BLS Signature

有了 bls12-381 的 precompile 的支援，就可以實作 BLS Signature。

Hashing to the curve

BLS Signature 對於訊息雜湊有作略微的修改，將訊息的雜湊值直接對應到橢圓曲線上，以下借用 reference^[https://medium.com/cryptoadvance/bls-signatures-better-than-schnorr-5a7fe30ea716] 的圖示：

最簡單的方法是像往常一樣對訊息進行雜湊處理 (在 evm 以 keccak256 最為方便)，並將結果視為點的 X 座標，代入橢圓曲線計算是否有對應的 Y 座標。由於並不是每個 X 都找得到 Y 座標出來，所以會在雜湊附加上額外的訊息，例如 counter 之類的計數器，找不到則增加 counter 再計算一次，直到找到為止。

Key Generation

公私鑰的產生方式和一般橢圓曲線密碼學差不多，私鑰為一個 scalar，公鑰為 $G_{1}$ 上的點。數學式如下：

p r i v k ey p u bk ey = d \in F_{p} = [d] G_{1}

Sign

過程分兩個步驟，首先先計算出訊息的 Hash to curve:

H (m s g) = [h] G_{2}

再來將其和私鑰相成以做成簽名 $S$ :

S = d \times H (m s g) = [d h] G_{2}

Verify

驗證演算法需要三個 input:

公鑰 $p u bk ey = [d] G_{1}$
訊息 $m s g$
簽名 $S$

驗證主要透過 Pairing 進行:

e (p u bk ey, H (m s g)) e ([d] G_{1}, [h] G_{2}) [d h] G_{T} = ? e ([1] G_{1}, S) = ? e ([1] G_{1}, [d h] G_{2}) = ? [d h] G_{T}

Signature Aggregation

BLS12-381 可以支援 signature aggregation 功能，也就是將多個簽名聚合並一塊驗證。假設這邊有兩把私鑰，分別簽名了不同的訊息:

p r i v k ey 1 p r i v k ey 2 p u bk ey 1 p u bk ey 2 S_{1} S_{2} = d_{1} \in F_{p} = d_{2} \in F_{p} = [d_{1}] G_{1} = [d_{2}] G_{1} = [d_{1} h_{1}] G_{2} = [d_{2} h_{2}] G_{2}

驗證如下：

S_{s u m} e ([1] G_{1}, S_{s u m}) e ([1] G_{1}, S_{1}) \cdot e ([1] G_{1}, S_{2}) = S_{1} + S_{2} = [d_{1} h_{1} + d_{2} h_{2}] G_{2} = e ([1] G_{1}, S_{1} + S_{2}) = e ([1] G_{1}, S_{1}) \cdot e ([1] G_{1}, S_{2}) = ? e (p u bk e y_{1}, [h_{1}] G_{2}) \cdot e (p u bk e y_{2}, [h_{2}] G_{2})

wiasliaw

Explorer