Leighton-Micali Signature (LMS) 是一种数字签名方案，旨在在量子计算机可能破解传统加密的世界中保护我们的数据安全。与依赖复杂数学的经典RSA或 ECC 算法不同，LMS 使用基于哈希的方法，使其能够极强地抵御量子攻击。很酷的一点是什么？它是一种状态签名方案，这意味着它会跟踪使用情况以保持安全性，这既是它的优势，也是它的挑战。

后量子密码学（PQC）的重要性

为什么这很重要？量子计算不再只是科幻小说，而是真实存在的，而且发展迅速。一旦量子计算出现，我们今天所依赖的加密技术就会像饼干一样崩溃。这就是 PQC 介入的地方，它提供抗量子算法来保护我们的数字世界的安全。LMS 就是其中的佼佼者之一，它为从代码签名到保护固件更新等所有方面提供了强大的替代方案。

现实世界的应用和相关性

那么，LMS 究竟适合于哪些领域呢？想想物联网设备、卫星通信和关键基础设施——这些系统需要长期安全，并能有效地管理加密状态跟踪以防止密钥重用。对于可能无法进行高强度加密的低功耗设备来说，LMS 也是一个不错的选择。凭借 NIST 的认可，LMS 已不只是理论上的——它已经开始融入企业安全战略。

基于哈希的签名方案概述

基于哈希的签名

想象一下，您的数字签名就像门上的锁。传统的锁（如 RSA 或 ECC）非常坚固，直到有人拿出一把量子钥匙，在几秒钟内打开它们。这就是基于哈希的签名的用武之地。这些签名不依赖于常见的数学，而是使用加密哈希函数，这就像数据的超安全指纹识别。由于量子计算机很难破解哈希函数，因此基于哈希的签名是抵御未来量子威胁的坚实防御。

有状态与无状态

说到基于哈希的签名，主要有两种类型：有状态的和无状态的。

• 有状态签名方案（例如 LMS、XMSS）：可以将其视为您最喜欢的咖啡店里的打卡机。每次签署某项内容时，您都需要使用卡片上的下一个插槽。如果您忘记了并重复使用插槽，则安全性可能会受到破坏。这使得状态管理变得非常重要，但也有点棘手。
• 无状态签名方案（例如 SPHINCS+）：现在，想象一下，您每次都可以获得一张新的打卡卡，而无需跟踪。这就是无状态方案所提供的 - 无需管理状态。它们更灵活，但通常以更大的签名和更多的计算开销为代价。

那么，为什么要费心使用像 LMS 这样的有状态选项呢？因为它们往往更高效、更轻量，非常适合内存和处理能力有限的场景，例如物联网设备或嵌入式系统。

深入探讨 LMS (Leighton-Micali 签名) 方案

LMS 的工作原理

好吧，让我们深入探讨一下 LMS 的细节，但不要让它看起来像是数学讲座。LMS 是一种基于哈希的数字签名方案，这意味着它依赖于加密哈希函数来生成和验证签名。关键思想是什么？它将密钥组织成树结构（称为 Merkle 树），其中每个节点都是其子节点的哈希值。树的根充当公钥，每个叶子代表一次性签名 (OTS)。

以下是 LMS 工作原理的简化分步视图：

1. 密钥生成
   1. 使用哈希函数构建一棵树，其叶子上有 OTS 密钥。
   2. 根哈希用作公钥。
2. 签名生成
   1. 使用叶子节点上的一个 OTS 密钥对消息进行签名。
   2. 为了验证签名，验证者需要 OTS 密钥和身份验证路径（通向根的哈希值）。
3. 确认
   1. 验证者重建树路径并检查计算出的根是否与公钥匹配。
   2. 如果确实如此，那么签名就是合法的。

棘手的部分是什么？状态管理——由于每个 OTS 密钥只能使用一次，因此您必须跟踪已使用过的密钥，以避免安全风险。

LMS 与 XMSS

现在，你一定想知道：如果 LMS 这么棒，我们为什么需要它？好问题！LMS 和 XMSS（扩展 Merkle 签名方案）都是基于状态哈希的签名方案，但它们有一些关键区别：

何时使用 LMS？

• 如果您需要快速签名验证（例如，固件签名、物联网设备）。
• 如果您需要以较低的计算成本进行大规模签名。

何时使用 XMSS？

• 如果您优先考虑紧凑签名而不是速度。
• 如果您的用例需要更好的安全保障。

LMS 和 XMSS 都是不错的选择，但 LMS 往往因其简单性和可扩展性而在实际部署中胜出。这就是为什么 NSA 和NIST等组织推荐 LMS 用于后量子加密应用，尤其是在效率至关重要的情况下。

LMS 中的状态管理

为什么状态在 LMS 中很重要？

好吧，事情是这样的：LMS 是一种有状态的签名方案，这意味着每次你签名时，你都必须跟踪使用了哪个一次性签名 (OTS) 密钥。如果你不小心重复使用密钥（即使一次），你的安全性就会受到损害——攻击者可以提取你的私钥并伪造签名。这可不是什么好事。

可以将其想象成熟食柜台的票务系统——每个顾客（签名）都会获得一个唯一的号码，一旦使用，号码就消失了。如果您两次发出同一张票，系统就会崩溃。这就是为什么使用 LMS 时适当的状态管理至关重要。

如何防止状态跟踪错误？

由于失去对状态的追踪可能会带来灾难性的后果，因此这里有一些确保安全和高效的最佳做法：

1. 使用可靠的存储机制
   • 将当前状态计数器存储在非易失性存储器中（这样，如果系统崩溃，它不会重置）。
   • 如果可能，避免使用本地文件；最好使用HSM（硬件安全模块）。
2. 原子更新以防止密钥重用
   • 在生成签名之前更新状态，而不是之后（以避免因崩溃而导致两次签名）。
   • 实施崩溃恢复机制来检测不一致性。
3. 基于硬件的解决方案
   • Luna Network HSM 支持安全密钥全生命周期管理，确保密钥不会被意外重复使用。
   • 基于云的硬件安全服务（如 Luna Cloud HSM）还可以提供带有审计日志的状态跟踪。
4. 使用冗余备份（但要小心）
   • 将状态备份保存在单独的安全存储位置。
   • 要格外小心，因为在未验证当前状态的情况下恢复备份仍可能导致密钥重用。
5. 在软件中实现故障保护
   • 添加基于软件的安全措施，以检查签名之前密钥是否已被使用。
   • 如果可能的话，集成日志和警报机制，当出现异常时通知系统管理员。

标准化与合规性

NIST 特别出版物 800-208 中的 LMS

在加密标准方面，NIST（美国国家标准与技术研究所）就像冠军赛中的裁判；他们制定规则，每个人都遵守。在特别出版物 800-208 中，NIST 正式批准 LMS 作为一种有状态哈希-哈希签名方案，用于在后量子世界中保护数字签名。

LMS 为何能入选？

• 量子安全：能够抵抗量子计算机的攻击。
• 轻量级：适用于低功耗和嵌入式设备。
• 高效：与其他一些 PQC 替代方案相比，签名生成和验证速度更快。

这项批准意味着 LMS 现已被认可为希望确保未来安全性的组织的合法选择。如果您正在处理固件签名、物联网安全或卫星通信，那么是时候开始考虑迁移到 LMS 了。

NSA 的 CNSA 2.0

如果 NIST 的批准还不够，那么 NSA（国家安全局）也大力支持 LMS。在 CNSA 2.0（商业国家安全算法套件）中，NSA 特别建议从 2025 年开始在某些高安全性应用程序中采用 LMS 和 XMSS。

那么，简单来说这意味着什么呢？

• 如果您的组织处理机密数据、国家安全或关键基础设施，则强烈建议（或要求）尽快采用 LMS/XMSS。
• 随着各国政府为最终出现量子计算威胁做好准备，此举是向后量子密码学更广泛转变的一部分。

由于 NIST 和 NSA 都支持 LMS，它不再只是一项实验性技术。它正在成为某些行业的强制性安全措施。

实施注意事项

所以，您确信 LMS 是未来——太棒了！但是，您如何在不破坏一切的情况下真正实现它呢？好吧，过渡到后量子密码学 (PQC)并不像拨动开关那么简单。您需要应对一些真正的挑战。

迁移到 LMS（或任何 PQC 算法）的挑战

1. 状态管理很令人头痛
   • 与传统签名（如 RSA 或 ECC）不同，LMS 是有状态的，这意味着您必须跟踪已使用哪些一次性签名（OTS）密钥。
   • 如果你搞砸了状态跟踪，那么游戏就结束了。一次密钥重用就可能破坏安全性，使状态管理成为最大的技术障碍。
2. 与旧系统的兼容性
   • 大多数现有基础设施都是围绕 RSA/ECC 构建的，因此切换到 LMS 意味着确保软件、固件和硬件可以处理它。
   • LMS 签名比 RSA/ECC 签名更大，因此您需要确保存储和带宽限制不是问题。
3. 缺乏广泛的工具和支持
   • 虽然 LMS 是标准化的，但它并不像传统加密算法那样受到广泛支持。
   • 许多软件库和安全解决方案尚未完全集成 PQC，因此可能需要进行一些定制开发。

将 LMS 集成到现有系统中

1. 使用混合加密（实现平稳过渡）
   • 不要立即替换 RSA/ECC，而是并行运行 LMS 一段时间。
   • 这使您可以测试 LMS 而不会破坏与旧系统的兼容性。
2. 利用硬件安全模块 (HSM) 进行密钥和状态管理
   • HSM 是安全密钥存储和自动状态跟踪的最佳选择。
   • Thales HSM 支持 LMS 并确保密钥不会被意外重复使用。
3. 更新 PKI 和签名工作流程
   • 如果您的组织依赖PKI（公钥基础设施），则需要调整颁发和管理证书的方式。您可以利用我们的证书生命周期管理工具CertSecure Manager来完成此任务。
   • LMS 的工作方式与传统的基于证书的系统不同，因此密钥生命周期管理可能会发生一些变化。
4. 优化性能和可扩展性
   • LMS 比其他一些 PQC 算法更快，但签名大小和密钥管理开销仍然会影响性能。
   • 确保您的系统可以处理管理大量签名所需的额外存储和处理能力。

迁移到 LMS 并非一朝一夕就能完成的事情。但借助 HSM 集成、混合加密和谨慎的状态管理，您可以在不破坏现有系统的情况下确保未来安全性。关键是现在就开始规划，以便在量子时代到来时，您已准备好实施它。

揽阁信息提供的 Thales Luna HSM，已经获得FIPS 140-3 Level 3认证，支持PQC算法，可以满足您对量子签名的需求，欢迎联系我们进行跟深入的交流。

揽阁信息 · 值得您信赖的信息安全顾问！

相关文章：

• 微软的 Majorana 1 突破：CISO 的后量子安全路线图
• PQC 准备的“最新”指南
• Luna HSM SW v7.9.0、FW v7.8.9 和 UC v10.8 现已推出
• Luna HSM 为抗量子数字证书提供安全核心支撑
• NIST 选择 HQC 作为后量子加密的第五种算法：这对您意味着什么
• 实现 PKI 现代化，为 PQC 做好准备