基于同源映射的密码学

什么是基于同源映射的密码学？

基于同源映射的密码学是一种公钥密码学，它利用椭圆曲线之间称为同源映射的数学映射来构建密码系统，这类系统可能抵御未来量子计算机的攻击。

基于同源映射的密码学对加密货币领域很重要，因为区块链、钱包、数字签名、托管系统、验证者密钥、跨链消息和加密通信都依赖密码学，而这些技术可能需要经受量子计算时代的考验。

基于同源映射的密码学不是加密货币、代币、钱包、私钥、助记词、验证者、矿池、区块链网络、智能合约或交易策略。

它是一种数学方法，用于构建密钥交换、密钥封装和数字签名等密码学原语。

“同源映射”（isogeny）一词源自椭圆曲线数学，指椭圆曲线之间一种保留结构的映射。

简单来说，同源映射将一条椭圆曲线连接到另一条椭圆曲线，同时保留足够的代数结构，使其可用于密码学。

基于同源映射的密码学试图利用寻找椭圆曲线之间某些隐藏路径的难度，构建实用的安全系统。

CSIDH 项目概述指出，基于同源映射的密码学依赖于相关问题的不同形式：在有限域上，给定两条互为同源的椭圆曲线，寻找它们之间的显式同源映射。

对加密货币用户来说，基于同源映射的密码学简单来说是一个后量子研究领域，旨在探索保护密钥和签名的新方法，以应对现有椭圆曲线系统未来可能不再足够安全的情况。

基于同源映射的密码学为何对加密货币重要

基于同源映射的密码学之所以重要，是因为大多数加密货币系统都使用公钥密码学。

加密钱包使用私钥授权交易，并使用公钥或地址让网络验证资产所有权。

如今，许多区块链都使用椭圆曲线数字签名，因为这种签名效率高、体积小且得到广泛支持。

然而，足够强大的量子计算机可能威胁许多现有公钥系统，包括基于整数分解和椭圆曲线离散对数问题的系统。

因此，后量子密码学对加密网络的长期安全至关重要。

NIST 的后量子密码学项目称，其主要 PQC 标准已于 2024 年 8 月发布，包括 ML-KEM、ML-DSA 和 SLH-DSA。

这些首批 NIST 标准并非基于同源映射，但表明全球已经开始向抗量子密码学迁移。

基于同源映射的密码学仍然重要，因为与基于格和基于哈希的系统相比，它可能提供不同的权衡，尤其是在短签名或紧凑公钥等方面。

基于同源映射的密码学如何运作

基于同源映射的密码学将椭圆曲线中的困难问题转化为密码学安全假设。

椭圆曲线是一种可在有限域上定义的数学对象。

同源映射是从一条椭圆曲线到另一条椭圆曲线的特殊映射。

在许多基于同源映射的系统中，公开信息可能包括椭圆曲线或相关点，而密钥则与曲线之间的隐藏路径或隐藏映射有关。

其安全理念是：掌握秘密信息的人应能轻松计算所需结果，但攻击者难以根据公开数据还原秘密路径。

这与传统椭圆曲线密码学不同，后者的安全性通常依赖于在椭圆曲线群中求解离散对数的难度。

基于同源映射的密码学同样使用椭圆曲线，但使用方式不同。

理解其主要观点并不需要掌握所有代数细节。

关键在于，基于同源映射的系统通过曲线之间的隐藏关系来构建安全性，而不是依赖当今常见加密签名所使用的同一离散对数问题。

基于同源映射的密码学与后量子密码学

后量子密码学是指旨在抵御拥有强大量子计算机的攻击者的密码学。

它与量子密码学或量子密钥分发并不相同。

后量子密码学通常运行在普通计算机和普通网络上。

其目标是替换或补充未来可能被量子算法破解的公钥系统。

NIST 在2024 年首次发布最终版后量子加密标准的公告中指出，FIPS 203 规定了用于通用加密的 ML-KEM，FIPS 204 规定了用于数字签名的 ML-DSA，FIPS 205 规定了用于数字签名的 SLH-DSA。

基于同源映射的密码学是更广泛后量子研究领域中的一个分支。

其他分支包括基于格的密码学、基于哈希的签名、基于编码的密码学、多变量密码学和对称密钥技术。

加密网络应重视多样性，因为只依赖一种数学体系可能带来集中风险。

基于同源映射的密码学与椭圆曲线

椭圆曲线已是许多加密货币系统的核心组成部分。

Bitcoin 使用椭圆曲线密码学授权交易，许多其他网络也使用相关的数字签名系统。

当前椭圆曲线签名效率很高，因为公钥和签名都相对较小。

基于同源映射的密码学也使用椭圆曲线，但并不依赖标准椭圆曲线签名所采用的同一数学困难假设。

这一区别很重要，因为能够破解普通椭圆曲线离散对数问题的量子攻击，并不会自动解决所有同源映射问题。

CSIDH 概述称，量子计算机似乎不会像 Shor 算法影响普通椭圆曲线 Diffie-Hellman 那样，大幅降低寻找同源映射问题的难度。

正因如此，基于同源映射的密码学引起了后量子研究人员的兴趣。

它在熟悉的椭圆曲线框架中提供了另一类困难问题。

基于同源映射的密码学与 SIDH

SIDH 是 Supersingular Isogeny Diffie-Hellman（超奇异同源 Diffie-Hellman）的缩写。

SIDH 曾是最知名的基于同源映射的密钥交换方案之一。

它旨在利用超奇异同源图中的路径构建后量子密钥交换方案。

SIDH 曾备受关注，因为与许多其他后量子方案相比，它的公钥非常小。

小型密钥对加密货币很有吸引力，因为区块链、钱包、硬件设备、移动应用和智能合约通常都关注带宽、存储和验证成本。

然而，SIDH 在 2022 年遭到重大密码分析攻击并被破解。

更新后的SIKE 规范补遗称，SIKE 和 SIDH 不安全，不应使用。

对于如今研究基于同源映射的密码学的人来说，这是最重要的事实之一。

基于同源映射的密码学与 SIKE

SIKE 是 Supersingular Isogeny Key Encapsulation（超奇异同源密钥封装）的缩写。

SIKE 是基于 SIDH 的密钥封装机制，曾参与 NIST 后量子标准化进程的评估。

密钥封装机制（KEM）可让双方通过公开信道建立共享秘密。

NIST 的ML-KEM 的 FIPS 203 标准解释称，双方可使用 KEM 通过公开信道建立共享密钥，随后用该密钥支持加密和身份验证。

SIKE 曾因密钥尺寸紧凑、数学设计优雅而受到关注。

在 2022 年遭到攻击后，SIKE 不再被认为适合安全部署。

SIKE 补遗还指出，当时 NIST 标准化进程中没有其他正在推进的基于同源映射的候选方案。

对加密领域的建设者来说，教训很明确：如果安全假设失效，数学设计再优雅、密钥再小也不够。

SIKE 遭破解后的基于同源映射密码学

SIKE 遭破解并不意味着所有基于同源映射的密码学都已失效。

但这确实令 SIDH 风格的系统遭受重大挫折。

SIKE 补遗特别指出，包括 CGL、CSIDH 和 SQIsign 在内的一些基于同源映射的密码系统并非基于 SIDH，因此不受 Castryck 和 Decru 系列攻击的影响。

这一区别很重要，因为用户可能会误以为所有基于同源映射的系统都以同样方式遭到破解。

同一密码学类别中可以包含采用不同假设、面临不同风险的多种设计。

2026 年，NIST 宣布9 个新增数字签名候选方案进入第三轮，其中包括 SQIsign。

SQIsign 是一种基于同源映射的签名方案，因此同源映射研究在数字签名领域仍然活跃。

目前的情况最好描述为审慎研究，而非大规模生产部署。

基于同源映射的密码学与 SQIsign

SQIsign 是一种基于同源映射的数字签名方案，因签名尺寸紧凑而受到关注。

短签名对区块链可能很重要，因为每个字节的交易数据都可能影响手续费、区块空间、存储、带宽和验证设计。

如果后量子签名方案产生的签名非常大，区块链迁移可能会变得困难。

钱包、硬件设备、轻客户端、节点、跨链桥和智能合约都可能需要处理更多数据。

因此，即使 SIKE 失败，基于同源映射的签名仍然值得关注。

NIST 的后量子数字签名补充项目称，NIST 希望增加签名方案以丰富其后量子签名组合，并关注采用不同假设或具有独特应用场景的方案。

对加密货币用户来说，SQIsign 并不是现在就可以随意使用的钱包升级方案。

它是一项仍在研究和标准化中的候选方案，体现了基于同源映射的密码学为何仍然重要。

基于同源映射的密码学与 CSIDH

CSIDH 是另一种基于同源映射的方案，采用交换群作用。

CSIDH 介绍将其描述为一种后量子非交互式密钥交换方案，具有极小的公钥和实用的性能。

当双方需要在无需多次往返通信的情况下建立共享秘密时，非交互式密钥交换可能很有用。

在加密基础设施中，密钥交换可能用于加密钱包备份、节点间隐私保护、安全消息传递、支付通道和托管流程。

CSIDH 很重要，因为它并非基于 SIDH，因此 SIKE 遭破解并不会自动影响它。

然而，这并不代表 CSIDH 已能直接用于所有区块链或钱包部署。

它仍需接受安全分析、实现审查、侧信道防护、性能测试，并达到成熟的标准化水平。

除非有充分理由且经过专家审查，否则加密安全实践应优先采用经过充分评审和标准化的系统，而非实验性系统。

基于同源映射的密码学与区块链签名

数字签名是区块链系统中最重要的密码学原语之一。

交易签名可证明私钥持有者授权了某笔交易。

如果未来量子计算机能够从现有签名方案的公钥推导出私钥，用户可能面临严重风险。

因此，区块链社区正在研究后量子签名。

基于同源映射的签名可能具有吸引力，因为紧凑的签名可以减少区块链数据开销。

然而，区块链部署的要求极为严格。

用于区块链的签名方案必须安全、速度足够快、易于验证、能在硬件钱包中安全运行、可抵御侧信道攻击，并适用于节点。

它还必须适配地址格式、交易格式、多重签名设计、手续费市场和钱包恢复系统。

基于同源映射的密码学可能有助于实现某些权衡，但在大量资产依赖它之前，仍需经过多年审查和验证。

基于同源映射的密码学与钱包安全

钱包安全依赖私钥、签名、安全随机数、安全设备、安全备份和谨慎的交易签名。

如果未来的钱包标准采用基于同源映射的签名或密钥交换，基于同源映射的密码学可能会与钱包安全相关。

目前，大多数加密钱包不会在常规交易签名中使用基于同源映射的签名。

用户不应仅因某款随机钱包声称“抗量子”并提及同源映射，就下载使用。

虚假钱包可能利用高深的密码学术语窃取助记词。

任何正规的密码学升级都不应要求用户将助记词粘贴到不明网站。

钱包用户应参考项目官方文档、经过审计的软件、可复现构建（如有）以及可信的硬件安全实践。

高深数学无法保护用户免受网络钓鱼、恶意软件或假冒客服的侵害。

基于同源映射的密码学与量子风险

加密货币领域的量子风险，是指未来量子计算机可能破解用于保护数字资产的公钥系统所带来的风险。

主要担忧并不是量子计算机能神奇地改写区块链。

真正的担忧是，如果量子计算机强大到足以高效解决底层数学问题，某些公钥系统可能会变得脆弱。

在许多现有区块链中，用户从某个地址转出资产时会公开公钥。

如果量子攻击变得可行，已公开的公钥可能比隐藏的公钥更危险。

这并不意味着用户现在就应恐慌。

这意味着区块链项目应建立密码学敏捷性和长期迁移计划。

基于同源映射的密码学是应对此类未来问题的研究工具之一。

在选择任何后量子方案前，加密项目应跟踪 NIST 标准、学术密码分析、实现质量和迁移成本。

基于同源映射的密码学与密码学敏捷性

密码学敏捷性是指在不破坏整个系统的情况下更换密码算法的能力。

区块链的密码学敏捷性往往较弱，因为签名方案、地址格式、硬件钱包、智能合约和共识规则可能已深度嵌入系统。

如果网络无法轻易更换签名系统，后量子迁移可能会更加困难。

SIKE 在被破解前曾显得很有前景，这凸显了密码学敏捷性的重要性。

如果某个项目过早将 SIKE 硬编码到关键基础设施中，就需要紧急替换它。

更安全的设计允许随研究进展升级或弃用算法，或将算法组合成混合方案。

密码学敏捷性不仅是政府或企业议题。

它也关系到区块链能否长期运行，因为公有网络可能需要保护资产数十年。

基于同源映射的密码学与混合密码学

混合密码学结合两种或多种密码学方法，以减少对单一假设的依赖。

例如，在迁移期间，系统可以将传统密钥交换与后量子密钥交换结合使用。

如果其中一种方法在另一种之前被破解，这种方式可能有助于降低风险。

在加密基础设施中，混合方案可能适用于加密通信、验证者网络、托管平台和链下协议。

混合区块链签名更加复杂，因为签名会影响交易大小、验证规则、地址格式和共识行为。

理论上，基于同源映射的组件可以成为混合设计的一部分，但前提是经过谨慎审查。

不专攻密码学的开发者不应随意拼装混合设计。

即使每种算法单独看来都很强，错误地组合算法也可能带来新的漏洞。

基于同源映射的密码学与智能合约

智能合约可能需要验证密码学证明、签名或密钥交换结果。

如果链上采用基于同源映射的签名，智能合约可能需要验证逻辑或预编译支持。

这可能成本高昂，因为后量子算法往往具有更大的密钥和签名，或比现有方案更复杂的验证过程。

基于同源映射的签名在尺寸较小时可能很有吸引力，但验证成本和实现复杂度同样重要。

智能合约环境限制严格，因为 Gas 成本、内存限制和确定性执行会令复杂密码学难以实现。

在智能合约中使用任何基于同源映射的系统前，开发者必须研究其性能、安全假设、侧信道问题和可审计性。

即使数学方案本身可靠，实现不当仍可能导致安全问题。

智能合约中的密码学错误代价尤其高昂，因为已部署代码可能控制真实资产。

基于同源映射的密码学与 DeFi

DeFi 依赖签名、智能合约、预言机、跨链桥和用户钱包。

如果后量子签名或密钥交换成为钱包和协议设计的一部分，基于同源映射的密码学未来可能与 DeFi 相关。

例如，后量子钱包未来可能与借贷协议、兑换、金库和代币化资产系统交互。

然而，DeFi 安全还涉及签名算法之外的许多层面。

即使协议使用强大的后量子密码学，也可能因预言机失效、治理机制被攻破、强制平仓设计薄弱或管理员密钥遭滥用而失败。

后量子迁移不应让用户忽视当下常见的 DeFi 风险。

用户仍需检查智能合约审计、权限、流动性、抵押品设计和钱包授权。

抗量子能力只是整体安全的一部分。

基于同源映射的密码学与跨链桥

区块链跨链桥通常依赖签名、验证者集合、多重签名委员会、轻客户端或零知识证明。

如果跨链桥使用的签名方案未来容易受到量子攻击，其安全性可能会随时间下降。

如果基于同源映射的签名成熟为实用且标准化的后量子工具，未来可能用于跨链桥安全。

不过，即使没有量子攻击者，跨链桥本身也已属于高风险领域。

许多跨链桥故障都涉及智能合约漏洞、密钥泄露、治理薄弱、验证错误或操作失误。

仅靠后量子签名无法修复设计不佳的跨链桥。

加密领域建设者应将基于同源映射的密码学视为未来可能采用的组成部分之一，而非完整的跨链桥安全解决方案。

跨链桥用户应始终了解保护所转移资产的信任模型。

基于同源映射的密码学的潜在优势

基于同源映射的密码学的首个潜在优势是紧凑性。

与其他后量子方法相比，一些基于同源映射的设计以公钥或签名较小著称。

在区块链系统中，这可能很有价值，因为数据大小会影响手续费、同步时间、带宽和存储。

第二个潜在优势是数学体系多样性。

基于同源映射的系统依赖与基于格的系统不同的假设，有助于丰富后量子工具箱。

第三个潜在优势是与椭圆曲线思维方式兼容。

许多密码学家和区块链工程师已经了解椭圆曲线概念，尽管同源映射系统仍需要更深入的专业知识。

第四个潜在优势是长期研究价值。

即便最终只有部分基于同源映射的方案经受住考验，该领域仍可能为未来密码学迁移提供有用工具、见解和替代方案。

基于同源映射的密码学风险

最大的风险是密码分析结果的不确定性。

SIKE 遭破解表明，看似很有前景的基于同源映射的系统也可能在深入分析后失效。

另一项风险是实现复杂度。

同源映射计算难以在不同设备上安全、高效且一致地实现。

侧信道风险也很重要，因为攻击者可能通过计时、功耗、缓存行为或其他物理信号获取秘密。

根据方案和应用场景，性能也可能成为挑战。

一些系统的密钥尺寸颇具吸引力，但签名、验证或密钥生成速度较慢。

标准化风险也是一个问题，因为许多加密应用不应在算法尚未经过广泛专家评审前就依赖实验性算法。

对于区块链应用，迁移风险可能最难处理，因为更换签名或密钥格式需要整个生态系统广泛协作。

基于同源映射的密码学与基于格的密码学

目前，在已标准化部署的后量子密码学类别中，基于格的密码学最为重要。

NIST 首批 PQC 标准包括基于格相关假设的 ML-KEM 和 ML-DSA。

基于同源映射的密码学采用涉及椭圆曲线和同源映射的不同数学结构。

基于格的方案目前获得了更强的标准化支持，也更适合广泛部署。

某些基于同源映射的方案可能具有紧凑性优势，但该领域经历过重大挫折，因此需要谨慎评估。

加密项目不应仅仅因为基于同源映射的密码学听起来先进就选择它。

项目应比较安全成熟度、性能、签名尺寸、验证成本、实现安全性、标准支持和生态工具。

在近期的大多数区块链规划中，应重点关注 NIST 标准化算法，然后再考虑实验性替代方案。

基于同源映射的密码学与基于哈希的签名

基于哈希的签名依赖密码学哈希函数的安全性。

NIST 的 SLH-DSA 是一种无状态基于哈希的数字签名标准。

基于哈希的签名颇具吸引力，因为其安全假设较为保守且得到充分理解。

然而，与现有区块链签名相比，基于哈希的签名可能较大。

基于同源映射的签名可能旨在显著缩小签名尺寸，因此仍然受到区块链领域关注。

其权衡在于，基于同源映射的假设更为专业，且该领域发生过重大密码分析事件。

在某些情况下，区块链设计者可能更倾向于采用尺寸较大但更保守的签名；在另一些情况下，则可能选择更小但更具实验性的签名。

合适的选择取决于安全成熟度、数据成本、验证需求和升级路径。

基于同源映射的密码学与用户安全

加密货币用户不应需要手动执行同源映射计算。

如果基于同源映射的密码学未来成为主流钱包的一部分，相关功能应封装在经过充分审计的软件和硬件中。

对于声称采用“同源映射安全保护”却没有提供清晰文档和独立审查的应用、网站或代币，用户应保持谨慎。

诈骗者常利用高深的密码学术语制造虚假的可信感。

诈骗者可能声称钱包具备抗量子能力，实际却在窃取私钥。

虚假的升级可能借口迁移至后量子安全方案，要求用户输入助记词。

真正的密码学迁移不应要求用户向网站透露私钥或助记词。

最稳妥的做法是核实官方信息、等待经过审计的工具，并且不要相信私人聊天中要求立即迁移的消息。

关于基于同源映射的密码学的常见误解

一种误解是认为基于同源映射的密码学与普通椭圆曲线密码学相同。

两者都使用椭圆曲线，但依赖不同的数学问题。

另一种误解是认为 SIKE 遭破解意味着所有基于同源映射的系统都被破解。

不应使用 SIKE 和 SIDH，但 CSIDH 和 SQIsign 等其他基于同源映射的系统采用不同设计。

第三种误解是认为基于同源映射的密码学已经成为后量子区块链的默认方案。

事实并非如此，因为当前 NIST 标准主要关注基于格和基于哈希的方法。

第四种误解是认为抗量子密码学可以让钱包免受所有攻击。

它无法防御网络钓鱼、恶意软件、虚假应用、助记词丢失或恶意智能合约。

第五种误解是认为签名越小越好。

小型签名确有优势，但安全成熟度和实现安全性更重要。

加密项目研究基于同源映射的密码学时的最佳实践

在为生产系统选择算法前，应跟踪 NIST 标准和官方 PQC 更新。

不要部署 SIDH 或 SIKE，因为当前公开文档指出它们不安全，不应使用。

应将 SQIsign 等基于同源映射的签名视为研究候选方案，而非默认的生产方案。

应在量子迁移变得紧迫前，为钱包、节点、托管系统和智能合约建立密码学敏捷性。

应寻求密码学专家审查，而非自行发明定制协议组合。

只有在混合方案由专业人员设计并审查时，才考虑采用。

应根据交易大小、验证成本、硬件钱包容量和节点要求等真实区块链限制测试性能。

应清楚地向用户普及相关知识，避免诈骗者利用后量子迁移话术窃取助记词。

常见问题

什么是基于同源映射的密码学？

基于同源映射的密码学是一种公钥密码学，利用涉及椭圆曲线之间同源映射的困难问题。

基于同源映射的密码学是一种加密货币吗？

不是。基于同源映射的密码学是一个数学密码学领域，而非加密货币、代币、钱包、区块链网络或智能合约。

基于同源映射的密码学为何对加密货币重要？

加密钱包、签名、托管系统、验证者密钥和区块链协议未来可能需要后量子密码学保护，因此它十分重要。

基于同源映射的密码学属于后量子密码学吗？

一些基于同源映射的方案是按后量子密码学设计的，但必须分别评估每种方案。

什么是同源映射？

同源映射是椭圆曲线之间一种保留结构的数学映射。

SIKE 后来怎样了？

SIKE 于 2022 年遭密码分析攻击并被破解，更新后的 SIKE 规范指出 SIKE 和 SIDH 不安全，不应使用。

SIKE 攻击是否破解了所有基于同源映射的密码学？

没有。SIKE 补遗指出，CGL、CSIDH 和 SQIsign 等一些基于同源映射的系统并非基于 SIDH，因此未受该系列攻击影响。

什么是 SQIsign？

SQIsign 是一种基于同源映射的数字签名方案，已进入 NIST 后量子数字签名补充项目的下一阶段。

目前区块链是否在使用基于同源映射的签名？

目前，大多数主流区块链不会在常规交易签名中使用基于同源映射的签名。

小型签名为何对区块链重要？

小型签名可以减少交易大小、存储负担、带宽使用和验证开销。

用户现在应该将钱包迁移到基于同源映射的密码学吗？

用户不应轻信未经核实的说法而迁移，应等待官方发布且经过审计和充分评审的钱包或协议升级。

诈骗者会利用基于同源映射的密码学相关说法行骗吗？

会。诈骗者可能利用“抗量子”“后量子”或“同源映射安全保护”等术语推广虚假钱包、虚假迁移方案或窃取助记词。

结论

基于同源映射的密码学是一个先进的后量子密码学领域，核心是椭圆曲线之间的数学映射。

它不是加密货币、代币、钱包、私钥、助记词、验证者、矿池、区块链网络、智能合约或交易策略。

它对加密货币的重要性源于长期保护钱包、签名、验证者系统、跨链桥、托管基础设施和加密通信，使其免受未来量子威胁的需要。

SIDH 和 SIKE 等系统因提供紧凑公钥和优雅的后量子设计而让基于同源映射的密码学广为人知。

然而，2022 年 SIKE 遭破解表明，看似有前景的密码学理念经深入分析后也可能失效。

这一失败提醒我们，不要将实验性密码学仓促用于保护真实数字资产的系统。

与此同时，SIKE 遭破解并未终结所有同源映射研究。

CSIDH 和 SQIsign 等系统基于不同理念，而 SQIsign 在后量子数字签名研究中仍具有重要意义。

对区块链建设者而言，最重要的教训是密码学敏捷性。

网络应为未来密码学迁移做好准备，避免过早锁定未经验证的算法。

对用户而言，最重要的教训是注意安全。

“抗量子”宣传并不能证明应用可信，任何正规的迁移都不应要求用户在网站上输入助记词或私钥。

基于同源映射的密码学未来可能有助于解决紧凑型后量子签名等区块链难题，但仍需谨慎标准化、审查实现并进行生态系统测试。

如今，最稳妥的理解方式是：它是更广泛后量子密码学转型中的一个有前景但需要审慎对待的研究领域。

任何钱包应用、协议团队、客服人员、迁移工具、跨链桥、教育者或网站都不应要求用户提供助记词、私钥、钱包恢复短语、密码或双重身份验证代码。