Simulador de assinaturas de limiar BLS (Boneh–Lynn–Shacham) + geração distribuída de chaves

Um simulador educacional do esquema de assinaturas BLS (Boneh–Lynn–Shacham 2001, padronizado no draft-irtf-cfrg-bls-signature-04) — o esquema por trás das atestações da beacon chain do Ethereum 2, Chia, Polkadot e Filecoin.

O corpo escalar é a ordem r real do subgrupo BLS12-381: chaves privadas, cotas Shamir, coeficientes de Lagrange e cancelamentos de chave fraudulenta usam exatamente o módulo de produção. O grupo é um grupo multiplicativo didático de ordem prima com o pareamento abstrato e(g^a, g^b) = g^(ab): toda identidade bilinear da qual o BLS depende (σ = H(m)^sk verificando como e(σ, g) = e(H(m), g^sk)) é preservada; a aritmética de curva elíptica e hash-to-curve (SSWU) não é exercida.

Cenários:

1. Joint-Feldman DKG — cada participante distribui um polinômio aleatório de grau t−1, publica compromissos Feldman Ci,k = g^{ai,k} (mais compromissos Pedersen ocultadores opcionais) e distribui cotas em privado. As verificações expõem distribuidores desonestos; a chave pública do grupo Π Ci,0 igual g^{segredo do grupo} embora o segredo nunca se materialize. Depois, assinatura de limiar t-de-n: as parciais σi = H(m)^{s_i} combinam-se via coeficientes de Lagrange numa assinatura idêntica à do assinante completo; quóruns abaixo do limiar são rejeitados.

2. Ataque de chave fraudulenta — o atacante publica pk* = g^α·Πpkᵢ⁻¹ (calculável apenas com chaves públicas) e falsifica uma assinatura agregada que a verificação ingênua aceita. A defesa por prova de posse (PopProve = assinar o hash da própria chave pública) rejeita a chave fraudulenta no registro.

3. Agregação de atestações do Ethereum 2 — n validadores assinam os mesmos dados; σ_agg = Πσᵢ permanece 96 bytes e FastAggregateVerify custa 2 pareamentos independente de n; o subagregado do quórum de ⅔ verifica incrementalmente.

Toda execução é determinística dada a semente — as cerimônias replayam idênticas.