ML-DSA (FIPS 204) und SLH-DSA (FIPS 205)

ML-DSA (modulgitterbasierter Algorithmus für digitale Signaturen), als FIPS 204 standardisiert, wurde aus CRYSTALS-Dilithium abgeleitet. Dilithium wurde von Ducas, Kiltz, Lepoint, Lyubashevsky, Schwabe, Seiler und Stehle entwickelt und 2017 bei NIST eingereicht. Es verwendet das Framework Fiat-Shamir mit Abbrüchen auf Grundlage von Module-LWE und ergibt ein praktisches Signaturschema mit starken Sicherheitsnachweisen.

Klassische Fiat-Shamir-Transformationen wandeln interaktive Identifikationsprotokolle in Signaturen um. Bei Gitterschemata verrät eine direkte Anwendung über den Antwortvektor Informationen über den privaten Schlüssel. Die von Lyubashevsky entwickelte Technik mit Abbrüchen fügt Rejection Sampling hinzu: Der Signierer prüft, ob die Antwort Informationen preisgeben würde, und bricht ab, um es erneut zu versuchen, falls dies der Fall ist. Dadurch entsteht ein geringer Mehraufwand beim Signieren, die Technik ist jedoch für die Sicherheit unverzichtbar.

Für eine Signatur erzeugt ML-DSA einen Maskierungsvektor y aus einer Gleichverteilung, berechnet ein Commitment w = Ay, hasht (Nachricht, w), um ein Challenge-Polynom c zu erhalten, und berechnet die Antwort z = y + cs. Rejection Sampling prüft, ob z Informationen über s preisgibt. Wenn die Prüfung erfolgreich ist, besteht die Signatur aus (c, z) sowie einem Hinweis für eine effiziente Verifikation. Andernfalls wird der Vorgang wiederholt.

ML-DSA definiert drei Parametersätze: ML-DSA-44 (NIST-Sicherheitsstufe 2, etwa 128 Bit), ML-DSA-65 (Stufe 3, etwa 192 Bit) und ML-DSA-87 (Stufe 5, etwa 256 Bit). Die Zahlen beziehen sich auf die Modulränge des Schemas. Die Größen der öffentlichen Schlüssel betragen jeweils 1312, 1952 und 2592 Byte. Eine ML-DSA-65-Signatur ist 3293 Byte groß, verglichen mit 64 Byte bei Ed25519 mit 128 Bit Sicherheit.

Der bedeutendste Nachteil von ML-DSA gegenüber ECDSA oder EdDSA ist die Signaturgröße. ML-DSA-65-Signaturen sind 3293 Byte groß, gegenüber 64 Byte bei Ed25519. Bei Protokollen, die viele Signaturen übertragen (TLS-Zertifikatsketten, Code-Signierung), erhöht dies die benötigte Bandbreite. Das Signieren und Verifizieren mit ML-DSA ist jedoch sehr schnell (vergleichbar mit ECDSA oder schneller), sodass der Kompromiss hauptsächlich in den Kommunikationskosten liegt.

SLH-DSA (zustandsloser hash-basierter Algorithmus für digitale Signaturen), als FIPS 205 standardisiert, wurde aus SPHINCS+ abgeleitet. Anders als bei Gitterschemata beruht die Sicherheit von SLH-DSA ausschließlich auf der Kollisionsresistenz und Zweitpräbildresistenz der zugrunde liegenden Hashfunktion (SHA-256 oder SHAKE-256). Dadurch ist SLH-DSA äußerst konservativ: Es bleibt auch dann sicher, wenn Gitterannahmen gebrochen werden.

SLH-DSA baut auf WOTS+ (Winternitz One-Time Signature) auf, einem Hash-basierten Schema, bei dem der private Schlüssel aus einer Menge zufälliger Zeichenketten besteht und der öffentliche Schlüssel durch wiederholtes Hashen jeder Zeichenkette erzeugt wird. Beim Signieren werden abhängig von den Nachrichtenbits teilweise Hashes berechnet. WOTS+ kann mit einem Schlüsselpaar sicher nur einmal verwendet werden; eine zweimalige Verwendung gibt Informationen preis. SLH-DSA ermöglicht mithilfe von Bäumen mehrfaches Signieren auf Grundlage von WOTS+.

SLH-DSA verwendet einen Hypertree, also einen Baum aus Merkle-Bäumen. Jedes Blatt ist der öffentliche Schlüssel einer WOTS+-Instanz. Die Wurzel ist der öffentliche SLH-DSA-Schlüssel. Eine Signatur besteht aus der WOTS+-Signatur für die Nachricht und dem Authentifizierungspfad vom Blatt zur Wurzel. Die Hypertree-Struktur ermöglicht viele Signaturen mit einem einzigen Schlüsselpaar, indem verschiedene WOTS+-Blätter verwendet werden.

SLH-DSA verfügt über 12 Parametersätze, die Hashfunktion (SHA-256 oder SHAKE-256), Sicherheitsstufe (128s/128f, 192s/192f, 256s/256f) und Optimierung kombinieren (s = kleine Signaturen, f = schnelles Signieren). Die Variante 128f hat 7856 Byte große Signaturen und ermöglicht schnelles Signieren; 128s hat ebenfalls 7856 Byte große Signaturen, ist aber langsamer. Alle Varianten sind deutlich größer als ML-DSA, beruhen jedoch auf der konservativsten möglichen Sicherheitsannahme.

ML-DSA wird bevorzugt, wenn Leistung und Bandbreite wichtig sind und den Gitterannahmen vertraut wird. SLH-DSA wird für äußerst konservative Bereitstellungen bevorzugt, bei denen nur der Sicherheit der Hashfunktion vertraut wird, oder als Absicherung gegen mögliche künftige Brüche von Gitterannahmen. Zertifizierungsstellen und staatliche Systeme, die selten signieren, aber maximale Sicherheit benötigen, könnten SLH-DSA bevorzugen, während TLS-Server, die häufig signieren, eher ML-DSA verwenden würden.

FN-DSA (FIPS 206, auf Grundlage von FALCON) bietet mithilfe von NTRU-Gittern und Gauß-Sampling kleinere Signaturen als ML-DSA (897 Byte bei FALCON-512 und 128 Bit Sicherheit). Allerdings erfordert FALCON eine sorgfältige Implementierung mit konstanter Laufzeit, um Seitenkanalangriffe auf den Gauß-Sampler zu verhindern. FIPS 206 soll nach FIPS 203–205 standardisiert werden und eine leistungsfähige Option für Umgebungen mit begrenzten Ressourcen bieten.

Was ist der wichtigste Sicherheitsvorteil von SLH-DSA gegenüber ML-DSA?

ML-DSA (FIPS 204) verwendet Fiat-Shamir mit Abbrüchen über Module-LWE und bietet schnelles Signieren mit 3-KB-Signaturen (bei 192 Bit Sicherheit). SLH-DSA (FIPS 205) verwendet hash-basierte Merkle-Bäume (WOTS+) und beruht ausschließlich auf der Sicherheit der Hashfunktion; die Signaturen sind 7–50 KB groß. ML-DSA wird für leistungsabhängige Anwendungen bevorzugt, SLH-DSA für maximale Konservativität. FN-DSA (FALCON, FIPS 206) wird eine Gittersignaturoption mit kleineren Signaturen ergänzen.