跳到主要内容
ecdsa.com

门限签名

一类签名方案:私钥分散在 n 个参与方手中,任意 t 个参与方即可共同生成一个与普通签名无异的签名,而人数更少的任何组合都无法得到关于该私钥的任何信息。
其他写法threshold signatureFROSTMPC signingt-of-n signatures

多重签名由脚本或策略分别检查 n 个独立的签名;门限签名则不同:它依据单个公钥验证,验证器无需任何修改,因此无论在链上还是在网络传输中,都看不出签名策略。密钥生成要么采用分布式方式(DKG,完整的密钥从不在任何地方存在),要么由可信分发者用 Shamir 秘密共享拆分密钥。

对于 Schnorr 系列签名,标准是 FROST(RFC 9591,2024年6月,信息类):两轮签名,提供面向 Ed25519、ristretto255、Ed448、P-256 和 secp256k1 的密码套件,生成的签名普通验证器都能接受。门限 ECDSA(GG18/GG20、CGGMP21、DKLs 等协议)由于需要处理 nonce 的逆元而复杂得多,但它在 MPC 钱包和托管产品中很常见。BLS 签名几乎无需额外代价就能支持门限。

难点在于实际运行:并发会话中 nonce 的处理(朴素的多方 Schnorr 会被 ROS 攻击攻破,MuSig2 和 FROST 的设计正是为了避免这一点)、识别行为不当的参与者、在不改变公钥的前提下刷新份额,以及审计 DKG 是否确实执行过。

标准与参考资料

全部术语