双线性配对与 BLS 签名：一万个签名压缩成一个

全文分三层：

1. 通俗理解：配对能做什么，签名聚合为什么重要
2. 实际用处：以太坊共识层、zk-SNARK、Filecoin、门限签名
3. 数学原理：双线性、BLS 签名与聚合、恶意公钥攻击，附玩具手算例子

第一层：通俗理解

1.1 椭圆曲线上缺了什么

在椭圆曲线群里，我们可以把点相加、乘以整数：已知 $aP$ 和 $bP$，能算 $aP + bP = (a+b)P$。但不能把两个点"相乘"得到 $abP$，否则 Diffie–Hellman 就不安全了。

配对提供了一个折中：它不能直接算出 $abP$，但能检验"$a \cdot b$ 是否等于 $c$"，即使你只看到 $aP$、$bQ$、$cP$ 而不知道 $a, b, c$。这就像一台天平：你不知道每块砝码的重量，但能看出两边是否平衡。

1.2 为什么签名聚合重要

想象一个委员会有 1 万名成员，每个人都要对同一个区块签名。

• 普通签名（ECDSA、Schnorr）：要存储和验证 1 万个签名。
• BLS 签名：1 万个签名直接相加成一个 96 字节的签名，验证时把 1 万个公钥也加起来，做一次检查即可。

对区块链来说，存储空间和验证时间都极其昂贵，这个区别是决定性的。

第二层：实际用处

代价：配对运算本身比较慢（一次配对约为一次椭圆曲线标量乘法的几倍到十几倍），而且依赖专门构造的"配对友好曲线"。

第三层：数学原理

3.1 双线性配对的定义

设 $G_1, G_2, G_T$ 都是 $r$ 阶群（$r$ 为素数），$G_1, G_2$ 写成加法，$G_T$ 写成乘法。映射 $e: G_1 \times G_2 \to G_T$ 叫双线性配对，如果：

1. 双线性：$e(P_1 + P_2, Q) = e(P_1, Q)\,e(P_2, Q)$，$e(P, Q_1 + Q_2) = e(P, Q_1)\,e(P, Q_2)$。由此推出 $e(aP, bQ) = e(P, Q)^{ab}$。
2. 非退化：$e(P, Q) \ne 1$（对生成元）。
3. 可高效计算（Miller 算法）。

用抽象代数的话说：固定一边，它在另一边是群同态。

实际的配对（Weil 配对、Tate 配对及其优化版本 ate 配对）定义在椭圆曲线的 $r$-挠点上，$G_T$ 是有限域扩张 $\mathbb{F}_{p^k}^\times$ 的子群，$k$ 叫嵌入次数。BLS12-381 的 $k = 12$。

3.2 BLS 签名

设 $P$ 是 $G_1$ 的生成元，$H$ 是把消息映射到 $G_2$ 上的哈希函数（"hash-to-curve"）。

• 私钥：$x$；公钥：$\mathrm{pk} = xP$
• 签名：$\sigma = x \cdot H(m)$
• 验证：$e(P, \sigma) \stackrel{?}{=} e(\mathrm{pk}, H(m))$

正确性一行搞定：

$$e(P, xH(m)) = e(P, H(m))^x = e(xP, H(m)).$$

BLS 签名还是确定性的（不需要随机数），天然避免了 ECDSA 那种随机数重用的事故（见《椭圆曲线》）。

3.3 聚合

$n$ 个人对同一条消息 $m$ 签名，把签名和公钥分别相加：

$$\sigma = \sum_i \sigma_i,\qquad \mathrm{pk} = \sum_i \mathrm{pk}_i.$$

由双线性，

$$e(P, \sigma) = \prod_i e(P, x_i H(m)) = e\Big(\sum_i x_i P,\ H(m)\Big) = e(\mathrm{pk}, H(m)).$$

一次配对等式就验完了所有人。不同消息也能聚合，只是验证时需要 $n+1$ 次配对。

3.4 手算例子（玩具配对）

真实配对没法手算，这里用一个不安全的玩具模型演示代数结构：

3.5 恶意公钥攻击

聚合有一个陷阱。Mallory 看到 Alice 的公钥 $\mathrm{pk}_A$ 后，故意宣布自己的"公钥"为

$$\mathrm{pk}_M = yP - \mathrm{pk}_A.$$

于是聚合公钥 $\mathrm{pk}_A + \mathrm{pk}_M = yP$，Mallory 知道 $y$，可以独自伪造"Alice 和 Mallory 共同签名"。

对策：

• 持有证明（proof of possession）：注册公钥时必须用对应私钥签一条特定消息，证明你知道私钥。以太坊验证者存款时就要提交这个。
• 或者给每个公钥乘一个由所有公钥哈希出来的系数（类似 MuSig 对 Schnorr 的处理，见《Schnorr签名》）。

总结