科普 | MuSig2 如何称之为简单且高度实用的两轮多重签名方案


​Musig2 介绍


Musig2 是一种多重签名方案,是 MuSig 签名方案的一个新变体。MuSig 允许多个签名者从他们各自的私钥中创建一个聚合公钥,然后共同为该公钥创建一个有效签名,通过这个方式创建的聚合公钥与其他公钥是无法区分的。最初的 MuSig 需要三轮签名,但是新的 MuSig2 方案实现了一个简单的只需要两轮的签名协议,而且不需要零知识证明。

MuSig2 是一种简单且高度实用的两轮多重签名方案,具有优势:

i) 在并发签名会话下是安全的,

ii) 支持密钥聚合,

iii) 输出普通 Schnorr 签名,

iv) 只需要两轮通信,

v) 具有与普通 Schnorr 签名相似的签名者复杂性。

同时,Taproot 升级兼容 Musig2 多签方案。在我们 ChainX 跨链新方案中,将采用 Musig2 签名方案来完成聚合签名的过程。

原文 | Daiwei


01Musig2 原理


上图来源于原始论文,描述了 Musig2 签名的基本过程。Musig2 签名首先需要参与方各自通过 KeyGen() 生成公私钥并通过 Sign() 生成临时公私钥(即nonce)。然后进行第一轮通信,将临时公钥(即上图中的 out_i)传递给其他人。拿到其他各方的临时公钥后可以通过 SignAgg() 和 Sign'() 两个函数生成签名碎片 out'_i。最后进行第二轮通信,将签名碎片 out'_i 传递给其他人,拿到其他各方的签名碎片后,就可以通过 SignAgg'() 和 Sign''() 生成最终的签名 σ。图中 KeyAgg() 表示公钥聚合函数,Ver 表示 Musig2 验签函数。Musig2 聚合签名最终形式和 Schnorr 普通签名的形式一致,可以表示为(R, s)。下文展示了 rust 版本 Musig2 的部分实现。


02  签名


1 生成密钥: 各方生成随机私钥并计算相应公钥

2 生成nonce:各方生成临时公私钥

在函数 create_vec_from_private_key() 中,Musig2 为了两轮通信完成聚合签名,会产生 Nv 对临时公私钥。sign() 函数的返回值 msg 包含了所有的临时公钥,可以通过 P2P 网络传递给其他人。

下图代码中通过 party1_received_msg_round_1 和 party2_received_msg_round_1 模拟了该过程。

3 生成签名碎片:完成两个函数功能

下面代码中通过 sign_prime() 函数完成了论文中 SignAgg() 和 Sign'() 两个函数的功能。参数中 message 表示待签名的消息,pks 表示各个参与方所有公钥的有序列表,party_index 代表当前参与方的公钥在 pks 中的索引。sign_prime() 函数主要是利用私钥 self.keypair 和临时公钥 msg_vec 聚合成的 c, R, b_coefficients 来生成签名碎片 s_i。这里的 c 表示 message 进行 hash 生成的消息摘要,R 是 Musig2 聚合签名最终结果的第一项,b_coefficients 是生成签名碎片的系数。通过 P2P 网络将签名碎片 s_i 传递给其他人。

下图代码中通过 party1_received_msg_round_2 和 party2_received_msg_round_2 模拟了该过程。

4 聚合签名碎片:生成Musig2聚合签名的第二项

收集到其他各方的签名碎片后,通过 sign_double_prime() 生成 Musig2 聚合签名的第二项。该函数主要是对签名碎片进行累加操作。s_total_1 和 s_total_2 表示参与各方各自生成的聚合签名碎片,正常情况下,两者是一致的。


03 验签


上图通过 verify() 函数展示了 Musig2 的验签过程。参数中 r_x, signature 对应 Musig2 聚合签名的(R,s),X_tilde 代表聚合公钥,c 和前文一致,表示 message 进行 hash 生成的消息摘要。


04 总结


总的来看,Musig2 只需通过两轮通信即可完成聚合签名的过程。相比于 Musig,主要差别在于 nonce 的生成过程。其中 Musig2 每一个参与方生成了多对临时公私钥,而 Musig 仅仅生成一对临时公私钥。这也是 Musig2 仅仅需要两轮通信的根本原因。同时,Musig2 是利用 Schnoor 签名基本原理形成的多签方案,可以很好的兼容 Taproot 升级并应用于我们的 ChainX 跨链升级新方案中。

写评论,请先登录