深入解析dotnet/runtime中ML-DSA签名算法的空消息处理问题

在dotnet/runtime项目中，System.Security.Cryptography命名空间下的ML-DSA(Module-Lattice-based Digital Signature Algorithm)实现存在一个关于空消息签名的边界条件处理问题。本文将详细分析该问题的技术背景、产生原因以及解决方案。

问题背景

ML-DSA是一种基于格密码学的数字签名算法，属于后量子密码学范畴。在.NET运行时中，该算法通过原生OpenSSL库提供底层支持。当开发人员尝试对空消息(ReadOnlySpan.Empty)进行签名时，系统会触发断言失败错误。

技术细节分析

问题的核心在于原生代码与托管代码之间的交互边界处理不一致。具体表现为：

1. 原生层断言检查：OpenSSL封装层(pal_evp_pkey_ml_dsa.c)强制要求消息指针(msg参数)不能为NULL
2. 托管层行为：ReadOnlySpan.Empty在互操作时会自动转换为NULL指针
3. 密码学理论：从算法原理角度，空消息的签名在理论上是合法的操作

问题复现

通过以下测试代码可以稳定复现该问题：

[Fact]
public static void MlDsaNullMessage()
{
    using MLDsa mldsa = MLDsa.GenerateKey(MLDsaAlgorithm.MLDsa44);
    byte[] signature = new byte[mldsa.Algorithm.SignatureSizeInBytes];
    _ = mldsa.SignData(ReadOnlySpan<byte>.Empty, signature);
}

解决方案探讨

针对此问题，开发者提出了两种可行的修复方案：

1. 放宽原生层断言：如果底层EVP_PKEY_sign函数实际上支持tbs参数为NULL(当tbslen为0时)，则可以修改断言条件
2. 托管层处理：
   • 在原生代码中为NULL指针情况创建临时空缓冲区
   • 或者在托管代码中使用GetNonNullPinnableReference确保指针非空

扩展考量

除了空消息签名外，还需要注意以下相关场景的测试和修复：

1. 验证(Verify)操作对空消息的处理
2. 上下文(context)参数为空跨度时的行为
3. 各种边界条件下的单元测试覆盖

密码学安全实践建议

在处理密码学操作时，建议开发者：

1. 明确区分"空消息"和"NULL指针"的概念差异
2. 对边界条件进行充分测试
3. 确保跨语言/跨层交互时行为一致
4. 文档化特殊情况的处理方式

该问题的修复将提升ML-DSA算法实现的健壮性，确保其在各种边缘情况下都能正确工作，为后量子密码学在.NET生态中的应用奠定更坚实的基础。