Ang debate sa migrasyon ng Bitcoin pagkatapos ng quantum ay lumipat patungo sa seguridad ng wallet at paghawak ng mga dormant-coin matapos sabihin ni Charles Guillemet, CTO ng Ledger, na ang pagpili ng bagong pamamaraan ng lagda ay maaaring mas madali kaysa sa ligtas na paglilipat ng mga user ng Bitcoin at mga umiiral nang pondo.

Sinabi ni Charles Guillemet, CTO ng Ledger, sa isang teknikal na pagsusuri na inilathala ng Ledger na "walang problema sa quantum computer ang Bitcoin ngayon," habang nagbabala na ang pananaliksik sa migrasyon, implementasyon ng software, pagbabago sa hardware-wallet, at pagtanggap ng user ay maaaring tumagal ng mga taon. Sinabi niya na walang kilalang cryptographically relevant na quantum computer na kayang sirain ang kasalukuyang mga lagda ng Bitcoin ang alam na umiiral ngayon, habang ang tiyempo ng naturang makina ay nananatiling hindi tiyak.

Ang kanyang pagsusuri ay nakatuon sa SHRINCS, isang draft na post-quantum signature proposal na partikular sa Bitcoin na pinagsasama ang isang mas maliit na stateful signing mechanism sa isang mas malaking stateless recovery path. Ang spesipikasyon ay nananatiling hindi tapos, walang itinalagang numero ng BIP at nagsasaad na ang pormal nitong "patunay ng seguridad ay TODO."

Ang migrasyon ng Bitcoin ay kinasasangkutan ng higit pa sa pagpili ng kriptograpiya

Hinati ni Guillemet ang transisyon sa tatlong problema: pagpili ng isang post-quantum signature scheme, pag-adapt ng mga Bitcoin wallet at imprastraktura ng protocol sa scheme na iyon, at pagpapasya kung paano dapat ilipat ang mga kasalukuyang BTC sa mga quantum-resistant na output. Kasama sa huling problema ang mga barya na ang mga may-ari ay maaaring nawala ang kanilang mga susi o hindi pa naglilipat ng pondo sa maraming taon.

Ang kasalukuyang awtorisasyon ng transaksyon ng Bitcoin ay lubos na umaasa sa ECDSA at Schnorr signature na binuo sa elliptic-curve cryptography. Ang isang sapat na may kakayahang quantum computer na nagpapatakbo ng Shor’s algorithm ay maaaring teoretikal na makabawi ng mga pribadong susi mula sa mga nalantad na pampublikong susi, ngunit walang pampublikong ipinakitang makina ang kayang magsagawa ng pag-atake na iyon laban sa Bitcoin ngayon.

Sinabi ni Guillemet na ang migrasyon ay hindi maaaring husgahan lamang sa cryptographic strength ng isang pamamaraan ng kapalit dahil ang mga wallet, hardware device, backup system at multi-device setup ay dapat itong ipatupad nang ligtas. Inilarawan niya ang pagkamit ng kasunduan sa lipunan tungkol sa mahina na mga lumang barya bilang isa sa mga mas mahirap na hindi pa nalutas na tanong.

Ang isang katulad na posisyon ay lumabas mula sa iba pang mga cryptographer. Ikinatwiran ni Dan Boneh, cryptographer ng Stanford, na dapat maghanda ang Bitcoin para sa quantum risk habang iniiwasan ang isang minamadaling migrasyon na maaaring magdulot ng matinding pagkabigo sa software.

Pinapalitan ng SHRINCS ang mas maliliit na lagda para sa estado ng wallet

Ang kasalukuyang draft na spesipikasyon ng SHRINCS ay naglalarawan ng isang sistemang nakabatay sa hash na binuo sa paligid ng SHA-256, ang parehong pamilya ng hash na malawakang ginagamit na ng Bitcoin. Ang mga taga-disenyo nito ay nagta-target ng humigit-kumulang 128 bits ng klasikong seguridad at 64 bits ng quantum na seguridad sa ilalim ng kanilang napiling mga parameter.

Ang 48-byte na pampublikong susi nito ay nakakabit sa dalawang landas ng paglagda. Ang compact na ruta ay gumagamit ng Flexible XMSS at WOTS+C, na gumagawa ng mga stateful na lagda mula 548 bytes hanggang 4,619 bytes. Ang isang stateless na fallback batay sa mga konsepto ng SLH-DSA ay gumagawa ng 5,777-byte na lagda.

Inistandardisa ng NIST ang SLH-DSA bilang FIPS 205 noong Agosto 2024. Ang standard mismo ay stateless at batay sa SPHINCS+, habang ang draft ng SHRINCS ay gumagamit ng custom na configuration ng parameter kasama ang hiwalay nitong stateful na bahagi.

Mahalaga ang mga mas bagong numero dahil ang mas maagang bersyon ng SHRINCS ay gumawa ng madalas na binanggit na 324-byte na stateful na lagda. Sinabi ni Guillemet na ang pigura na iyon ay hindi na naglalarawan sa kasalukuyang draft ng Bitcoin. Ang spesipikasyon ng Setyembre ay nagsisimula sa 548 bytes para sa stateful na ruta nito.

Ikinatwiran ng Blockstream Research na ang mga lagdang nakabatay sa hash ay nag-aalok ng konserbatibong mga pagpapalagay sa kriptograpiya at medyo murang pag-verify. Binanggit ng pananaliksik nito noong Mayo na ang mga standardized na post-quantum signature ay mas malaki kaysa sa kasalukuyang 64-byte Schnorr signature ng Bitcoin, na lumilikha ng pressure sa espasyo ng block at throughput ng transaksyon.

Naipakita na ng Blockstream ang pag-verify ng SHRINCS sa Liquid sidechain sa pamamagitan ng Simplicity, ngunit hindi nangangahulugan ang eksperimento na aktibo ang scheme sa Bitcoin mainnet. Ang spesipikasyon ng Bitcoin ay nananatiling gawaing pananaliksik na nangangailangan ng pagsusuri at konsensus bago ang anumang network deployment.

Ang mga stateful na lagda ay lumilikha ng bagong mode ng pagkabigo ng wallet

Ang compact na landas ng SHRINCS ay nangangailangan ng bawat one-time signing key na gamitin nang isang beses lamang. Samakatuwid, ang isang wallet ay nagpapanatili ng isang counter na nagpapakilala kung aling signing slot ang dapat gamitin susunod, at ang counter na iyon ay dapat na permanenteng umusad bago umalis ang isang lagda sa device.

Kung gumamit ang isang wallet ng parehong signing slot para sa dalawang magkaibang mensahe, ang impormasyong nalantad sa pamamagitan ng mga lagda ay maaaring magbigay-daan sa isang observer na lumikha ng pekeng lagda. Isinulat ni Guillemet na hindi kinakailangang mabawi ng attacker ang buong pribadong seed, ngunit ang pondo ng apektadong user ay maaari pa ring manakaw.

Lumilikha ang mga backup ng isa pang problema. Ang pag-restore ng isang wallet mula sa mas lumang kopya ay maaaring mag-restore ng hindi napapanahong counter. Ang dalawang hardware device na na-initialize mula sa parehong seed ay maaaring humarap sa parehong panganib kung malaya silang gumamit ng stateful na landas nang hindi nagko-coordinate kung aling mga one-time key ang nagamit na.

Ang isang independyenteng Project Eleven na pagsusuri ng SHRINCS ay nakarating sa katulad na konklusyon. Sinabi ng mga mananaliksik na sina Alex Pruden at Conor Deegan na inililipat ng scheme ang isang kinakailangan sa estado na kritikal sa seguridad sa mga wallet at custodial system, kung saan ang pag-restore ng backup o state rollback ay maaaring humantong sa muling paggamit ng isang one-time key.

Nagbibigay ang SHRINCS ng fallback kapag nawala o hindi tiyak ang estado. Maaari pa ring makuha ng orihinal na seed ang stateless signing key, na nagpapahintulot sa paglipat ng pondo gamit ang 5,777-byte na lagda. Dapat na permanenteng itigil ng wallet ang paggamit ng compact stateful na ruta para sa key na iyon kapag ang counter nito ay hindi na mapagkakatiwalaan.

Inilarawan ni Guillemet ang property na ito bilang isa sa mas malakas na disenyo ng SHRINCS dahil ang pagkawala ng estado ay nakakaapekto sa kahusayan nang hindi awtomatikong ginagawang hindi magagamit ang mga barya.

Hindi maayos na maililipat ang kasalukuyang mga feature ng wallet

Ang paglipat mula sa elliptic-curve signature patungo sa hash-based signature ay magbabago ng ilang tool ng wallet na ginagamit ng mga user ng Bitcoin ngayon. Ang non-hardened BIP32 derivation ay nagpapahintulot sa isang extended public key na makabuo ng mga public key ng anak nang hindi inilalantad ang mga pribadong key, na sumusuporta sa mga karaniwang disenyo ng watch-only wallet. Sinabi ni Guillemet na walang epektibong katumbas ang natural na maililipat sa mga hash-based signature.

Nagpapakita ang threshold signing ng kaugnay na problema. Ang mga sistemang nakabatay sa Schnorr ay maaaring pagsamahin ang mga kalahok nang mahusay, habang ang mga kilalang hash-based na alternatibo ay madalas na nangangailangan ng mas malalaking lagda, mas maraming imbakan o komunikasyon, o iba't ibang mga pagpapalagay sa tiwala. Sinabi ni Guillemet na hindi dapat asahan ang SHRINCS na magbigay ng compact na kapalit para sa kasalukuyang mga sistema ng Schnorr threshold.

Ang performance ng hardware ay nananatiling isa pang limitasyon. Sinusuri ng Ledger na ang post-quantum key generation at ang stateless SHRINCS path ay maaaring tumagal ng ilang minuto sa ilang secure na hardware dahil ang proseso ay nagsasagawa ng maraming operasyon ng SHA-256 at nangangailangan ng mas maraming memorya kaysa sa Schnorr signing.

Ang pananaliksik ng Blockstream ay naglalagay ng tradeoff sa ibang paraan, na nagpapahayag na ang pag-verify ng SHRINCS ay dinodominahan ng mga kalkulasyon ng SHA-256 at samakatuwid ay maaaring manatiling computational na mapamahalaan kahit na ang mga lagda ay kumonsumo ng mas maraming bytes. Ang kasalukuyang draft ay nagsasaad na ang pinakamasamang kaso ng gastos sa pag-verify nito kada byte ng lagda ay mas mababa kaysa sa BIP340 Schnorr.

Walang naipatupad na post-quantum migration ang Bitcoin

Ang SHRINCS ay isa lamang bahagi ng kasalukuyang diskusyon sa seguridad ng Bitcoin-quantum. Ang BIP 360, na tinatawag na Pay-to-Merkle-Root, ay isang hiwalay na Draft na panukala na idinisenyo upang alisin ang quantum-vulnerable key-path spend ng Taproot at protektahan ang mga user laban sa mga long-exposure attack.

Hindi nagpapakilala ang BIP 360 mismo ng isang post-quantum signature algorithm. Sinabi ng mga may-akda nito na ang mga short-exposure attack, kung saan ang isang attacker ay kumukuha ng isang pribadong key matapos ilantad ng isang transaksyon ang pampublikong key nito ngunit bago ang kumpirmasyon, ay maaaring mangailangan ng isang hinaharap na post-quantum signature scheme.

Direktang tinutugunan ng BIP 361 ang problema sa migrasyon. Inilalarawan ng Draft na panukala ang isang paunti-unting pagtigil sa paggamit ng lumang ECDSA at Schnorr spending matapos maging available ang isang post-quantum output mechanism. Kasama sa iminungkahing iskedyul nito ang isang paunang panahon ng migrasyon na susundan ng mas mahigpit na restriksyon sa mga lumang lagda.

Gaya ng iniulat ng crypto.news sa pagsusuri nito sa BIP 360 at BIP 361, isang hindi pa nalulutas na isyu ay kung ano ang dapat mangyari sa mahina na BTC na hindi kailanman lumipat. Ang mga posibleng pamamaraan ay maaaring makaapekto sa mga barya na pinaniniwalaang nawala, inabandona, o kinokontrol ng mga may-ari na hindi maaaring makilahok sa isang pag-upgrade sa hinaharap.

Ang independiyenteng cryptography advisory board ng Coinbase ay hiwalay na nanawagan para simulan ang pagpaplano ng migrasyon bago pa man umiral ang isang quantum attacker. Suportado ng board ang paghahanda habang iniiwan ang mga tanong tungkol sa pagyeyelo o paghawak ng mga lumang barya sa komunidad ng Bitcoin.

Ang opisyal na repositoryo ng Bitcoin BIP ay naglilista pa rin ng parehong BIP 360 at BIP 361 bilang Draft noong Setyembre 17. Ang SHRINCS mismo ay nananatiling isang hindi nakabilang na draft na spesipikasyon, na nagbabala ang mga may-akda nito na ang kriptograpiya ay gawaing prototype na nangangailangan ng karagdagang peer review at isang nakumpletong patunay ng seguridad.

Mga Madalas Itanong