摘要

  • RFC 9802 统一了 HSS、XMSS 与 XMSSMT 在 X.509 证书和 CRL 中的算法标识与编码，但证书不携带哪些一次性签名索引已经被使用的历史。
  • 单个签名验证成功，只能证明它与所示公钥及算法相符；它无法排除另一台设备、旧快照或灾备恢复已经重复使用同一 OTS 索引。

两个都“正确”的签名

设想一家证书机构在周一制作签名设备备份，备份记录的下一个索引是 41,200。主设备随后签发证书与吊销列表，一直使用到 41,259。周五发生故障，值班人员恢复周一镜像。恢复设备对另一个对象再次使用 41,200。

私钥字节没有错，公钥没有变，算法 OID 与 ASN.1 编码也都正确。把两个签名单独送进验证器，它们都可能显示为有效。真正危险的事实不在任意一个对象内部，而在两个对象之间：两个不同消息共用了同一枚一次性密钥。

RFC 9802 明确说明，一旦攻击者获得使用同一 OTS 密钥对不同消息产生的签名，伪造在计算上就可能变得可行。这不是普通的备份瑕疵，而是安全假设被运行过程推翻。

这份标准的贡献仍然重要。它于 2025 年 6 月作为 IETF Standards Track 文档发布，为 HSS、XMSS 与多树 XMSSMT 规定 X.509 公钥和签名的 OID、ASN.1 编码、参数处理及 Key Usage 约束，使这些算法能用于证书与 CRL。RFC Editor 记录与 IETF 文档历史界定了这项工作的范围。

但 OID 解决的是“这些字节交给哪种算法解释”，不是“这把私钥曾经出现过多少条状态历史”。后一项只能由运行系统给出证据。

私钥还有一段不可倒带的记忆

对无状态签名而言，备份往往被理解为保护秘密材料。状态型哈希签名多出一个同等重要的资产：一次性组件的消费顺序。

RFC 8554 要求一枚 LM-OTS 私钥最多签署一个消息，HSS 通过层级结构组织大量这样的密钥。RFC 8391 则用 WOTS+、Merkle 树和地址化结构定义 XMSS 与 XMSSMT。参数可以提供极大的签名容量，但容量依然有限，且每个位置只能安全地消费一次。

因此，真正需要恢复的并非单独的“私钥文件”，而是私钥材料、已确认的下一索引、预留区间、已经放出的签名、主动废弃的索引和恢复纪元的组合。秘密丢失会让签名停止；历史丢失则可能让签名看似继续、实则不再安全。

NIST SP 800-208 对 LMS/HSS、XMSS/XMSSMT 给出推荐参数和硬件模块约束。RFC 9802 要求纳入这些安全条件，并提出记录全部签名或 OTS 索引、在释放新签名前核对、预先保留未来状态以及保持可审计规模等策略。一旦发现重用，应冻结新签名、重审已发布输出，并评估是否撤销密钥。

“记录、核对、保留、冻结、重审”都是控制系统的动词。证书解析不会替运营者完成其中任何一项。

可用性不能等同于复制

无状态算法可以通过把同一密钥安全复制到多台设备来提高可用性。状态型签名却让两份相同副本成为对同一未来索引的两个潜在所有者。RFC 9802 警告，普通私钥复制与旧备份恢复若不能保证状态一致，极有可能造成 OTS 重用。

回滚会重新开放快照之后已经用过的位置；双活会让两个设备从同一起点独立前进；确认丢失还会制造第三种模糊：设备先持久化状态并生成签名，但调度方没有收到回应，于是到另一台设备重试。没有收到业务回执，不代表索引没有被消费。

更合适的高可用设计可能使用单一状态权威、不可撤销的分段预留、带隔离令牌的租约、硬件单调计数器，或一套能证明恢复后的首个索引高于所有历史预留的恢复仪式。具体实现可以不同，不能倒回过去这一不变量不能不同。

验证器能看到哪一层

RFC 5280 规定证书路径、用途约束和 CRL 的基本语义。RFC 9802 让验证器能够在这个框架内识别新的公钥与签名。验证成功可支持一项有限结论：所呈现签名在所呈现公钥和声明算法下成立；结合路径和合适的吊销信息，还能支持本地信任策略。

它看不到未发布签名、并发设备、磁盘快照、废弃预留和恢复尝试；也无法证明剩余预算足以覆盖证书整个有效期。若另一条分叉历史的签名尚未到达当前验证器，绿色结果也区分不了它与一条完整历史。

所以证据必须分层：字节可解析；签名成立；证书路径与吊销视图可接受；索引被唯一预留；消费状态已持久化；不存在另一设备可用同一位置；发布对象与状态账本完全对账；最终应用产生自己的结果。X.509 主要覆盖前三层，签名运营者承担中间几层，应用拥有最后一层。

Lu Heng 的运行代码优先提供了清晰秩序：OID 是协调文档中的共同语言，唯一状态消费则必须在真实系统中持续成立。最小初始规范、本地化未来决策与自愿采用进一步把共同编码与各运营者的状态保管、恢复和风险决定分开。现实而非倡议则提醒我们，证书的整洁外观不能替代背后的机器历史。

来源