Ein Lehrsimulator für das BLS-Signaturverfahren (Boneh–Lynn–Shacham 2001, standardisiert in draft-irtf-cfrg-bls-signature-04) — das Verfahren hinter den Attestierungen der Ethereum-2-Beacon-Chain, Chia, Polkadot und Filecoin.
Der Skalarkörper ist die echte BLS12-381-Untergruppenordnung r; private Schlüssel, Shamir-Anteile, Lagrange-Koeffizienten und Rogue-Key-Kürzungen nutzen exakt den Produktionsmodulus. Die Gruppe ist ein didaktisches multiplikatives Gruppe primer Ordnung mit der abstrakten Paarung e(g^a, g^b) = g^(ab): Jede bilineare Identität, auf der BLS beruht (σ = H(m)^sk verifiziert als e(σ, g) = e(H(m), g^sk)), bleibt erhalten; Elliptische-Kurven- und Hash-to-Curve-Arithmetik (SSWU) wird nicht ausgeführt.
Szenarien:
Joint-Feldman-DKG — jeder Teilnehmer verteilt ein zufälliges Polynom vom Grad t−1, publiziert Feldman-Commitments Ci,k = g^{ai,k} (plus optionale verdeckende Pedersen-Commitments) und gibt Anteile privat weiter. Anteilsprüfungen entlarven unehrliche Verteiler; der Gruppen-Public-Key Π Ci,0 gleich g^{Gruppengeheimnis}, obwohl das Geheimnis nie materialisiert. Dann t-von-n-Schwellenwertsignierung: Partielle σi = H(m)^{s_i} kombinieren via Lagrange zu einer Signatur, identisch mit der des Vollzeichners; Quoren unterhalb der Schwelle werden abgelehnt.
Rogue-Key-Angriff — der Angreifer publiziert pk* = g^α·Πpkᵢ⁻¹ (allein aus öffentlichen Schlüsseln berechenbar) und fälscht eine Aggregatsignatur, die naive Verifikation akzeptiert. Die Proof-of-Possession-Abwehr (PopProve = den Hash des eigenen Public Keys signieren) weist den Rogue-Key bei der Registrierung zurück.
Ethereum-2-Attestation-Aggregation — n Validatoren signieren dieselben Daten; σ_agg = Πσᵢ bleibt 96 Byte, und FastAggregateVerify kostet 2 Paarungen unabhängig von n; das ⅔-Quorum-Teilaggregat verifiziert inkrementell.
Bei fester Seed ist jeder Lauf deterministisch — Zeremonien replayen identisch.