区块链系统的密码学协议——含确保区块链系统及平台量子稳定性(Quantum Stability)的协议

《Sci》：Cryptographic Protocols for Blockchain Systems, Including Protocols for Ensuring the Quantum Stability of Blockchain Systems and Platforms

　　

随着量子计算的发展，保障分布式账本安全的经典密码系统（RSA、ECDSA）面临根本性威胁。本文研究了考虑"现在 harvest 以后解密（Harvest Now, Decrypt Later, HNDL）"策略下区块链中个人数据(Personal Data, PD)的保护协议，研究人员提出并形式化了一组用于在区块链系统中存储和交换个人数据的协议族。文章详细描述了基于所开发协议在以太坊平台（采用ECIES(Elliptic Curve Integrated Encryption Scheme)与Keccak-256）和Hyperledger Fabric 2.5平台（集成NIST后量子标准：ML-KEM(Module-Lattice-Based Key Encapsulation Mechanism)与ML-DSA(Module-Lattice-Based Digital Signature Algorithm)）上的软件实现方法。针对所有开发的协议，给出了威胁代理模型(Threat Agent Model, TAM)，分析了威胁场景并证明其对典型攻击场景的抗性。进行了计算效率与开销的对比分析。结果表明格密码提供高性能，但签名体积增大50倍使得直接在Layer 1公链网络实施后量子密码学(Post-Quantum Cryptography, PQC)在经济上不可行，因此提出混合模型及使用Layer 2以确保量子抗性(Quantum Resistance)。

论文解读——《Sci》：区块链系统的密码学协议——含确保区块链系统及平台量子稳定性的协议

研究背景与立项依据

分布式账本技术改变了数字资产与数据的管理方式，但将个人数据(Personal Data, PD)直接写入区块链与隐私要求产生根本冲突：区块链交易透明且数据不可篡改(Immutable Ledger)，违反最小化原则及《通用数据保护条例》(General Data Protection Regulation, GDPR)中被遗忘权。现有方案如链下存储(Distributed Hash Table, DHT)仅存哈希指针，牺牲了区块链完整性保障并增加终端节点负担。"现在收集、日后解密(Harvest Now, Decrypt Later, HNDL)"策略使攻击者今日截获密文待密码相关量子计算机(Cryptographically Relevant Quantum Computer, CRQC)问世后解密，而区块链不可篡改性意味着今日上链的个人数据将永久暴露于未来量子分析之下。经典椭圆曲线数字签名算法(Elliptic Curve Digital Signature Algorithm, ECDSA, secp256k1曲线)在Shor算法下可被多项式时间恢复私钥，故亟需研究抗量子且兼顾隐私保护的区块链协议。

研究对象与目标

研究人员以"链上存哈希与访问控制策略、敏感数据存链下加密库"为架构基础，开发四个协议：基于用户公钥的安全存储与交换协议(Protocol 1)、链上个人数据验证协议(Protocol 2)、区块链上面具化公钥传输协议(Protocol 3, 基于Shamir三趟加密/三方密钥交换)、基于共享对称密钥的安全存储与交换协议(Protocol 4, 结合椭圆曲线Diffie–Hellman(ECDH)生成共享密钥)。目标为最小化明文数据量、将密集密码运算集中于智能合约、实现选择性信息披露，并在以太坊与Hyperledger Fabric 2.5上分别用经典与NIST后量子标准(NIST PQC: ML-KEM即FIPS 203, ML-DSA即FIPS 204)实现与测评。

主要关键技术方法

研究人员采用形式化协议描述与可证明安全(Provable Security)归约至底层密码原语强度（非对称加密IND-CCA2、签名EUF-CMA、哈希抗第一/第二原像及碰撞），建立Dolev-Yao模型适配的威胁代理模型(Threat Agent Model, TAM)分析四类攻击（未授权访问、身份欺骗/中间人、数据篡改、重放）。在以太坊(Ganache私链)用Solidity智能合约+Python web3.py客户端实现Protocol 1~2（ECIES + Keccak-256, secp256k1），在Hyperledger Fabric 2.5用Node.js链码(Chaincode)集成noble-post-quantum库实现ML-KEM-768与ML-DSA-65的后量子模式及经典ECDH+ECDSA对照。性能测评涵盖不同数据体量(32 B / 1 MB / 10 MB)加解密速度、Gas消耗(solc 0.8.20优化)、存储开销(Storage Overhead)、吞吐量(Transactions Per Second, TPS)及延迟，并用Hyperledger Caliper压测。

研究结果

2.1 问题陈述(Statement of the Problems)

研究人员指出公链无法直接存个人数据（GDPR冲突）、终端节点非对称负载过重、链下存储丧失完整性保障三大局限，明确协议须满足：仅授权用户写入、个人数据以密文上链、任意用户可验数据有效性、仅授权用户可取回明文，并列出六项开发目标。

2.3 Protocol 1：基于用户公钥的区块链个人数据安全存储与交换协议(Protocol for Storing and Exchanging PD Based on User's Public Keys)

用户A用自身公钥加密个人数据C得M₁=E_pubKa(C)，计算IdC的哈希H₁与C的哈希H上链并设置访问标志；用户B请求时合约校验H₂=H₁及B在白名单，通知A；A解密M₁后用B公钥重加密得M₂并签名发还；B验证A签名及哈希一致性((H=H**)∧(H₁″=H₁))。安全证明显示：无法绕过智能合约地址-公钥绑定绕过标志位(Theorem 1)，拦截流量无法解密IND-CCA2密文(Theorem 2)，地址空间伪装需2¹⁶⁰次Keccak-256原像搜索不可行(Theorem 3)，即便MitM注入假公钥会因IdB不匹配致签名校验失败(Theorem 4)，M₁/M₂篡改会被ECDSA签名与二次原像抵抗哈希检出(Theorem 5, 6)，重放受链上Nonce与会话哈希绑定阻断(Theorem 7)。

2.4 Protocol 2：链上个人数据验证协议(A Protocol for Validating PD Stored in the Blockchain)

无权限验证者D发起含时间戳t₁与H₂=Hash(IdC)的请求，合约调A；A从M₁还原C提取IdC拼接t₁用D公钥加密M₃=E_pubKd(IdC+t₁)返链；D解密验证t₁′=t₁及Hash(IdC)=H₂。研究人员证明：M₁受IND-CCA2保护、H₁不可逆、M₃仅D可解且验证环节不泄露明文DataC(Theorem 8)；伪造M₃需知IdC否则哈希校验失败(Theorem 9)；重放旧M₃因t₁不匹配被拒(Theorem 10)。

2.5 Protocol 3：区块链上面具化公钥传输协议(A Protocol for Transmitting Public Keys Through the Blockchain in a Masked Form)

基于Shamir三趟协议(Shamir's Three-Pass Protocol)在乘法剩余群Z_p*操作：A选随机k_A,k_A^-1，发X_a=(pubK_a)^k_Amod p；B选k_B,k_B^-1收X_a算Y_a=X_a^k_B发回；A算Z_a=Y_a^k_A-1发B；B算Z_a^k_B-1=pubK_a。研究人员证明被动截获{X_a,Y_a,Z_a}归约为离散对数问题(Discrete Logarithm Problem, DLP)不可解(Theorem 11)；中间人替换X_a为伪值致最终去掩失败得随机噪声无法获合法公钥(Theorem 12)，指出后量子场景可用CSIDH(Commutative Supersingular Isogeny Diffie–Hellman)替代（格基ML-KEM/ML-DSA无交换律）。

2.6 Protocol 4：基于共享对称密钥的区块链个人数据安全存储与交换协议(Protocol for Storing and Exchanging PD Based on a Shared Secret Key)

A与B预协商共享密钥K_ab（可由Protocol 3+ECDH生成），A用K_ab对称加密(如AES-256-GCM)得M₁=E_Kab(C)与H₁、H上链；B请求经标志校验后取{M₁,H₁,H}自行解密并验哈希。研究人员证明：链上读取M₁归约为对称加密IND-CPA不可破(Theorem 13)；地址伪装需破解ECDSA或2¹⁶⁰原像搜索被阻(Theorem 14)；信道中替换M₁→M₁*解密后哈希二次原像校验必失败(Theorem 15)；若数据更新链上哈希变化旧包重放被识破(Theorem 16)。此协议规避后量子大签名反复验证，适合高频批量交换。

2.7 威胁代理模型(Defining the Threat Agent Model, TAM)

假设包括：密码原语强度(IND-CCA2/EUF-CMA/抗碰撞哈希、对称完全安全)、智能合约正确执行、账本不可篡改、合法用户私钥保密、A持合法数据且在线、时钟同步、扩展欧几里得可逆、CSPRNG随机、链上中转完整。攻击者具全局窃听、主动发交易、尝试地址碰撞能力(Dolev-Yao适配)。

2.8–2.11 各协议安全性证明(Security Proof for Protocol 1–4)

如上分协议已归纳，所有协议均形式化证明抗未授权访问、身份欺骗(MitM)、数据篡改(完整性破坏)及重放攻击。

3.1 各类混合密码算法性能评估(Performance Evaluation of Various Hybrid Cryptographic Algorithms)

测试表明EC+ElGamal直接加密大数据不可行(10 MB需349.44 s)，ECDH+AES-NI最优(10 MB仅0.0203 s)，俄罗斯标准Kuznyechik(草蜢Grasshopper, CTR)为0.152 s可接受。后量子ML-KEM/ML-DSA加解密速度快但签名尺寸剧增：经典ECDSA签名65 B，ML-DSA-65签名3293 B（>50倍），公钥由32 B增至约2560 B（~80倍）；以太坊交易载荷自1226 B增至10415 B（~8.5倍）。

3.2 以太坊平台实现(Implementation on the Ethereum Platform)

Solidity合约SecureTextExchange.sol存Base64密文、H₁(bytes32)、H*(bytes32)、S₁(65 B)；客户端Python层做secp256k1-ECIES：临时密钥对→ECDH共享秘密→HKDF→AES-256-GCM密钥。私钥不出客户端，Keccak-256索引发掘不需解密即可定位记录。Gas测算与GUI(Tkinter)演示完整五步校验流程。

3.3 Hyperledger Fabric平台实现(Implementation on the Hyperledger Fabric Platform)

Fabric 2.5两组织、CouchDB状态库、Docker部署；Node.js链码支持经典ECDH/ECDSA与后量子ML-KEM-768(Kyber)+ML-DSA-65(Dilithium)混合切换；World State可直接存3.3 KB PQC签名无Gas惩罚。经典模式与PQC模式存同量数据(30 KB文本)链上包分别增约5 KB。研究人员指出公链直接嵌PQC致Gas成倍涨、TPS降90–95%、State Bloat加速全节点中心化，私有链则可吸收开销。

3.4 所开发协议与现有方案对比(Comparison of Developed Protocols with Existing Ones)

相比单纯链下哈希或IPFS明文引用，本协议族提供链上访问控制、可验证性、选择性披露及量子前瞻设计。提出缓解策略：后量子签名存数据可用层(Data Availability, DA)仅锚哈希根、Layer 2(Optimistic/ZK-Rollup)执行多步协议、自动修剪中间掩码参数(Ephemeral State Pruning)；分阶段迁移路径：阶段1混合双签(ECDSA+ML-DSA)、阶段2后量子地址派生前缀路由、阶段3硬分叉废弃经典账户；Protocol 4用对称AES-256-GCM(抗Grover需≥256 bit密钥)隔离L1免于格签名验证膨胀。

3.5 使用后量子算法的协议开销实验测评(Experimental Evaluation of the Overhead Costs When Using Post-Quantum Algorithms)

量化各协议存储开销：Protocol 1含PQ-KEM密文+ML-DSA签名增数KB；Protocol 4仅增KEM密文(对称部分不变)；Protocol 3不适于格基宜用CSIDH。以太坊Gas随calldata字节线性增长，Fabric饱和吞吐1250 TPS(Protocol 1)、以太坊峰120 TPS受区块Gas Limit(30 M)限；Fabric平均延迟0.15 s(峰1.2 s/2000并发)，以太坊平均2.3 s/区块；Protocol 3单轮密钥交换网传≈3.6 KB。

讨论与结论总结

研究人员得出结论：量子威胁已非理论，"HNDL"策略使今日上链经典加密个人数据面临未来必然披露风险，NIST已于2024年8月定稿ML-KEM(FIPS 203)与ML-DSA(FIPS 204)。在以太坊(ECIES+Keccak-256)与Hyperledger Fabric 2.5(ML-KEM+ML-DSA)上的实现与测评表明，后量子算法计算效率高但密码构件尺寸剧增（签名>50倍、公钥~80倍），直接在公链Layer 1存储致State Bloat与经济不可行，私有链/联盟链(如Hyperledger Fabric)可承受该开销。推荐采用经典-后量子混合双签名、Layer 2或签名聚合及Protocol 4对称密钥模式隔离L1膨胀，为区块链系统向量子稳定(Quantum-Stable)架构的分阶段迁移提供协议基础与实证依据。