为什么比特币社区现在就开始讨论格基签名
比特币现有的 Schnorr 与 ECDSA 签名依赖椭圆曲线离散对数难题，1994 年 Shor 算法从数学上证明了足够强大的量子计算机可以破解这类签名。虽然这样的机器何时问世仍无定论，但比特币的共识规则一旦上线就极难更改，签名算法的迁移往往需要数年甚至更长的社区协调周期。因此研究者倾向于提前准备候选方案，而不是等到威胁迫近才仓促应对。Blockstream 研究院近期发布了一份针对比特币格基签名的完整研究报告，系统梳理了格密码在比特币场景下的可行性，本文以常见问题的形式对该报告的核心内容做一次梳理。
格密码并非新事物，其数学研究已超过一个世纪，密码学应用也发展了近三十年。在后量子密码体系中，格基签名受到关注的原因在于：它的公钥与签名总尺寸最低可小于 1.6 千字节，同时其代数结构未来有希望支持多签、门限签名以及简洁证明等比特币生态常用的密码学组件。不过，能否真正部署到比特币链上，还要看它能否满足比特币特有的约束条件，这正是报告重点回答的问题。
评估一个后量子签名方案要看哪四项指标
链上成本是首要指标。当一笔输出被花费时，公钥和签名都会记录在链上，全节点需要下载并长期存储每一个字节，因此公钥与签名的总大小直接关系到区块空间占用与节点负担。验证开销同样关键，每一笔签名都要经过全网节点验证，验证速度慢会给整个网络的传播与同步带来压力。报告在对比各方案时，会把尺寸与验证耗时放在一起权衡，而不是只看单一数字。
实现复杂度、部署风险与发展潜力构成另外三项标准。实现复杂度关注方案能否被安全实现，如果设计需要浮点运算或精细的高斯采样，一旦实现出错或遭遇计时分析这类侧信道攻击，就可能泄露密钥。部署风险涉及共识层面的哈希函数选型、跨平台签名结果的可复现性，以及签名程序是否适配硬件钱包的内存限制。发展潜力则聚焦 BIP-32 分层确定性机制：绝大多数比特币钱包通过单个主公钥就能衍生出无穷多子公钥，而目前标准化的后量子签名方案都不原生支持该特性，补充这一能力的代价需要被认真评估。
安全等级该选几级，为什么不能只看体积
NIST 将安全等级划分为 1 至 5 级，等级越高安全性越强，但对应的密钥与签名体积也更大。报告认为比特币至少应当采用 3 级安全标准。原因在于比特币输出可能数十年不被花费，如果密码分析技术进步导致方案实际安全等级下降，资产就会被削弱后的密钥锁定，长期暴露在风险之下。格密码假设已经经受了近三十年公开密码分析，比比特币采纳椭圆曲线时的研究积淀还要更久，但其复杂的代数结构仍存在不少可供未来攻击利用的突破口。
各大主流产品也做出了相同判断。苹果的 iMessage PQ3 协议直接舍弃 1 级格密码参数，全程使用 3 级与 5 级参数；Cloudflare 在后量子 TLS 部署中使用 ML-KEM-768（3 级），表示虽然 1 级目前看起来安全，但需要为未来数十年的密码分析预留安全余量。比特币的安全时间跨度比以上两者还要更长，因此提升安全等级带来的体积代价是必须接受的成本。举例来说，Dilithium 从 2 级提升至 3 级，总大小会增加约 1.5 千字节，报告对比了全部安全等级下的参数集，供读者自行权衡。
Dilithium、Falcon、Hawk 三者各自卡在哪里
Dilithium 被 NIST 标准化为 FIPS 204 标准中的 ML-DSA，它将 Schnorr 签名的承诺-挑战-响应范式迁移到模块格算术之上。它最大的特点是简洁，全部运算均为整数运算，包括环运算、矩阵向量乘法、哈希与取整，没有浮点运算，也不需要离散高斯采样，因此更容易编写出安全、恒定时间的实现，落地也最广泛，已经集成进 OpenSSL、BoringSSL、AWS-LC 以及 Apple CryptoKit。代价是体积偏大，3 级安全的 ML-DSA-65 公钥 1952 字节、签名 3309 字节，合计 5261 字节，约为比特币原生公私钥加签名总大小的 55 倍，在同安全等级的三个方案中体积最大。
Falcon 被 NIST 选定后标准化名称为 FN-DSA，三者之中最为精简。1 级安全的 Falcon-512 公钥加签名合计 1563 字节，5 级安全的 Falcon-1024 合计 3073 字节，安全余量更高的 Falcon-1024 体积甚至小于 3 级的 Dilithium。Falcon 采用与 Dilithium 不同的思路，基于 NTRU 格的哈希-签名模式，签名者的私钥是格的一组短基，消息被哈希映射到空间后再求解。这种设计带来紧凑体积的同时，也引入了浮点运算与高斯采样，实现难度和侧信道风险相应上升。Hawk 的遭遇则证明保守的安全考量绝非纸上谈兵，报告对其安全性给出了明确警示。至于 Dilithium 的公钥派生能力，报告分析了三种变体，其中派生逻辑完全放在钱包软件内部、链上只需标准验证器处理普通 ML-DSA 签名的一种被称为 DilithiumRKS，但三者均尚未达到上线标准：两种变体需要修改验证器，DilithiumRKS 本身还缺少完整的不可伪造性证明，且全部方案都依赖全网共用的矩阵，会把所有密钥的安全绑定到同一个实例上。报告认为现阶段基于 Dilithium 的公钥派生仅属于概念验证，无法投入实际部署。
