LayerZero Labs 推出了 Aerie，其开发者称这是一个研究系统，能在 Apple 笔记本电脑上、无需 GPU 加速的情况下，于 0.65 秒内聚合 32,768 个抗量子 Falcon 签名。
摘要
- 使用 16 个工作线程，在 0.65 秒内聚合了 32,768 个 Falcon-512 签名。
- Aerie 的标准聚合包含保留的签名数据，而更小的共享盐版本需要额外条件。
- 研究人员报告称，其证明生成速度比 leanVM 更快，而 leanVM 的证明验证速度更快。
- NIST 将 Falcon 列为正在标准化中的算法，与其已最终确定的 ML-DSA 签名标准分开。
LayerZero 在 10 月 16 日的公告中指出，来自其自身团队、a16z crypto research、卡内基梅隆大学和伦敦帝国理工学院的研究人员是该项目的贡献者，该项目建立在 Akita 密码学证明系统之上。
随附的论文提出了一种将数千个数字签名合并为一个有效性证明的方法。其作者围绕权益证明区块链面临的一个问题来构建这项工作，即验证者签署消息以确认网络状态，而其他参与者必须检查这些签名。
根据该论文，以太坊目前使用 BLS 签名将大约 32,000 个验证者投票合并为一个很小的签名。BLS 无法抵御量子攻击，而美国标准官员选择的后量子替代方案缺乏同样的内置聚合能力。
Aerie 将证明生成时间降至一秒以内
在该团队的 Apple M4 Max 基准测试中，Aerie 使用 16 个工作线程处理 Falcon-512 批次，峰值内存使用量达到 2.1 GiB。第二个工作负载包含 16,384 个 Falcon-1024 签名，耗时 0.63 秒，内存需求相似。
研究人员将 Falcon-1024 描述为更高安全性的选项，其签名更大，计算量也比 Falcon-512 更多。他们的论文报告称，当限制为单线程时，为任一工作负载生成证明大约需要 4.3 秒。
根据基准测试表，在单核上检查完成的 Falcon-512 聚合耗时 54 毫秒，而逐个检查签名则为 519 毫秒。使用 16 个线程时，相应数字分别为 11.6 毫秒和 42.9 毫秒。
该论文直接描述了批次构造方式。
“一个证明覆盖整个批次，无需递归。”
据作者称，避免递归消除了创建中间证明并通过连续轮次组合它们的需要。他们的设计允许持有签名的另一个节点在原始聚合器失败时生成替代证明。
更小的证明仍携带签名数据
研究人员解释说，Aerie 保留了每个签名中的一个短随机值，称为盐，以便验证者可以直接计算相关哈希。该证明处理剩余的数学检查，并使用 Akita 来支持该构造。
对于 32,768 个签名的 Falcon-512 工作负载，论文报告聚合大小为 1,346 KiB，包括盐和标头。其证明部分约占 66 KiB，而保留的盐构成了剩余数据的大部分。
作者将标准聚合定为每个签名 42.1 字节，比它所替代的填充 Falcon 签名小约 16 倍。他们的尺寸测量不包括单独提供给验证者的公钥和消息。
根据该论文，共享盐可以将完整聚合降至约 66 KiB，但该估计取决于单独的签名策略和安全假设。研究人员明确表示，该尺寸估计并不能证明符合该策略。
与早期的 Falcon 聚合系统 Orthus 相比，该团队报告称，在同一服务器上，证明生成速度快 1.5 倍，验证速度快 38 倍，证明小 1.7 倍。论文对该比较进行了限定，解释说 Orthus 的工作负载省略了 Aerie 执行的签名格式检查。
以太坊对比涉及不同的签名设计
该论文将 Aerie 与 leanVM 进行了比较，后者是以太坊基于哈希的聚合工作的一部分。正如 crypto.news 此前报道的那样，以太坊研究人员一直在开发证明基础设施，以压缩大型后量子签名供网络使用。
在第 6.3 节中，Aerie 的作者报告称，在同一台 M4 Max 上运行 leanVM，并使用所有核心在 0.51 秒内聚合了 900 个 XMSS 签名。他们的比较显示，在这些条件下，Aerie 的 Falcon-512 证明吞吐量是 leanVM 的 XMSS 吞吐量的 29 倍。
研究人员报告了在验证方面的一种权衡。在引用的配置中，LeanVM 证明在单线程上于 5.9 至 6.5 毫秒内完成验证，快于 Aerie 针对其 32,768 个签名批次所取得的 54 毫秒单线程结果。
另一项以太坊工作探讨了验证者如何采用新签名。一份八月草案提出了一种后量子就绪的存款合约，具有可变长度的加密数据以及一种淘汰新 BLS 存款的机制。
该提案的 GitHub 记录仍为草案提交。其描述指明了一种不可逆的 BLS 淘汰模式，而讨论记录显示仍有未解决的技术反馈和审查要求。
在其 9 月 7 日的优先事项文件中，以太坊基金会的协议集群设定了一个2029 年 12 月的抗量子目标，涵盖执行、共识和数据。基金会称 2030 年到来量子威胁是一个刻意激进的规划假设，预计外部专家将从 2027 年 1 月开始帮助重新评估进展。
美国标准将 Falcon 与已最终确定的替代方案区分开来
美国国家标准与技术研究院将 ML-DSA 和 SLH-DSA 列为 2024 年 8 月最终确定的数字签名标准。其当前的项目概览将 Falcon 认定为被选中进行持续标准化，这一状态与那些已完成的标准不同。
NIST 建议各组织开始迁移易受攻击的系统，并将 2035 年确定为其标准中移除量子易受攻击算法的终点，高风险系统则更早过渡。
LayerZero 表示 ML-DSA 聚合已在 Aerie 内部运行，但确切的性能数据和实现细节在其公告中仍待公布。
