a16z｜Obliczenia kwantowe a blockchain: dopasowanie „pilności” do rzeczywistego zagrożenia

Chainfeeds Wprowadzenie:

Ten artykuł wyjaśnia powszechne nieporozumienia dotyczące zagrożeń związanych z komputerami kwantowymi, w tym wpływ na algorytmy kryptograficzne, mechanizmy podpisów oraz zero-knowledge proofs (ZKP), a także omawia, co to oznacza dla systemów blockchain.

Źródło artykułu:

a16z

Poglądy:

a16z: Pierwszym realnym zagrożeniem bezpieczeństwa wynikającym z obliczeń kwantowych nie są „ataki przyszłości”, lecz ataki typu Harvest Now, Decrypt Later (HNDL), czyli atakujący już teraz przechwytują zaszyfrowaną komunikację, by w przyszłości, posiadając moc obliczeniową komputerów kwantowych, ją odszyfrować. Oznacza to, że wysoce poufna komunikacja (szczególnie na poziomie państwowym), nawet jeśli dziś nie może zostać złamana, w przyszłości może zostać ujawniona. Dlatego dla systemów wymagających poufności przez 10-50 lat lub dłużej, należy już teraz wdrażać nowe, odporne na komputery kwantowe szyfrowanie. Jednak to zagrożenie nie dotyczy systemów podpisów cyfrowych. Podpisy cyfrowe nie zawierają „treści prywatnych możliwych do retrospektywnego odszyfrowania”, ani nie istnieje problem „weryfikacji z przeszłości, która mogłaby zostać podważona przez komputery kwantowe”. Nawet jeśli w przyszłości komputery kwantowe będą w stanie fałszować podpisy, wpłynie to jedynie na przyszłe transakcje i autoryzacje, nie unieważni podpisów z przeszłości ani nie ujawni ukrytych informacji. Na tej podstawie najczęściej stosowane na blockchainie mechanizmy podpisów (ECDSA, EdDSA) będą wymagały aktualizacji w przyszłości, ale nie ma pilnej potrzeby natychmiastowej migracji. Ponadto, model bezpieczeństwa zkSNARKs różni się jeszcze bardziej od szyfrowania. Nawet jeśli dzisiejsze zkSNARKs opierają się na krzywych eliptycznych, sama właściwość zero-knowledge pozostaje bezpieczna wobec ataków kwantowych, ponieważ dowód nie zawiera prywatnych danych, które mogłyby zostać odzyskane przez algorytmy kwantowe. Dlatego zkSNARKs również nie są zagrożone archiwizacją i późniejszym odszyfrowaniem. Innymi słowy, łańcuchy prywatności są bardziej pilne, publiczne blockchainy mniej, podpisy wymagają aktualizacji później niż szyfrowanie, a SNARK jeszcze później niż podpisy — to rzeczywista hierarchia priorytetów zagrożeń kwantowych w świecie blockchain. Chociaż cały ekosystem blockchain nie musi natychmiast przechodzić na podpisy odporne na komputery kwantowe, wyjątkiem jest Bitcoin. Powodem nie jest bliskość zagrożenia kwantowego, lecz powolne tempo zmian, złożona historia struktury transakcji oraz zależność migracji od zachowań użytkowników. Po pierwsze, zmiany w protokole Bitcoin zachodzą bardzo powoli, a każda zmiana dotycząca konsensusu lub logiki bezpieczeństwa może wywołać kontrowersje, podziały, a nawet hard fork. Po drugie, aktualizacja Bitcoin nie może automatycznie przenieść wszystkich aktywów, ponieważ klucze podpisów są przechowywane przez użytkowników i protokół nie może wymusić aktualizacji. Oznacza to, że nieaktywne, utracone lub niezarządzane portfele (szacowane na kilka milionów BTC) będą na zawsze narażone na przyszłe ataki kwantowe. Co gorsza, we wczesnych latach Bitcoin używał P2PK (adresów z bezpośrednio ujawnionym kluczem publicznym), których klucze publiczne są już widoczne w łańcuchu, a komputery kwantowe mogą wykorzystać algorytm Shora do bezpośredniego odzyskania klucza prywatnego z widocznego klucza publicznego. To różni się od nowoczesnych adresów (z ukrytym kluczem publicznym przez hash), gdzie klucz publiczny jest ujawniany dopiero podczas wysyłania transakcji, co pozwala na wyścig z atakującym w krótkim oknie czasowym. Dlatego migracja Bitcoin nie jest prostym problemem technicznym, lecz długoterminowym przedsięwzięciem obejmującym ryzyka prawne (utrata vs dowód własności), współpracę społeczną, czas wdrożenia i koszty. Nawet jeśli zagrożenie kwantowe jest odległe, Bitcoin musi już teraz zacząć opracowywać nieodwracalną mapę drogową migracji. Chociaż zagrożenie kwantowe rzeczywiście istnieje, pośpieszna, całościowa aktualizacja może przynieść większe, realne ryzyko. Obecnie wiele algorytmów odpornych na komputery kwantowe wiąże się ze znacznymi kosztami wydajności, złożonością implementacji, a nawet przypadkami, gdy zostały złamane przez klasyczne algorytmy (np. Rainbow, SIKE). Na przykład, obecne główne podpisy post-quantum, takie jak ML-DSA, Falcon, są dziesiątki, a nawet setki razy większe niż obecne podpisy, a ich implementacja jest podatna na ataki boczne, błędy zmiennoprzecinkowe lub błędy parametrów prowadzące do wycieku kluczy. Dlatego blockchain nie powinien ślepo migrować, lecz przyjąć strategię etapową, wielotorową i wymienną: dla długoterminowej poufnej komunikacji wdrażać szyfrowanie hybrydowe (post-quantum + klasyczne); w przypadkach, gdzie podpisy są rzadko wymagane (oprogramowanie sprzętowe, aktualizacje systemu), wcześniej stosować systemy podpisów opartych na hashach; na warstwie publicznego blockchaina utrzymywać planowanie i badania, zachowując ostrożne tempo zgodne z internetowym PKI; stosować abstrakcję konta lub modularny design, aby przyszłe systemy podpisów można było aktualizować bez naruszania historii tożsamości i aktywów na łańcuchu. [Oryginał w języku angielskim]