Schnorr 签名

定义

Schnorr 签名是德国密码学家 Claus-Peter Schnorr 于 1989 年提出的数字签名方案，基于离散对数难题，以结构简洁和安全证明清晰著称。

原理

签名者选随机数 k，计算承诺 R = kG，再算挑战 e = H(R, 公钥, 消息)，最后输出 s = k + e·d（d 为私钥），签名即 (R, s)。它本质上是对 Schnorr 身份识别协议应用 Fiat-Shamir 变换，在随机预言机模型下可证明安全。

特点

Schnorr 签名是线性的：多个签名者的签名可以聚合为一个（如 MuSig2 多签方案），多把公钥可合成一把聚合公钥，既省空间又提升隐私；确定性变体同样能规避随机数重用风险。EdDSA/Ed25519 就是 Schnorr 范式在爱德华兹曲线上的具体化。

应用

由于 Schnorr 的专利保护到 2008 年才过期，早年 ECDSA 成为主流；比特币 2021 年的 Taproot 升级（BIP 340）正式引入 Schnorr 签名，用于密钥聚合与更紧凑的多签交易。