Rein zufällige Nonces versagen mit einem schwachen RNG katastrophal; rein deterministische (RFC 6979, EdDSA) erlauben einem Angreifer, der beim zweimaligen Signieren derselben Nachricht einen Fehler auslösen kann, die beiden Ausgaben zu vergleichen und den Schlüssel zu rekonstruieren, und sie erleichtern manche Seitenkanalangriffe, weil sich die Nonce exakt wiederholt. Beim Hedging wird die Nonce als PRF aus dem Schlüssel, der Nachricht und frischen Zufallsbytes berechnet, sodass schon eine der beiden geheimen Eingaben allein – der Schlüssel oder die Zufallsbytes – sie geheim hält.
FIPS 204 macht das Hedged-Signieren zum Standard für ML-DSA: Ein 32-Byte-Wert rnd aus einem zugelassenen RBG wird zusammen mit dem Schlüssel und der Nachricht gehasht, und die optionale deterministische Variante setzt rnd auf Nullen; derselbe Verifizierer akzeptiert beide (§3.4). Für ECDSA erlaubt RFC 6979 §3.6 zusätzliche Daten in der Ableitung, BIP-340 empfiehlt, 32 Byte zusätzlichen Zufall beizumischen, und @noble/curves bietet das als extraEntropy an.
Hedged-Signaturen sehen aus wie jede andere Signatur, Verifizierer wissen also nichts davon und müssen es auch nicht. Was sich ändert, ist das Fehlerprofil des Signierers; deshalb bevorzugen Hardware-Wallets und HSMs, die physischen Angriffen ausgesetzt sind, das Hedging.