BLS 签名

什么是 BLS 签名？

 

BLS 签名是一种用于加密货币系统的数字签名方案，可用于证明某条消息已获得私钥持有者的批准。

 

BLS 这个名称来自 Boneh、Lynn 和 Shacham，他们在论文《基于 Weil 配对的短签名》中提出了这种短签名方案。

 

在加密领域，BLS 签名最受重视的特点是可以将多个独立签名合并为一个紧凑的聚合签名。

 

这种聚合功能有助于区块链减少存储占用、降低带宽需求，并更高效地验证多个验证者的批准。

 

普通数字签名可以证明某个私钥对一条消息进行了签名，而聚合 BLS 签名则可以证明多个私钥对消息进行了签名，无需分别存储每个签名。

 

因此，BLS 签名适用于权益证明共识、验证者委员会、门限签名、多签钱包、跨链通信，以及其他需要多方批准同一事件的系统。

 

CFRG BLS 签名草案将 BLS 描述为一种确定性、不可塑且高效，并具有聚合特性的数字签名方案。

 

对加密货币用户来说，最简单的理解是：BLS 签名可以帮助区块链用更少的数据证明多项批准。

BLS 签名为何对加密货币很重要

 

区块链通常需要在短时间内验证大量签名。

 

验证者会对区块、证明、检查点、投票、跨链桥消息、预言机报告和治理操作进行签名。

 

如果每个签名都必须单独存储和验证，网络可能需要更多磁盘空间、带宽和处理能力。

 

BLS 签名通过将多个签名压缩为一个签名，有助于解决这一问题。

 

当许多验证者对同一条消息签名时，这一功能尤其有用，例如对区块确认或最终性投票进行签名。

 

参与者无需通过网络发送数百或数千个签名，而是可以发送一个聚合签名，以及相关公钥或参与者名单。

 

这有助于验证者数量较多的区块链系统实现更简洁、更具扩展性的设计。

 

但这并不意味着区块链在所有情况下都会因此自动变快，而是为协议设计者提供了一种强大的密码学工具，可以减少签名带来的额外开销。

BLS 签名如何运作

 

BLS 签名涉及私钥、公钥和消息。

 

私钥是必须严格保密的秘密数字。

 

公钥由私钥推导而来，可以向网络公开。

 

验证者或钱包对消息签名时，首先会将消息映射到椭圆曲线上的一个点。

 

这一映射必须谨慎处理，因为不安全的哈希方式可能削弱签名方案的安全性。

 

RFC 9380 哈希到曲线规范介绍了如何将任意字节串安全地哈希到椭圆曲线点的方法。

 

消息映射到曲线点后，签名者会使用私钥生成一个签名点。

 

随后，验证者会使用公钥、消息以及一种称为双线性配对的密码学算法来检查签名。

 

配对运算正是 BLS 签名与许多其他签名方案不同之处。

 

它使验证者能够确认私钥已被正确使用，同时不泄露私钥本身。

什么是签名聚合？

 

签名聚合是指将多个有效签名合并为一个签名。

 

在 BLS 中，签名是椭圆曲线点，可以相加，因此能够进行聚合。

 

如果 10 位验证者对同一条消息签名，他们的 10 个 BLS 签名就可以合并为一个聚合签名。

 

如果 1,000 位验证者对某个检查点签名，他们的签名同样可以合并为一个聚合签名。

 

随后，验证者可以根据参与者的公钥检查该聚合签名。

 

这种方式很有价值，因为最终证明可能比原始签名集合小得多。

 

对区块链而言，较小的证明意味着区块可能更轻、传播更快，网络压力也更低。

 

对用户而言，这有助于改善网络背后的基础设施，使网络保持响应能力和扩展性。

 

对开发者而言，BLS 聚合让设计需要多个独立参与者对同一数据签名的协议变得更加容易。

BLS 签名与权益证明验证者

 

在权益证明区块链设计中，BLS 签名经常被讨论，因为验证者需要定期证明自己认同特定网络事件。

 

验证者可能需要对区块提案、证明或最终性投票签名。

 

当许多验证者进行签名时，网络需要一种可靠的方法来统计这些批准，同时避免长期携带不必要的数据。

 

BLS 聚合可以将多个验证者的批准表示为一个紧凑的密码学对象，因此很有用。

 

Ethereum 共识规范是一个知名案例，展示了权益证明设计如何在其共识层中使用与 BLS 相关的签名逻辑。

 

这对加密教育很重要，因为它表明 BLS 签名并非只是一种理论上的密码学概念。

 

它已应用于实际区块链系统，支持大规模验证者协调。

 

如果没有聚合，验证者数量较多的系统可能需要更多带宽和存储空间，才能记录同等程度的密码学责任证明。

BLS12-381 与 BLS 签名

 

BLS 签名通常与一种支持配对运算的椭圆曲线 BLS12-381 搭配使用。

 

这可能让人感到困惑，因为 BLS 既出现在签名方案名称中，也出现在曲线家族名称中。

 

在“BLS 签名”中，BLS 指 Boneh、Lynn 和 Shacham。

 

在“BLS12-381”中，BLS 指以 Barreto、Lynn 和 Scott 命名的一类支持配对运算的曲线。

 

这两个术语在实际应用中有关联，因为 BLS 签名需要支持配对运算的曲线，而 BLS12-381 是现代加密系统中常用的曲线之一。

 

支持配对运算的曲线可以执行 BLS 验证所依赖的双线性配对运算。

 

BLS12-381 之所以受欢迎，是因为它在许多区块链应用中兼顾了实际性能和较强的安全性。

 

不过，开发者不应假设所有使用 BLS12-381 的系统都能自动与其他 BLS 实现兼容。

 

兼容性还取决于密码套件、序列化规则、哈希到曲线方法、域分离、子群检查，以及协议是否使用持有证明。

BLS 签名方案的关键组成部分

 

BLS 签名方案包括密钥生成、签名、验证和聚合。

 

密钥生成会创建一对私钥和公钥。

 

签名过程使用私钥对特定消息签名。

 

验证过程会检查某个签名对相应消息和公钥是否有效。

 

聚合会将多个签名合并为一个签名。

 

聚合验证会检查合并后的签名对相关消息和公钥是否有效。

 

许多实际实现还包括公钥验证、子群检查、密码套件标识符、域分离标签，以及针对流氓公钥攻击的防护。

 

这些细节听起来可能很专业，但对安全的加密货币基础设施至关重要。

 

实现中的一个小错误，就可能让强大的签名方案变成脆弱的系统。

基础型、增强型和持有证明型 BLS 方案

 

CFRG BLS 草案介绍了适用于不同安全和性能需求的多种 BLS 方案变体。

 

基础型方案较为简单，但涉及多个公钥时必须谨慎处理。

 

增强型方案会将公钥纳入签名消息输入，从而有助于防范某些与聚合相关的问题。

 

持有证明型方案要求签名者先证明自己确实控制着某个公钥对应的私钥，该公钥才会被接受用于聚合。

 

持有证明很重要，因为如果不对公钥进行适当检查，BLS 聚合可能容易受到流氓公钥攻击。

 

在流氓公钥攻击中，恶意参与者可能选择一个在数学上能够抵消或操纵另一参与者公钥的公钥。

 

安全系统会通过验证公钥并要求用户证明其知道对应私钥来防止此类攻击。

 

对区块链验证者来说，这一点尤其重要，因为验证者身份和投票权不能通过巧妙操纵公钥伪造。

什么是流氓公钥攻击？

 

流氓公钥攻击是多重签名或聚合签名系统可能面临的一种威胁。

 

攻击者不一定会直接破解密码学机制。

 

相反，攻击者会注册一个与他人公钥相关联的恶意公钥。

 

如果协议没有要求证明私钥所有权，攻击者就可能以不诚实的方式让聚合签名看起来有效。

 

因此，在许多基于 BLS 的加密货币系统中，公钥验证和持有证明至关重要。

 

完善的 BLS 设计不会只检查最终签名。

 

它还会检查每个公钥是否有效、是否属于所声明的参与者，以及是否符合正确的子群和编码规则。

 

对用户来说，核心要点很简单：BLS 功能强大，但必须按照正确的安全规则实现。

BLS 签名与传统数字签名的比较

 

ECDSA 和 Schnorr 风格签名等传统数字签名可以证明私钥所有权并授权交易。

 

BLS 签名也能完成这些基本工作，同时还具备非常实用的聚合特性。

 

由于配对运算的计算成本较高，单独验证一个 BLS 签名的速度可能慢于某些较简单的签名方案。

 

不过，当需要合并并共同验证大量签名时，BLS 可能更具吸引力。

 

这形成了单个签名验证成本与聚合验证效率之间的权衡。

 

对于一次简单支付，BLS 并不总是显而易见的最佳选择。

 

对于验证者委员会或门限签名系统，BLS 可能非常有用，因为它可以紧凑地表示多个签名。

 

加密协议会根据自身设计目标选择签名方案，而不是因为某一种签名方案适用于所有场景。

多签系统中的 BLS 签名

 

多签系统要求多位签名者共同批准某项操作。

 

例如，资金库钱包可能要求多个团队成员共同批准一笔转账。

 

BLS 签名可以支持多签设计，因为不同私钥生成的签名可以合并。

 

与分别存储每项批准相比，这可以让最终签名更小，也更容易验证。

 

在某些设计中，尽管有多人批准，链上的 BLS 多签仍可能看起来像一个签名。

 

这有助于提高隐私性、减少数据量，并更容易处理复杂的授权策略。

 

不过，系统仍需要安全的密钥注册、持有证明、明确的签名规则，以及防范重放攻击的措施。

 

只有周边的钱包或协议设计安全，紧凑签名才有实际价值。

门限密码学中的 BLS 签名

 

门限密码学允许一组成员共同控制一个签名密钥。

 

门限规则可以要求 5 位成员中至少 3 位、15 位验证者中至少 10 位，或其他最低数量的参与者共同生成有效签名。

 

BLS 适用于某些门限签名设计，因为部分签名可以合并为一个最终签名。

 

这有助于去中心化系统避免依赖由单个人或单台服务器控制的私钥。

 

在加密资产托管中，门限签名可以减少单点故障。

 

在区块链基础设施中，门限签名可以用于跨链桥、验证者集群、预言机网络和分布式治理系统。

 

其主要优势是无需由单个签名者独自掌握全部签名权。

 

主要风险在于门限系统较为复杂，必须谨慎设计、审计和运营。

BLS 签名与区块链跨链桥

 

区块链跨链桥通常需要多个独立参与者确认某个事件已在一个网络上发生，之后才能在另一个网络上执行相关操作。

 

BLS 聚合可以帮助跨链桥运营方将多项批准压缩为一个证明。

 

这可以减少需要提交到链上的数据量。

 

数据量减少可能降低成本并改善可用性，尤其是在目标链按计算或存储量收费时。

 

不过，BLS 签名本身并不能确保跨链桥安全。

 

跨链桥的安全性仍取决于验证者选择、密钥管理、欺诈控制、监控、升级规则，以及签名群组的经济安全性。

 

BLS 是一种密码学工具，并非完整的信任模型。

 

用户应始终评估跨链桥的整体设计，而不是只关注签名类型。

BLS 签名与加密钱包

 

大多数日常加密钱包不要求用户直接了解 BLS 签名。

 

用户通常只会看到简单的批准页面、交易哈希或验证者状态页面。

 

在后台，验证者、托管系统、质押基础设施或多签工具可能会使用 BLS。

 

采用 BLS 签名的钱包必须像保护其他加密私钥一样，认真保护私钥。

 

如果私钥被盗，攻击者可能可以签署消息或参与协议操作。

 

如果私钥丢失，签名者可能无法继续使用签名权限或控制验证者。

 

由于 BLS 常用于验证者系统，密钥管理不善可能导致错过奖励、受到罚没或发生运营故障。

 

良好的钱包安全仍取决于可靠的备份、安全的设备、防钓鱼措施和谨慎的交易审核。

BLS 签名的优势

 

BLS 签名最大的优势是聚合能力。

 

聚合可以减少表示多项批准所需的数据量。

 

这有助于区块链网络更高效地处理规模较大的验证者集合。

 

BLS 签名还具有确定性，也就是说，同一密钥和消息会产生可预测的签名过程，签名时无需依赖新的随机值。

 

这有助于降低因随机数质量不佳而导致其他签名方案出现某些风险的可能性。

 

从较高层面看，BLS 签名也相对简单，因为其签名和验证遵循明确的数学关系。

 

它适用于多签和门限系统，因为多个签名贡献可以合并。

 

对加密基础设施而言，这些优势有助于实现可扩展性、验证者协调、紧凑证明和更简洁的协议设计。

BLS 签名的局限与风险

 

BLS 签名并非适用于所有加密场景的完美方案。

 

与较简单的椭圆曲线运算相比，配对运算可能需要较高的计算成本。

 

其实现细节也比基本概念看起来更加复杂。

 

开发者必须正确处理哈希到曲线规则、子群检查、序列化、域分离、公钥验证和持有证明逻辑。

 

如果这些环节出错，系统可能会接受无效公钥、允许重放攻击，或无法提供预期的安全性。

 

当验证者使用必须保持在线并定期签名的热密钥时，BLS 签名还可能带来运营风险。

 

热密钥便于自动签名，但比完全离线存储的密钥更容易暴露。

 

因此，基于 BLS 的验证者系统需要严格的运营安全措施、监控、罚没保护和安全的备份实践。

BLS 中的域分离是什么？

 

域分离是一种确保为某个用途生成的签名无法用于其他用途的方法。

 

在加密领域，相同的消息字节可能出现在不同的上下文中。

 

如果没有域分离，原本用于一种协议操作的签名可能会被错误地解释为对另一种操作的批准。

 

BLS 系统通常使用域分离标签或密码套件标识符，将签名绑定到特定用途。

 

这有助于防止重放攻击和跨协议混淆。

 

例如，验证者投票、与提现相关的消息和治理批准不应使用相同的签名上下文，除非协议明确允许这样做。

 

域分离也是使用相同曲线的两个 BLS 系统仍可能彼此不兼容的原因之一。

 

曲线只是完整签名规范的一部分。

BLS 中的哈希到曲线是什么？

 

哈希到曲线是将消息转换为椭圆曲线上有效点的过程。

 

BLS 签名需要这一步，因为签名是根据与消息相关的曲线点生成的。

 

普通哈希函数会生成字节，而 BLS 需要正确数学群中的一个点。

 

这种转换必须避免偏差、无效点和侧信道漏洞。

 

因此，现代实现会采用规范明确的哈希到曲线方法，而不是自创简化方案。

 

椭圆曲线哈希标准为开发者提供了更安全的操作指引，因此对这一过程至关重要。

 

用户看不到哈希到曲线的过程，但它是确保 BLS 签名可靠的技术细节之一。

BLS 签名在加密领域的常见用途

 

许多需要用紧凑证明表示多项批准的加密货币系统，都会使用或考虑使用 BLS 签名。

 

权益证明共识可以使用 BLS 聚合来高效收集验证者投票。

 

质押系统可以使用 BLS 密钥来履行验证者签名职责。

 

门限托管系统可以使用 BLS 风格的签名来降低单密钥风险。

 

跨链桥协议可以使用聚合签名，证明委员会已批准某个跨链事件。

 

预言机网络可以使用聚合签名来确认来自多个来源的数据报告。

 

去中心化治理系统可以使用聚合签名来压缩多个参与者的批准信息。

 

当 Layer 2 系统需要高效批量验证或基于委员会的确认时，也可以使用 BLS 签名。

 

这些用途的共同点是：签名者数量越多，BLS 通常越有用。

用户应如何理解 BLS 签名

 

加密货币用户无需计算配对或椭圆曲线点，也能理解 BLS 的价值。

 

其实际作用是让多个签名变成一个证明。

 

这可以提高验证者系统的效率，并帮助网络扩展共识通信能力。

 

用户还应了解，BLS 签名的安全性仍取决于其周边系统。

 

必须保护好私钥。

 

必须验证公钥。

 

必须清晰定义消息。

 

实现必须遵循正确的规范。

 

协议必须防范重放攻击、流氓公钥攻击和不安全的聚合操作。

 

满足这些条件后，BLS 签名就能成为现代区块链基础设施中最实用的密码学工具之一。

常见问题

BLS 签名中的 BLS 代表什么？

 

BLS 代表 Boneh、Lynn 和 Shacham，他们提出了这种短签名方案。

BLS 签名在加密领域有什么用途？

 

BLS 签名用于证明私钥持有者已作出批准，也可以将多项批准聚合为一个紧凑签名。

BLS 签名为何适用于区块链？

 

BLS 签名可以减少区块链需要存储、传输和验证的签名数据量，因此适用于区块链。

什么是 BLS 签名聚合？

 

BLS 签名聚合是将多个 BLS 签名合并为一个签名的过程，同时仍能证明多位签名者参与了签名。

BLS 签名和 BLS12-381 是一回事吗？

 

不是。BLS 签名是一种签名方案，而 BLS12-381 是一种支持配对运算、常用于实现 BLS 签名的椭圆曲线。

BLS 中的流氓公钥攻击是什么？

 

流氓公钥攻击是指恶意签名者注册经过操纵的公钥，以不诚实的方式让聚合签名看起来有效。

BLS 系统如何防范流氓公钥攻击？

 

BLS 系统可以通过公钥验证、持有证明和安全的聚合规则来防范流氓公钥攻击。

BLS 签名比其他签名更快吗？

 

对于单个签名，BLS 签名不一定更快；但当需要聚合并共同验证多个签名时，它可能更高效。

BLS 签名能保护私钥吗？

 

不能。BLS 签名可以证明某个私钥对消息进行了签名，但用户和验证者仍必须采取严格的安全措施来保护私钥。

验证者为什么使用 BLS 密钥？

 

验证者可能会使用 BLS 密钥，因为 BLS 聚合可以帮助网络用更少的数据收集和验证多个验证者的投票。

总结

 

BLS 签名是一种在现代加密货币基础设施中发挥重要作用的数字签名方案。

 

其主要优势是能够将多个签名聚合为一个紧凑证明。

 

因此，它尤其适用于权益证明验证者、多签系统、门限签名、跨链桥、预言机网络，以及其他依赖多个独立批准的加密系统。

 

BLS 签名依赖支持配对运算的椭圆曲线、安全的哈希到曲线方法、严格的公钥验证和完善的域分离。

 

它可以减少数据量并提高协议效率，但必须遵循严格的安全规则进行实现。

 

对日常加密货币用户来说，核心概念很简单：BLS 签名可以帮助区块链用更少的数据证明多个签名。

 

对开发者和验证者来说，更深层的启示是：只有在整个系统都能正确处理密钥、消息、聚合和验证时，BLS 才能发挥作用。