BLS signatures और Aggregate signature योजनाएँ

BLS हस्ताक्षर द्विरेखीय युग्मन पर निर्भर करते हैं — यह दीर्घवृत्तीय वक्रों पर की जाने वाली गणितीय संक्रिया है। युग्मन e: G1 x G2 -> GT दो समूहों (G1, G2) के बिंदुओं के युग्मों को एक लक्ष्य समूह GT में मैप करता है। इसका महत्वपूर्ण गुण द्विरेखीयता है: e(aP, bQ) = e(P, Q)^(ab), जहाँ a और b अदिश तथा P और Q बिंदु हैं। इससे विविक्त लघुगणक जाने बिना समूह अवयवों के बीच संबंधों की जाँच की जा सकती है। क्रिप्टोग्राफ़ी में सबसे अधिक प्रयुक्त युग्मन वक्र BLS12-381 है, जिसे इसके 128-बिट सुरक्षा स्तर, समूह अवयवों के छोटे आकार (G1 में 48 बाइट और G2 में 96 बाइट) तथा कुशल युग्मन गणना के लिए चुना गया है।

BLS (Boneh-Lynn-Shacham) हस्ताक्षर इस प्रकार काम करता है। कुंजी निर्माण: निजी कुंजी x एक यादृच्छिक अदिश है; सार्वजनिक कुंजी PK = x * G, जहाँ G, G2 का जनक है। हस्ताक्षर करना: संदेश m मिलने पर G1 में H = hash-to-curve(m) की गणना करें, फिर sigma = x * H। हस्ताक्षर sigma एकल G1 बिंदु है (BLS12-381 पर 48 बाइट)। सत्यापन: e(sigma, G) == e(H, PK) की जाँच करें। द्विरेखीयता के कारण e(x*H, G) = e(H, G)^x = e(H, x*G) = e(H, PK) होता है। सुरक्षा co-CDH धारणा पर निर्भर करती है: H और x*G दिए जाने पर x जाने बिना x*H की गणना करना कठिन है।

BLS हस्ताक्षर गैर-संवादात्मक एकत्रीकरण का समर्थन करते हैं: सार्वजनिक कुंजियों PK_1, ..., PK_n से संदेशों m_1, ..., m_n पर दिए गए हस्ताक्षरों sigma_1, ..., sigma_n के लिए, एक एकत्रक sigma_agg = sigma_1 + sigma_2 + ... + sigma_n की गणना करता है (दीर्घवृत्तीय वक्र बिंदुओं का योग)। n का मान चाहे जो हो, समेकित हस्ताक्षर एकल 48-बाइट मान होता है। सत्यापन के लिए n+1 युग्मन संक्रियाएँ आवश्यक होती हैं: e(sigma_agg, G) == product(e(H_i, PK_i)) की जाँच करें। सामान्य स्थिति में, जब सभी हस्ताक्षरकर्ता एक ही संदेश पर हस्ताक्षर करते हैं, तो सत्यापन 2 युग्मनों तक सीमित हो जाता है: e(sigma_agg, G) == e(H, sum(PK_i))।

सरल BLS एकत्रीकरण दुष्ट कुंजी हमले के प्रति असुरक्षित होता है। हमलावर PK_adv = x_adv*G - PK_honest को पंजीकृत करता है। समेकित कुंजी PK_agg = PK_honest + PK_adv = x_adv*G होती है, जिस पर हमलावर का पूरा नियंत्रण होता है। बचाव के विकल्प: (1) स्वामित्व का प्रमाण (PoP): प्रत्येक हस्ताक्षरकर्ता पंजीकरण के समय अपनी सार्वजनिक कुंजी पर हस्ताक्षर करके अपनी निजी कुंजी का ज्ञान सिद्ध करता है। (2) संदेश-विस्तार: प्रत्येक हस्ताक्षरकर्ता की सार्वजनिक कुंजी को उसके संदेश में शामिल करना। (3) रेखीयता-विघटन (BGLS): एकत्रीकरण से पहले प्रत्येक सार्वजनिक कुंजी को hash(PK_i, all_PKs) से गुणा करना, जिससे हमले को सक्षम करने वाली रेखीयता टूट जाती है। Ethereum सत्यापनकर्ता पंजीकरण के लिए PoP का उपयोग करता है।

Ethereum की सर्वसम्मति परत (Beacon Chain) BLS12-381 एकत्रीकरण का व्यापक उपयोग करती है। प्रत्येक स्लॉट में लगभग 400,000 से अधिक सक्रिय सत्यापनकर्ता चेन शीर्ष की पुष्टि करते हैं। एकत्रीकरण के बिना, सभी हस्ताक्षरों को संग्रहीत करने के लिए प्रति स्लॉट ~400,000 * 96 बाइट = 38 MB की आवश्यकता होती। BLS एकत्रीकरण के साथ, प्रत्येक समिति (आमतौर पर 512 सत्यापनकर्ता) एक 96-बाइट समेकित हस्ताक्षर बनाती है, जिससे प्रति स्लॉट कुल हस्ताक्षर डेटा घटकर किलोबाइट रह जाता है। बीकन चेन के ब्लॉक बॉडी में समेकित पुष्टि शामिल होती हैं: एक बिट-फ़ील्ड, जो यह दर्शाता है कि किन सत्यापनकर्ताओं ने भाग लिया, और प्रत्येक समिति के लिए एक समेकित BLS हस्ताक्षर।

BLS हस्ताक्षर संक्रियाओं की प्रदर्शन विशेषताएँ ECDSA से भिन्न होती हैं। BLS हस्ताक्षर के लिए एक हैश-टू-कर्व और एक अदिश गुणन आवश्यक होता है (आधुनिक हार्डवेयर पर ~1 ms)। BLS सत्यापन के लिए दो युग्मन संक्रियाएँ आवश्यक होती हैं (~3-5 ms प्रत्येक = कुल ~6-10 ms)। ECDSA हस्ताक्षर के लिए एक बिंदु गुणन आवश्यक होता है (~0.2 ms); सत्यापन के लिए दो बिंदु गुणन आवश्यक होते हैं (~0.4 ms)। प्रति-हस्ताक्षर BLS सत्यापन धीमा होता है, लेकिन एकत्रित रूप में बहुत तेज़ होता है: 1000 समेकित BLS हस्ताक्षरों का सत्यापन कुल ~10 ms लेता है, जबकि 1000 अलग-अलग ECDSA सत्यापनों में ~400 ms लगते हैं। निर्णायक बिंदु लगभग 2-3 हस्ताक्षरों पर आता है।

सीमा BLS, एकत्रीकरण को गुप्त-साझाकरण तक विस्तारित करता है। (t, n) सीमा योजना में निजी कुंजी को BLS अदिश क्षेत्र पर Shamir गुप्त-साझाकरण का उपयोग करके n हिस्सों में बाँटा जाता है। प्रत्येक हिस्सेदार i एक आंशिक हस्ताक्षर sigma_i = sk_i * H(m) बनाता है। किसी भी t आंशिक हस्ताक्षरों को लाग्रांज अंतर्वेशन गुणांकों का उपयोग करके जोड़ा जा सकता है: sigma = sum(lambda_i * sigma_i)। परिणाम मूल कुंजी द्वारा बनाए गए हस्ताक्षर के समान होता है, लेकिन किसी एक पक्ष के पास कभी पूरी कुंजी नहीं होती। सीमा BLS का उपयोग वितरित सत्यापनकर्ता तकनीक (DVT), MPC वॉलेट और Fireblocks तथा Web3Auth जैसी सीमा-हस्ताक्षर सेवाओं में किया जाता है।

Filecoin अपनी भंडारण-प्रमाण प्रणाली और लेन-देन पर हस्ताक्षर करने के लिए BLS हस्ताक्षरों का उपयोग करता है। भंडारण माइनर BLS एकत्रीकरण का उपयोग करके कई प्रमाणों को समेकित करते हैं, जिससे चेन पर सत्यापन की लागत घटती है। Filecoin का संदेश-पूल भी कई लेन-देन हस्ताक्षरों को एक समेकित हस्ताक्षर में जोड़ता है, जिससे ब्लॉक का आकार घटता है। Filecoin का कार्यान्वयन IETF BLS ड्राफ़्ट मानक (RFC 9380 के अनुसार हैश-टू-कर्व, BLS12-381 वक्र) के न्यूनतम-पब्लिक-कुंजी-आकार वाले संस्करण का उपयोग करता है, जिसमें सार्वजनिक कुंजियाँ G1 में (48 बाइट) और हस्ताक्षर G2 में (96 बाइट) होते हैं — यह Ethereum की परंपरा के विपरीत है।

हालाँकि Zcash मुख्य रूप से Groth16 zk-SNARK प्रमाणों का उपयोग करता है, BLS युग्मन अनेक युग्मन-आधारित शून्य-ज्ञान संरचनाओं का आधार हैं। Groth16 सत्यापन समीकरण एक युग्मन जाँच है: e(A, B) = e(alpha, beta) * e(vk, C), जहाँ A, B और C प्रमाण अवयव हैं। KZG बहुपद प्रतिबद्धताएँ (जिनका उपयोग Ethereum के EIP-4844 ब्लॉब लेन-देन और विभिन्न ZK रोलअप प्रणालियों में होता है) भी BLS12-381 युग्मनों पर निर्भर करती हैं: बहुपद f(x) के लिए प्रतिबद्धता C = f(tau)*G होती है और मूल्यांकन प्रमाणों का सत्यापन युग्मन द्वारा किया जाता है। BLS12-381 को विशेष रूप से इसकी कुशल युग्मन संक्रियाओं और 128-बिट सुरक्षा के लिए चुना गया था।

BLS एकमात्र एकत्रीकरण-योग्य हस्ताक्षर योजना नहीं है। Schnorr हस्ताक्षर कुंजी एकत्रीकरण (MuSig2, जिसका उपयोग Bitcoin Taproot में होता है) का समर्थन करते हैं, जिसमें कई हस्ताक्षरकर्ता एकल Schnorr हस्ताक्षर बनाते हैं और वह एकल हस्ताक्षरकर्ता के हस्ताक्षर से अलग नहीं पहचाना जा सकता। FROST (Flexible Round-Optimized Schnorr Threshold) दो चरणों में सीमा Schnorr हस्ताक्षर प्रदान करता है। हालाँकि, Schnorr एकत्रीकरण के लिए हस्ताक्षरकर्ताओं के बीच संवाद आवश्यक होता है (BLS के गैर-संवादात्मक एकत्रीकरण के विपरीत), इसलिए यह बड़े सत्यापनकर्ता समूहों के लिए कम उपयुक्त है। ब्लॉकचेन सर्वसम्मति के लिए BLS को अब भी प्राथमिकता दी जाती है, क्योंकि इसमें गैर-संवादात्मक एकत्रीकरण और कुशल बैच सत्यापन उपलब्ध हैं।

BLS हस्ताक्षर दीर्घवृत्तीय वक्र के युग्मनों पर आधारित होते हैं, जो शोर के एल्गोरिद्म चलाने वाले क्वांटम कंप्यूटरों के प्रति असुरक्षित हैं। पर्याप्त शक्तिशाली क्वांटम कंप्यूटर BLS12-381 में असतत लघुगणक की गणना कर सकता है, जिससे सभी मौजूदा BLS हस्ताक्षर टूट जाएंगे और इथेरियम की सर्वसम्मति सुरक्षा निष्प्रभावी हो जाएगी। समय-सीमा अनिश्चित है, लेकिन NIST का अनुमान है कि क्रिप्टोग्राफ़ी के लिए प्रासंगिक क्वांटम कंप्यूटर आने में 15–20 वर्ष लग सकते हैं। इथेरियम और BLS पर निर्भर अन्य शृंखलाओं को इस खतरे के वास्तविक रूप लेने से पहले क्वांटम-उत्तर हस्ताक्षर योजनाओं (CRYSTALS-Dilithium/ML-DSA या SPHINCS+/SLH-DSA) पर स्थानांतरित होना होगा। इस स्थानांतरण के लिए सत्यापनकर्ता पंजीकरण, प्रमाणन-प्रारूपों और समेकित सत्यापन में प्रोटोकॉल-स्तरीय बदलाव आवश्यक होंगे।

BLS हस्ताक्षर BLS12-381 वक्रों पर द्विरेखीय युग्मनों का उपयोग करते हैं। इथेरियम की परंपरा में हस्ताक्षर 48-बाइट वाले G1 बिंदु होते हैं और सार्वजनिक कुंजियाँ 96-बाइट वाली G2 बिंदु होती हैं। गैर-संवादात्मक एकत्रीकरण n हस्ताक्षरों को एक 48-बाइट मान में मिला देता है, जिसका सत्यापन n+1 युग्मनों से किया जाता है। सत्यापनकर्ता पंजीकरण के दौरान स्वामित्व-प्रमाण द्वारा दुष्ट-कुंजी हमले को कम किया जाता है। इथेरियम प्रति स्लॉट 400,000 से अधिक सत्यापनकर्ता प्रमाणनों को किलोबाइटों में संकुचित करने के लिए BLS का उपयोग करता है। सीमा BLS बिना किसी एकल कुंजी-धारक के वितरित सत्यापनकर्ताओं को सक्षम बनाता है। BLS युग्मन-आधारित है और क्वांटम-उत्तर सुरक्षित नहीं है, इसलिए भविष्य में स्थानांतरण आवश्यक होगा।