2026-11-01 01:59:54 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

哈工大（深圳）付希明团队解读密码顶会CRYPTO2025文章 | 如何证明错误的陈述：Fiat-Shamir的实用攻击

原创

王启；付希明
王启；付希明

信息网络安全杂志

2026年10月29日 12:00
上海

去阅读

一、引子

Fiat-Shamir 变换是现代密码学中最常用、也最容易被视为理所当然的技术之一。它把公开掷币的交互式证明改造成非交互式证明：验证者原本需要现场抽取的随机挑战，被替换为对当前协议记录进行哈希所得的结果。由此，证明者可以一次性生成完整证明，SNARK等系统也因此获得更好的可部署性。

长期以来，人们已经知道Fiat-Shamir在随机预言机模型中安全，但这并不意味着换成任意具体哈希函数后仍然安全。但以往反例往往依赖刻意拼装的不自然协议，因而容易被理解为理论上的边界案例。文章\"How to Prove False Statements: Practical Attacks on Fiat-Shamir\"则打破了这种安慰：作者攻击的是一种标准的、基于 GKR 与多线性多项式承诺的简洁论证系统，而且攻击不依赖哈希函数的具体设置。

文章的核心观察是：当被证明的电路本身能够计算Fiat-Shamir哈希和承诺时，证明语句、电路实现与验证挑战之间会形成自指关系。也就是说，验证者用来制造随机性的那段计算，可能反过来被待验证的计算观察和利用。

二、论文速览

这篇论文研究的是一类将GKR协议与多线性多项式承诺方案结合，再通过Fiat-Shamir变换得到的非交互式简洁论证。GKR协议本来适合高效验证有界深度计算；多线性多项式承诺用于让证明者先承诺见证，再在后续协议中回答局部求值问题；Fiat-Shamir则把交互过程中的随机挑战改成哈希输出，使协议能够非交互化。

论文的核心结论是：对Fiat-Shamir的任意具体实例化（任意哈希函数、任意承诺方案），只要被证明电路的深度足以在内部计算二者，就能构造一个电路和一份可被接受的证明，而对应陈述实际上为假。换句话说，攻击者并不是破解了哈希函数，而是利用了“挑战由可计算过程确定”这一事实。论文还给出了更强的扩展：给定任意电路和期望输出，攻击者可以构造一个功能上完全等价的新电路，也就是说该等价电路在任意输入下都和原电路输出一致，却能为这个新电路产生关于期望输出的接受证明，即便陈述并不成立。这说明安全性可能依赖电路的具体实现，而不只依赖它功能上计算了什么函数。

作者进一步讨论了通用电路和quine带来的风险。quine是一种能输出自身代码的程序，借助这种自指结构，攻击可以被推进到不完全依赖具体哈希函数和承诺参数的场景。不过这些版本要么效率较低，要么需要对承诺方案的额外假设，因此更像是对风险边界的拓展，而不是最直接的工程攻击。

三、深度剖析

原始交互协议的安全直觉很清楚：证明者先提交见证承诺，验证者随后独立抽取随机点，并用GKR协议检查电路真实输出在该随机点上的局部信息是否与声明输出一致。因为随机点在证明者承诺后才产生，证明者很难预先制造一个只在该点成立的错误等式。

Fiat-Shamir变换改变了这一点。它把验证者的随机点改成对电路摘要、输入、声明输出和见证承诺等内容进行哈希得到的结果。挑战来自于哈希函数，看似不可预测，但它已经成为这些公开或已提交数据的确定函数。论文的关键观察是：如果被证明的电路本身可以计算哈希函数和承诺方案，那么这种确定性就能被嵌入电路内部，成为攻击者可利用的结构。

基础攻击的构造非常巧妙。作者设计了一个恶意电路，把见证解释为电路摘要，并在电路内部重新计算承诺和 Fiat-Shamir 挑战。随后，电路输出两个永远不相等的值，因此它不可能真的输出攻击者声明的目标结果（这是两个相等的值）。可是攻击者把这个恶意电路自身的摘要作为见证送入电路，于是电路内部算出的挑战，恰好等于验证者在 Fiat-Shamir 流程中会得到的挑战。这种自我指涉技巧消除了一个看似棘手的循环依赖：修改电路会改变电路摘要，改变摘要又会改变哈希挑战。攻击者的做法不是提前猜挑战，而是让电路把自己的摘要当作输入，进而在内部重建验证者即将使用的挑战。

之后，利用前述的相等关系，攻击者就可以巧妙地构造一个虚假的输出声明，使其虽与电路的真实输出整体不同，却在验证者的初始输出检查位置上是一致的；而GKR 后续只需要围绕这个局部一致性继续归约，错误命题就被转化成了一个可通过的局部求值命题。

基于前面的基础攻击，论文进一步证明攻击者可以把任意电路包装成一个功能完全相同的新电路，并且攻击者可以在这个新电路上证明任意的输出。这一点把问题推向了实现层。传统安全分析常常关注“这个关系是否为真”或“这个函数是否正确”，但论文表明，同一个函数的不同电路实现可能具有不同的安全性。编译、包装、优化、通用电路表示，甚至递归证明中的验证器电路，都可能把原本外部的Fiat-Shamir逻辑带进被证明对象内部。

论文的通用计算部分进一步说明，风险并不限于代码里直白地写入某个哈希函数或承诺方案。借助通用图灵机电路和能输出自身代码的quine，见证可以携带程序描述并模拟相关计算。对于某些具有加法同态性的承诺，通用GKR电路也可能复现类似攻击。虽然这些扩展并不都同样实用，但它们提醒我们：仅靠检查电路表面有没有直接调用哈希函数，并不足以排除自指计算风险。

四、局限与展望

这篇论文的攻击有清晰的适用边界。基础攻击主要针对自适应健全性：攻击者需要在知道哈希函数、承诺参数或相关盐值后，再构造恶意电路；同时，电路还必须有足够深度来在内部计算这些密码组件。因此，它并不能直接推出所有Fiat-Shamir协议都不安全，也不是对具体哈希函数的密码分析。

论文也指出，一些简单、规范且表达能力受限的电路场景，当前攻击未必适用。真正值得关注的是那些允许复杂电路、通用电路或递归证明的系统，因为这些系统更容易让被证明计算重现验证逻辑，从而形成自指空间。

五、启示

这篇论文最重要的启示，是证明系统的安全边界不能只停留在协议和密码原语层面。被证明电路的具体实现、生成流程和可表达能力，同样可能成为攻击面。对于允许用户提交任意电路的证明系统，“关系本身正确”并不等于“这个电路实现可以安全证明”。它还提醒我们，随机预言机模型中的安全证明不能替代具体实例化后的系统审计。即使把电路摘要、输入、输出和承诺都纳入Fiat-Shamir哈希，只要验证挑战变成了可计算的确定过程，足够强的电路就可能尝试重现并利用这一过程。

点评人：王启（哈尔滨工业大学（深圳）博士研究生）、付希明（哈尔滨工业大学（深圳）副教授）

主要研究方向：密码算法

原文标题：How to Prove False Statement: Practical Attacks on Fiat-Shamir

原文作者：

Dmitry Khovratovich, Ethereum Foundation

Ron D. Rothblum, Succinct

Lev Soukhanov, Ethereum Foundation

期刊/会议: CRYPTO 2025

DOI:https://doi.org/10.1007/978-3-032-01887-8\_1

版权与来源声明：本文依据《中华人民共和国著作权法》第二十四条之规定，为介绍、评选之目的，在此适当引用。原文版权归原作者所有。