Simulador de firmas de umbral BLS (Boneh–Lynn–Shacham) + generación distribuida de claves

Un simulador educativo del esquema de firmas BLS (Boneh–Lynn–Shacham 2001, estandarizado en draft-irtf-cfrg-bls-signature-04) — el esquema detrás de las atestaciones de la beacon chain de Ethereum 2, Chia, Polkadot y Filecoin.

El cuerpo escalar es el orden real r del subgrupo de BLS12-381, así que claves privadas, participaciones Shamir, coeficientes de Lagrange y cancelaciones de clave perversa usan el módulo exacto de producción. El grupo es un grupo multiplicativo de orden primo con el emparejamiento abstracto e(g^a, g^b) = g^(ab): toda identidad bilineal de la que depende BLS (σ = H(m)^sk verificando como e(σ, g) = e(H(m), g^sk)) se conserva; la aritmética de curva elíctica y hash-to-curve (SSWU) no se ejecuta.

Escenarios:

1. Joint-Feldman DKG — cada participante reparte un polinomio aleatorio de grado t−1, publica compromisos Feldman Ci,k = g^{ai,k} (más compromisos Pedersen opcionales) y distribuye participaciones en privado. Las comprobaciones exponen repartidores tramposos; la clave pública del grupo Π Ci,0 equivale a g^{secreto del grupo} aunque el secreto nunca se materialice. Luego firma de umbral t-de-n: las parciales σi = H(m)^{s_i} se combinan con coeficientes de Lagrange en una firma idéntica a la del firmante completo; los quórums por debajo del umbral se rechazan.

2. Ataque de clave perversa — el atacante publica pk* = g^α·Πpkᵢ⁻¹ (calculable solo con claves públicas) y falsifica una firma agregada que la verificación simple acepta. La defensa por prueba de posesión (PopProve = firmar el hash de tu propia clave pública) rechaza la clave perversa al registrarse.

3. Agregación de atestaciones de Ethereum 2 — n validadores firman los mismos datos; σ_agg = Πσᵢ sigue en 96 bytes y FastAggregateVerify cuesta 2 emparejamientos sin importar n; el sub-agregado del quórum de ⅔ verifica de forma incremental.

Todas las ejecuciones son deterministas dada la semilla, así que las ceremonias se repiten idénticas.