RFC6979 确定性签名临时量

秘密$d$使外部观察者无法只由公开消息计算临时量；消息摘要使不同输入沿不同状态轨迹运行。每个控制字节区分初始化的两个阶段和重试阶段。把任何一个字节省略，都会得到另一个算法，不能再用RFC向量验收。

候选不是“随便取一个大整数再模$q$”。若一个区间大小不是$q$的倍数，模约简会让某些余数拥有更多前像。拒绝采样只接受预定区间；理想均匀候选经此步骤后在$1,\dots ,q-1$上均匀。现实HMAC的确定输出并非每次独立抛硬币，这一均匀性解释说明范围变换的作用，不是无条件证明具体HMAC安全。

非整字节长度能暴露错误 ​

取$q=19$，则$b=5,r_{\text{bytes}}=1$。输入字节ff的左5位是11111，所以$\mathrm{bits}2\mathrm{int}(\mathtt{\text{ff}})=31$，而$\mathrm{bits}2\mathrm{octets}(\mathtt{\text{ff}})=\mathtt{\text{0c}}$，因为$31mod19=12$。直接把255模19得到8，是另一个值。

$\mathrm{int}2\mathrm{octets}(18)=\mathtt{\text{12}}$，即位串00010010。把这个完整字节再次送入bits2int，只留下00010，得到2而非18。两个名字看起来像互逆函数，但当$b$不是8的倍数时，它们移动边界的方向不同。

先拒绝范围，再拒绝零s ​

用教学阶19、私钥7和消息ASCII retry/7，SHA-256摘要的最左5位给$z=21$。下载生成器产生候选22，越界后更新K、V；下一候选6在范围内，但ECDSA理路ECDSA 签名Elliptic Curve Digital Signature Algorithm · ECDSA从临时椭圆曲线点的横坐标产生签名标量，重建验证点，并明确零值重试、密钥检查与nonce复用的代数后果。计算出$r=16,s=0$，所以继续更新状态。第三个候选5得到签名$(9,13)$，才完成签名。

这个例子同时检查三处：22不能取模后变成3，零$s$不能输出，拒绝6后不能重启并再次得到同一段序列。下载器的可选日志记录每次候选的K、V，只对公开教学密钥使用；真实密钥环境不能把这些秘密状态当调试输出发布。

正式互操作例采用RFC6979附录A.2.5公开的P-256私钥和消息sample，其SHA-256候选为a6e3c57d…d8aad60，最终$r$以efd48b2a开头、$s$以f7cb1c94开头。下载器保存完整预期值并逐字比较，也核对test第二组向量；正文中的省略号不是待签字节。

确定性临时量去掉了每次签名时调用随机源的一类失败，但私钥生成仍要有足够熵。不同协议若让同一密钥签相同有效摘要，会产生相同临时量；应按协议规范把域和上下文纳入实际消息，不擅自修改RFC内部编码。对ECDSA来说，同一摘要重现同一签名本身不是“两条不同摘要复用k”的代数泄漏。

设实际尝试$a$次，每轮需$t=\lceil b/256\rceil$个HMAC输出来收集足够位，拒绝轮再用两次HMAC更新。初始化处理$O(r_{\text{bytes}})$字节，单轮收集及转换也是$O(r_{\text{bytes}})$字节；固定SHA-256下总字节工作为$O(|M|+(a+1)(r_{\text{bytes}}+1))$，不含ECDSA的点乘与逆元。K、V固定64字节，临时T为$O(r_{\text{bytes}})$空间。保留每轮K、V日志会另占$O(a)$条记录，候选大整数另计位数。

签名执行实验可逐行检查候选状态。迁移任务：同一消息中保持摘要最左5位不变而改变其余位，解释教学$q=19$时bits2octets使生成器输入保持相同；再改为完整256位阶的P-256，说明该判断为何不再由“前5位相同”推出。最后让调用者拒绝一个本来合格的候选，确认下一次迭代没有重启。