурированных задач не имеют известного квантового ускорения. Изоморфизм графов обладает высокой структурой, но для него не существует эффективного квантового алгоритма. А сами решеточные задачи могут быть сформулированы как неабелева (диэдральная) задача о скрытой подгруппе, где метод Фурье, побеждающий факторизацию, не применим. Таким образом, решетки безопасны не потому, что им не хватает структуры, — они безопасны потому, что их структура не является той, которую может взломать механизм Шора.

Алгоритм Гровера: скидка на перебор

Алгоритм Гровера другой. Он не эксплуатирует алгебраическую структуру таким же катастрофическим образом, как Шор. Гровер ослабляет поиск перебором, но не уничтожает хеши так, как Шор уничтожает подписи на эллиптических кривых. Если классическому злоумышленнику нужно около 2^n шагов для поиска в пространстве, Гровер может сократить это до примерно 2^(n/2). Это важно для:

• поиска симметричных ключей,
• поиска прообраза хеша,
• некоторых процессов поиска, подобных майнингу,
• и атак методом перебора.

Но это не то же самое, что Шор. Для 256-битной хеш-функции безопасность поиска прообраза снижается с 2^256 до 2^128. Это значительное сокращение, но 2^128 остается серьезным уровнем безопасности:

Шор находит секретную дверь. Гровер лишь помогает вам проверять двери быстрее.

Нетехнические читатели могут пропустить этот блок и запомнить главное: заголовок «халвинг» — это идеализированная граница; реальный квантовый поиск обходится гораздо дороже, но выбор размера хеша — это по-прежнему инженерный компромисс, а не решенная проблема.

Цифра 2 — это граница количества запросов: она учитывает вызовы функции, а не реальное время выполнения. Три практических факта значительно увеличивают реальную стоимость атаки:

• Алгоритм Гровера плохо поддается распараллеливанию. Разделение поиска между P квантовыми машинами ускоряет его только в √P раз, в отличие от линейного ускорения P, которое дает классический перебор.
• Квантовые вентили работают медленно, а поиск является последовательным. Атаке Гровера требуется около 2 последовательных итераций на машине с коррекцией ошибок, при этом каждая логическая операция выполняется гораздо медленнее, чем классическая. Для n = 256 одна только эта последовательная глубина является непосильной в обозримом будущем.
• Скорость оборудования неизвестна. Будущие тактовые частоты и накладные расходы на коррекцию ошибок пока не определены, поэтому «просто удвоение вывода» — это эмпирическое правило, а не гарантия точного уровня безопасности.

Эти предостережения в основном играют на руку защитнику; именно поэтому NIST считает, что даже AES-128 и SHA-256 еще очень далеки от тривиального взлома. Но они также означают, что выбор размера хеша — это компромисс: в раннюю квантовую эпоху большинство пользователей по-прежнему используют классическое оборудование, где большие выходные данные и более длинные хеши требуют реальных затрат.

Вот почему SHA-256 и Keccak-256 не нужно отбрасывать так же, как ECDSA. В некоторых контекстах им могут потребоваться большие запасы прочности, но они не разрушаются структурно квантовыми алгоритмами. Поэтому для блокчейнов практический вывод перед лицом квантовых алгоритмов Шора и Гровера таков:

• схемы подписей — это неотложная проблема с открытым ключом,
• хеши ослаблены, но все еще пригодны для использования при адекватных параметрах,
• для симметричного шифрования следует отдавать предпочтение более длинным ключам, таким как AES-256, для обеспечения долгосрочной безопасности,
• и разработчикам протоколов следует избегать использования коротких хеш-выводов для долгосрочных обязательств с высокой стоимостью.

От алгебры к шуму

Постквантовая криптография (PQC) не решает проблему путем выбора более сложной эллиптической кривой. Это все еще была бы алгебра. Вместо этого она меняет место сокрытия. Основные постквантовые семейства скрывают секреты в «шуме»:

• зашумленная линейная алгебра,
• многомерные решетки,
• коды коррекции ошибок,
• и хеш-конструкции.

PQC меняет тип сложности, на который мы полагаемся:

чистая алгебраическая структура → шум, комбинаторика и хеши

Вот почему постквантовая криптография выглядит так иначе. Она не похожа эстетически на ECC. У нее больше ключи, больше подписи, более сложные ограничения при реализации и более неудобные инженерные компромиссы. Однако эти различия не случайны — в них и заключается суть.

Learning With Errors и решетки: сокрытие секретов в шуме

Центральная интуиция многих современных постквантовых схем — это Learning With Errors (LWE), или обучение с ошибками.

Эту идею легко сформулировать. Начните с большой системы линейных уравнений с неизвестными секретными значениями — той самой системы, которую вы учились решать в школе методом исключения и подстановки. Сама по себе такая система проста: при наличии достаточного количества уравнений обычная линейная алгебра быстро восстанавливает секрет. LWE берет эту простую задачу и намеренно ломает ее. К каждому уравнению добавляется небольшая случайная ошибка: маленький сдвиг, который делает каждое уравнение лишь почти верным. Публично злоумышленник видит уравнения (публичную таблицу коэффициентов вместе с их слегка искаженными результатами) и знает типичный размер ошибок, но никогда не видит ни секрета, ни точных добавленных ошибок. Секрет теперь погребен внутри стога сена из почти верных уравнений, и его восстановление становится, насколько известно, неразрешимой задачей как для классических, так и для квантовых компьютеров.

Нетехнические читатели могут пропустить этот блок и запомнить главное: решеточная криптография затрудняет восстановление секрета путем добавления тщательно контролируемого шума в уравнения, которые в противном случае были бы легко решаемыми.

Упрощенное уравнение LWE выглядит так:

b = As + e (mod q)

где:

• A ∈ ℤq — публичная матрица, элементы которой выбраны по модулю q — большая публичная таблица коэффициентов;
• s ∈ ℤq — секретный вектор (секретный ключ);
• e — небольшой вектор ошибки/шума;
• b ∈ ℤq — публичный вектор, вычисленный как b = As + e (mod q);
• и злоумышленник видит (A, b) и знает, как выбирается e (его распределение), но не видит фактические s или e.

Если бы шума не было, мы бы имели:

b = As (mod q)

и восстановление s было бы задачей линейной алгебры. Шум меняет все.

Восстановление s означает решение линейной системы, и это можно сделать эффективно, например, с помощью метода Гаусса. Но при наличии шума этот подход перестает работать. Когда мы решаем систему, нам приходится делить на коэффициенты A, а поскольку их значения случайны, эти коэффициенты могут быть большими, что приводит к усилению ошибки при умножении. В результате любое приближенное решение, которое мы находим, может быть очень далеко от истинного.

Точнее: предположим, что b = As′, где s′ — приближенное решение. Вычитание обеих сторон из истинного уравнения и умножение на обратную матрицу A (для простоты предположим, что A — квадратная матрица, и поскольку ее элементы случайны, она обратима с высокой вероятностью, хотя общий случай аналогичен) дает:

s′ − s = Ae

Даже если вектор шума e мал, умножение на A может сделать разницу s′ − s большой.

Стоит уточнить, что именно разрушает шум. Сама линейная алгебра не перестает работать: случайная квадратная система почти наверняка обратима, поэтому уравнения по-прежнему имеют единственное точное решение — просто это не секрет. Решение As′ = b так, как если бы оно было точным, возвращает s′ = s + Ae, и поскольку A случайна, Ae обычно велико по модулю q, отбрасывая s′ далеко от истинного s. Сам секрет остается четко определенным — при достаточном количестве выборок это единственное решение, чей вектор ошибки мал, — но быстрый метод точной арифметики его больше не находит, и ни один эффективный метод для этого не известен. Шум разрушает эффективное восстановление, а не лежащую в основе алгебру.

Каждое уравнение лишь почти верно: оно немного искажено, возмущено небольшим шумовым членом. Примечательно, что вся совокупность этих зашумленных уравнений считается вычислительно неотличимой от уравнений, результаты которых полностью случайны, что означает, что она не раскрывает никакой полезной информации о секрете. Это свойство можно использовать непосредственно для шифрования: например, можно зашифровать сообщение, просто добавив его к одному из этих «выглядящих случайными» результатов.

Теперь, чтобы понять, почему даже крошечное количество шума так радикально меняет картину, рассмотрим простейший возможный случай, когда ошибка, добавляемая к каждому уравнению, принимает только значения 0 или 1, каждое с ненулевой вероятностью. Тогда каждое отдельное уравнение фактически соответствует двум возможным уравнениям: одному, где ошибка равна 0, и одному, где она равна 1. Это означает, что для системы из m уравнений существует 2^m возможных базовых систем, согласующихся с тем, что вы наблюдаете, и поскольку количество уравнений m на практике растет вместе с параметром безопасности, количество возможностей растет экспоненциально. У злоумышленника нет эффективного способа определить, какая комбинация значений шума была использована на самом деле, поэтому система остается безопасной.

Это переход от алгебры к шуму.

Но при чем здесь решетки? Представьте себе все результаты, которые могли бы дать уравнения без шума, если секрет меняется в пределах своих возможных значений. Они не заполняют пространство плавно; они попадают на идеально регулярную сетку точек — решетку, многомерный аналог равномерно расположенных точек на листе миллиметровой бумаги. Истинный ответ без шума находится точно в узле решетки. Добавление небольшой ошибки слегка смещает то, что на самом деле наблюдает злоумышленник, с этой точки сетки. Таким образом, восстановление секрета равносильно тому, чтобы взять наблюдаемую точку вне сетки и найти ближайший к ней узел решетки.

Это известная, хорошо изученная геометрическая задача — задача о ближайшем векторе — и в высоких размерностях считается, что она сложна как для классических, так и для квантовых компьютеров. Это фундамент, на котором держится безопасность: LWE — это просто удобный, рандомизированный способ маскировки сложной задачи на решетках. «Добавление шума к уравнениям» и «попадание чуть в стороне от узла сетки» — это два описания одного и того же, поэтому все это семейство и называется решеточной криптографией.

Еще один способ понять привлекательность криптографии на основе решеток — сравнить ее с классическими схемами: как с точки зрения внешнего вида, так и с точки зрения обоснования сложности.

Нетехнические читатели могут пропустить этот блок и запомнить основную идею: старый мир скрывает секреты в чистой алгебре, которую могут разгадать квантовые компьютеры; новый мир скрывает их в шумных задачах на решетках, которые имеют более сильное обоснование сложности в худшем случае и для которых не существует известных квантовых «коротких путей».

Классическая ECC скрывает секрет в чистой алгебраической операции:

Q = dG

Решеточная криптография скрывает его в шумных отношениях:

b = As + e (mod q)

Первое элегантно и алгебраично; второе намеренно запутано. Это различие глубже, чем кажется — оно уходит корнями в теорию сложности.

Факторизация и дискретное логарифмирование десятилетиями противостояли классическим атакам, но они не являются NP-трудными и не считаются NP-полными. Они занимают несколько необычную промежуточную нишу: достаточно сложные, чтобы не было известно эффективных классических алгоритмов, но при этом не «полные» для всего класса эффективно проверяемых задач. Остается вероятность, что когда-нибудь умный классический алгоритм сможет эффективно их решить, а на квантовом компьютере алгоритм Шора уже делает это, используя именно их скрытую алгебраическую структуру.

Задачи на решетках имеют другой теоретико-сложностный характер. Задача о кратчайшем векторе (SVP) требует найти кратчайший ненулевой вектор в решетке, и SVP — наряду со связанными задачами — известна как NP-трудная в своей точной форме и для малых коэффициентов аппроксимации. Коэффициенты аппроксимации, на которые на самом деле опирается криптография, намного больше, и в этом режиме задачи не считаются NP-трудными; так что это свидетельство надежности, а не доказательство безопасности. Что важнее для криптографии, так это то, что безопасность LWE связана через сведения от худшего случая к среднему с трудностью аппроксимационных задач на решетках, таких как GapSVP и SIVP: эффективный решатель для случайных экземпляров LWE позволил бы эффективно решать эти задачи на решетках в худшем случае.

Это не делает LWE «доказанно безопасной», и взлом конкретного набора параметров NIST буквально не то же самое, что решение NP-полной задачи. Но это закрепляет решеточную криптографию в семействе задач с гораздо более сильным обоснованием сложности в худшем случае, чем факторизация или дискретные логарифмы. Разрыв может быть даже частично классическим, а не только квантовым: лучшие известные классические алгоритмы для LWE при криптографических параметрах работают по сути за экспоненциальное время, тогда как факторизация имеет субаэкспоненциальные алгоритмы — так что LWE может быть сложнее факторизации и на обычных компьютерах, еще до того, как в игру вступит квантовое ускорение.

Интуиция высокого уровня такова: алгоритму Шора нужна чистая алгебраическая структура, чтобы ее использовать — именно та структура, на которую полагаются RSA и криптография на эллиптических кривых. Решеточная криптография вместо этого опирается на шумные, многомерные геометрические задачи; они все еще имеют структуру, особенно в своих эффективных вариантах, но она сочетается с шумом таким образом, что в настоящее время противостоит известным классическим и квантовым атакам, и никаких квантовых «коротких путей» типа алгоритма Шора не предвидится. Это одна из причин, почему решетки стали основным фундаментом для постквантовых стандартов NIST. Это не означает, что LWE безусловно безопасна, а лишь то, что не известно эффективных квантовых алгоритмов типа Шора для решения задач типа LWE, лежащих в основе решеточных стандартов NIST при выбранных ими параметрах.

Это практическое значение термина «квантово-устойчивый».

NIST PQC: Набор инструментов для замены

После многолетнего процесса стандартизации NIST завершил разработку своих первых стандартов постквантовой криптографии в августе 2024 года:

• FIPS 203: ML-KEM, основанный на CRYSTALS-Kyber,
• FIPS 204: ML-DSA, основанный на CRYSTALS-Dilithium,
• FIPS 205: SLH-DSA, основанный на SPHINCS+.

NIST также выбрал Falcon для будущей стандартизации под названием FN-DSA и HQC в качестве дополнительного постквантового KEM. Стандарты не являются взаимозаменяемыми. Они решают разные задачи.

Обзор стандартов PQC от NIST

ML-KEM: Замена установления ключей в стиле Diffie-Hellman

ML-KEM — это механизм инкапсуляции ключей. Он не заменяет напрямую подписи кошельков ECDSA. Он заменяет механизмы установления ключей, такие как обмены в стиле Diffie-Hellman. На высоком уровне:

• Получатель публикует открытый ключ.
• Отправитель использует этот открытый ключ для инкапсуляции свежего случайно сгенерированного общего секрета, создавая шифротекст.
• Получатель использует секретный ключ для декапсуляции того же общего секрета из шифротекста.

Нетехнические читатели могут пропустить этот блок и запомнить основную идею: ML-KEM позволяет двум сторонам прийти к одному и тому же общему секрету, не используя уязвимый для квантовых компьютеров Diffie-Hellman.

Концептуально:

(c, K) = Encaps(pk)

и:

K = Decaps(sk, c)

где:

• pk — открытый ключ,
• sk — секретный ключ,
• c — шифротекст, отправленный получателю,
• K — общий секрет.

Обратите внимание, что в отличие от обычного шифрования с открытым ключом, где отправитель выбирает сообщение, здесь отправитель не выбирает K: оно выбирается случайным образом внутри Encaps, которая возвращает пару (c, K) в качестве локальных выходных данных для отправителя. По сети передается только зашифрованный текст c — секретный ключ K никогда не передается. Получатель не считывает K напрямую из c; вместо этого c инкапсулирует случайность, которая определила K, а выполнение Decaps с секретным ключом sk восстанавливает то же самое K. Злоумышленник, перехвативший c, но не имеющий sk, не сможет восстановить K.

Точнее говоря, K — это не сама необработанная случайность, а её хеш (вместе с c), и Decaps повторно шифрует восстановленное значение и проверяет его на соответствие c перед выводом K. Это преобразование Фудзисаки-Окамото, которое защищает схему от злоумышленников, отправляющих некорректные зашифрованные тексты для проверки секретного ключа.

Инженерная интуиция:

ML-KEM — это то, что вы используете, когда двум системам необходимо договориться о секрете с защитой от квантовых компьютеров.

На институциональном уровне ML-KEM важен для безопасных каналов: соединений типа TLS, обмена данными в бэкендах хранения, VPN, конфиденциальных API и безопасного обмена сообщениями между сервисами. В контексте блокчейна ML-KEM — это не главный ответ на вопрос «как заменить кошельки ECDSA?», а скорее ответ на вопрос:

Как наши системы устанавливают зашифрованные каналы, не полагаясь на уязвимый для квантовых вычислений алгоритм Диффи-Хеллмана?

ML-DSA: практическая рабочая лошадка для решеточных подписей

ML-DSA — это стандарт NIST для цифровых подписей на основе решеток, производный от CRYSTALS-Dilithium. Это один из основных кандидатов на замену классических цифровых подписей в системах общего назначения. Полезная аналогия высокого уровня — подписи Шнорра, но основанные на решеточных отношениях, а не на группах эллиптических кривых. ML-DSA следует тому же ритму «фиксация-вызов-ответ», что и подписи типа Шнорра, но арифметика здесь работает в структурах решеток/модулей, а безопасность опирается на решеточные предположения, а не на дискретные логарифмы. Думайте об этом так:

Вместо доказательства знания секретного скаляра, стоящего за открытым ключом эллиптической кривой, подписывающий доказывает знание короткой секретной информации, соответствующей открытым данным решетки.

У ML-DSA подписи и открытые ключи больше, чем у ECDSA или EdDSA, но она разработана так, чтобы быть практичной и сравнительно надежной среди постквантовых схем подписи. Инженерная интуиция:

ML-DSA — это то, что вы используете, когда вам нужна постквантовая подпись общего назначения и вы можете позволить себе затраты на размер.

На институциональном уровне это рабочая лошадка для постквантовых подписей общего назначения, используемая для подписи программного обеспечения, учетных данных, документов, аутентификации API и рабочих процессов утверждения, где ограничения по размеру управляемы. Для блокчейн-систем главная проблема заключается не просто в том, безопасна ли ML-DSA, а в том,

можем ли мы позволить себе проверять её и передавать её подписи внутри протокола?

Это зависит от среды выполнения, модели газа, стоимости calldata и того, можно ли оптимизировать, агрегировать или перенести проверку вне сети.

SLH-DSA: консервативный резервный вариант на основе хеширования

SLH-DSA основана на SPHINCS+, схеме подписи без сохранения состояния на основе хеширования. Её философская привлекательность проста:

Если мы доверяем хеш-функциям, мы можем создавать подписи из хешей.

Подписи на основе хеширования используют компоненты для однократной или редкой подписи и организуют их с помощью структур, подобных деревьям Меркла. Вместо того чтобы полагаться на решетки или теорию чисел, они полагаются на свойства хеш-функций, такие как устойчивость к поиску прообраза и устойчивость к коллизиям. В качестве аналогии:

Представьте себе огромную книгу одноразовых восковых печатей. Каждая печать может авторизовать одно сообщение. Хеш-дерево позволяет проверяющему убедиться, что данная печать принадлежит официальной книге, не храня всю книгу целиком.

SLH-DSA привлекательна тем, что она математически консервативна. Она также дорога:

• подписи большие,
• подписание и проверка более тяжелые,
• и многим блокчейн-средам это покажется затратным.

Поэтому SLH-DSA не обязательно является самой удобной схемой подписи для блокчейна. Но если предположения о решетках когда-нибудь будут ослаблены, подписи на основе хеширования обеспечат алгоритмическое разнообразие. С инженерной точки зрения:

SLH-DSA — это то, что вы используете, когда хотите консерватизма на основе хеширования для ключей, которые вы редко используете.

• Является ли это алгоритмом с постоянным временем выполнения?