Le débat sur la migration post-quantique de Bitcoin s'est orienté vers la sécurité des portefeuilles et la gestion des fonds dormants, après que Charles Guillemet, CTO de Ledger, a soutenu que choisir un nouveau schéma de signature pourrait s'avérer plus facile que de déplacer les utilisateurs de Bitcoin et leurs fonds existants en toute sécurité.
Charles Guillemet, CTO de Ledger, a déclaré dans une analyse technique publiée par Ledger que "Bitcoin n'a pas de problème d'ordinateur quantique aujourd'hui", tout en avertissant que la recherche sur la migration, l'implémentation logicielle, les changements de portefeuilles matériels et l'adoption par les utilisateurs pourraient prendre des années. Il a ajouté qu'aucun ordinateur quantique cryptographiquement pertinent capable de briser les signatures actuelles de Bitcoin n'est connu à ce jour, et que le moment de l'apparition d'une telle machine reste incertain.
Son examen se concentre sur SHRINCS, une proposition de signature post-quantique spécifique à Bitcoin, encore à l'état de brouillon, qui combine un mécanisme de signature à état plus petit avec un chemin de récupération sans état plus grand. La spécification reste inachevée, ne porte aucun numéro BIP attribué et indique que sa "preuve de sécurité formelle est À FAIRE".
Guillemet a divisé la transition en trois problèmes : la sélection d'un schéma de signature post-quantique, l'adaptation des portefeuilles Bitcoin et de l'infrastructure du protocole à ce schéma, et la décision de la manière dont les BTC existants devraient être transférés vers des sorties résistantes aux quanta. Le dernier problème inclut les pièces dont les propriétaires ont pu perdre leurs clés ou n'ont pas déplacé de fonds depuis de nombreuses années.
L'autorisation des transactions actuelles de Bitcoin repose fortement sur les signatures ECDSA et Schnorr, basées sur la cryptographie à courbe elliptique. Un ordinateur quantique suffisamment puissant exécutant l'algorithme de Shor pourrait théoriquement récupérer les clés privées à partir des clés publiques exposées, mais aucune machine publiquement démontrée ne peut effectuer cette attaque contre Bitcoin aujourd'hui.
Guillemet a déclaré que la migration ne peut pas être jugée uniquement par la force cryptographique d'un schéma de remplacement, car les portefeuilles, les dispositifs matériels, les systèmes de sauvegarde et les configurations multi-appareils doivent l'implémenter en toute sécurité. Il a décrit la recherche d'un accord social sur les pièces héritées vulnérables comme l'une des questions non résolues les plus difficiles.
Une position similaire a émergé d'autres cryptographes. Dan Boneh, cryptographe de Stanford, a soutenu que Bitcoin devrait se préparer au risque quantique tout en évitant une migration précipitée qui pourrait introduire de graves défaillances logicielles.
La spécification préliminaire actuelle de SHRINCS décrit un système basé sur le hachage et construit autour de SHA-256, la même famille de hachage déjà largement utilisée par Bitcoin. Ses concepteurs visent environ 128 bits de sécurité classique et 64 bits de sécurité quantique selon les paramètres choisis.
Sa clé publique de 48 octets s'engage sur deux chemins de signature. La route compacte utilise Flexible XMSS et WOTS+C, produisant des signatures à état de 548 octets jusqu'à 4 619 octets. Un mécanisme de secours sans état basé sur les concepts SLH-DSA produit une signature de 5 777 octets.
Le NIST a standardisé SLH-DSA sous la forme FIPS 205 en août 2024. La norme elle-même est sans état et basée sur SPHINCS+, tandis que l'ébauche de SHRINCS utilise une configuration de paramètres personnalisée aux côtés de son composant à état séparé.
Les nouveaux chiffres sont importants car une version antérieure de SHRINCS produisait une signature à état de 324 octets, fréquemment citée. Guillemet a déclaré que ce chiffre ne décrit plus le brouillon actuel de Bitcoin. La spécification de septembre commence à 548 octets pour sa voie à état.
Blockstream Research a soutenu que les signatures basées sur le hachage offrent des hypothèses cryptographiques conservatrices et une vérification relativement peu coûteuse. Sa recherche de mai a noté que les signatures post-quantiques standardisées sont beaucoup plus grandes que les signatures Schnorr actuelles de Bitcoin de 64 octets, ce qui crée une pression sur l'espace de bloc et le débit des transactions.
Blockstream a déjà démontré la vérification SHRINCS sur la sidechain Liquid via Simplicity, mais cette expérience ne signifie pas que le schéma est actif sur le mainnet de Bitcoin. La spécification Bitcoin reste un travail de recherche nécessitant un examen et un consensus avant tout déploiement sur le réseau.
Le chemin SHRINCS compact exige que chaque clé de signature à usage unique ne soit utilisée qu'une seule fois. Un portefeuille maintient donc un compteur identifiant quel emplacement de signature doit être utilisé ensuite, et ce compteur doit avancer de manière permanente avant qu'une signature ne quitte l'appareil.
Si un portefeuille utilise le même emplacement de signature pour deux messages différents, les informations exposées par les signatures peuvent permettre à un observateur de forger une signature valide. Guillemet a écrit que l'attaquant ne récupère pas nécessairement la totalité de la clé privée, mais que les fonds de l'utilisateur affecté peuvent néanmoins devenir volables.
Les sauvegardes créent un autre problème. La restauration d'un portefeuille à partir d'une copie plus ancienne pourrait restaurer un compteur obsolète. Deux appareils matériels initialisés à partir de la même clé pourraient faire face au même risque s'ils utilisent indépendamment le chemin à état sans coordonner quelles clés à usage unique ont déjà été consommées.
Un examen indépendant du projet Eleven de SHRINCS est parvenu à une conclusion similaire. Les chercheurs Alex Pruden et Conor Deegan ont déclaré que le schéma transfère une exigence d'état critique pour la sécurité vers les portefeuilles et les systèmes de garde, où la restauration de sauvegarde ou la restauration d'état pourrait entraîner la réutilisation d'une clé à usage unique.
SHRINCS fournit une solution de repli lorsque l'état est perdu ou incertain. La clé d'origine peut toujours dériver la clé de signature sans état, permettant ainsi aux fonds de se déplacer à l'aide de la signature de 5 777 octets. Le portefeuille doit cesser définitivement d'utiliser la route compacte à état pour cette clé une fois que son compteur ne peut plus être fiable.
Guillemet a décrit cette propriété comme l'un des choix de conception les plus robustes de SHRINCS, car la perte d'état affecte l'efficacité sans rendre automatiquement les pièces inexploitables.
Le passage des signatures à courbe elliptique aux signatures basées sur le hachage modifierait plusieurs outils de portefeuille sur lesquels les utilisateurs de Bitcoin comptent aujourd'hui. La dérivation BIP32 non renforcée permet à une clé publique étendue de générer des clés publiques enfants sans exposer les clés privées, ce qui prend en charge les conceptions courantes de portefeuilles en mode "watch-only". Guillemet a déclaré qu'un équivalent efficace ne se transmet pas naturellement aux signatures basées sur le hachage.
La signature de seuil présente un problème connexe. Les systèmes basés sur Schnorr peuvent combiner les participants efficacement, tandis que les alternatives connues basées sur le hachage ont tendance à nécessiter des signatures plus grandes, plus de stockage ou de communication, ou des hypothèses de confiance différentes. Guillemet a déclaré que SHRINCS ne devrait pas être considéré comme un remplacement direct et compact des systèmes de seuil Schnorr actuels.
Les performances matérielles restent une autre contrainte. L'analyse de Ledger indique que la génération de clés post-quantiques et le chemin SHRINCS sans état peuvent prendre plusieurs minutes sur certains matériels sécurisés, car le processus effectue de nombreuses opérations SHA-256 et nécessite plus de mémoire que la signature Schnorr.
La recherche de Blockstream aborde le compromis différemment, arguant que la vérification SHRINCS est dominée par les calculs SHA-256 et peut donc rester gérable du point de vue computationnel même lorsque les signatures consomment plus d'octets. Le projet actuel affirme que son coût de vérification par octet de signature dans le pire des cas est inférieur à celui du Schnorr BIP340.
SHRINCS n'est qu'une partie de la discussion actuelle sur la sécurité quantique de Bitcoin. Le BIP 360, appelé Pay-to-Merkle-Root, est une proposition distincte encore à l'état de brouillon, conçue pour supprimer la dépense par chemin de clé (key-path spend) vulnérable aux quanta de Taproot et protéger les utilisateurs contre les attaques à longue exposition.
Le BIP 360 n'introduit pas en soi un algorithme de signature post-quantique. Ses auteurs affirment que les attaques à courte exposition, où un attaquant dérive une clé privée après qu'une transaction révèle sa clé publique mais avant confirmation, pourraient nécessiter un futur schéma de signature post-quantique.
Le BIP 361 aborde plus directement le problème de la migration. Cette proposition, encore à l'état de brouillon, décrit une désactivation progressive des dépenses ECDSA et Schnorr héritées après la mise à disposition d'un mécanisme de sortie post-quantique. Le calendrier proposé inclut une période de migration initiale, suivie plus tard par des restrictions plus strictes sur les signatures héritées.
Comme crypto.news l'a rapporté dans son examen des BIP 360 et 361, une question non résolue est ce qui devrait arriver aux BTC vulnérables qui ne migrent jamais. Des approches possibles peuvent affecter les pièces considérées comme perdues, abandonnées ou contrôlées par des propriétaires qui ne peuvent pas participer à une future mise à niveau.
Le conseil consultatif indépendant en cryptographie de Coinbase a séparément appelé à ce que la planification de la migration commence avant qu'un attaquant quantique n'existe. Le conseil a soutenu la préparation tout en laissant les questions sur le gel ou la gestion des pièces héritées à la communauté Bitcoin.
Le référentiel officiel des BIP de Bitcoin liste toujours les BIP 360 et 361 comme "Brouillon" au 17 septembre. SHRINCS lui-même reste une spécification préliminaire non numérotée, ses auteurs avertissant que la cryptographie est un travail de prototype nécessitant un examen par les pairs supplémentaire et une preuve de sécurité complète.
Aucun ordinateur quantique publiquement démontré ne peut actuellement récupérer les clés privées de Bitcoin à partir de ses clés publiques à courbe elliptique. Guillemet décrit le défi immédiat comme la préparation d'une migration avant que de tels matériels ne deviennent pratiques.
Non. SHRINCS est une spécification expérimentale à l'état de brouillon sans numéro BIP attribué. Il n'est pas activé dans Bitcoin Core ou les règles de consensus de Bitcoin.
La conception actuelle permet à la clé de dériver un chemin de signature sans état, produisant une signature plus grande de 5 777 octets. Le portefeuille ne devrait pas reprendre la signature compacte à état lorsque son compteur précédent ne peut plus être fiable.
Sa route compacte repose sur des clés de signature à usage unique. La réutilisation du même emplacement pour différents messages peut exposer suffisamment d'informations pour permettre des signatures forgées et un éventuel vol de fonds.
Non. Le référentiel canonique des BIP de Bitcoin liste actuellement les deux propositions comme étant des Brouillons. Aucune n'a été activée comme changement de consensus Bitcoin.
BTC
