Des nonces purement aléatoires échouent de façon catastrophique avec un RNG faible ; des nonces purement déterministes (RFC 6979, EdDSA) permettent à un attaquant capable de provoquer une faute pendant que le même message est signé deux fois de comparer les deux résultats et de retrouver la clé, et ils facilitent certaines attaques par canal auxiliaire, car le nonce se répète à l’identique. L’approche hedged calcule le nonce comme une PRF de la clé, du message et d’octets aléatoires frais : l’une ou l’autre de ces entrées, la clé ou l’aléa, suffit à elle seule à le garder secret.
FIPS 204 fait de la signature hedged le mode par défaut de ML-DSA : une valeur rnd de 32 octets issue d’un RBG approuvé est hachée avec la clé et le message, et la variante déterministe facultative remplit rnd de zéros ; le même vérificateur accepte les deux (§3.4). Pour ECDSA, la RFC 6979 §3.6 autorise des données supplémentaires dans la dérivation, BIP-340 recommande d’y mêler 32 octets d’aléa auxiliaire, et @noble/curves expose cette option sous le nom extraEntropy.
Les signatures hedged ressemblent à n’importe quelle autre signature : les vérificateurs ne le savent pas et n’ont pas à s’en soucier. Ce qui change, c’est le profil de défaillance du signataire ; c’est pourquoi les portefeuilles matériels et les HSM exposés aux attaques physiques privilégient cette approche.