本文提出并系统研究了“账本认证器”（Ledger Authenticators）这一新型密码学原语，用于描述依赖分类账本状态（如已确定的交易序列、时间戳、排序）而非仅依赖签名密钥的授权协议。作者首先引入了认证实验\LAEUF，该实验面向反应式授权协议，其公开验证算法读取“已最终确定”的账本记录，从而将认证安全性（authentication safety）与账本活性（ledger liveness）相分离。模型能够刻画规范的状态转换新鲜度、自适应腐败、先暴露后纳入、审查以及敌对方排序等现实威胁。文中推导出两个条件性资源边界：满足单事件条件的认证器可产生上下文一次性签名；在可重绑定的揭示类中，安全性要求计算上的“披露后不可采性”（post-disclosure non-admissibility），即当新构建的证据在披露后仍被采纳时，对诚实揭示的审查会直接导致伪造，因此必须通过关闭证据验证来强制该条件。随后，作者构建了联合账本与量子随机预言机执行模型，其中量子态跨越经典最终化切割而持续存在，并且通过账本进行的预言机查询需要计费。针对大小至多K的闭合最终目标集，他们证明了安全性界限为$3β_{\mathsf{cut}}^2+3c_{\mathsf{co}}KQ^2/2^λ+6\ell/2^λ$，其中$β_{\mathsf{cut}}$刻画已存在的新鲜开启数量。最后，通过“提交-关闭-揭示”认证器实例化该框架，并获得了多用户生命周期量子随机预言机（QROM）安全界。该工作为基于账本的状态转换授权提供了形式化安全模型，并首次在量子随机预言机中全面分析此类协议，对区块链和分布式账本中的加密设计具有重要理论参考价值。适合密码学研究者、区块链协议设计者及对后量子安全感兴趣的工程师阅读。

该论文针对 NIST 额外签名流程第三轮候选方案 MQOM v2.1 提出了一个完整的密钥恢复攻击。攻击者只需获得一个合法签名，即可恢复完整的签名密钥，并利用该密钥对任意新消息生成有效签名，从而破坏方案的安全性。核心攻击思路是利用 Merkle 树路径与隐藏叶承诺之间的关系：设见证（witness）x 的前缀 δ = FirstBits_λ(x)，通过兄弟路径可确定公开值 A，使得树奇偶校验给出 s = δ ⊕ A。将此代入隐藏叶承诺，可得到加密方程 Enc_K(δ ⊕ A) = T ⊕ LinOrtho(δ)，其中 K 和 T 均为公开值。签名中的修正项（correction）将方程的一个解扩展为完整见证，而公开的 MQ（多变量二次）关系可筛选出能产生有效签名密钥的见证；序列化该见证即得私钥，进而生成被参考验证器接受的新签名。论文在指定的 AES/Rijndael 电路上评估该方程，并利用保留电路状态沿 Gray 遍历（Gray traversal）提高计算效率。对于 NIST 安全类别 I 和 V，完整域扫描分别需要 2^142.335112 和 2^271.794162 个布尔门；类别 III 的扫描覆盖 1/2+2^-20 和 0.580004770183 的域，开销分别为 2^206.774558 和 2^206.988685 个布尔门，均低于 NIST 安全基准。针对参考实现的缩减域实验在全部三个类别中恢复了逐字节精确的见证和密钥，并产生了被参考验证器接受的新消息伪造签名。独立生成的源码级语法电路在指定域和转换后的 L3 前缀上评估固定密码，精确的理想密码阶乘矩界控制传递给公钥验证的额外方程原像。由于方程中每个值都由已接受的签名固定，盐绑定的全局根扩展只会改变其公开常数，无法消除这一单签名恢复通道。该研究对后量子密码标准化具有重要意义，建议相关安全团队关注。

数字签名是现代计算机系统中实现身份验证、完整性和信任的基石。密码学研究表明，可以证明用户拥有某个公钥对应的有效消息和签名，而无需泄露消息或签名本身。这种“持有证明”（Proofs of Possession）目前仅适用于专门设计的签名方案，对于广泛部署的遗留签名方案（如RSA、ECDSA和Ed25519）尚不可行，主要障碍在于巨大的效率差距。本文提出了一套方法，将遗留签名方案的验证算法编码为秩一约束系统（R1CS），然后利用zkSNARK证明知道一个解。为实现高效性，作者做出了四项贡献：（1）设计并分析了一种名为Dorian的新型zkSNARK，支持随机化计算；（2）引入了几种用于编码哈希、椭圆曲线操作和模运算的新技术；（3）提出了一种新方法，将ECDSA和Ed25519验证中最昂贵的部分移至R1CS之外；（4）生成了一条新型椭圆曲线，可非常高效地表达Ed25519曲线操作。这些技术将R1CS大小最多减少200倍，证明者时间缩短20倍以上。实验表明，对一条典型TLS证书大小（2千字节）的消息，生成一个RSA签名的持有证明（240字节）仅需3秒。该工作使得遗留签名方案的持有证明非常接近实用化，对提升安全性、隐私性和匿名性具有重要价值。适合密码学研究人员、协议设计者和安全工程师阅读。

本文提出了一种名为 Jolt 的新型攻击，利用 Rowhammer 故障注入技术恢复 TLS 等安全协议中使用的数字签名方案的私钥。DSA、ECDSA 和 RSA 签名算法广泛应用于 TLS、SSH 和 IPSec 协议中，以保护通信完整性。以往的攻击主要利用侧信道或单比特 nonce 偏差，往往需要多达 2^45 个签名样本。Jolt 通过注入故障产生错误签名，并利用签名验证原语纠正错误签名的同时，逐步推断签名密钥的比特。由于直接针对不随会话变化的签名密钥，攻击效率极大提升：对于 256 位 (EC)DSA，仅需少于 1000 个错误签名即可完成密钥恢复。实验验证了该攻击在 WolfSSL、OpenSSL、Microsoft SymCrypt、LibreSSL 和 Amazon s2n 等主流密码库的 TLS 握手中的可行性。在线阶段可在 2 小时内恢复 256 位 ECDSA 密钥的 192 位，足以实现完整密钥恢复。研究发现，虽然 RSA 签名在部分库中得到保护，但 OpenSSL 仍易受双故障注入攻击；FIPS 硬化版本稍有效率提升但仍易受攻击。而 (EC)DSA 签名在多数库中缺乏针对软件故障的保护，对实际 TLS 部署构成威胁，并可能影响 SSH 和 IPSec 等其他协议。该工作强调了在安全协议实现中加强故障检查的必要性。

本文研究了语言模型API在限制仅输出token排名（即按概率排序的token序列，但不提供具体概率值）时，是否仍然构成能够唯一标识模型的签名。作者发现，对于足够大的k，每个语言模型都有一组唯一的可行top-k排名集合，这可以作为模型的签名。更重要的是，他们证明了这种签名是第一个已知的多项式时间不可伪造签名：找到一个具有相同可行排名集合的模型是NP-hard问题。在安全方面，尽管token排名足以近似窃取模型的最后一层参数（类似于logits的泄露），但通过限制API只返回足够小的k（例如，小于某个阈值），可以防止参数窃取，同时仍然能够提供不可伪造的签名。研究表明，存在一个k值范围，使得API既能展示不可伪造签名（用于模型身份验证），又能防止参数泄露。这项工作为语言模型的安全部署提供了理论依据，尤其是在需要公开模型身份但又要保护模型参数的应用场景中。