Debatten om Bitcoins framtid
Debatten om Bitcoins framtid i en post-kvantvärld har nu riktat fokus mot plånboksäkerhet och hantering av inaktiva mynt. Ledger CTO Charles Guillemet har påstått att valet av ett nytt signaturssystem kan visa sig vara enklare än att säkert migrera Bitcoin-användare och deras befintliga tillgångar.
Teknisk analys av Guillemet
I en teknisk analys publicerad av Ledger sa Guillemet att ”Bitcoin har inte ett kvantdatorproblem idag,” men varnade för att forskningen kring migration, mjukvaruimplementering, förändringar av hårdvaruplånböcker och användaradoption kan ta flera år. Han påpekade att ingen kryptografiskt relevant kvantdator som kan bryta Bitcoins nuvarande signaturer är känd att existera idag, och tidpunkten för en sådan maskin förblir osäker.
Övergången till post-kvant signaturer
Hans granskning fokuserar på SHRINCS, ett utkast till ett Bitcoin-specifikt post-kvant signaturförslag som kombinerar en mindre tillståndsbaserad signeringsmekanism med en större tillståndslös återställningsväg. Specifikationen är fortfarande ofullständig, har inget tilldelat BIP-nummer och anger att dess formella ”säkerhetsbevis är TODO.”
Guillemet delade övergången i tre problem:
- Att välja ett post-kvant signatursystem.
- Anpassa Bitcoin-plånböcker och protokollinfrastruktur till det systemet.
- Besluta hur befintlig BTC ska flyttas till kvantresistenta utdata.
Det sista problemet inkluderar mynt vars ägare kan ha förlorat sina nycklar eller inte har flyttat medel på många år. Bitcoins nuvarande transaktionsautorisering förlitar sig starkt på ECDSA och Schnorr-signaturer, som bygger på elliptisk kurvkryptografi.
Kvantangrepp och säkerhet
En tillräckligt kapabel kvantdator som kör Shors algoritm skulle teoretiskt kunna återfå privata nycklar från exponerade offentliga nycklar, men ingen offentligt demonstrerad maskin kan utföra den attacken mot Bitcoin idag. Guillemet sa att migration inte kan bedömas enbart utifrån den kryptografiska styrkan hos ett ersättningssystem, eftersom plånböcker, hårdvaruenheter, backupsystem och flerdelade installationer måste implementera det på ett säkert sätt.
”Att nå en social överenskommelse om sårbara arvmynt är en av de svårare olösta frågorna.”
En liknande ståndpunkt har uttryckts av andra kryptografer. Stanford-kryptografen Dan Boneh har hävdat att Bitcoin bör förbereda sig för kvantangrepp, samtidigt som man undviker en förhastad migration som kan introducera allvarliga mjukvarufel.
SHRINCS och dess specifikationer
Den nuvarande SHRINCS-utkastsspecifikationen beskriver ett hash-baserat system byggt kring SHA-256, samma hashfamilj som redan används i stor utsträckning av Bitcoin. Dess designers siktar på cirka 128 bitar av klassisk säkerhet och 64 bitar av kvantsäkerhet under sina valda parametrar.
Den 48-byte offentliga nyckeln åtar sig två signeringsvägar. Den kompakta vägen använder Flexible XMSS och WOTS+C, vilket producerar tillståndsbaserade signaturer från 548 byte upp till 4,619 byte. En tillståndslös fallback baserad på SLH-DSA-koncept producerar en 5,777-byte signatur.
NIST standardiserade SLH-DSA som FIPS 205 i augusti 2024. Standarden i sig är tillståndslös och baserad på SPHINCS+, medan SHRINCS-utkastet använder en anpassad parameterkonfiguration tillsammans med sin separata tillståndsbaserade komponent.
Utmaningar med migration och säkerhet
Guillemet sa att den siffran inte längre beskriver det aktuella Bitcoin-utkastet. September-specifikationen börjar på 548 byte för sin tillståndsbaserade väg. Blockstream Research har hävdat att hash-baserade signaturer erbjuder konservativa kryptografiska antaganden och relativt billig verifiering.
SHRINCS tillhandahåller en fallback när tillståndet är förlorat eller osäkert. Det ursprungliga fröet kan fortfarande härleda den tillståndslösa signeringsnyckeln, vilket gör att medel kan flyttas med hjälp av den 5,777-byte signaturen. Plånboken måste permanent sluta använda den kompakta tillståndsbaserade vägen för den nyckeln när dess räknare inte längre kan litas på.
Framtiden för Bitcoin och kvantsäkerhet
Guillemet beskrev denna egenskap som ett av SHRINCS starkare designval, eftersom förlust av tillstånd påverkar effektiviteten utan att automatiskt göra mynten osäljbara. Övergången från elliptiska kurvsignaturer till hash-baserade signaturer skulle förändra flera plånboksverktyg som Bitcoin-användare förlitar sig på idag.
SHRINCS i sig förblir en icke-nummererad utkastsspecifikation, med sina författare som varnar för att kryptografin är prototyparbete som kräver ytterligare peer review och ett fullständigt säkerhetsbevis. Ingen offentligt demonstrerad kvantdator kan för närvarande återfå Bitcoins privata nycklar från dess elliptiska kurv offentliga nycklar.
Guillemet beskriver den omedelbara utmaningen som att förbereda en migration innan sådan hårdvara blir praktisk.
