TSS阈值签名方案是什么? 和多签/MPC有何关系?

小编：饿狼更新时间：2026-02-08 14:39

非对称密码学是现代数字签名体系的根基。

自20世纪70年代公钥密码学（Public Key Cryptography，PKC）被提出以来，这一模型便成为互联网安全协议（TLS、PGP等）的标准组件。该体系依赖一对数学相关但功能截然不同的密钥：公钥用于公开验证，私钥用于生成不可伪造的签名，其安全性完全取决于私钥是否始终处于不可获取状态。

在区块链系统中，私钥即账户控制权本身，签名等同于对交易的最终授权。节点只需验证签名是否正确，即可确认交易合法性。但这种设计天然存在结构性缺陷：私钥本身构成单点风险。一旦丢失、泄露或被复制，对应资产将立即失去控制权，且无法回滚。

阈值签名方案正是在这一背景下被引入密码学体系，其目标并非增强签名强度，而是重构私钥的存在方式。

阈值签名方案（Threshold Signature Scheme, TSS）建立在多方安全计算（Multi-Party Computation, MPC）之上。MPC的概念可追溯至Andrew Yao在20世纪80年代提出的“百万富翁问题”，核心思想在于：

多个相互独立、互不信任的参与方，在不泄露各自私有输入的前提下，共同完成某个计算任务。

MPC协议通常围绕两个核心性质展开。

1、正确性：所有参与方按协议执行时，输出结果与理想函数一致

2、保密性：任何一方无法从协议过程中推断其他参与方的秘密输入

将这两个性质映射到数字签名领域，便形成了阈值签名的理论框架。

TSS并非单一算法，而是由两个分布式协议组合而成。

1、分布式密钥生成（Distributed Key Generation, DKG）

2、分布式签名协议

完整流程可拆解为三个阶段。

在DKG阶段，n个参与方通过交互式协议共同计算出一个公钥，每一方仅持有私钥的一个秘密分片（Secret Share）。

整个过程中，不存在任何时刻将完整私钥集中存放于某一节点。

该阶段需同时满足两个约束。

1、所有参与方最终得到同一个公钥

2、每个参与方的私钥分片对其他任何一方不可见

在工程实现中，DKG通常结合可验证秘密共享（VSS）与零知识证明，用于防止恶意参与方注入无效分片或破坏协议一致性。

当系统需要生成交易签名时，满足阈值条件的参与方子集启动签名协议。

各方使用各自的私钥分片作为输入，通过多轮MPC交互，计算出一个合法签名。

该签名在数学形式上与传统单私钥签名完全一致，链上验证逻辑无需任何修改。

对外部观察者而言，该签名不存在可识别的“分布式特征”。

验证阶段不涉及MPC计算，流程与普通数字签名完全相同。

任何节点只需使用公钥执行标准验证算法即可确认签名有效性。

在区块链密钥管理场景中，TSS经常被与多重签名和Shamir秘密共享进行对比。三者目标接近，但安全模型差异明显。

维度	阈值签名（TSS）	多重签名（Multisig）	Shamir秘密共享（SSSS）
密钥生成	分布式生成，私钥未集中出现	各签名者独立生成完整私钥	单点生成后再拆分
签名方式	多方协作生成单一签名	各方独立签名	需先重构完整私钥
链上表现	标准单签名	多签结构可见	标准单签名
隐私属性	外部不可区分	访问结构完全公开	恢复阶段存在暴露
成本	与普通交易一致	较高	普通水平
生命周期风险	无私钥重构窗口	各自仍存在单点	每次签名前均有风险