ML-DSA (FIPS 204) e SLH-DSA (FIPS 205)

O ML-DSA (algoritmo de assinatura digital baseado em módulos e reticulados), padronizado como FIPS 204, deriva do CRYSTALS-Dilithium. O Dilithium foi projetado por Ducas, Kiltz, Lepoint, Lyubashevsky, Schwabe, Seiler e Stehle e apresentado ao NIST em 2017. Ele usa a estrutura Fiat-Shamir com abortos aplicada ao Module-LWE, produzindo um esquema de assinatura prático com provas de segurança robustas.

As transformações clássicas de Fiat-Shamir convertem protocolos interativos de identificação em assinaturas. Em esquemas baseados em reticulados, uma aplicação direta revela informações sobre a chave privada por meio do vetor de resposta. A técnica “com abortos”, de Lyubashevsky, acrescenta amostragem por rejeição: o signatário verifica se a resposta revelaria informações e aborta e tenta novamente caso isso aconteça. Isso acrescenta uma pequena sobrecarga à assinatura, mas é essencial para a segurança.

Para assinar, o ML-DSA amostra um vetor de mascaramento y de uma distribuição uniforme, calcula um compromisso w = Ay, calcula o resumo de (mensagem, w) para obter um polinômio de desafio c e calcula a resposta z = y + cs. A amostragem por rejeição verifica se z revela informações sobre s. Se a verificação for aprovada, a assinatura será (c, z), juntamente com uma informação auxiliar para verificação eficiente. Caso contrário, o processo se repetirá.

O ML-DSA define três conjuntos de parâmetros: ML-DSA-44 (nível de segurança 2 do NIST, aproximadamente 128 bits), ML-DSA-65 (nível 3, aproximadamente 192 bits) e ML-DSA-87 (nível 5, aproximadamente 256 bits). Os números se referem aos postos dos módulos no esquema. Os tamanhos das chaves públicas são, respectivamente, 1312, 1952 e 2592 bytes. O tamanho da assinatura do ML-DSA-65 é de 3293 bytes, em comparação com 64 bytes da Ed25519 para 128 bits de segurança.

A desvantagem mais significativa do ML-DSA em comparação com ECDSA ou EdDSA é o tamanho da assinatura. As assinaturas do ML-DSA-65 têm 3293 bytes, contra 64 bytes da Ed25519. Em protocolos que transmitem muitas assinaturas, como cadeias de certificados TLS e assinatura de código, isso aumenta a largura de banda. No entanto, a assinatura e a verificação do ML-DSA são muito rápidas, comparáveis ou mais rápidas que as do ECDSA; portanto, o compromisso está principalmente no custo de comunicação.

O SLH-DSA (algoritmo de assinatura digital baseado em funções de resumo sem estado), padronizado como FIPS 205, deriva do SPHINCS+. Diferentemente dos esquemas baseados em reticulados, a segurança do SLH-DSA depende apenas da resistência a colisões e à segunda pré-imagem da função de resumo subjacente, SHA-256 ou SHAKE-256. Isso torna o SLH-DSA extremamente conservador: ele continua seguro mesmo que as hipóteses sobre reticulados sejam quebradas.

O SLH-DSA se baseia no WOTS+ (assinatura de uso único de Winternitz), um esquema baseado em funções de resumo no qual a chave privada é um conjunto de cadeias aleatórias, e a chave pública é obtida aplicando repetidamente a função de resumo a cada uma delas. A assinatura envolve aplicar parcialmente a função de resumo com base nos bits da mensagem. O WOTS+ só pode ser usado com segurança uma vez por par de chaves; usá-lo duas vezes revela informações. O SLH-DSA cria assinaturas para múltiplas utilizações sobre o WOTS+ por meio de árvores.

O SLH-DSA usa uma hiperárvore: uma árvore de árvores de Merkle. Cada folha é a chave pública de uma instância do WOTS+. A raiz é a chave pública do SLH-DSA. Uma assinatura consiste na assinatura WOTS+ da mensagem e no caminho de autenticação da folha até a raiz. A estrutura de hiperárvore permite gerar muitas assinaturas a partir de um único par de chaves usando folhas WOTS+ diferentes.

O SLH-DSA possui 12 conjuntos de parâmetros que combinam a função de resumo, SHA-256 ou SHAKE-256, o nível de segurança, 128s/128f, 192s/192f ou 256s/256f, e a otimização, em que s significa assinaturas pequenas e f significa assinatura rápida. A variante 128f tem assinaturas de 7856 bytes e assinatura rápida; a 128s também tem 7856 bytes, mas é mais lenta. Todas são muito maiores que as do ML-DSA, mas têm a hipótese de segurança mais forte possível.

O ML-DSA é preferível quando o desempenho e a largura de banda são importantes e as hipóteses sobre reticulados são consideradas confiáveis. O SLH-DSA é preferível em implementações extremamente conservadoras, nas quais apenas a segurança das funções de resumo é considerada confiável, ou para proteção contra possíveis avanços futuros que quebrem os reticulados. Autoridades certificadoras e sistemas governamentais que assinam raramente, mas precisam de máxima garantia, podem preferir o SLH-DSA, enquanto servidores TLS que assinam com frequência prefeririam o ML-DSA.

O FN-DSA (FIPS 206, baseado no FALCON) oferece assinaturas menores que o ML-DSA, 897 bytes no FALCON-512 para 128 bits de segurança, usando reticulados NTRU e amostragem gaussiana. No entanto, o FALCON exige uma implementação cuidadosa em tempo constante para evitar ataques de canal lateral decorrentes do amostrador gaussiano. Espera-se que o FIPS 206 seja padronizado após os FIPS 203–205 e ofereça uma opção de alto desempenho para ambientes com recursos limitados.

Qual é a principal vantagem de segurança do SLH-DSA em relação ao ML-DSA?

O ML-DSA (FIPS 204) usa Fiat-Shamir com abortos sobre Module-LWE, oferecendo assinatura rápida com assinaturas de 3 KB, no nível de segurança de 192 bits. O SLH-DSA (FIPS 205) usa árvores de Merkle baseadas em funções de resumo (WOTS+), dependendo apenas da segurança das funções de resumo e produzindo assinaturas de 7–50 KB. O ML-DSA é preferível para aplicações sensíveis ao desempenho; o SLH-DSA, para o máximo conservadorismo. O FN-DSA (FALCON, FIPS 206) acrescentará uma opção baseada em reticulados com assinaturas menores.