BLS署名

BLS署名とは？

BLS署名は、メッセージが秘密鍵の保有者によって承認されたことを証明するために、暗号資産システムで使われるデジタル署名方式です。

名称のBLSは、論文「Short Signatures from the Weil Pairing」で短い署名方式を紹介した研究者、Boneh、Lynn、Shachamの頭文字に由来します。

暗号資産分野でBLS署名が高く評価されている主な理由は、複数の個別署名を1つのコンパクトな集約署名にまとめられることです。

この集約機能により、ブロックチェーンはデータ保存量や必要な帯域幅を削減し、多数のバリデーターによる承認をより効率的に検証できます。

通常のデジタル署名は、1つの秘密鍵で1つのメッセージに署名したことを証明します。一方、集約BLS署名は、すべての署名を個別に保存せずに、複数の秘密鍵でメッセージに署名したことを証明できます。

そのため、BLS署名はProof of Stakeのコンセンサス、バリデーター委員会、閾値署名、マルチシグウォレット、クロスチェーン通信など、多数の参加者によるイベント承認が必要なシステムで役立ちます。

CFRG BLS署名ドラフトでは、BLSは集約機能を持つ、決定論的で、非可鍛性かつ効率的なデジタル署名方式として説明されています。

暗号資産ユーザー向けに簡単に説明すると、BLS署名は、より少ないデータで多数の承認をブロックチェーンに証明させる仕組みです。

暗号資産においてBLS署名が重要な理由

ブロックチェーンでは、短時間で大量の署名を検証する必要が生じることがあります。

バリデーターは、ブロック、アテステーション、チェックポイント、投票、ブリッジメッセージ、オラクルレポート、ガバナンス上のアクションに署名します。

すべての署名を個別に保存・検証しなければならない場合、ネットワークにはより多くのディスク容量、帯域幅、処理能力が必要になる可能性があります。

BLS署名は複数の署名を1つにまとめることで、この問題の解決に役立ちます。

ブロックの承認やファイナリティ投票のように、多数のバリデーターが同じメッセージに署名する場合に特に有効です。

参加者は、何百、何千もの署名をネットワークに送る代わりに、関連する公開鍵または参加者リストとともに、1つの集約署名を送信できます。

これにより、多数のバリデーターを抱えるブロックチェーンシステムを、より効率的でスケーラブルに設計できる可能性があります。

ただし、あらゆる状況でブロックチェーンが自動的に高速化するわけではありません。署名処理のオーバーヘッドを削減するための強力な暗号技術を、プロトコル設計者に提供するものです。

BLS署名の仕組み

BLS署名は、秘密鍵、公開鍵、メッセージを使って生成されます。

秘密鍵は秘密にすべき数値であり、決して共有してはいけません。

公開鍵は秘密鍵から導出され、ネットワーク上で共有できます。

バリデーターやウォレットがメッセージに署名する際、まずメッセージを楕円曲線上の点に写像します。

安全でないハッシュ処理は署名方式の安全性を損なう可能性があるため、この写像は慎重に行う必要があります。

RFC 9380のハッシュ・トゥ・カーブ仕様では、任意のバイト列を楕円曲線上の点に安全にハッシュする方法が説明されています。

メッセージを曲線上の点に写像した後、署名者は秘密鍵を使って署名点を生成します。

検証者は、公開鍵、メッセージ、および双線形ペアリングと呼ばれる数学的演算を使って署名を検証します。

このペアリング演算が、BLS署名を多くのほかの署名方式と異なるものにしています。

秘密鍵そのものを明かすことなく、秘密鍵が正しく使われたことを検証者が確認できるようにします。

署名集約とは？

署名集約とは、複数の有効な署名を1つの署名にまとめる機能です。

BLSでは、署名が楕円曲線上の点であり、それらを加算できるため、集約が可能です。

10人のバリデーターが同じメッセージに署名した場合、10個のBLS署名を1つの集約署名にまとめられます。

1,000人のバリデーターがチェックポイントに署名する場合も、署名を1つの集約署名にまとめられます。

その後、検証者は参加したバリデーターの公開鍵に照らして集約署名を検証できます。

最終的な証明を、元の署名一式より大幅に小さくできる可能性があるため、これは有用です。

ブロックチェーンでは、証明データの小型化によって、ブロックの軽量化、伝播の高速化、ネットワーク負荷の低減につながる可能性があります。

ユーザーにとっては、ネットワークの応答性とスケーラビリティを支える基盤インフラの改善につながる可能性があります。

開発者にとって、BLS集約は、多数の独立した参加者が同じデータに署名するプロトコルを設計しやすくします。

BLS署名とProof-of-Stakeのバリデーター

BLS署名は、特定のネットワークイベントへの合意をバリデーターが定期的に証明する必要があるため、Proof of Stakeのブロックチェーン設計で広く議論されています。

バリデーターは、ブロック提案、アテステーション、ファイナリティ投票に署名する必要が生じる場合があります。

多数のバリデーターが署名する場合、不要なデータをいつまでも保持せずに承認数を集計する、信頼性の高い方法がネットワークに必要です。

BLS集約は、多数のバリデーターによる承認を、コンパクトな1つの暗号学的オブジェクトとして表現できるため有用です。

Ethereumのコンセンサス仕様は、コンセンサスレイヤーでBLS関連の署名ロジックを採用するProof of Stake設計のよく知られた例です。

これは、BLS署名が理論上の暗号技術にとどまらないことを示すため、暗号資産の学習において重要です。

実際のブロックチェーンシステムで、大規模なバリデーター間の連携を支えるために使われています。

集約がなければ、多数のバリデーターを抱えるシステムは、同じ水準の暗号学的な説明責任を記録するために、より多くの帯域幅と保存容量を必要とする可能性があります。

BLS12-381とBLS署名

BLS署名には、BLS12-381と呼ばれるペアリング対応楕円曲線がよく使われます。

BLSが署名方式の名称と曲線ファミリーの名称の両方に含まれるため、混乱を招く場合があります。

「BLS署名」のBLSは、Boneh、Lynn、Shachamを指します。

「BLS12-381」のBLSは、Barreto、Lynn、Scottにちなんで名付けられた、ペアリング対応曲線のファミリーを指します。

BLS署名にはペアリング対応曲線が必要であり、BLS12-381が現代の暗号資産システムでよく使われる曲線の1つであるため、実用上は両者に関連があります。

ペアリング対応曲線は、BLSの検証に必要な双線形ペアリング演算をサポートします。

BLS12-381は、多くのブロックチェーン用途において、実用的な性能と高い安全性のバランスが取れているため広く使われています。

ただし、BLS12-381を使うシステムが、ほかのすべてのBLS実装と自動的に互換性を持つと開発者が考えてはいけません。

互換性は、暗号スイート、シリアライズ規則、ハッシュ・トゥ・カーブ方式、ドメイン分離、部分群チェック、プロトコルがProof of Possessionを使うかどうかにも左右されます。

BLS署名方式の主な構成要素

BLS署名方式は、鍵生成、署名、検証、集約で構成されます。

鍵生成では、秘密鍵と公開鍵のペアを作成します。

署名では、秘密鍵を使って特定のメッセージに署名します。

検証では、メッセージと公開鍵に対して署名が有効かどうかを確認します。

集約では、複数の署名を1つの署名にまとめます。

集約検証では、まとめられた署名が、対応するメッセージと公開鍵に対して有効かどうかを確認します。

実際の実装には、公開鍵の検証、部分群チェック、暗号スイート識別子、ドメイン分離タグ、ローグキー攻撃への対策などが含まれることもあります。

こうした詳細は技術的に聞こえるかもしれませんが、安全な暗号資産インフラには欠かせません。

実装上の小さなミスで、強力な署名方式が脆弱なシステムになりかねません。

BLSのBasic、Augmented、Proof-of-Possession方式

CFRGのBLSドラフトでは、セキュリティ要件と性能要件に応じた複数のBLS方式が説明されています。

Basic方式はシンプルですが、複数の公開鍵を扱う際には慎重な処理が必要です。

Augmented方式では署名対象のメッセージ入力に公開鍵を含めるため、集約に関連する一部の問題への対策になります。

Proof-of-Possession方式では、公開鍵を集約に使えるものとして受け入れる前に、署名者がその公開鍵に対応する秘密鍵を実際に管理していることを証明する必要があります。

適切な検証なしに公開鍵を受け入れると、BLS集約はローグキー攻撃に対して脆弱になる可能性があるため、Proof of Possessionは重要です。

ローグキー攻撃では、悪意のある参加者が、別の参加者の公開鍵を数学的に相殺または操作できる公開鍵を選ぶ場合があります。

安全なシステムでは、鍵を検証し、ユーザーに対応する秘密鍵を知っていることの証明を求めることで、こうした攻撃を防ぎます。

バリデーターの識別情報や投票権が、巧妙な公開鍵操作によって偽造されないようにすることは、ブロックチェーンのバリデーターにとって特に重要です。

ローグキー攻撃とは？

ローグキー攻撃は、マルチシグまたは集約署名システムで起こり得る脅威です。

攻撃者が暗号技術そのものを直接破るとは限りません。

その代わり、攻撃者は他者の公開鍵と関連する悪意ある公開鍵を登録します。

プロトコルが秘密鍵の所有証明を求めない場合、攻撃者は不正な方法で集約署名を有効に見せかける可能性があります。

このため、多くのBLSベースの暗号資産システムでは、公開鍵の検証とProof of Possessionが不可欠です。

堅牢なBLS設計では、最終的な署名を確認するだけではありません。

各公開鍵が有効で、申告された参加者のものであり、適切な部分群およびエンコード規則に従っていることも確認します。

ユーザーが理解しておくべきことは、BLSは強力ですが、適切な安全規則に従って実装する必要があるという点です。

BLS署名と従来のデジタル署名の比較

ECDSAやSchnorr方式の署名など、従来のデジタル署名は、秘密鍵の所有を証明し、トランザクションを承認できます。

BLS署名も基本的な役割は同じですが、非常に有用な集約機能を備えています。

ペアリング演算は計算負荷が高いため、BLS署名は単独で検証する場合、よりシンプルな署名方式より時間がかかることがあります。

一方、多数の署名をまとめて検証する場合、BLSは有力な選択肢になり得ます。

ここでは、個別検証にかかるコストと集約検証の効率性の間でトレードオフが生じます。

単純な1回の支払いでは、BLSが明らかに最適な選択肢とは限りません。

バリデーター委員会や閾値署名システムでは、多数の署名をコンパクトに表現できるため、BLSが非常に有用な場合があります。

暗号資産プロトコルは、あらゆる用途で最良だからという理由ではなく、設計目標に基づいて署名方式を選びます。

マルチシグシステムにおけるBLS署名

マルチシグシステムでは、アクションを承認するために複数の署名者が必要です。

たとえば、トレジャリーウォレットでは、送金に複数のチームメンバーの承認を必要とする場合があります。

異なる秘密鍵による署名を結合できるため、BLS署名はマルチシグ設計に活用できます。

これにより、すべての承認を個別に保存するよりも、最終署名を小さくして検証しやすくできる可能性があります。

設計によっては、多数の人が承認していても、オンチェーンではBLSマルチシグを1つの署名のように見せられます。

これにより、プライバシーの向上、データ量の削減、複雑な認可ポリシーの扱いやすさにつながる可能性があります。

ただし、システムには安全な鍵登録、Proof of Possession、明確な署名ルール、リプレイ攻撃への対策が引き続き必要です。

コンパクトな署名も、それを取り巻くウォレットやプロトコルの設計が安全でなければ意味がありません。

閾値暗号技術におけるBLS署名

閾値暗号技術では、グループが共同で署名鍵を管理します。

閾値ルールでは、5人中3人、15人のバリデーター中10人など、最低参加人数を満たすことで有効な署名を作成できる場合があります。

部分署名を1つの最終署名にまとめられるため、BLSは一部の閾値署名設計と相性がよい方式です。

これにより、1人または1台のサーバーが管理する単一の秘密鍵に、分散型システムが依存することを避けやすくなります。

暗号資産のカストディでは、閾値署名により単一障害点を減らせる可能性があります。

ブロックチェーンインフラでは、ブリッジ、バリデータークラスター、オラクルネットワーク、分散型ガバナンスシステムを閾値署名で支えられます。

主な利点は、1人の署名者がすべての署名権限を単独で持つ必要がないことです。

主なリスクは、閾値システムが複雑であり、慎重な設計、監査、運用が求められることです。

ブロックチェーンブリッジにおけるBLS署名

ブロックチェーンブリッジでは、あるネットワークでイベントが発生したことを複数の独立した参加者が確認した後、別のネットワークで関連するアクションを実行する必要があることがよくあります。

BLS集約により、ブリッジ運営者は多数の承認を1つの証明にまとめられます。

これにより、オンチェーンに送信する必要があるデータ量を削減できる可能性があります。

データ量の削減は、コストを抑え、使いやすさを向上させる可能性があります。特に、接続先チェーンが計算やストレージに応じて手数料を課す場合に有効です。

ただし、BLS署名だけでブリッジが安全になるわけではありません。

ブリッジの安全性は、バリデーターの選定、鍵管理、不正対策、監視、アップグレードルール、署名グループの経済的安全性にも左右されます。

BLSは暗号技術のツールであり、完全な信頼モデルではありません。

ユーザーは署名方式だけに注目せず、ブリッジの設計全体を評価する必要があります。

暗号資産ウォレットにおけるBLS署名

日常的に使う暗号資産ウォレットのほとんどでは、ユーザーがBLS署名を直接理解する必要はありません。

通常、ユーザーが目にするのは簡単な承認画面、トランザクションハッシュ、またはバリデーターのステータスページです。

その裏側では、バリデーター、カストディシステム、ステーキングインフラ、マルチシグツールなどでBLSが使われている場合があります。

BLSベースの署名を使うウォレットでも、ほかの暗号資産の秘密鍵と同様に、秘密鍵を厳重に保護する必要があります。

秘密鍵が盗まれると、攻撃者がメッセージに署名したり、プロトコル上のアクションに参加したりする可能性があります。

秘密鍵を失うと、署名権限やバリデーターの管理権限にアクセスできなくなる場合があります。

BLSはバリデーターシステムでよく使われるため、鍵管理が不十分だと、報酬の取り逃し、ペナルティ、運用上の障害につながる可能性があります。

ウォレットのセキュリティを保つには、確実なバックアップ、安全なデバイス、フィッシング対策、慎重なトランザクション確認が引き続き重要です。

BLS署名のメリット

BLS署名の最大の利点は、署名を集約できることです。

集約により、多数の承認を表すために必要なデータ量を削減できます。

これにより、ブロックチェーンネットワークは大規模なバリデーターセットをより効率的に処理できます。

BLS署名は決定論的でもあります。つまり、同じ鍵とメッセージを使う場合、署名時に新たな乱数に依存せず、予測可能な署名処理が行われます。

これは、乱数の不備が原因でほかの署名方式に生じる一部のリスクを低減する可能性があります。

また、署名と検証が明確な数学的関係に従うため、概念上は比較的理解しやすい方式です。

多くの署名の貢献をまとめられるため、マルチシグや閾値システムにも役立ちます。

暗号資産インフラでは、こうした利点がスケーラビリティ、バリデーター間の連携、コンパクトな証明、よりシンプルなプロトコル設計を支える可能性があります。

BLS署名の制約とリスク

BLS署名が、あらゆる暗号資産の用途に最適というわけではありません。

ペアリング演算は、よりシンプルな楕円曲線演算と比べて、処理コストが高くなる場合があります。

また、実装の詳細は基本的な仕組みから想像する以上に複雑です。

開発者は、ハッシュ・トゥ・カーブ規則、部分群チェック、シリアライズ、ドメイン分離、鍵の検証、Proof-of-Possessionロジックを正しく扱う必要があります。

これらに不備があると、無効な鍵をシステムが受け入れたり、リプレイ攻撃が可能になったり、期待される安全性を確保できなくなったりする場合があります。

バリデーターが定期的な署名のためにオンライン状態を維持する必要があるホットキーを使用する場合、BLS署名は運用上のリスクも生みます。

ホットキーは自動署名に便利ですが、完全にオフラインで保管された鍵よりもリスクにさらされやすくなります。

そのため、BLSベースのバリデーターシステムには、強固な運用セキュリティ、監視、スラッシング対策、安全なバックアップ手順が必要です。

BLSにおけるドメイン分離とは？

ドメイン分離とは、ある目的のために作成された署名が、別の目的に再利用されないようにする方法です。

暗号資産では、同じメッセージのバイト列が複数のコンテキストで使われる場合があります。

ドメイン分離がなければ、あるプロトコル上のアクションを承認する署名が、別のアクションへの承認として誤って解釈される可能性があります。

BLSシステムでは、署名を特定の用途に結び付けるため、ドメイン分離タグや暗号スイート識別子を使うことがよくあります。

これにより、リプレイ攻撃や異なるプロトコル間の混同を防ぎやすくなります。

たとえば、バリデーターの投票、出金関連のメッセージ、ガバナンス承認では、プロトコルが意図的に許可していない限り、同じ署名コンテキストを共有すべきではありません。

同じ曲線を使う2つのBLSシステムでも互換性がない場合があるのは、ドメイン分離が理由の1つです。

曲線は、署名仕様全体を構成する要素の1つにすぎません。

BLSにおけるハッシュ・トゥ・カーブとは？

ハッシュ・トゥ・カーブとは、メッセージを楕円曲線上の有効な点に変換する処理です。

BLS署名はメッセージに関連する曲線上の点から作られるため、この処理が必要です。

通常のハッシュ関数はバイト列を生成しますが、BLSでは適切な数学的群に属する点が必要です。

この変換では、偏り、無効な点、サイドチャネル上の脆弱性を避けなければなりません。

そのため、最新の実装では独自の簡易的な方法ではなく、仕様が明確に定められたハッシュ・トゥ・カーブ方式が使われます。

楕円曲線へのハッシュ標準は、この処理について開発者により安全な指針を示すため重要です。

ユーザーからは見えませんが、ハッシュ・トゥ・カーブはBLS署名の信頼性を支える技術要素の1つです。

BLS署名の一般的な暗号資産ユースケース

BLS署名は、多数の承認をコンパクトに証明する必要がある多くの暗号資産システムで利用、または検討されています。

Proof-of-Stakeのコンセンサスでは、BLS集約を使ってバリデーターの投票を効率的に集められます。

ステーキングシステムでは、バリデーターの署名業務にBLS鍵を利用できます。

閾値カストディシステムでは、単一鍵への依存リスクを減らすためにBLS方式の署名を利用できます。

ブリッジプロトコルでは、集約署名を使って、委員会がクロスチェーンイベントを承認したことを証明できます。

オラクルネットワークでは、集約署名を使って複数の情報源からのデータレポートを確認できます。

分散型ガバナンスシステムでは、多数の参加者による承認をまとめるために集約署名を利用できます。

Layer 2システムでは、効率的な一括検証や委員会による承認が必要な場合にBLS署名を利用できます。

共通しているのは、署名者の数が増えるほどBLSの有用性が高まることです。

ユーザーがBLS署名を理解するために

BLSの価値を理解するために、暗号資産ユーザーがペアリングや楕円曲線上の点を計算する必要はありません。

実用上の要点は、BLSによって多数の署名を1つの証明にまとめられることです。

これにより、バリデーターシステムの効率が高まり、ネットワークのコンセンサス通信のスケーリングに役立つ可能性があります。

また、BLS署名自体の安全性は、それを取り巻くシステムの安全性に左右されることも理解しておく必要があります。

秘密鍵を保護しなければなりません。

公開鍵を検証しなければなりません。

メッセージを明確に定義しなければなりません。

実装は正しい仕様に従う必要があります。

プロトコルでは、リプレイ攻撃、ローグキー攻撃、安全でない集約を防止する必要があります。

こうした条件を満たせば、BLS署名は現代のブロックチェーンインフラで特に有用な暗号技術の1つとなり得ます。

よくある質問

BLS署名のBLSは何の略ですか？

BLSは、短い署名方式を紹介した研究者であるBoneh、Lynn、Shachamの頭文字です。

暗号資産でBLS署名は何に使われますか？

BLS署名は、秘密鍵による承認を証明するとともに、多数の承認を1つのコンパクトな署名に集約するために使われます。

ブロックチェーンでBLS署名が役立つのはなぜですか？

BLS署名により、ブロックチェーンが保存、送信、検証する署名データの量を削減できるためです。

BLS署名の集約とは何ですか？

BLS署名の集約とは、複数のBLS署名を1つにまとめながら、複数の署名者が参加したことを証明できるようにする処理です。

BLS署名とBLS12-381は同じものですか？

いいえ。BLS署名は署名方式であり、BLS12-381はBLS署名の実装によく使われるペアリング対応楕円曲線です。

BLSにおけるローグキー攻撃とは何ですか？

ローグキー攻撃とは、悪意のある署名者が操作した公開鍵を登録し、集約署名を不正に有効であるかのように見せる攻撃です。

BLSシステムはローグキー攻撃をどのように防ぎますか？

BLSシステムでは、公開鍵の検証、Proof of Possession、安全な集約ルールを使ってローグキー攻撃を防止できます。

BLS署名はほかの署名より高速ですか？

BLS署名は1つだけの場合に常に高速とは限りませんが、多数の署名を集約してまとめて検証する場合、より効率的になる可能性があります。

BLS署名は秘密鍵を保護しますか？

いいえ。BLS署名は秘密鍵でメッセージに署名したことを証明するものであり、ユーザーやバリデーターは引き続き強固なセキュリティ対策で秘密鍵を保護する必要があります。

バリデーターがBLS鍵を使うのはなぜですか？

BLS集約によってネットワークがより少ないデータで多数のバリデーターの投票を集め、検証できるため、バリデーターはBLS鍵を使う場合があります。

まとめ

BLS署名は、現代の暗号資産インフラで重要な役割を果たすデジタル署名方式です。

最大の利点は、多数の署名を1つのコンパクトな証明に集約できることです。

そのため、Proof-of-Stakeのバリデーター、マルチシグシステム、閾値署名、ブリッジ、オラクルネットワークなど、多数の独立した承認に依存する暗号資産システムで特に有用です。

BLS署名は、ペアリング対応楕円曲線、安全なハッシュ・トゥ・カーブ方式、慎重な公開鍵検証、強固なドメイン分離に依存します。

データ量を削減し、プロトコルの効率を高める可能性がありますが、厳格なセキュリティ規則に従って実装する必要があります。

日常的な暗号資産ユーザーにとって、要点はシンプルです。BLS署名は、より少ないデータで多数の署名をブロックチェーンに証明させる仕組みです。

開発者やバリデーターにとって、より深い教訓は、鍵、メッセージ、集約、検証をシステム全体で正しく扱って初めてBLSの力が発揮されるということです。