Введение в постквантовую миграцию Bitcoin
Дебаты о постквантовой миграции Bitcoin сместились к вопросам безопасности кошельков и обработки спящих монет после того, как CTO Ledger Шарль Гийемет заявил, что выбор новой схемы подписи может оказаться проще, чем безопасно переместить пользователей Bitcoin и их средства.
Текущая ситуация с квантовыми угрозами
В техническом анализе, опубликованном Ledger, Гийемет отметил, что «Bitcoin не сталкивается с проблемами, связанными с квантовыми компьютерами, сегодня», однако предостерег, что исследование миграции, реализация программного обеспечения, изменения в аппаратных кошельках и принятие пользователями могут занять годы.
Он подчеркнул, что в настоящее время не существует известного криптографически значимого квантового компьютера, способного сломать текущие подписи Bitcoin, и сроки появления такого устройства остаются неопределенными.
Проект SHRINCS и его спецификации
Его обзор сосредоточен на проекте SHRINCS, который предлагает постквантовую схему подписи, специфичную для Bitcoin, сочетая меньший механизм подписания с состоянием и более крупный механизм восстановления без состояния. Спецификация проекта остается незавершенной, не имеет присвоенного номера BIP и указывает, что ее формальное «доказательство безопасности» находится в процессе разработки.
Ключевые проблемы перехода
Гийемет выделил три ключевых проблемы перехода:
- выбор схемы постквантовой подписи,
- адаптация кошельков Bitcoin и инфраструктуры протокола к этой схеме,
- решение о том, как существующие BTC должны перемещаться к выходам, устойчивым к квантовым атакам.
Последняя проблема включает монеты, владельцы которых могли потерять свои ключи или не перемещали средства в течение многих лет.
Криптографическая безопасность и миграция
Текущая авторизация транзакций Bitcoin сильно зависит от ECDSA и подписей Шнорра, основанных на криптографии эллиптических кривых. Достаточно мощный квантовый компьютер, работающий по алгоритму Шора, теоретически мог бы восстановить закрытые ключи из открытых, но в настоящее время нет публично продемонстрированной машины, способной выполнить эту атаку на Bitcoin.
Гийемет отметил, что миграцию нельзя оценивать только по криптографической прочности заменяющей схемы, поскольку кошельки, аппаратные устройства, системы резервного копирования и многоустройственные настройки должны безопасно ее реализовать.
Социальное согласие и уязвимые монеты
Гийемет описал достижение социального согласия по уязвимым устаревшим монетам как один из более сложных нерешенных вопросов.
Похожая позиция была высказана и другими криптографами. Криптограф Стэнфорда Дэн Бонех утверждал, что Bitcoin должен подготовиться к квантовому риску, избегая поспешной миграции, которая может привести к серьезным сбоям в программном обеспечении.
Текущие разработки и стандарты
Текущая спецификация проекта SHRINCS описывает систему, основанную на хэшах, построенную вокруг SHA-256, той же хэш-семьи, которая уже широко используется в Bitcoin. Ее разработчики нацелены на примерно 128 бит классической безопасности и 64 бита квантовой безопасности в соответствии с выбранными параметрами.
Открытый ключ размером 48 байт привязывается к двум путям подписания. Компактный маршрут использует Flexible XMSS и WOTS+C, производя состояния подписей размером от 548 до 4,619 байт. Безусловный резервный вариант, основанный на концепциях SLH-DSA, производит подпись размером 5,777 байт.
Проблемы с резервными копиями и восстановлением
Резервные копии создают еще одну проблему. Восстановление кошелька из более старой копии может восстановить устаревший счетчик. Два аппаратных устройства, инициализированных из одного и того же семени, могут столкнуться с тем же риском, если они независимо используют путь с состоянием, не координируя, какие одноразовые ключи уже были использованы.
Исследователи Алекс Пруден и Конор Диган заявили, что схема переносит критически важное состояние безопасности в кошельки и кастодиальные системы, где восстановление резервной копии или откат состояния могут привести к повторному использованию одноразового ключа.
Заключение
SHRINCS предоставляет резервный вариант, когда состояние потеряно или неопределенно. Исходное семя все еще может вывести ключ для подписания без состояния, позволяя средствам перемещаться с использованием подписи размером 5,777 байт. Кошелек должен навсегда прекратить использование компактного состояния для этого ключа, как только его счетчик больше не может быть доверен.
Гийемет описал это свойство как один из более сильных дизайнерских выборов SHRINCS, поскольку потеря состояния влияет на эффективность, не делая монеты автоматически непригодными для использования.
Переход от подписей на основе эллиптических кривых к подписям на основе хэшей изменит несколько инструментов кошелька, на которые пользователи Bitcoin полагаются сегодня.
Нехардированные производные BIP32 позволяют расширенному открытому ключу генерировать дочерние открытые ключи без раскрытия закрытых ключей, поддерживая распространенные дизайны кошельков только для просмотра.
Гийемет сказал, что эффективный эквивалент не переносится естественным образом на подписи на основе хэшей.
SHRINCS — это лишь одна часть текущей дискуссии о квантовой безопасности Bitcoin. BIP 360, называемый Pay-to-Merkle-Root, является отдельным проектом, предназначенным для устранения уязвимого ключевого пути Taproot и защиты пользователей от атак с длительным воздействием.
Как сообщалось в crypto.news в обзоре BIP 360 и BIP 361, одной из нерешенных проблем является то, что должно произойти с уязвимыми BTC, которые никогда не мигрируют.
Независимый консультативный совет по криптографии Coinbase отдельно призвал начать планирование миграции до появления квантового злоумышленника.
В настоящее время ни один публично продемонстрированный квантовый компьютер не может восстановить закрытые ключи Bitcoin из его открытых ключей эллиптической кривой.
Гийемет описывает непосредственную задачу как подготовку миграции до того, как такое оборудование станет практичным.
