Assinaturas baseadas em hash

O que são assinaturas baseadas em hash?

Assinaturas baseadas em hash são sistemas de assinatura digital cuja segurança se baseia principalmente em funções hash criptográficas, e não em curvas elípticas, fatoração de inteiros ou logaritmos discretos.

Elas permitem que o detentor de uma chave privada de assinatura prove que uma transação de criptomoeda, mensagem de blockchain, atualização de software ou outro dado foi autorizado por essa chave.

Um verificador pode usar a chave pública correspondente para confirmar que os dados assinados não foram alterados e que a assinatura foi criada por um signatário autorizado.

As assinaturas baseadas em hash são especialmente importantes para criptomoedas porque são consideradas uma das principais formas de tecnologia de assinatura digital pós-quântica.

As assinaturas de blockchain atuais geralmente dependem de problemas matemáticos que computadores quânticos suficientemente poderosos poderiam ameaçar.

Já os sistemas baseados em hash dependem das propriedades de segurança das funções hash criptográficas, que, em geral, acredita-se que continuarão utilizáveis com parâmetros de segurança suficientemente grandes em um ambiente de computação quântica.

O Instituto Nacional de Padrões e Tecnologia dos EUA padronizou o Algoritmo de Assinatura Digital Sem Estado Baseado em Hash, conhecido como SLH-DSA, na FIPS 205.

Os esquemas com estado, como XMSS e LMS, são abordados na Publicação Especial 800-208 do NIST.

Assinaturas baseadas em hash não são hashes de mineração de criptomoedas, endereços de carteira, identificadores de transação nem hashes comuns de mensagens.

São sistemas completos de assinatura de chave pública construídos com componentes baseados em hash.

Por que as assinaturas digitais são importantes para as criptomoedas

As assinaturas digitais são essenciais para as criptomoedas porque permitem que os usuários autorizem transações sem revelar suas chaves privadas.

Quando uma carteira envia criptomoedas, normalmente cria uma assinatura dos dados da transação usando uma chave privada.

Os participantes da rede verificam a assinatura usando informações públicas antes de aceitar a transação como válida.

Uma assinatura válida demonstra que a transação foi autorizada por alguém que controlava a chave de assinatura necessária.

A assinatura também protege a integridade da transação, pois a alteração dos dados assinados deve fazer a verificação falhar.

Assinaturas digitais também podem autorizar mensagens de validadores, votos de governança, ações de contratos inteligentes, mensagens entre blockchains, lançamentos de software, atualizações de oráculos e aprovações multisig.

A documentação pública do Bitcoin explica que a autenticidade das transações é protegida por meio de assinaturas digitais associadas aos endereços de envio na visão geral da rede Bitcoin.

As assinaturas baseadas em hash poderiam, futuramente, cumprir funções de autorização semelhantes e oferecer maior proteção contra futuros ataques quânticos.

Como funcionam as assinaturas baseadas em hash

Um sistema de assinatura baseado em hash começa com valores secretos aleatórios que compõem parte do material da chave privada de assinatura.

O signatário aplica uma função hash criptográfica a esses valores para criar valores públicos relacionados.

Para assinar uma mensagem, o sistema revela ou processa determinados valores privados de acordo com o resumo da mensagem.

O verificador calcula o hash dos valores revelados e confere se os resultados correspondem às informações públicas esperadas.

Sistemas básicos de assinatura de uso único conseguem autenticar apenas uma mensagem com segurança para cada chave privada.

Árvores de Merkle permitem representar muitas chaves públicas de uso único com um único valor raiz compacto.

A raiz da árvore de Merkle pode funcionar como a chave pública principal.

Uma assinatura inclui, então, uma assinatura de uso único e um caminho de autenticação que demonstra que a chave pública de uso único pertence à árvore de Merkle comprometida.

Sistemas mais avançados combinam várias árvores, assinaturas de uso único, assinaturas de uso limitado, geração de chaves pseudoaleatórias e estruturas hierárquicas para permitir muitas assinaturas.

O que é uma função hash criptográfica?

Uma função hash criptográfica converte dados de praticamente qualquer tamanho em uma saída de tamanho fixo.

A saída costuma ser chamada de hash, digest ou resumo da mensagem.

Uma função hash segura deve dificultar a recuperação da entrada original a partir da saída.

Também deve dificultar a descoberta de duas entradas diferentes que produzam a mesma saída.

Uma pequena alteração na entrada deve produzir um resumo substancialmente diferente.

As redes de criptomoedas usam funções hash para identificadores de transação, compromissos de blocos, árvores de Merkle, sistemas Proof of Work, criação de endereços e muitas outras finalidades.

Os esquemas de assinatura baseados em hash usam essas funções como base para autenticação de chave pública.

A segurança da assinatura depende da função hash selecionada, do tamanho dos parâmetros, da separação de domínio, da qualidade da implementação e das regras de gerenciamento de chaves.

Assinaturas baseadas em hash não são o mesmo que hashing

Calcular o hash de uma transação não é o mesmo que assiná-la.

Em geral, qualquer pessoa pode calcular o hash de dados públicos.

Uma assinatura digital exige informações secretas que somente o signatário autorizado deve possuir.

Um hash simples de uma mensagem pode mostrar que os dados foram alterados, mas não prova quem os aprovou.

Uma assinatura baseada em hash combina material secreto de assinatura, dados públicos de verificação e operações hash seguras para fornecer autenticação.

Essa distinção é importante porque os sistemas de criptomoedas usam hashes e assinaturas para finalidades de segurança diferentes.

Assinaturas baseadas em hash de uso único

Um esquema de assinatura de uso único é projetado para que cada chave privada assine com segurança apenas uma mensagem.

Um dos primeiros exemplos é o esquema de assinatura de uso único Lamport.

Uma chave privada Lamport contém muitos valores secretos aleatórios.

A chave pública contém hashes desses valores secretos.

O resumo da mensagem determina quais valores secretos são revelados na assinatura.

O verificador calcula o hash dos valores revelados e os compara com a chave pública.

A principal limitação é que reutilizar a mesma chave privada para várias mensagens revela informações secretas adicionais.

O uso repetido em quantidade suficiente pode permitir que um invasor crie uma assinatura falsificada.

As assinaturas de uso único são, portanto, componentes criptográficos poderosos, mas exigem um sistema para criar e autenticar muitas chaves de uso único separadas.

Assinaturas de uso único Winternitz

As assinaturas de uso único Winternitz reduzem o tamanho da assinatura ao usar cadeias de hash, em vez da estrutura maior de uma assinatura Lamport básica.

O parâmetro Winternitz cria uma compensação entre o tamanho da assinatura e o custo computacional.

Parâmetros maiores podem reduzir o número de elementos da assinatura, mas exigem mais operações hash.

WOTS+ é uma construção Winternitz aprimorada usada em sistemas modernos baseados em hash, como XMSS e SLH-DSA.

A especificação XMSS na RFC 8391 identifica WOTS+ como um componente essencial de XMSS e de sua variante multárvore.

WOTS+ continua sendo um esquema de assinatura de uso único e, por isso, costuma ser colocado dentro de uma estrutura maior de árvore de Merkle que gerencia várias oportunidades de assinatura.

Árvores de Merkle em assinaturas baseadas em hash

Uma árvore de Merkle é uma árvore de hashes que permite comprometer muitos itens de dados por meio de um único hash raiz.

Cada folha pode representar a chave pública de uma assinatura de uso único.

Pares de hashes de folhas são combinados e transformados em hash para criar nós pais.

O processo continua até restar uma única raiz de Merkle.

A raiz de Merkle funciona como um compromisso compacto com todas as chaves públicas de uso único da árvore.

Quando o signatário usa uma folha, a assinatura inclui um caminho de autenticação de Merkle.

Esse caminho contém os hashes vizinhos necessários para reconstruir a raiz a partir da folha selecionada.

O verificador confere a assinatura de uso único e, em seguida, calcula o caminho de Merkle até chegar à raiz conhecida.

Esse design permite que um único compromisso público curto autentique um grande número de chaves de uso único.

Assinaturas baseadas em hash com estado

Assinaturas baseadas em hash com estado exigem que o signatário se lembre de quais chaves de assinatura de uso único ou índices de folhas já foram utilizados.

O estado deve ser atualizado de forma confiável após cada assinatura.

Se a mesma chave de uso único for reutilizada, a segurança do esquema pode falhar gravemente.

Esse requisito torna os esquemas com estado difíceis de usar em sistemas com backups, vários dispositivos, signatários paralelos, servidores de failover ou armazenamento não confiável.

Um backup restaurado pode conter um estado antigo e levar à reutilização acidental de material de assinatura já consumido.

Dois dispositivos de assinatura que usem cópias da mesma chave privada podem selecionar o mesmo índice.

Por isso, o NIST alerta que os esquemas com estado exigem gerenciamento cuidadoso do estado e não são adequados para uso geral irrestrito.

Eles são mais apropriados em ambientes controlados, nos quais o estado de assinatura pode ser protegido e sincronizado de forma confiável.

Assinaturas baseadas em hash sem estado

Assinaturas baseadas em hash sem estado não exigem que o signatário mantenha um contador indicando qual chave de uso único deve ser usada em seguida.

Isso facilita o uso em backups, sistemas distribuídos e várias sessões de assinatura.

SLH-DSA é o principal algoritmo padronizado de assinatura sem estado baseado em hash.

Ele deriva da proposta SPHINCS+ submetida ao processo de criptografia pós-quântica do NIST.

SLH-DSA usa seleção pseudoaleatória e estruturas em camadas de árvores hash para evitar o problema catastrófico de reutilização de chaves de uso único encontrado em sistemas com estado.

O design sem estado oferece maior segurança operacional, mas resulta em assinaturas maiores e mais trabalho computacional.

Sua segurança ainda pode ser reduzida se a aleatoriedade da assinatura ou as regras de implementação forem tratadas incorretamente, mas uma reversão acidental do estado não causa o mesmo colapso imediato associado à reutilização de chaves em sistemas com estado.

Assinaturas baseadas em hash com estado e sem estado

A diferença mais importante entre assinaturas baseadas em hash com estado e sem estado é se o signatário precisa acompanhar os índices de assinatura já consumidos.

Sistemas com estado podem oferecer assinaturas eficientes e bem compreendidas quando o gerenciamento do estado é perfeito.

Sistemas sem estado são operacionalmente mais seguros porque não exigem um contador permanente e sincronizado.

Sistemas com estado podem ser adequados para assinatura de firmware, autoridades certificadoras ou infraestrutura controlada com baixa frequência de assinatura.

Sistemas sem estado podem ser mais adequados para aplicativos distribuídos, software em geral e ambientes nos quais é difícil manter a sincronização confiável do estado.

Redes de validadores blockchain precisam considerar assinatura distribuída, failover, recuperação de backups e produção frequente de mensagens.

Nessas condições, o gerenciamento do estado pode ser uma das questões de design mais importantes.

XMSS

XMSS é a sigla de eXtended Merkle Signature Scheme.

É um sistema de assinatura digital baseado em hash com estado, padronizado na RFC 8391 e aprovado na NIST SP 800-208.

XMSS usa assinaturas de uso único WOTS+ e uma árvore de Merkle para criar um sistema de assinatura mais amplo.

Cada assinatura consome uma folha específica da árvore.

O signatário precisa garantir que a mesma folha nunca seja usada duas vezes.

XMSS tem fundamentos de segurança sólidos porque sua redução de segurança depende principalmente de propriedades definidas das funções hash criptográficas.

As chaves públicas XMSS são relativamente compactas, mas suas assinaturas são muito maiores do que as usadas comumente pelas contas de criptomoedas atuais.

XMSS pode ser útil quando a resistência quântica de longo prazo é mais importante do que minimizar o tamanho da assinatura e quando o estado do signatário pode ser gerenciado com segurança.

XMSS Multi-Tree

XMSS Multi-Tree, geralmente escrito como XMSSMT, organiza várias árvores XMSS em uma hierarquia.

Uma árvore de nível superior assina as raízes das árvores de níveis inferiores.

Esse design permite que o sistema ofereça suporte a um número maior de assinaturas sem exigir uma única árvore extremamente grande.

Também pode distribuir a computação de forma mais eficiente ao longo da vida útil da chave.

O signatário ainda precisa acompanhar o estado, pois as chaves de uso único de níveis inferiores não podem ser reutilizadas com segurança.

XMSSMT está incluído na RFC 8391 e nas recomendações do NIST para assinaturas baseadas em hash com estado.

LMS

LMS é a sigla de Leighton-Micali Signature.

É outro sistema de assinatura com árvore de Merkle e estado aprovado pelo NIST.

O esquema é especificado na RFC 8554.

LMS usa uma construção de assinatura de uso único chamada LM-OTS e autentica muitas chaves públicas LM-OTS por meio de uma árvore de Merkle.

Assim como XMSS, LMS exige que o signatário impeça a reutilização dos índices de assinatura de uso único.

Sua segurança se baseia em funções hash criptográficas, e não nas premissas da teoria dos números usadas por muitos sistemas convencionais de chave pública.

LMS é frequentemente considerado para aplicações como assinatura de código e autenticação de firmware, nas quais as operações de assinatura podem ser controladas de forma centralizada.

Sistema de assinatura hierárquica

O Sistema de Assinatura Hierárquica, geralmente chamado de HSS, combina várias árvores LMS em uma hierarquia.

Uma chave LMS de nível superior assina as chaves públicas das árvores LMS de níveis inferiores.

As árvores inferiores então assinam mensagens comuns.

Essa estrutura permite mais assinaturas e possibilita substituir chaves de níveis inferiores à medida que suas folhas de uso único são consumidas.

HSS não elimina a exigência de estado.

Cada árvore LMS ativa ainda exige o controle correto dos índices de assinatura usados.

HSS e LMS são padronizados em conjunto na RFC 8554 e aprovados na NIST SP 800-208.

SLH-DSA

SLH-DSA é a sigla de Stateless Hash-Based Digital Signature Algorithm.

O NIST publicou a versão final da norma FIPS 205 em 13 de agosto de 2024.

O algoritmo deriva do SPHINCS+, avaliado durante o processo de padronização de criptografia pós-quântica do NIST.

SLH-DSA usa uma hiperarvore de árvores de Merkle, WOTS+ e um componente de assinatura de uso limitado chamado FORS.

O sistema não exige estado permanente do signatário, o que facilita backups e operações distribuídas em comparação com XMSS ou LMS.

SLH-DSA oferece diferentes conjuntos de parâmetros baseados em funções hash SHA-2 ou SHAKE e em diferentes objetivos de segurança e desempenho.

Em geral, conjuntos de parâmetros mais rápidos geram assinaturas maiores, enquanto os que geram assinaturas menores exigem mais tempo de processamento.

SLH-DSA oferece segurança pós-quântica conservadora, mas suas assinaturas são significativamente maiores do que muitas das usadas nos sistemas blockchain atuais.

SPHINCS+ e SLH-DSA

SPHINCS+ foi o algoritmo submetido à competição de criptografia pós-quântica do NIST.

SLH-DSA é a versão padronizada derivada dessa proposta.

Os dois nomes estão relacionados, mas nem sempre devem ser tratados como perfeitamente intercambiáveis em implementações técnicas.

Um sistema que alegue conformidade com a FIPS 205 precisa implementar os requisitos padronizados do SLH-DSA e os conjuntos de parâmetros aprovados.

Os desenvolvedores devem usar a norma formal, em vez de presumir que qualquer implementação anterior do SPHINCS+ corresponda automaticamente ao SLH-DSA.

FORS

FORS é a sigla de Forest of Random Subsets.

É um componente de assinatura de uso limitado empregado no SLH-DSA.

FORS converte o resumo de uma mensagem em seleções de várias árvores pequenas.

Os valores secretos selecionados e os caminhos de autenticação passam a fazer parte da assinatura.

O valor público FORS resultante é então autenticado por meio da hiperarvore maior do SLH-DSA.

FORS ajuda o sistema sem estado a assinar muitas mensagens sem manter um contador simples de chaves de uso único.

Esse é um dos motivos pelos quais as assinaturas SLH-DSA contêm muito mais dados do que as assinaturas comuns de curva elíptica.

Por que as assinaturas baseadas em hash são consideradas pós-quânticas

Muitas assinaturas de chave pública atuais dependem da dificuldade de resolver logaritmos discretos ou problemas relacionados da teoria dos números.

O algoritmo quântico de Shor poderia resolver vários desses problemas de forma eficiente em um computador quântico tolerante a falhas suficientemente poderoso.

As assinaturas baseadas em hash não dependem desses mesmos problemas.

Em vez disso, sua segurança está ligada principalmente à resistência a pré-imagens, à resistência a segundas pré-imagens, à resistência a colisões, à geração pseudoaleatória e a propriedades relacionadas das funções hash.

Algoritmos quânticos ainda podem reduzir a segurança efetiva de buscas por hash.

O algoritmo de Grover pode oferecer uma aceleração quadrática em determinadas buscas de força bruta.

Esse efeito pode ser mitigado usando saídas hash suficientemente grandes e parâmetros conservadores.

Por isso, as assinaturas baseadas em hash são descritas como resistentes a ataques quânticos ou pós-quânticas, e não como matematicamente impossíveis de atacar.

Risco quântico para assinaturas de criptomoedas

Um computador quântico tolerante a falhas e de grande escala poderia ameaçar diversos algoritmos de assinatura usados atualmente por redes de criptomoedas.

Se um invasor conseguisse recuperar uma chave privada a partir de informações de chave pública expostas, poderia autorizar transações não autorizadas.

Assinaturas de validadores, signatários de bridges, sistemas multisig, contas de governança e chaves de tesouraria de longa duração também poderiam ser alvos.

A ameaça não se limita às moedas armazenadas em carteiras comuns.

Protocolos de consenso e sistemas de comunicação entre blockchains também podem depender de esquemas de assinatura vulneráveis a algoritmos quânticos semelhantes.

Nenhum computador quântico demonstrado publicamente tem atualmente a escala e a correção de erros necessárias para realizar esses ataques contra chaves de grandes blockchains.

No entanto, migrações de blockchain podem levar anos, pois softwares de carteira, regras de consenso, dispositivos de hardware, aplicativos, procedimentos de custódia e fundos dos usuários precisam de atualizações coordenadas.

O NIST recomenda que as organizações comecem a identificar criptografia vulnerável e a planejar a migração por meio de seu programa de criptografia pós-quântica.

Assinaturas baseadas em hash e Ethereum

A Ethereum usa atualmente sistemas de assinatura que não foram projetados para resistir a um computador quântico suficientemente capaz.

Sua camada de consenso usa assinaturas BLS, enquanto contas comuns de propriedade externa normalmente usam assinaturas de curva elíptica.

O atual roteiro pós-quântico da Ethereum Foundation discute a substituição das assinaturas de validadores por um design baseado em hash chamado leanXMSS.

O roteiro trata o leanXMSS como uma linha de pesquisa, e não como uma migração concluída da mainnet.

As assinaturas de validadores baseadas em hash representam um grande desafio de escalabilidade porque são muito maiores do que as assinaturas BLS atuais.

Pesquisadores da Ethereum estão explorando a agregação de provas para que muitas assinaturas grandes possam ser verificadas por meio de uma prova menor.

O portal de pesquisa pós-quântica da Ethereum descreve trabalhos sobre assinaturas baseadas em hash, agilidade criptográfica, autenticação de validadores e agregação baseada em provas.

Qualquer mudança definitiva na Ethereum exigiria pesquisa, implementação, testes, revisão da comunidade e coordenação de uma atualização do protocolo.

Assinaturas de validadores baseadas em hash

Os validadores assinam mensagens frequentes relacionadas a propostas de blocos, atestações, finalidade e participação no consenso.

Um esquema de assinatura substituto precisa processar um grande volume de mensagens sem sobrecarregar a largura de banda ou o armazenamento da rede.

Assinaturas com estado criam riscos adicionais porque um validador pode operar sistemas de backup ou alternar entre máquinas.

Uma sincronização incorreta do estado poderia levar à reutilização de uma chave de assinatura de uso único.

Assinaturas sem estado evitam essa falha específica, mas geram assinaturas maiores e mais trabalho de verificação.

Por isso, pesquisadores de blockchain estudam agregação, provas recursivas, hardware especializado e reformulações de protocolo para tornar práticas as assinaturas de validadores baseadas em hash.

Assinaturas baseadas em hash e carteiras de criptomoedas

Uma carteira de criptomoedas poderia usar uma chave de assinatura baseada em hash para autorizar transações se a blockchain oferecesse suporte às regras de verificação necessárias.

A carteira precisaria gerar a chave privada adequada, calcular assinaturas, acompanhar qualquer estado necessário e criar transações compatíveis.

Assinaturas de carteira com estado criariam desafios sérios para backups e uso em vários dispositivos.

Ao restaurar um backup antigo, o usuário poderia reutilizar acidentalmente um índice de assinatura já consumido.

Uma carteira móvel e uma carteira de hardware que usem a mesma chave com estado também poderiam gerar estados conflitantes.

Assinaturas baseadas em hash sem estado são mais fáceis de armazenar em backup, mas podem gerar transações muito maiores e mais caras de processar.

Os desenvolvedores de carteiras também precisam considerar a geração de frases-semente, a rotação de chaves, o design de endereços, o suporte a hardware, a recuperação dos usuários e a migração dos sistemas de assinatura antigos.

Assinaturas baseadas em hash e carteiras de contratos inteligentes

Às vezes, carteiras de contratos inteligentes podem oferecer suporte a novos algoritmos de assinatura sem substituir a regra de assinatura básica de todas as contas da blockchain.

Um contrato pode conter uma lógica de verificação personalizada para uma chave pública baseada em hash.

Um usuário pode enviar uma assinatura baseada em hash, que o contrato verifica de acordo com regras programadas.

Essa abordagem pode permitir contas pós-quânticas experimentais antes de uma migração de toda a rede.

No entanto, a verificação on-chain pode exigir muitas operações hash e consumir uma quantidade significativa de espaço de bloco ou recursos de execução.

Os desenvolvedores precisam comparar os benefícios de segurança com o custo da transação, a complexidade do contrato e os riscos de negação de serviço.

Futuramente, sistemas de prova poderão permitir que um contrato verifique uma prova compacta de que uma assinatura baseada em hash maior era válida.

Assinaturas baseadas em hash e abstração de contas

A abstração de contas permite que uma conta use regras programáveis de autorização, em vez de depender inteiramente de um único algoritmo de assinatura fixo.

Uma conta com abstração poderia aceitar uma assinatura convencional, uma assinatura baseada em hash, uma política multisig ou uma prova gerada por outro sistema de autenticação.

Essa flexibilidade pode facilitar a migração pós-quântica, pois os usuários poderiam atualizar a lógica de verificação da conta antes que as assinaturas resistentes a ataques quânticos se tornassem obrigatórias no nível do protocolo.

A abstração de contas também cria responsabilidades de segurança, pois chaves de atualização, módulos de recuperação e contratos verificadores podem introduzir novos caminhos de ataque.

Uma assinatura pós-quântica não protege uma conta se um invasor puder contorná-la por meio de um módulo de recuperação fraco ou de uma chave administrativa.

Assinaturas baseadas em hash e segurança multisig

Um sistema multisig exige a aprovação de várias chaves autorizadas para uma ação.

Assinaturas baseadas em hash podem ser incluídas em configurações multisig como métodos de assinatura independentes.

Uma política híbrida poderia exigir tanto uma assinatura convencional quanto uma assinatura baseada em hash.

Essa abordagem pode proteger contra a falha de uma família criptográfica se a outra continuar segura.

No entanto, sistemas híbridos geram transações maiores, verificação mais complexa e procedimentos de recuperação mais difíceis.

O sistema precisa definir claramente se todas as assinaturas são obrigatórias ou se basta uma delas.

Uma regra de contingência mal projetada pode eliminar o benefício da assinatura mais forte.

Assinaturas híbridas

Uma assinatura híbrida combina assinaturas de dois ou mais algoritmos criptográficos.

Um componente pode usar um algoritmo atual de curva elíptica, enquanto outro usa SLH-DSA ou outro sistema pós-quântico.

O objetivo é manter a segurança caso um dos algoritmos seja quebrado no futuro.

As perguntas frequentes do NIST sobre criptografia pós-quântica abordam abordagens de dupla assinatura para dados e certificados digitais.

A migração híbrida pode reduzir a dependência de um algoritmo novo antes que ele tenha décadas de experiência de uso.

Também aumenta a complexidade da implementação e exige uma regra que determine como combinar os resultados das duas verificações.

Se uma transação for válida quando qualquer uma das assinaturas for verificada, quebrar o esquema mais fraco ainda poderá bastar para atacar a conta.

Se as duas assinaturas forem obrigatórias, a conta continuará dependendo da disponibilidade e da operação correta dos dois sistemas.

Assinaturas baseadas em hash e espaço de bloco

Assinaturas baseadas em hash podem consumir muito mais espaço de bloco do que assinaturas compactas de curva elíptica.

Transações maiores reduzem o número de ações dos usuários que cabem em um bloco, a menos que a capacidade ou os métodos de agregação mudem.

Mais dados também podem aumentar a largura de banda, o armazenamento, o tempo de propagação e os requisitos de sincronização do histórico.

Esses custos são especialmente importantes para blockchains de camada base, nas quais cada nó validador processa os mesmos dados.

A agregação de assinaturas por meio de provas de conhecimento zero ou protocolos especializados pode reduzir a quantidade de dados que cada nó precisa verificar diretamente.

A própria agregação introduz outras premissas criptográficas, custos de geração de provas, latência e complexidade de implementação.

Tamanho da assinatura

O grande tamanho das assinaturas é uma das principais desvantagens práticas das assinaturas baseadas em hash.

As assinaturas SLH-DSA podem conter milhares ou dezenas de milhares de bytes, dependendo do conjunto de parâmetros.

As assinaturas XMSS e LMS também são muito maiores do que as assinaturas comuns de curva elíptica.

Assinaturas grandes podem ser aceitáveis para atualizações ocasionais de software ou certificados raiz.

Elas são mais difíceis de suportar em transações blockchain de alto volume, nas quais cada byte pode gerar custos de rede e taxas.

A seleção dos parâmetros precisa equilibrar o tamanho da assinatura, a velocidade de assinatura, a velocidade de verificação, o número máximo de assinaturas e o nível de segurança.

Tamanho da chave pública

As chaves públicas de assinaturas baseadas em hash podem ser relativamente compactas porque uma raiz de Merkle pode servir de compromisso para muitas chaves de uso único.

Essa é uma vantagem importante em comparação com o armazenamento individual de cada chave pública de uso único.

Uma chave pública compacta não elimina o custo da assinatura, pois ainda é preciso fornecer o caminho de autenticação e os dados da assinatura de uso único.

Em sistemas blockchain, o tamanho da chave pública afeta a criação de contas, o armazenamento de estado, os dados de testemunho da transação e a construção de provas.

Tamanho da chave privada

Uma chave privada básica baseada em hash poderia conter um grande conjunto de valores secretos aleatórios.

Os esquemas modernos geralmente geram muitos desses valores de forma pseudoaleatória a partir de uma seed principal menor.

Isso pode reduzir os requisitos de armazenamento, mas torna a seed extremamente sensível.

O comprometimento da seed principal pode expor todas as chaves de assinatura de uso único derivadas dela.

Os esquemas com estado precisam preservar tanto a seed secreta quanto o índice de assinatura atual.

Fazer backup apenas da seed, sem o estado mais recente, pode ser perigoso, pois sua restauração pode causar reutilização de chaves.

Velocidade de assinatura

A assinatura baseada em hash exige muitos cálculos de hash e operações em árvores.

Alguns conjuntos de parâmetros são projetados para acelerar a assinatura, ao custo de gerar assinaturas maiores.

Outros conjuntos reduzem o tamanho da assinatura, mas exigem mais processamento.

Sistemas com estado podem pré-calcular nós de árvore ou caminhos de autenticação para melhorar a velocidade de assinatura.

O pré-cálculo cria requisitos adicionais de armazenamento e gerenciamento de estado.

As carteiras blockchain e os validadores precisam avaliar se é possível gerar assinaturas dentro de limites de tempo rigorosos.

Velocidade de verificação

A verificação também exige vários cálculos de hash.

As operações hash geralmente são simples, amplamente implementadas e compatíveis com aceleração por hardware.

No entanto, verificar milhares de assinaturas grandes em cada bloco ainda pode gerar um custo total significativo.

Uma blockchain precisa considerar a carga de verificação no pior cenário, pois invasores podem enviar muitas transações estruturalmente válidas, mas caras de processar.

As regras de taxas e os limites de transação talvez precisem refletir o custo real da verificação.

Riscos do gerenciamento de estado

O gerenciamento de estado é o principal risco operacional de XMSS, LMS, XMSSMT e HSS.

O signatário precisa registrar cada índice de uso único consumido antes ou durante a assinatura de uma forma que resista a falhas e interrupções de energia.

A atualização precisa ser atômica para que o sistema não gere uma assinatura sem salvar o novo estado.

Não se deve permitir que cópias de backup assinem usando um índice desatualizado.

Sistemas de alta disponibilidade precisam coordenar várias máquinas sem duplicar o uso.

Hardware seguro pode ser usado para impor contadores monotônicos ou isolar o estado de assinatura.

A recomendação do NIST para sistemas com estado limita o uso desses esquemas a ambientes capazes de oferecer controles rigorosos de chaves e de estado.

Segurança contra ataques por canais laterais

As assinaturas baseadas em hash podem ser atraentes porque as funções hash são relativamente simples e podem ser implementadas com operações regulares.

Isso pode facilitar a resistência a certos ataques por canais laterais de temporização, análise de consumo de energia ou interferência eletromagnética, em comparação com alguns algoritmos complexos da teoria dos números.

Elas não são automaticamente imunes a ataques por canais laterais.

Desvios condicionais dependentes de segredos, acesso à memória, geração de números aleatórios, injeção de falhas e código de gerenciamento de chaves ainda podem vazar informações.

As implementações em carteiras de hardware e validadores devem usar técnicas revisadas de tempo constante quando necessário.

Requisitos de aleatoriedade

A aleatoriedade segura é essencial para gerar chaves privadas e seeds baseadas em hash.

Valores secretos previsíveis podem permitir que um invasor reconstrua a chave de assinatura.

Alguns esquemas também usam aleatoriedade por assinatura para proteger contra ataques de múltiplos alvos ou ocultar relações determinísticas.

Um gerador de números aleatórios defeituoso pode enfraquecer um algoritmo matematicamente seguro.

As carteiras devem gerar material de chave por meio de fontes confiáveis de números aleatórios criptográficos, e não de marcações de tempo, frases escolhidas pelos usuários ou funções aleatórias comuns de aplicativos.

Esgotamento de chaves

As chaves baseadas em hash com estado permitem um número limitado de assinaturas seguras.

Esse limite depende da altura e da hierarquia das árvores de Merkle selecionadas.

Quando todas as chaves de uso único permitidas forem utilizadas, o par de chaves deverá ser desativado.

Usar a chave além da capacidade projetada pode causar reutilização ou assinaturas inválidas.

Os sistemas precisam monitorar a capacidade restante e substituir as chaves antes que se esgotem.

Validadores blockchain que assinam muitas mensagens precisam planejar a capacidade com cuidado especial.

Rotação de chaves

A rotação de chaves substitui uma chave de assinatura antiga por uma nova.

Os sistemas baseados em hash podem exigir rotação porque uma árvore com estado está quase esgotada, os parâmetros mudaram ou uma chave pode ter sido exposta.

Sempre que possível, a chave antiga deve autenticar a nova chave pública.

Os protocolos blockchain precisam definir como atualizar as chaves autorizadas de contas, validadores, bridges e sistemas de governança.

Um processo de migração deve impedir que invasores substituam a chave nova pela própria chave.

Os usuários também precisam de procedimentos claros de recuperação caso percam a chave antiga antes de concluir a rotação.

Verificação de longo prazo

As assinaturas baseadas em hash podem ser úteis para registros que precisam continuar verificáveis por muitos anos.

Entre os exemplos estão lançamentos de protocolos, checkpoints históricos, imagens de firmware, arquivos genesis e decisões de governança.

A verificação de longo prazo ainda depende da preservação dos dados assinados, da chave pública, do identificador do algoritmo, do conjunto de parâmetros e das funções hash necessárias.

Se a função hash enfraquecer no futuro, os sistemas talvez precisem de procedimentos de registro de data e hora, nova assinatura ou migração.

Pós-quântico não significa que uma assinatura permanecerá segura para sempre sem manutenção.

Assinaturas baseadas em hash para lançamentos de software

Usuários de criptomoedas frequentemente instalam aplicativos de carteira, clientes de nós, software de validadores, firmware e ferramentas para desenvolvedores.

As assinaturas de lançamento ajudam os usuários a confirmar que o software baixado veio de uma equipe de desenvolvimento autorizada e não foi modificado após a assinatura.

Assinaturas hash-based com estado podem ser adequadas para esse fim, pois os lançamentos de software ocorrem com menos frequência do que as transações em blockchain.

Uma equipe de lançamento pode controlar o dispositivo de assinatura e gerenciar cuidadosamente seu índice de assinatura.

Assinaturas pós-quânticas de software podem proteger cadeias de suprimentos de software de longa duração contra futuros ataques a algoritmos de assinatura convencionais.

Os usuários ainda precisam verificar a chave pública por meio de uma fonte confiável.

Assinaturas hash-based para firmware de carteiras de hardware

Carteiras de hardware instalam firmware que controla a geração de chaves, a exibição de transações e o processo de assinatura.

Uma atualização maliciosa de firmware poderia roubar chaves privadas ou exibir informações falsas sobre transações.

Os fabricantes podem assinar o firmware para que o dispositivo aceite apenas atualizações autorizadas.

Assinaturas hash-based são uma opção possível para autenticar firmware de longa duração, pois a frequência de atualização é limitada e a resistência quântica pode ser valiosa.

O mecanismo de atualização também precisa impedir o retorno a versões mais antigas e vulneráveis do firmware.

Inicialização segura, raízes de confiança em hardware, contadores de versão e chaves públicas protegidas continuam sendo necessários.

Assinaturas hash-based para bridges e oráculos

Bridges e oráculos geralmente dependem de assinaturas de comitês, operadores ou nós distribuídos.

Essas assinaturas podem autorizar transferências de ativos ou relatar informações que controlam grandes quantidades de valor em cripto.

Chaves públicas de longa duração podem se tornar alvos quânticos se o algoritmo subjacente ficar vulnerável.

Assinaturas hash-based poderiam oferecer proteção pós-quântica mais robusta para mensagens de comitês.

O tamanho maior das assinaturas e os requisitos de estado ainda podem gerar custos para a verificação on-chain.

Uma bridge continua vulnerável se seus contratos inteligentes, sua governança, suas premissas econômicas ou os limites de validadores forem mal projetados.

Substituir o algoritmo de assinatura não resolve todos os riscos de bridges ou oráculos.

Assinaturas hash-based para redes Layer 2

Redes Layer 2 usam sequenciadores, provadores, validadores, comitês ou outros sistemas para processar transações fora de uma blockchain base.

Esses participantes podem assinar lotes, raízes de estado, declarações de disponibilidade de dados ou mensagens entre camadas.

Assinaturas hash-based poderiam proteger essas mensagens contra futuros ataques quânticos.

Uma rede Layer 2 pode agregar muitas assinaturas em uma única prova antes de enviar dados à camada base.

Isso pode reduzir o custo de verificação on-chain e, ao mesmo tempo, manter uma política de assinatura pós-quântica off-chain.

A segurança do projeto completo depende do sistema de prova, da disponibilidade de dados, das chaves de atualização, dos contratos da bridge e das regras de contestação.

Assinaturas hash-based e provas de conhecimento zero

Sistemas de provas de conhecimento zero podem ajudar a compactar a verificação de grandes assinaturas hash-based.

Um provador pode verificar muitas assinaturas dentro de um circuito e produzir uma prova menor de que a verificação foi feita corretamente.

A blockchain verifica a prova em vez de processar cada assinatura diretamente.

Essa abordagem pode reduzir o espaço em bloco e o custo de verificação.

Ela acrescenta as premissas e os riscos de implementação do sistema de prova escolhido.

A geração de provas também precisa ser rápida o bastante para atender aos requisitos de tempo da rede.

A pesquisa pós-quântica atual do Ethereum investiga essa abordagem para agregar grandes assinaturas de validadores.

Agilidade criptográfica

Agilidade criptográfica é a capacidade de substituir ou adicionar algoritmos criptográficos sem reprojetar um sistema inteiro.

Isso é importante para blockchains porque não se deve presumir que qualquer algoritmo de assinatura continuará seguro para sempre.

Uma carteira com agilidade criptográfica poderia oferecer suporte a vários tipos de assinatura e migrar ativos por meio de um processo de atualização autenticado.

Um protocolo com agilidade criptográfica poderia usar chaves públicas versionadas, validação programável de contas ou verificação de consenso atualizável.

A agilidade não pode criar um caminho simples para voltar a um algoritmo fraco.

Cada algoritmo compatível, regra de fallback e chave de migração passa a fazer parte da superfície de ataque.

Migração das assinaturas cripto existentes

Migrar uma blockchain de assinaturas convencionais para assinaturas hash-based exigiria mais do que publicar um novo software de carteira.

A rede precisaria de uma forma de identificar novos formatos de chaves públicas e assinaturas.

Os nós precisariam de regras de verificação atualizadas.

As carteiras precisariam gerar, armazenar, fazer backup e alternar as novas chaves.

Os usuários precisariam transferir ativos de contas antigas para contas protegidas.

Validadores, bridges, contratos inteligentes, sistemas de governança e políticas de custódia precisariam ser atualizados.

Fundos inativos representam um problema difícil, pois seus proprietários talvez não migrem antes que a ameaça quântica se torne urgente.

Os responsáveis pelo projeto do protocolo talvez precisem de regras emergenciais para chaves públicas expostas, tipos antigos de conta e ativos abandonados há muito tempo.

Armazenar agora, atacar depois

A expressão “armazenar agora, atacar depois” geralmente se refere à coleta de dados criptografados hoje para que possam ser descriptografados quando os computadores quânticos evoluírem.

As assinaturas de criptomoedas geram uma preocupação relacionada, mas diferente.

Os dados de blockchain são permanentemente públicos, então chaves públicas expostas e assinaturas históricas podem ser estudadas no futuro.

Em geral, um invasor não consegue alterar uma transação já finalizada simplesmente por descobrir sua chave privada posteriormente.

O invasor pode conseguir roubar fundos que continuem sob o controle da mesma chave vulnerável ou atacar sistemas que ainda confiem nela.

Por isso, contas de tesouraria de longa duração, endereços reutilizados, identidades de validadores e chaves de bridges exigem planejamento antecipado de migração.

Vantagens das assinaturas hash-based

A principal vantagem das assinaturas hash-based é sua posição sólida como candidatas a assinaturas pós-quânticas.

Essas construções dependem principalmente de funções hash criptográficas bem estudadas.

Elas não dependem dos problemas do logaritmo discreto ameaçados pelo algoritmo de Shor.

Vários esquemas têm padrões formais do NIST e da IETF.

Operações de hash são amplamente implementadas e podem ter bom desempenho em hardware e software.

Árvores de Merkle permitem representar muitas chaves públicas de uso único por uma única raiz.

Projetos stateless reduzem o risco operacional de reutilização do índice de assinatura.

Projetos stateful podem ser úteis em ambientes controlados de assinatura com baixa frequência.

Desvantagens das assinaturas hash-based

A maior desvantagem é o tamanho das assinaturas.

Assinaturas grandes podem aumentar as taxas de transação de criptomoedas, o tempo de propagação de blocos, os requisitos de armazenamento e a largura de banda de verificação.

Esquemas stateful exigem gerenciamento rigoroso de índices e podem falhar gravemente quando backups ou signatários paralelos reutilizam o estado.

Esquemas stateless evitam o estado permanente, mas geralmente exigem mais dados e processamento.

Muitos chips de carteira, contratos inteligentes, clientes de nós e protocolos de blockchain existentes não oferecem suporte a esses algoritmos atualmente.

Assinaturas hash-based também não contam com as propriedades compactas e nativas de agregação oferecidas por alguns sistemas de assinatura atuais.

A agregação baseada em provas pode resolver parte desse problema, mas adiciona outra camada criptográfica complexa.

Assinaturas hash-based são inquebráveis?

Assinaturas hash-based não são inquebráveis.

Sua segurança depende da robustez da função hash subjacente e da correção da construção completa.

Um gerador de números aleatórios fraco pode expor material de assinatura privado.

Um bug de software pode calcular o caminho de autenticação incorretamente.

A reutilização de estado pode destruir um esquema stateful.

Um ataque de canal lateral pode vazar dados secretos.

Uma atualização maliciosa pode substituir a chave pública usada na verificação.

Descobertas futuras em criptoanálise podem enfraquecer uma função hash ou um conjunto de parâmetros escolhido.

A resistência pós-quântica trata de uma classe específica de ataques, não de todas as falhas de segurança.

Equívocos comuns sobre assinaturas hash-based

Um equívoco comum é achar que o hash de toda blockchain já oferece autorização de transações resistente a ataques quânticos.

Um hash de transação identifica dados, mas não substitui a assinatura digital usada para autorizar o gasto.

Outro equívoco é achar que assinaturas hash-based são automaticamente pequenas porque as saídas de hash são pequenas.

Uma assinatura completa inclui dados de assinatura de uso único, caminhos de autenticação e outras informações estruturais.

Um terceiro equívoco é achar que assinaturas stateful são seguras desde que a seed privada esteja protegida.

Elas também exigem proteção rigorosa do estado atual de assinatura.

Um quarto equívoco é achar que resistência quântica significa imunidade a todos os ataques.

Falhas de implementação, phishing, malware, falhas de governança e exploits de contratos inteligentes continuam sendo possíveis.

Um quinto equívoco é achar que blockchains podem adotar um novo formato de assinatura instantaneamente.

A migração exige coordenação entre protocolo, carteiras, hardware, custódia, aplicativos e usuários.

Lista de verificação de segurança para sistemas de assinatura hash-based

Use apenas algoritmos revisados e conjuntos de parâmetros claramente identificados.

Gere seeds privadas com um gerador de números aleatórios criptograficamente seguro.

Proteja seeds mestras com hardware seguro ou sistemas de gerenciamento de chaves cuidadosamente projetados.

Nunca copie uma chave privada stateful para dois signatários independentes sem um projeto seguro de coordenação de estado.

Torne as atualizações de estado atômicas e resistentes a falhas de energia ou reversões.

Monitore a capacidade de assinatura restante para chaves XMSS, LMS, XMSSMT ou HSS.

Autentique as rotações de chaves para impedir que invasores substituam as chaves públicas de substituição.

Use a separação de domínio exatamente como exigido pelo padrão.

Teste a interoperabilidade com vetores oficiais e implementações independentes.

Planeje a migração do algoritmo antes que o esquema atual se torne inseguro.

Perguntas frequentes

O que é uma assinatura hash-based?

Uma assinatura hash-based é uma assinatura digital cuja segurança depende principalmente de funções hash criptográficas e construções de árvores de hash.

Por que as assinaturas hash-based são importantes para criptomoedas?

Elas podem oferecer autorização pós-quântica para carteiras, validadores, bridges, sistemas de governança, lançamentos de software e outras infraestruturas de blockchain.

Assinaturas hash-based são resistentes a ataques quânticos?

Elas são consideradas resistentes a ataques quânticos quando são usadas funções hash seguras e parâmetros suficientemente robustos, embora algoritmos quânticos ainda reduzam algumas margens de segurança contra força bruta.

O que é SLH-DSA?

SLH-DSA é o algoritmo stateless de assinatura digital baseado em hash padronizado pelo NIST na norma FIPS 205.

SLH-DSA é o mesmo que SPHINCS+?

SLH-DSA é o algoritmo padronizado pelo NIST derivado do SPHINCS+, mas as implementações devem seguir a FIPS 205 em vez de presumir que todas as versões anteriores do SPHINCS+ são idênticas.

O que é XMSS?

XMSS é um sistema de assinatura stateful baseado em árvore de Merkle que usa assinaturas de uso único WOTS+ e exige o acompanhamento cuidadoso dos índices de assinatura usados.

O que é LMS?

LMS é um esquema de assinatura stateful baseado em hash que combina assinaturas de uso único LM-OTS com autenticação por árvore de Merkle.

O que é HSS?

HSS é um sistema hierárquico que conecta várias árvores LMS para que uma estrutura de chaves possa oferecer suporte a um número maior de assinaturas.

Qual é a diferença entre assinaturas stateful e stateless?

Assinaturas stateful exigem que o signatário acompanhe as chaves de uso único utilizadas, enquanto assinaturas stateless dispensam a manutenção de um contador de assinatura permanente.

Por que a reutilização de estado é perigosa?

A reutilização de uma chave de assinatura de uso único pode revelar informações secretas suficientes para enfraquecer ou destruir a segurança de um esquema stateful de assinatura hash-based.

O que é uma assinatura com árvore de Merkle?

Uma assinatura com árvore de Merkle usa uma raiz de Merkle para autenticar muitas chaves públicas de uso único por meio de caminhos de autenticação compactos baseados em hash.

O que é WOTS+?

WOTS+ é uma construção de assinatura Winternitz de uso único utilizada como componente do XMSS e do SLH-DSA.

O que é FORS?

FORS é uma construção de assinatura de uso limitado utilizada dentro do SLH-DSA para assinar resumos de mensagens antes de o resultado ser autenticado por uma hypertree.

Assinaturas hash-based já são usadas pelas principais blockchains?

Elas ainda não são o tipo padrão de assinatura de transação da maioria das principais redes blockchain, embora pesquisas ativas e implantações especializadas estejam se expandindo.

O Ethereum usa assinaturas hash-based atualmente?

O Ethereum não as usa atualmente como assinatura padrão de validadores ou usuários, mas seu roteiro de pesquisa pós-quântica está explorando leanXMSS e agregação baseada em provas.

Um contrato inteligente pode verificar uma assinatura hash-based?

Um contrato inteligente pode implementar uma lógica de verificação compatível, embora os custos de processamento e de dados de transação possam ser significativos.

Por que as assinaturas hash-based são tão grandes?

Elas precisam incluir valores de assinatura de uso único, caminhos de autenticação de Merkle e outras informações necessárias para conectar a assinatura da mensagem à raiz pública.

É possível agregar assinaturas hash-based?

Em geral, elas não contam com a agregação nativa compacta disponível em alguns esquemas atuais, mas sistemas de prova podem agregar os resultados de sua verificação.

Uma carteira de hardware pode usar assinaturas hash-based?

Uma carteira de hardware pode oferecer suporte a elas se tiver firmware compatível, armazenamento seguro de chaves, capacidade de processamento suficiente e gerenciamento seguro de estado, quando necessário.

Assinaturas hash-based substituem a criptografia?

Não. As assinaturas oferecem autenticação e integridade, enquanto a criptografia tem como objetivo manter as informações confidenciais.

Posso converter uma chave privada cripto existente em uma chave hash-based?

Uma migração segura normalmente exige gerar um novo par de chaves hash-based e autorizar a nova chave pública por meio das regras da conta ou do protocolo existente.

Assinaturas hash-based são mais seguras do que todos os outros esquemas pós-quânticos?

Elas têm fundamentos de segurança conservadores, mas a segurança também depende dos requisitos de desempenho, da qualidade da implementação, do gerenciamento de chaves, dos parâmetros e do protocolo ao redor.

Qual é o principal risco do XMSS e do LMS?

O principal risco operacional é a reutilização acidental de um índice de assinatura de uso único devido à reversão de um backup, à assinatura paralela ou a falhas na atualização de estado.

Qual é o principal risco do SLH-DSA?

Suas principais limitações práticas são as assinaturas grandes e o processamento considerável, enquanto falhas de implementação e de aleatoriedade continuam sendo riscos de segurança.

Computadores quânticos vão quebrar as criptomoedas imediatamente?

Não há atualmente nenhum computador quântico demonstrado que consiga realizar os ataques necessários contra as principais chaves de blockchain, mas a migração precisa começar cedo, pois mudanças globais de protocolo exigem ampla preparação.

Conclusão

Assinaturas hash-based são sistemas de assinatura digital construídos principalmente com funções hash criptográficas, assinaturas de uso único e autenticação por árvores de Merkle.

Elas são muito relevantes para criptomoedas porque oferecem um caminho plausível para autenticar transações e validadores de forma resistente aos ataques de computação quântica conhecidos.

Esquemas stateful como XMSS, XMSSMT, LMS e HSS podem oferecer segurança robusta, mas exigem o acompanhamento exato de cada índice de assinatura utilizado.

Restaurar um backup antigo ou usar a mesma chave stateful em dois dispositivos pode reutilizar material de assinatura acidentalmente e enfraquecer muito a chave.

O SLH-DSA stateless evita esse requisito de estado permanente e tornou-se um padrão final do NIST por meio da FIPS 205 em agosto de 2024.

A desvantagem é que as assinaturas SLH-DSA são muito maiores do que as normalmente usadas por contas e validadores de criptomoedas atuais.

Assinaturas grandes afetam taxas de transação, espaço em bloco, largura de banda, armazenamento, sincronização e custo de verificação.

Por isso, pesquisadores de blockchain estudam abstração de contas, assinaturas híbridas, agregação por provas de conhecimento zero, verificação programável e agilidade criptográfica.

A pesquisa pós-quântica atual do Ethereum inclui assinaturas hash-based para validadores e sistemas de prova desenvolvidos para compactar sua verificação.

Assinaturas hash-based não resolvem todos os problemas de segurança cripto.

Malware em carteiras, roubo de seed, phishing, bugs em contratos inteligentes, governança fraca, bridges inseguras, aleatoriedade incorreta e erros de implementação ainda podem causar perdas.

Elas devem ser entendidas como uma poderosa tecnologia de autenticação, não como uma solução de segurança completa.

Para redes de criptomoedas, o desafio de longo prazo não é apenas escolher um algoritmo de assinatura resistente a ataques quânticos.

O desafio maior é migrar bilhões de dólares em contas, aplicativos, sistemas de validadores e infraestrutura sem comprometer a segurança da rede nem deixar usuários inativos para trás.

Assinaturas hash-based oferecem uma das bases mais maduras e projetadas de forma mais conservadora para essa transição.