Debate sobre la migración post-cuántica de Bitcoin
El debate sobre la migración post-cuántica de Bitcoin se ha centrado en la seguridad de las billeteras y el manejo de monedas inactivas, tras las declaraciones del CTO de Ledger, Charles Guillemet. Este argumentó que elegir un nuevo esquema de firma podría resultar más fácil que mover de manera segura a los usuarios de Bitcoin y sus fondos existentes.
Declaraciones de Charles Guillemet
Guillemet afirmó en un análisis técnico publicado por Ledger que
«Bitcoin no tiene un problema de computación cuántica hoy en día»
, aunque advirtió que la investigación sobre migración, la implementación de software, los cambios en las billeteras de hardware y la adopción por parte de los usuarios podrían tardar años. Aseguró que no se conoce ninguna computadora cuántica relevante desde el punto de vista criptográfico capaz de romper las firmas actuales de Bitcoin, y el momento en que tal máquina podría existir sigue siendo incierto.
Propuesta de firma SHRINCS
Su revisión se centra en SHRINCS, una propuesta de firma post-cuántica específica para Bitcoin que combina un mecanismo de firma con estado más pequeño con un camino de recuperación sin estado más grande. La especificación aún no está terminada, no tiene un número BIP asignado y establece que su «prueba de seguridad formal está por hacer».
Guillemet enfatizó que Bitcoin no enfrenta un problema de computación cuántica en la actualidad, sino un problema de migración, y que las migraciones podrían tardar años en realizarse correctamente. SHRINCS es la primera propuesta post-cuántica específica de Bitcoin que he visto que hace un serio compromiso de extremo a extremo y merece ser leída.
Problemas de transición
Guillemet dividió la transición en tres problemas: seleccionar un esquema de firma post-cuántica, adaptar las billeteras de Bitcoin y la infraestructura del protocolo a ese esquema, y decidir cómo deberían moverse los BTC existentes a salidas resistentes a la computación cuántica. El último problema incluye monedas cuyos propietarios pueden haber perdido sus claves o no han movido fondos durante muchos años.
Dependencia de firmas ECDSA y Schnorr
La autorización de transacciones actual de Bitcoin depende en gran medida de las firmas ECDSA y Schnorr, construidas sobre criptografía de curvas elípticas. Una computadora cuántica suficientemente avanzada que ejecute el algoritmo de Shor podría teóricamente recuperar claves privadas a partir de claves públicas expuestas, pero ninguna máquina demostrada públicamente puede realizar ese ataque contra Bitcoin hoy en día.
Desafíos de la migración
Guillemet subrayó que la migración no puede ser evaluada únicamente por la fuerza criptográfica de un esquema de reemplazo, ya que las billeteras, los dispositivos de hardware, los sistemas de respaldo y las configuraciones de múltiples dispositivos deben implementarlo de manera segura. Describió alcanzar un acuerdo social sobre monedas heredadas vulnerables como una de las preguntas más difíciles no resueltas.
Una posición similar ha sido expresada por otros criptógrafos. El criptógrafo de Stanford, Dan Boneh, ha argumentado que Bitcoin debería prepararse para el riesgo cuántico mientras evita una migración apresurada que podría introducir fallos de software severos.
Especificaciones de SHRINCS
La actual especificación del borrador de SHRINCS describe un sistema basado en hash construido alrededor de SHA-256, la misma familia de hash que ya utiliza extensamente Bitcoin. Sus diseñadores apuntan a aproximadamente 128 bits de seguridad clásica y 64 bits de seguridad cuántica bajo sus parámetros elegidos. Su clave pública de 48 bytes se compromete a dos rutas de firma.
La ruta compacta utiliza Flexible XMSS y WOTS+C, produciendo firmas con estado de entre 548 y 4,619 bytes. Un retroceso sin estado basado en conceptos de SLH-DSA produce una firma de 5,777 bytes. NIST estandarizó SLH-DSA como FIPS 205 en agosto de 2024.
Consideraciones de seguridad y rendimiento
La firma umbral presenta un problema relacionado. Los sistemas basados en Schnorr pueden combinar participantes de manera eficiente, mientras que las alternativas basadas en hash conocidas tienden a requerir firmas más grandes, más almacenamiento o comunicación, o diferentes suposiciones de confianza. Guillemet advirtió que no se debe esperar que SHRINCS proporcione un reemplazo compacto y directo para los sistemas de umbral Schnorr actuales.
El rendimiento del hardware sigue siendo otra limitación. El análisis de Ledger indica que la generación de claves post-cuánticas y la ruta sin estado de SHRINCS pueden tardar minutos en algunos hardware seguros, ya que el proceso realiza muchas operaciones SHA-256 y requiere más memoria que la firma Schnorr.
Propuestas BIP relacionadas
SHRINCS es solo una parte de la actual discusión sobre la seguridad cuántica de Bitcoin. BIP 360, llamado Pay-to-Merkle-Root, es una propuesta de borrador separada diseñada para eliminar el gasto de la ruta de clave vulnerable a la cuántica de Taproot y proteger a los usuarios contra ataques de larga exposición. BIP 361 aborda el problema de la migración de manera más directa.
La junta asesora de criptografía independiente de Coinbase ha pedido por separado que comience la planificación de la migración antes de que exista un atacante cuántico. La junta apoyó la preparación mientras dejaba las preguntas sobre la congelación o el manejo de monedas heredadas a la comunidad de Bitcoin.
Conclusiones sobre SHRINCS
SHRINCS en sí sigue siendo una especificación de borrador sin número asignado, con sus autores advirtiendo que la criptografía es un trabajo de prototipo que requiere más revisión por pares y una prueba de seguridad completada. Ninguna computadora cuántica demostrada públicamente puede recuperar actualmente claves privadas de Bitcoin a partir de sus claves públicas de curva elíptica. Guillemet describe el desafío inmediato como preparar una migración antes de que dicho hardware se vuelva práctico.
