Дебати щодо постквантової міграції Біткоїна змістилися у бік безпеки гаманців та обробки неактивних монет після того, як технічний директор Ledger Шарль Гійме заявив, що вибір нової схеми підписів може виявитися легшим, ніж безпечне переміщення користувачів Біткоїна та існуючих коштів.
Технічний директор Ledger Шарль Гійме у технічному аналізі, опублікованому Ledger, заявив, що "Біткоїн сьогодні не має проблеми квантового комп'ютера", водночас попереджаючи, що дослідження міграції, впровадження програмного забезпечення, зміни в апаратних гаманцях та прийняття користувачами можуть зайняти роки. Він зазначив, що сьогодні невідомо про існування жодного криптографічно значущого квантового комп'ютера, здатного зламати поточні підписи Біткоїна, тоді як час появи такої машини залишається невизначеним.
Його огляд зосереджений на SHRINCS, чернетці пропозиції постквантового підпису, специфічної для Біткоїна, яка поєднує менший механізм підписання зі станом з більшим шляхом відновлення без стану. Специфікація залишається незавершеною, не має призначеного номера BIP і зазначає, що її формальний "доказ безпеки є TODO".
Гійме розділив перехід на три проблеми: вибір схеми постквантового підпису, адаптація гаманців Біткоїна та інфраструктури протоколу до цієї схеми, а також вирішення питання, як існуючі BTC мають перейти до квантово-стійких виходів. Остання проблема включає монети, власники яких могли втратити свої ключі або не переміщували кошти протягом багатьох років.
Поточна авторизація транзакцій Біткоїна значною мірою покладається на підписи ECDSA та Schnorr, побудовані на еліптичній криптографії. Достатньо потужний квантовий комп'ютер, що запускає алгоритм Шора, теоретично міг би відновити приватні ключі з відкритих публічних ключів, але жодна публічно продемонстрована машина не може здійснити цю атаку проти Біткоїна сьогодні.
Гійме заявив, що міграцію не можна оцінювати лише за криптографічною стійкістю схеми заміни, оскільки гаманці, апаратні пристрої, системи резервного копіювання та багатопристроєві налаштування повинні безпечно її впровадити. Він описав досягнення соціальної згоди щодо вразливих застарілих монет як одне з найскладніших невирішених питань.
Подібна позиція виникла й у інших криптографів. Криптограф зі Стенфорда Ден Боне стверджував, що Біткоїн повинен готуватися до квантового ризику, уникаючи поспішної міграції, яка може призвести до серйозних програмних збоїв.
Поточна чернетка специфікації SHRINCS описує хеш-систему, побудовану на основі SHA-256, того ж сімейства хешів, яке вже широко використовується Біткоїном. Її розробники прагнуть досягти приблизно 128 бітів класичної безпеки та 64 бітів квантової безпеки за обраними параметрами.
Її 48-байтовий публічний ключ включає два шляхи підписання. Компактний маршрут використовує Flexible XMSS та WOTS+C, створюючи підписи зі станом від 548 до 4619 байтів. Безстатевий резервний варіант на основі концепцій SLH-DSA створює підпис розміром 5777 байтів.
NIST стандартизував SLH-DSA як FIPS 205 у серпні 2024 року. Сам стандарт є безстатевим і заснований на SPHINCS+, тоді як чернетка SHRINCS використовує спеціальну конфігурацію параметрів разом зі своїм окремим компонентом зі станом.
Новіші цифри важливі, оскільки попередня версія SHRINCS створила часто цитований 324-байтовий підпис зі станом. Гійме заявив, що ця цифра більше не описує поточну чернетку Біткоїна. Вереснева специфікація починається з 548 байтів для її маршруту зі станом.
Blockstream Research стверджує, що хеш-підписи пропонують консервативні криптографічні припущення та відносно дешеву перевірку. Їхнє травневе дослідження зазначило, що стандартизовані постквантові підписи значно більші, ніж поточні 64-байтові підписи Schnorr Біткоїна, що створює тиск на простір блоків і пропускну здатність транзакцій.
Blockstream вже продемонстрував верифікацію SHRINCS на сайдчейні Liquid за допомогою Simplicity, але цей експеримент не означає, що схема активна в основній мережі Біткоїна. Специфікація Біткоїна залишається дослідницькою роботою, що вимагає перевірки та консенсусу перед будь-яким розгортанням у мережі.
Компактний шлях SHRINCS вимагає, щоб кожен одноразовий ключ підписання використовувався лише один раз. Тому гаманець підтримує лічильник, який визначає, який слот підписання слід використовувати наступним, і цей лічильник повинен постійно рухатися вперед, перш ніж підпис залишить пристрій.
Якщо гаманець використовує той самий слот підписання для двох різних повідомлень, інформація, розкрита підписами, може дозволити спостерігачеві підробити дійсний підпис. Гійме написав, що зловмисник не обов'язково відновлює все приватне зерно, але кошти постраждалого користувача все одно можуть бути викрадені.
Резервні копії створюють ще одну проблему. Відновлення гаманця зі старої копії може відновити застарілий лічильник. Два апаратні пристрої, ініціалізовані з одного зерна, можуть зіткнутися з тим самим ризиком, якщо вони незалежно використовують шлях зі станом без координації того, які одноразові ключі вже були використані.
Незалежний огляд SHRINCS від Project Eleven дійшов схожого висновку. Дослідники Алекс Пруден і Конор Деган заявили, що схема переносить критичну для безпеки вимогу стану в гаманці та кастодіальні системи, де відновлення резервної копії або відкат стану можуть призвести до повторного використання одноразового ключа.
SHRINCS передбачає резервний варіант, коли стан втрачено або невизначено. Початкове зерно все ще може вивести безстатевий ключ підписання, дозволяючи переміщувати кошти за допомогою підпису розміром 5777 байтів. Гаманець повинен повністю припинити використання компактного маршруту зі станом для цього ключа, як тільки його лічильнику більше не можна довіряти.
Гійме описав цю властивість як один із найсильніших дизайнерських рішень SHRINCS, оскільки втрата стану впливає на ефективність, не роблячи монети автоматично неможливими для витрати.
Перехід від підписів на еліптичних кривих до хеш-підписів змінить кілька інструментів гаманця, на які сьогодні покладаються користувачі Біткоїна. Незміцнене виведення BIP32 дозволяє розширеному публічному ключу генерувати дочірні публічні ключі без розкриття приватних ключів, підтримуючи загальні дизайни гаманців лише для спостереження. Гійме сказав, що ефективний еквівалент природно не переноситься на хеш-підписи.
Порогові підписи є пов'язаною проблемою. Системи на основі Schnorr можуть ефективно комбінувати учасників, тоді як відомі хеш-альтернативи, як правило, вимагають більших підписів, більшого обсягу сховища або комунікації, або інших припущень довіри. Гійме заявив, що від SHRINCS не слід очікувати, що він забезпечить компактну заміну для поточних порогових систем Schnorr.
Продуктивність апаратного забезпечення залишається ще одним обмеженням. Аналіз Ledger стверджує, що генерація постквантового ключа та безстатевий шлях SHRINCS можуть зайняти хвилини на деяких захищених апаратних засобах, оскільки процес виконує багато операцій SHA-256 і вимагає більше пам'яті, ніж підписання Schnorr.
Дослідження Blockstream по-іншому розглядає компроміс, стверджуючи, що верифікація SHRINCS домінує обчисленнями SHA-256 і тому може залишатися обчислювально керованою, навіть коли підписи споживають більше байтів. Поточна чернетка стверджує, що її найгірша вартість верифікації на байт підпису нижча, ніж у BIP340 Schnorr.
SHRINCS є лише однією частиною поточної дискусії щодо квантової безпеки Біткоїна. BIP 360, що називається Pay-to-Merkle-Root, є окремою чернеткою пропозиції, розробленою для видалення квантово-вразливого витрачання за допомогою key-path в Taproot та захисту користувачів від атак з довгою експозицією.
Сам BIP 360 не вводить постквантовий алгоритм підпису. Його автори заявляють, що атаки з короткою експозицією, коли зловмисник виводить приватний ключ після того, як транзакція розкриває його публічний ключ, але до підтвердження, можуть вимагати майбутньої схеми постквантового підпису.
BIP 361 безпосередніше вирішує проблему міграції. Чернетка пропозиції описує поетапне виведення застарілих витрат ECDSA та Schnorr після того, як стане доступним механізм постквантового виходу. Її запропонований графік включає початковий період міграції, за яким пізніше слідують жорсткіші обмеження на застарілі підписи.
Як повідомлялося в огляді BIP 360 та BIP 361 на crypto.news, однією з невирішених проблем є те, що має статися з вразливими BTC, які ніколи не мігрують. Можливі підходи можуть вплинути на монети, які вважаються втраченими, покинутими або контрольованими власниками, які не можуть брати участь у майбутньому оновленні.
Незалежна криптографічна консультативна рада Coinbase окремо закликала розпочати планування міграції до появи квантового зловмисника. Рада підтримала підготовку, залишаючи питання щодо заморожування або обробки застарілих монет спільноті Біткоїна.
Офіційний репозиторій Bitcoin BIP все ще містить BIP 360 і BIP 361 як Чернетки станом на 17 вересня. Сам SHRINCS залишається неномерованою чернеткою специфікації, при цьому її автори попереджають, що криптографія є прототипною роботою, що вимагає подальшого рецензування та завершеного доказу безпеки.
Жоден публічно продемонстрований квантовий комп'ютер наразі не може відновити приватні ключі Біткоїна з його публічних ключів на еліптичних кривих. Гійме описує негайну проблему як підготовку до міграції до того, як таке апаратне забезпечення стане практичним.
Ні. SHRINCS є експериментальною чернеткою специфікації без призначеного номера BIP. Він не активований у Bitcoin Core або правилах консенсусу Біткоїна.
Поточний дизайн дозволяє зерну відновити шлях підписання без стану, створюючи більший підпис розміром 5777 байтів. Гаманець не повинен відновлювати компактне підписання зі станом, якщо його попередньому лічильнику більше не можна довіряти.
Його компактний маршрут покладається на одноразові ключі підписання. Повторне використання того самого слота для різних повідомлень може розкрити достатньо інформації, щоб дозволити підроблені підписи та можливу крадіжку коштів.
Ні. Канонічний репозиторій Bitcoin BIP наразі містить обидві пропозиції як Чернетки. Жодна з них не була активована як зміна консенсусу Біткоїна.
BTC
