作者批评了ML-DSA哈希函数设计中的问题，特别是先将公钥进行哈希处理的做法（µ），这在签名者身份嵌入消息体时给验证带来了困难。文章指出了防止重放攻击的签名实践与无需读取完整消息即可验证签名之间的实际挑战之间的矛盾。
背景
ML-DSA（模块格基数字签名算法）是NIST标准化的后量子签名方案。文章讨论了其域分离和哈希方法中一个影响实际协议实现的微妙设计问题。
- 来源
- Lobsters
- 发布时间
- 2026年10月14日 06:01
- 评分
- 6.0 / 10
作者批评了ML-DSA哈希函数设计中的问题，特别是先将公钥进行哈希处理的做法（µ），这在签名者身份嵌入消息体时给验证带来了困难。文章指出了防止重放攻击的签名实践与无需读取完整消息即可验证签名之间的实际挑战之间的矛盾。
ML-DSA（模块格基数字签名算法）是NIST标准化的后量子签名方案。文章讨论了其域分离和哈希方法中一个影响实际协议实现的微妙设计问题。