O Falcon-512 (categoria 1) tem chaves públicas de 897 bytes e assinaturas de 666 bytes na codificação com padding (no máximo 752 bytes na forma comprimida); o Falcon-1024 (categoria 5) tem chaves públicas de 1.793 bytes e assinaturas com padding de 1.280 bytes. Isso é cerca de um quarto do tamanho da assinatura do ML-DSA, o que importa para certificados, DNSSEC e blockchains.
A dificuldade está na assinatura: o Falcon amostra uma distribuição gaussiana discreta usando aritmética de ponto flutuante, que é difícil de tornar portável e de tempo constante, e bugs de temporização ou de viés no amostrador podem vazar a chave enquanto ainda produzem assinaturas válidas. Em setembro de 2026, a equipe do FIPS 206 no NIST propôs um procedimento de assinatura em ponto fixo para que as implementações possam ser testadas com vetores de respostas conhecidas. A verificação usa apenas aritmética de inteiros e é rápida.
Até que o FIPS 206 seja finalizado, use o ML-DSA em implantações aprovadas e trate o FN-DSA como candidato para protocolos com restrição de tamanho.