原文标题：《干货|Schnorr签名如何提升比特币》，作者Stepan
在阅读Blockstream撰写的?MuSig?论文时，我一直在想象，这对于我一个比特币用户来说，到底意味着什么。我发现Schnorr签名的一些特性实在是非常棒而且便利，但某一些特性则非常烦人。在这篇文章里，我希望能跟各位分享我的想法。不过，我们先快速回顾一下。
椭圆曲线签名算法
当前比特币的所有权体系用的是?ECDSA。在签名一条消息?m?时，我们先哈希这条消息，得出一个哈希值，即?z=hash(m)?。我们也需要一个随机数k?。在这里，我们不希望信任随机数生成器，所以我们通常使用?RFC6979，基于我们所知的一个秘密值和我们要签名的消息，计算出一个确定性的k。
使用私钥?pk?，我们可以为消息?m?生成一个签名，签名由两个数组成：r和?s=(z+r*pk)/k。
然后，使用我们的公钥?P=pk*G?，任何人都可以验证我们的签名，也就是检查?(z/s)×G+(r/s)×P?的x坐标确为?r。
ECDSA算法图解。为便于说明，椭圆曲线作在实数域上?
这种算法是很常见的，也非常好用。但还有提升空间。首先，签名的验证包含除法和两次点乘法，而这些操作的计算量都非常大。在比特币网络中，每个节点都要验证每一笔交易，所以当你在网络中发出一笔交易时，全网几千个节点都要验证你的签名。因此，即使签名的过程开销变得更大，让验证签名变得更简单也还是非常有好处的。
上海：支持生产性互联网服务平台引入垂类大模型、产业元宇宙等技术:金色财经报道，上海市人民政府办公厅印发《关于促进本市生产性互联网服务平台高质量发展的若干意见》。其中提出，加快新技术的整合应用。市经信委总工程师葛东波在市政府新闻发布会上表示，聚焦现代化产业体系，打造以新技术赋能的各类平台。例如，面向生物医药，要运用区块链等技术培育具有全渠道供给能力的服务平台。面向汽车产业，打造基于区块链和隐私计算技术的全场景服务平台。同时，还要支持平台引入垂类大模型、产业元宇宙、增强现实等技术，要搭建基于订单驱动的专业服务平台，运用区块链、物联网等技术建设碳管理公共服务平台。[2023/7/19 11:03:31]
其次，节点在验证签名时，每个签名都要单独验证。在一个m-n的多签交易中，节点必须多次验证同一个签名。比如一笔7-11的多签名交易，里面包含了7个签名，网络中的每个节点都要分别验证7个签名。另外，这种交易的体积也非常大，用户必须为此付出多得多的手续费。
Schnorr签名
Schnorr签名的生成方式有些许不同。它不是两个标量?(r,s)，而是一个点?R?和一个标量?s?。类似于ECDSA签名，R是一个椭圆曲线上的随机点?R=k*G。而签名的第二部分s的计算过程也有一些不同：?s=k+hash(P,R,m)?pk?。这里pk就是你的私钥，而?P=pk*G?是你的公钥，m就是那条消息。验证过程是检查?s*G=R+hash(P,R,m)*P。
上海：打造元宇宙关键技术创新策源高地:金色财经报道，上海市委副书记、市长龚正今天（22日）主持召开市政府常务会议，会议原则同意《上海元宇宙关键技术攻关三年专项行动方案（2023—2025年）》并指出，要发挥市场作用，把上海打造成为元宇宙关键技术的创新策源高地。要做好三方面工作，一是战略，把握创新规律，讲究策略方法，超前部署、科学布局、有序突破。二是应用场景，推动元宇宙新技术、新产品、新模式率先在文化旅游、全民健身、数字城市等领域落地，打造一批典型场景。三是监管，统筹发展与安全，坚持包容审慎，守牢安全底线。[2023/5/22 15:19:08]
图解Schnorr签名和验证?
这个等式是线性的，所以多个等式可以相加相减而等号仍然成立。这给我们带来了Schnorr签名的多种良好特性。
1.批量验证
在验证区块链上的一个区块时，我们需要验证区块中所有交易的签名都是有效的。如果其中一个是无效的，无论是哪一个——我们都必须拒绝掉整个区块。
ECDSA的每一个签名都必须专门验证，意味着如果一个区块中包含1000条签名，那我们就需要计算1000次除法和2000次点乘法，总计约3000次繁重的运算。
但有了Schnorr签名，我们可以把所有的签名验证等式加起来并节省一些计算量。在一个包含1000笔交易的区块中，我们可以验证：
(s1+s2+…+s1000)×G=(R1+…+R1000)+(hash(P1,R1,m1)×P1+hash(P2,R2,m2)×P2+…+hash(P1000,R1000,m1000)×P1000)
上海：推动区块链等新一代信息技术与工业软件融合:金色财经报道，9月10日，上海市经济信息化委、市发展改革委、市科委、市国资委和市地方金融监管局联合制定并印发《上海市促进工业软件高质量发展三年行动计划（2021-2023年）》。主要任务包括：提高工业软件供给能力，大力推进工业软件融合新技术，推进工业软件国产化应用，营造工业软件产业生态发展环境。推动5G、VR、大数据、人工智能和区块链等新一代信息技术与工业软件融合，大力发展智能工业软件。重点集聚发展融合机器学习、人工智能、云技术、流程自动化的ERP、MES系统等。（中国证券网）[2021/9/10 23:15:35]
这里就是一连串的点加法和1001次点乘法。已经是几乎3倍的性能提升了——验证时只需为每个签名付出一次重运算。
两个签名的批量验证。因为验证等式是线性可加的，所以只要所有的签名都是有效的，这几个等式的和等式也必成立。我们节约了一些运算量，因为标量和点加法比点乘法容易计算得多。
2.密钥生成
我们想要安全地保管自己的比特币，所以我们可能会希望使用至少两把不同的私钥来控制比特币。一个在笔记本电脑或者手机上使用，而另一个放在硬件钱包/冷钱包里面。即使其中一个泄露了，我们还是掌控着自己的比特币。
当前，实现这种钱包的做法是通过2-2的多签名脚本。也就是一笔交易需要包含两个独立的签名。
上海：建设100个支持数字人民币支付的AI食堂:8月23日消息，据上海市经济与信息化委员会透露，已规划在全市推广100个AI社区食堂，其中将部署AI识别智能结算台，实现数字人民币等多种支付方式的结算，目前初步计划到今年年底推出10至20个。（科技日报）[2021/8/23 22:30:45]
有了Schnorr签名，我们可以使用一对密钥(pk1,pk2)，并使用一个共享公钥?P=P1+P2=pk1*G+pk2*G?生成一个共同签名。在生成签名时，我们需要在两个设备上分别生成一个随机数，并以此生成两个随机点?Ri=ki*G，再分别加上?hash(P,R1+R2,m)，就可以获得s1和s2了。最后，把它们都加起来即可获得签名?(R,s)=(R1+R2,s1+s2)，这就是我们的共享签名，可用共享公钥来验证。其他人根本无法看出这是不是一个聚合签名，它跟一个普通的Schnorr签名看起来没有两样。
不过，这种做法有三个问题。
第一个问题是UI上的。要发起一笔交易，我们需要在两个设备上发起多轮交互——为了计算共同的R，为了签名。在两把私钥的情况下，只需访问一次冷钱包：我们可以在热钱包里准备好待签名的交易，选好k1并生成?R1=k1*G，然后把待签名的交易和这些数据一同传入冷钱包并签名。因为已经有了R1，签名交易在冷钱包中只需一轮就可以完成。从冷钱包中我们得到R2和s2，传回给热钱包。热钱包使用前述的签名交易，把两个签名加总起来即可向外广播交易了。
这在体验上跟我们现在能做到的没有什么区别，而且每当你加多一把私钥，问题就会变得更加复杂。假设你有一笔财富是用10把私钥共同控制的，而10把私钥分别存放在世界各地，这时候你要发送交易，该有多麻烦！在当前的ECDSA算法中，每个设备你都只需要访问一次，但如果你用上Schnorr的密钥聚合，则需要两次，以获得所有的Ri并签名。在这种情况下，可能不使用聚合，而使用各私钥单独签名的方式会好一些——这样就只需要一轮交互。
央行上海：比特币交易平台、ICO清理整顿和取缔工作基本完成:央行上海总部副主任孙辉在7日举办的上海市政府新闻发布会上表示，互联网金融风险集中整治是从2016年开始，这两年多来取得了明显的成效，存量风险大幅度下降，增量风险得到有效防控。全国违规业务规模下降了近57%，违规机构大量退出市场。同时，新领域的风险得到了化解。比如境内比特币交易平台、ICO清理整顿和取缔工作已经基本完成。“现金贷”整治也取得扎实进展。目前境内比特币交易平台已经基本退出市场，ICO全部被取缔，体现了防范金融风险的决心和成效。[2018/6/7]
文章完成后，我得到了ManuDrijvers的反馈：在一个可证明安全性的多签名方案中，你需要3轮交互：
选择一个随机数ki以及相应的随机点Ri=ki\?G，然后告诉每一个设备Ri的哈希值ti=hash(Ri)，然后每个设备都能确保你没有在知道其他人的随机数之后改变主意*
收集所有的数字Ri并计算公共的R
签名
第二个问题是已知的Rogue密钥攻击。这篇论文讲解得非常好，所以我就不赘述了。大概意思是如果你的其中一个设备被黑，并假装自己的公钥是?，那就可以仅凭私钥pk1便控制两个私钥共享的资金。一个简单的解决方案是，在设置设备时，要求使用私钥对相应的公钥签名。
还有第三个重大问题。你没法使用确定性的k来签名。如果你使用了确定性的k，则只需一种简单的攻击，黑客即可获得你的私钥。攻击如下：某个黑客黑入你的笔记本电脑，完全控制了其中一把私钥。我们感觉资金仍是安全的，因为使用我们的比特币需要pk1和pk2的聚合签名。所以我们像往常一样发起交易，准备好一笔待签名的交易和R1，发送给我们的硬件钱包，硬件钱包签名后将发回给热钱包……然后，热钱包出错了，没法完成签名和广播。于是我们再试一次，但这一次被黑的电脑用了另一个随机数——R1'。我们在硬件钱包里签名了同一笔交易，又将发回给了被黑的电脑。这一次，没有下文了——我们所有的比特币都不翼而飞了。
在这次攻击中，黑客获得了同一笔交易的两个有效的签名：和。这个R2是一样的，但是?R=R1+R2?和?R'=R1'+R2?是不同的。这就意味着黑客可以计算出我们的第二个私钥：s2-s2'=(hash(P,R1+R2,m)-hash(P,R1'+R2,m))?pk2?或者说?pk2=(s2-s2')/(hash(P,R1+R2,m)-hash(P,R1'+R2,m))。我发现这就是密钥聚合最不方便的地方——我们每次都要使用一个好的随机数生成器，这样才能安全地聚合。
3.Musig
MuSig?解决了其中一个问题——roguekey攻击将不能再奏效。这里的目标是把多方/多个设置的签名和公钥聚合在一起，但又无需你证明自己具有与这些公钥相对应的私钥。
聚合签名对应着聚合公钥。但在MuSig中，我们不是把所有联合签名者的公钥直接相加，而是都乘以一些参数，使得聚合公钥?P=hash(L,P1)×P1+…+hash(L,Pn)×Pn?。在这里，L=hash(P1,…,Pn)?——这个公共数基于所有的公钥。L的非线性特性阻止了攻击者构造特殊的公钥来发动攻击。即使攻击者知道他的?hash(L,Patk)×Patk?应该是什么，他也无法从中推导出Patk来——这就跟你想从公钥中推导出私钥是一样的。
签名构造的其它过程跟上面介绍的很像。在生成签名时，每个联合签名者都选择一个随机数ki并与他人分享?Ri=ki*G。然后他们把所有的随机点加起来获得?R=R1+…+Rn?，然后生成签名?si=ki+hash(P,R,m)?hash(L,Pi)?pki?。因此，聚合签名是?(R,s)=(R1+…+Rn,s1+…+sn)?，而验证签名的方法与以前一样：s×G=R+hash(P,R,m)×P?。
4.默克尔树多签名
你可能也注意到了，MuSig和密钥聚合需要*所有签名者签名一个交易*。但如果你想做的是2-3的多签名脚本呢？这时候我们能够使用签名聚合吗，还是不得不使用通常的OP_CHECKMULTISIG和分别签名？
先说答案，是可以的，但是协议上将有些许的不同。我们可以开发一个类似于OP_CHECKMULTISIG的操作码，只不过是检查聚合签名是否对应于公钥默克尔树上的一个元素。
举个例子，如果我们想用公钥P1、P2和P3组成一个2-3的多签名脚本，我们需要用这几把公钥的所有两两组合、、来构建一棵默克尔树，并把默克尔树根公布在锁定脚本中。
在花费比特币时，我们需要提交一个签名和一个证据，证明这个签名所对应的公钥位于由这个树根标记的默克尔树上。对于2-3多签名合约来说，树上只有3个元素，证据只需2条哈希值——那个我们想用的公钥组合的哈希值，还有一个邻居的。对于7-11多签名脚本来说，公钥组合有11!/7!/4!=330种，证据需要8条哈希值。通常来说，证据所包含的元素数量与多签名的密钥数量大体成正比，为?log2(n!/m!/(n-m))?。
但有了默克尔公钥树，我们就不必局限于m-n多签名脚本了。我们可以做一棵使用任意公钥组合的树。举个例子，如果我们有一个笔记本电脑，一个手机，一个硬件钱包和一个助记词，我们可以构建一棵默克尔树，允许我们使用笔记本电脑+硬件钱包、手机+硬件钱包或者单独的助记词来使用比特币。这是当前的OP_CHECKMULTISIG做不到的——除非你使用“IF-Else”式的流程控制来构造更复杂的脚本。
聚合公钥的默克尔树。不仅仅是多签名?
结论
Schnorr签名很棒，它解决了区块验证中的一些计算开销问题，也给了我们密钥聚合的能力。后者在使用时有些不便利，但我们不是在强迫大家使用它——无论如何，我们都可以仍旧使用普通的多签名方案，使用单独的、不聚合的签名。
我迫不及待想使用Schnorr签名，希望比特币协议能尽快纳入这种签名方案。
另外，我也真心喜欢?MuSig，它是个优雅的方案，论文也浅显易懂。我强烈建议各位有闲之时通读全文。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。