FN-DSA vs. ML-DSA vergleicht die beiden gitterbasierten Signaturverfahren, die NIST 2022 ausgewählt hat. ML-DSA (hervorgegangen aus CRYSTALS-Dilithium) wurde im August 2024 zu FIPS 204. FN-DSA, der Name des NIST für Falcon, wird als FIPS 206 standardisiert; dieser Standard war im Oktober 2026 noch ein Entwurf. Falcon ist deutlich kompakter, ML-DSA lässt sich deutlich leichter korrekt implementieren.
Auf einen Blick
| FN-DSA-512 (Falcon-512) | ML-DSA-44 | FN-DSA-1024 (Falcon-1024) | ML-DSA-87 | |
|---|---|---|---|---|
| Sicherheitskategorie | 1 | 2 | 5 | 5 |
| Öffentlicher Schlüssel | 897 Byte | 1.312 Byte | 1.793 Byte | 2.592 Byte |
| Signatur | 666 Byte (mit Padding) | 2.420 Byte | 1.280 Byte (mit Padding) | 4.627 Byte |
| Öffentlicher Schlüssel + Signatur | 1.563 Byte | 3.732 Byte | 3.073 Byte | 7.219 Byte |
| Gitterfamilie | NTRU | Module-LWE / Module-SIS | NTRU | Module-LWE / Module-SIS |
| Arithmetik beim Signieren | Gleitkomma (diskretes Gauß-Sampling) | Nur Ganzzahlen | Gleitkomma | Nur Ganzzahlen |
| Standard | FIPS 206 (Entwurf) | FIPS 204 (final, 2024) | FIPS 206 (Entwurf) | FIPS 204 |
| X.509 | Noch nicht standardisiert | RFC 9881 | Noch nicht standardisiert | RFC 9881 |
Die Größen für Falcon stammen aus der Falcon-Spezifikation (Signaturen können auch eine komprimierte Kodierung variabler Länge mit höchstens 752 bzw. 1.462 Byte nutzen), die für ML-DSA aus Tabelle 2 von FIPS 204. ML-DSA-65 (Kategorie 3) hat kein Gegenstück bei Falcon.
Warum die Größe zählt
Falcon erzeugt mit einer Falltür und Fast-Fourier-Sampling einen kurzen Vektor in einem NTRU-Gitter. Das ergibt unter allen Post-Quanten-Signaturen des NIST die kleinste Summe aus öffentlichem Schlüssel und Signatur: etwa 1,6 KB in Kategorie 1 gegenüber 3,7 KB bei ML-DSA-44. In einer TLS-Zertifikatskette, in der jedes Zertifikat einen öffentlichen Schlüssel und eine Signatur enthält und der Handshake weitere Signaturen und SCTs hinzufügt, entscheidet dieser Unterschied darüber, ob die Kette ungefähr doppelt oder viermal so groß wird. DNSSEC, wo Signaturen in UDP-Antworten passen müssen, und Blockchains, wo jedes Byte Gebühren kostet, spüren das noch stärker.
Warum die Implementierung der schwierige Teil ist
Der Signieralgorithmus von Falcon zieht mit Gleitkommaarithmetik Stichproben aus einer diskreten Gauß-Verteilung über dem Gitter. Daraus entstehen drei Probleme, die ML-DSA nicht hat:
- Konstante Laufzeit. Gleitkommaoperationen können auf manchen CPUs datenabhängig lange dauern, und sie mit Ganzzahlen zu emulieren ist langsam; in Angriffen aus der Forschung haben Timing-Lecks im Sampler nachweislich Schlüssel preisgegeben.
- Testbarkeit. Zwei korrekte Implementierungen können wegen Rundungen für dieselbe Eingabe unterschiedliche Signaturen erzeugen. Known-Answer-Tests erkennen deshalb keinen subtil verzerrten Sampler, und ein verzerrter Sampler erzeugt weiterhin gültige Signaturen, während er Informationen über den Schlüssel preisgibt. Im September 2026 hat das Team des NIST für FIPS 206 ein Signierverfahren mit Festkommaarithmetik vorgeschlagen, eigens damit Implementierungen deterministisch und testbar werden.
- Portabilität. Eingebettete Prozessoren ohne Gleitkommaeinheit brauchen eine Emulation in Software, die Geschwindigkeit und Codegröße kostet.
ML-DSA nutzt nur Ganzzahlarithmetik modulo 8.380.417 mit Rejection Sampling; es lässt sich einfach zeitkonstant umsetzen, und seine Ausgaben sind durch FIPS 204 vollständig festgelegt. Die Prüfung ist bei beiden einfach, und Falcon-Signaturen lassen sich besonders schnell prüfen: Die Referenzimplementierung des Falcon-Teams schafft auf einem Intel Core i5-8259U mit 2,3 GHz etwa 27.900 Prüfungen und 5.900 Signaturen pro Sekunde mit Falcon-512. Auf einem Kern eines Apple M4 Max erreichte der portable ML-DSA-44-Code von OpenSSL 3.6.5 etwa 20.800 Prüfungen und 3.900 Signaturen pro Sekunde. Die Rechner sind verschieden; lies die Werte daher als Größenordnungen, nicht als direkten Benchmark.
Stand der Standardisierung
- ML-DSA: final seit dem 13. August 2024 (FIPS 204), mit Kennungen für X.509 (RFC 9881), Profilen für CMS und OpenPGP, Aufnahme in CNSA 2.0 (ML-DSA-87) und validierten Modulen.
- FN-DSA: NIST kündigte im Juli 2022 an, Falcon zu standardisieren, und plante FIPS 206 nach FIPS 204 und 205. Mitarbeiter des NIST erklärten 2025, der erste öffentliche Entwurf sei im Wesentlichen fertig und warte auf die Genehmigung; Stand Oktober 2026 gibt es keinen finalen Standard, und der Festkomma-Vorschlag vom September 2026 zeigt, dass sich die Spezifikation noch ändert. Die Internet-Drafts der IETF für FN-DSA in JOSE, COSE und X.509 richten sich nach dem FIPS.
Da FIPS 206 von der Falcon-Spezifikation aus Runde 3 abweichen kann, müssen heute geschriebene Implementierungen womöglich angepasst werden, um dem finalen Standard zu entsprechen.
Wann welches Verfahren passt
- Post-Quanten-Signaturen für allgemeine Zwecke, heute: ML-DSA (44 oder 65).
- Einsätze mit Compliance-Vorgaben (FIPS 140-3, CNSA 2.0): ML-DSA; FN-DSA lässt sich nicht validieren, bevor FIPS 206 final ist.
- Künftig für zertifikatslastige Protokolle (TLS-Ketten, DNSSEC, Updates für eingeschränkte IoT-Geräte): Behalte FN-DSA im Blick; es ist der wahrscheinlichste Weg, den Overhead durch Signaturen beherrschbar zu halten, ohne die Struktur des Protokolls zu ändern.
- Hardware ohne Gleitkommaunterstützung oder mit strengen Anforderungen an die Seitenkanalresistenz: ML-DSA oder Falcon nur mit einer geprüften, zeitkonstanten Ganzzahlimplementierung.
- Langlebige Root-CAs, bei denen die Größe keine Rolle spielt: SLH-DSA, dessen Sicherheit allein auf Hashfunktionen beruht, oder ML-DSA; die kleinen Signaturen von FN-DSA bringen dort nichts.
Hinweise zur Migration
- Plane Kryptoagilität ein: Führe Algorithmuskennungen mit, vermeide feste Signaturgrößen und sei bereit, FN-DSA als zweite Post-Quanten-Option neben ML-DSA aufzunehmen.
- Baue Prototypen mit Bedacht: Nutze Bibliotheken, die den Sampler von Falcon zeitkonstant implementieren, und kennzeichne ihre Ausgabe als noch nicht standardisiert; liefere sie nicht dort aus, wo ein Standard verlangt ist.
- Miss das Größenbudget deines Protokolls heute mit ML-DSA; wenn es passt, brauchst du dort FN-DSA womöglich nie.
- Behalte den finalen FIPS 206 im Blick: Parameternamen, Kodierungen und das Signierverfahren können von Falcon aus Runde 3 abweichen, und die Testvektoren ändern sich entsprechend.
- Denk an hybride Verfahren: Composite-Signaturen kombinieren während des Übergangs ein Post-Quanten-Verfahren mit ECDSA oder EdDSA, egal welches gitterbasierte Verfahren du wählst.