Квантовые вычисления и блокчейн: сопоставление срочности с реальными угрозами

Автор: Justin Thaler

Подготовка материала: Baihua Blockchain

Таймлайн появления квантовых компьютеров, способных угрожать криптографии, часто преувеличивается — что приводит к требованиям о срочном и полном переходе на постквантовую криптографию.

Однако эти призывы зачастую игнорируют затраты и риски преждевременного перехода, а также упускают из виду кардинально различную картину рисков для разных криптографических примитивов:

Постквантовое шифрование требует немедленного развертывания несмотря на стоимость: атаки «Собрать сейчас, расшифровать позже» (Harvest Now, Decrypt Later, HNDL) уже ведутся, поскольку конфиденциальные данные, зашифрованные сегодня, сохранят свою ценность и во времена появления квантовых компьютеров, даже если это произойдет через несколько десятилетий. Реальные эксплуатационные издержки и риски внедрения постквантовой криптографии существуют, но угроза HNDL не оставляет выбора для данных, требующих долгосрочной секретности.

К постквантовым цифровым подписям применяются иные соображения. Они не подвержены атакам типа HNDL, а их стоимость и риски (больший размер, накладные расходы на производительность, незрелость реализаций и наличие ошибок) требуют взвешенного подхода, а не спешного перехода.

Эти различия имеют критическое значение. Непонимание искажает анализ затрат и выгод, заставляя команды упускать из виду более очевидные риски безопасности — такие как ошибки в программном обеспечении (баги).

Настоящим вызовом успешного перехода к постквантовой криптографии является сопоставление срочности мер с реальными угрозами. Ниже я пролью свет на распространенные заблуждения относительно угрозы квантовых вычислений для криптографии — охватывая шифрование, цифровые подписи и доказательства с нулевым разглашением — с особым акцентом на их влияние на блокчейны.

Как обстоят дела с нашими таймлайнами?

Несмотря на многочисленные публичные заявления, вероятность появления криптографически релевантного квантового компьютера (CRQC) в 2020-е годы остается крайне низкой.

Под «криптографически релевантным квантовым компьютером» я подразумеваю отказоустойчивый, аппаратно защищенный квантовый компьютер достаточной мощности для запуска алгоритма Шора таким образом, чтобы он мог взломать криптографию на эллиптических кривых или RSA ({secp}256{k}1 или {RSA-2048}) в приемлемые сроки (например, в течение максимум месяца непрерывных вычислений).

Исходя из любого разумного толкования открытых вех развития и расчетов ресурсов, мы находимся очень далеко от создания такого компьютера. Компании иногда заявляют о возможном появлении CRQC раньше 2030 года или даже ранее 2035 года, однако открыто известное состояние дел не подтверждает этих утверждений.

Для контекста: во всех текущих архитектурах — ионных ловушках, сверхпроводящих кубитах и системах нейтральных атомов — сегодняшние квантовые вычислительные платформы еще находятся очень далеко от количества физических кубитов (от сотен тысяч до миллионов), необходимого для запуска алгоритма Шора против {RSA-2048} или {secp}256{k}1 (что зависит от уровня ошибок и схемы коррекции).

Ограничивающими факторами являются не только количество кубитов, но и верность логических вентилей, связность кубитов, а также требуемая глубина непрерывных цепей коррекции ошибок для выполнения глубоких квантовых алгоритмов. Хотя некоторые системы сегодня превышают отметку в 1000 физических кубитов, сырое количество само по себе вводит в заблуждение: этим системам недостает необходимой связности кубитов и верности вентилей для криптографических вычислений.

Недавние системы приближаются к такому уровню физической ошибки, при котором квантовая коррекция ошибок начинает эффективно функционировать, однако никто еще не продемонстрировал поддержание стабильной глубины цепей коррекции ошибок для большего количества логических кубитов…… не говоря уже о тысячах высоконадежных, глубоких, отказоустойчивых логических кубитов, необходимых для практического запуска алгоритма Шора. Разрыв между теоретической осуществимостью квантовой коррекции ошибок и необходимым для криптоанализа масштабом по-прежнему огромен.

Проще говоря: если количество и надежность (верность) кубитов не увеличатся на несколько порядков, криптографически релевантный квантовый компьютер останется недостижимой мечтой.

Тем не менее, корпоративные пресс-релизы и сообщения в СМИ могут сильно сбивать с толку. Вот некоторые распространенные заблуждения и источники путаницы, включая:

Демонстрации «квантового превосходства», направленные пока лишь на искусственно созданные задачи. Данные задачи выбираются не из-за их практической ценности, а исключительно благодаря возможности их выполнения на современном оборудовании при условии демонстрации сильного квантового ускорения — факт, который зачастую умалчивается в пресс-релизах.

Заявления компаний об реализации тысяч физических кубитов. Однако речь идет о квантовых отжигателях, а не о машинах с вентильной моделью, необходимых для запуска алгоритма Шора для атаки на асимметричную криптографию.

Свободное использование термина «логический кубит». Физические кубиты подвержены шумам. Как упоминалось выше, квантовым алгоритмам нужны логические кубиты; алгоритму Шора требуются тысячи. С помощью квантовой коррекции ошибок один логический кубит реализуется множеством физических — обычно от сотен до тысяч в зависимости от уровня ошибок. Однако некоторые компании радикально исказили этот термин. Например, в недавнем релизе было заявлено об использовании кода расстояния 2 с реализацией одного логического кубита всего двумя физическими кубитами. Это абсурд: код расстояния 2 способен лишь обнаруживать ошибки, но не исправлять их. Настоящие отказоустойчивые логические кубиты для криптоанализа требуют от сотен до тысяч физических кубитов каждый, а не двух.

В более общем смысле многие дорожные карты квантовых вычислений используют термин «логический кубит» для обозначения кубитов, поддерживающих лишь операции Клиффорда. Поскольку эти операции поддаются эффективной классической симуляции, их недостаточно для работы алгоритма Шора, которому требуются тысячи логических вентилей T с коррекцией ошибок (или, в более общем случае, невентилей Клиффорда).

Даже если цель одной из дорожных карт заключается в достижении тысяч логических кубитов к году X, это не означает, что компания планирует запускать алгоритм Шора для взлома классической криптографии именно в том же году X.

Подобная практика существенно искажает восприятие общественностью того, насколько близко мы находимся к созданию криптографически релевантного квантового компьютера, и это относится даже к опытным наблюдателям отрасли.

При этом ряд экспертов действительно выражает воодушевление по поводу текущего прогресса. Например, Скотт Ааронсон недавно написал, что учитывая «теппашный потрясающий темп развития оборудования»:

«Я теперь считаю, что появление отказоустойчивого квантового компьютера, способного запускать алгоритм Шора, до следующих выборов президента США — вполне реалистичная перспектива.»

Однако позже Ааронсон уточнил, что его заявление не подразумевает криптографически релевантный квантовый компьютер: он полагает, что даже полностью отказоустойчивый запуск алгоритма Шора, разложивший число 15 = 3 \times 5, можно считать достижением — хотя данный расчет быстрее выполняется карандашом на бумаге.

Стандарт оценки до сих пор опирается на выполнение алгоритма Шора в малых масштабах, а не в криптографически релевантном масштабе, так как предыдущие эксперименты по разложению числа 15 на квантовом компьютере использовали упрощенные схемы, а не полный, отказоустойчивый алгоритм Шора. И это нетрудно объяснить: арифметические вычисления по модулю 15 довольно просты, тогда как разложение чуть больших чисел, таких как 21, значительно сложнее. Поэтому квантовые эксперименты по разложению 21 чаще всего полагаются на дополнительные подсказки или обходные пути.

Если говорить просто, никакие открытые достижения не подтверждают ожиданий появления к 5-му году криптографически релевантного квантового компьютера, способного взломать {RSA-2048} или {secp}256{k}1, — а это критически важно для практики криптографии.

Даже оценка в 10 лет остается чрезмерно амбициозной. Учитывая нынешнюю дистанцию от создания криптографически релевантных квантовых вычислений, воодушевление текущим прогрессом совершенно укладывается в горизонт планирования на десятилетие и более.

А что насчет того, что правительство США установило 2035 год в качестве крайнего срока для полного перехода государственных систем на постквантовые (PQ) технологии? Я считаю это обоснованным графиком для завершения столь масштабного перехода. Однако это не прогнозирование присутствия криптографически релевантного квантового компьютера к тому моменту.

Какие случаи подпадают под атаку HNDL (а какие — нет)?

Атака «Собрать сейчас, расшифровать позже» (HNDL) предполагает, что злоумышленник перехватывает и архивирует зашифрованный трафик сегодня, чтобы впоследствии расшифровать его при появлении криптографически релевантного квантового компьютера. Противники на уровне государства точно уже проводят массовый сбор зашифрованной коммуникации правительств США в целях ее последующего раскрытия спустя годы после реального появления CRQC.

Именно поэтому переход к шифрованию должен осуществляться незамедлительно — как минимум для любых данных, требуемых сохранять в секрете на протяжении 10–50 лет и дольше.

Однако цифровые подписи, в которых нуждаются все блокчейны, не аналогичны шифрованию: в них отсутствует конфиденциальная информация, которая подвергалась бы рискам ретроактивных атак.

Иными словами, появление криптографически релевантного квантового компьютера действительно сделает возможным подделку подписей начиная с этого момента, однако старые подписи, в отличие от зашифрованных сообщений, не «хранят» в себе секретов. Пока известно, что цифровая подпись была создана до наступления CRQC, она не может быть поддельной.

Это делает переход к постквантовым цифровым подписям менее срочным, чем переход к постквантовому шифрованию.

Крупнейшие платформы принимают соответствующие меры: браузер Chrome и сервис Cloudflare уже внедрили гибридную схему {X}25519 + {ML-KEM} для шифрования транспортного уровня веб-безопасности (TLS).

Для удобства чтения в этой статье я буду использовать термин «шифрование», хотя строго говоря, такие протоколы защищенной связи, как TLS, применяют механизмы согласования или инкапсуляции ключей, а не непосредственное шифрование с использованием открытого ключа.

Термин **«гибридная схема»** здесь означает одновременное применение как постквантового безопасного алгоритма (а именно ML-KEM), так и существующего алгоритма ({X}25519) ради получения комбинированных гарантий защиты. Это позволяет (надеемся) пресекать атаки HNDL посредством ML-KEM, сохраняя при этом классическую защиту через {X}25519 на случай, если ML-KEM будет доказан уязвимым даже перед современными вычислителями.

Приложение Apple iMessage также внедрило подобную гибридную постквантовую крипту через свой протокол PQ3, а Signal использует ее в рамках протоколов PQXDH и SPQR.

Напротив, распространение постквантовых цифровых подписей на критическую сетевую инфраструктуру откладывается до тех пор, пока появление криптографически релевантных квантовых машин не станет практически очевидным, поскольку текущие решения создают существенное снижение производительности (о чем подробно пойдет речь далее).

{zkSNARKs} — доказательство с нулевым разглашением с компактной структурой (zero-knowledge succinct non-interactive argument of knowledge), являющееся ключом к долгосрочной масштабируемости и конфиденциальности блокчейна — занимают схожую позицию. Причина в том, что даже для не являющихся постквантово-безопасными {zkSNARKs}, использующих криптографию на эллиптических кривых (по аналогии с современной классической криптографией и подписями), их свойство нулевого разглашения обладает постквантовой защитой.

Свойство нулевого разглашения гарантирует отсутствие утечки любой информации о свидетеле секрета в процессе подтверждения — даже квантовому противнику — следовательно, никаких секретных данных, доступных для стратегии «собрать сейчас», не существует.

Таким образом, {zkSNARKs} не подвержены атакам типа «собрать сейчас, расшифровать позже». Подобно тому, как сгенерированные сегодня классические неподписанные подписи защищены, любые доказательства {zkSNARK}, созданные до появления криптографически релевантного квантового компьютера, заслуживают доверия (то есть подтверждаемые утверждения абсолютно истинны) — даже если {zkSNARK} базируется на эллиптических кривых. Лишь по факту прихода такого квантового компьютера злоумышленник сможет подобрать убедительные доказательства ложных утверждений.

Что это значит для блокчейна

Большинство блокчейнов не подвергаются риску атак HNDL:

Большинство непубличных блокчейнов, таких как Bitcoin и Ethereum в их нынешнем виде, в основном используют классическую криптографию для авторизации транзакций — то есть они полагаются на цифровые подписи, а не на шифрование.

Соответственно, эти подписи не представляют риска по схеме HNDL: атаки «собрать сейчас, расшифровать позже» применимы только к зашифрованным данным. Например, блокчейн биткоина прозрачен; угроза квантовых вычислений заключается в подделке подписей (выведении закрытых ключей для кражи средств), а не в дешифровке уже опубликованных транзакционных данных. Это устраняет необходимость мгновенного перехода в контексте угроз шифрования.

К сожалению, даже анализ от достоверного источника, такого как Федеральная резервная система США, ошибочно утверждает, что Биткойн уязвим к атакам HNDL, что преувеличивает срочность перехода к постквантовой криптографии.

Важно отметить, что снижение срочности вовсе не означает, что биткоину можно бездействовать: он сталкивается с иными временными ограничениями из-за колоссальных социальных координаций, необходимых для изменения протокола.

Единственным исключением на сегодняшний день выступают приватные блокчейны, где отправители, получатели и суммы либо зашифрованы, скрыты иным способом. Как только квантовый компьютер приобретет способность ломать криптографию на эллиптических кривых, эта конфиденциальность легко раскроется, что позволит провести ретроактивное деанонимизирование всех операций.

Для подобных приватных блокчейнов тяжесть потенциального ущерба варьируется в зависимости от архитектуры сети. Например, для Monero, использующего кольцевые подписи и изображения ключей на основе кривых (связываемые метки для каждого вывода в целях предотвращения двойного расходования), сама публичная книга учета уже достаточна для ретроактивного восстановления графика расходов. Однако в других сетях последствия гораздо ограниченнее — подробности см. в дискуссиях инженера по криптографии и исследователя Zcash Шона Боу.

Если для пользователей критически важно, чтобы их транзакции не попадали в поле зрения квантового компьютера, приватные блокчейны должны по возможности максимально быстро перейти на постквантовые примитивы (или гибридные схемы). Альтернативно им следует применять архитектуру, предотвращающую размещение потенциально дешифруемых секретов внутри цепи.

Специфическая дилемма Биткойна: управление + потерянные монеты

В частности, для Биткойна существует два фактора, ускоряющих необходимость перехода на постквантовые цифровые подписи. Оба они не связаны напрямую с квантовыми технологиями.

Первая проблема — скорость принятия решений: обновления Биткойна происходят крайне медленно. Если сообщество не достигнет консенсуса по подходящему решению, любой спорный вопрос способен спровоцировать разрушительный жесткий форк.

Вторая проблема заключается в том, что переход на постквантовые подписи в Биткойне не может быть пассивным: владельцы обязаны самостоятельно инициировать перевод своих активов. Это означает, что заброшенные, уязвимые к квантовым атакам монеты останутся незащищенными. По некоторым оценкам, количество потенциально заброшенных BTC, чьи ключи утеряны, достигает миллионов монет, что по курсу декабря 2025 года оценивается в десятки миллиардов долларов.

Тем не менее, угроза квантовых вычислений для Биткойна не обрушится внезапно…… скорее это будет избирательный, постепенный процесс таргетирования. Квантовый компьютер не сломает всю криптографию единовременно — алгоритм Шора требуется запускать отдельно для каждого открытого ключа. Первые попытки квантовой атаки будут чрезвычайно дорогими и медленными. Следовательно, как только появится возможность взломать ключ одной подписи биткоина, хакеры выберут точечную охоту на высокорентабельные кошельки.

Кроме того, пользователи, избегающие повторного использования адресов и не применяющие Taproot-адреса — последние публикуют открытый ключ непосредственно в блокчейне — обладают значительной степенью защиты даже без внесения изменений в протокол: их открытые ключи остаются скрытыми за хэш-функциями до момента списания средств. При публикации первой транзакции на вывод открытый ключ становится публичным, и начинается напряженная гонка времени между честным плательщиком, стремящимся подтвердить перевод, и квантово-вооруженным злоумышленником, пытающимся извлечь закрытый ключ и потратить монеты до подтверждения легитимной сделки оригинальным владельцем. Таким образом, настоящую уязвимость представляют лишь те монеты, чьи открытые ключи уже обнародованы: ранние P2PK выходы, адреса с многократным использованием и средства на кошельках Taproot.

Для уязвимых монет, считаемых окончательно утерянными или брошенными, простых решений не существует. Возможные варианты:

• Сообщество Биткойна согласует дату-маркер, после чего все немигрированные активы автоматически признаются сгоревшими.

• Оставшиеся квантово-уязвимые монеты окажутся легкой добычей для любого субъекта, обладающего криптографически релевантным квантовым компьютером.

Второй вариант порождает серьезные юридические и проблематические вопросы. Использование квантовых вычислений для завладения монетами без possession закрытого ключа — даже если заявляется законное право собственности или благие намерения — способно повлечь за собой тяжкие обвинения по статьям о краже и кибермошенничестве во множестве юрисдикций.

Кроме того, статус «брошенных» сам по себе строится на презумпции неактивности. Но никто наверняка не знает, не остались ли живыми владельцами этих монет их действительные обладатели закрытых ключей. Исторических доказательств права владества этими монетами может оказаться недостаточно для легального мандата на взлом шифрования и возврат средств. Правовая неопределенность повышает риск передачи заброшенных кванто-уязвимых монет в руки недобросовестных субъектов, готовых нарушать законодательные рамки.

Финальная, специфичная для Биткойна проблема — низкая пропускная способность сети. Даже если план миграции будет окончательно утвержден, перевод всех кванто-уязвимых средств на постквантово-защищенные адреса при нынешних транзакционных скоростях займет месяцы.

Учитывая указанные сложности, Биткойну жизненно необходимо приступать к планированию постквантового перехода уже сейчас — не потому, что ожидается появление мощного квантового компьютера до 2030 года, а потому что процессы управления, технической координации и логистики перевода активов на сумму в десятки миллиардов долларов потребуют нескольких лет на реализацию.

Квантовая угроза для Биткойна объективно существует, однако фактор времени продиктован внутренними архитектурными ограничениями самого актива, а не надвигающимся появлением квантовых машин. Другие блокчейны сталкиваются с собственными проблемами квантовой уязвимости капиталов, однако Биткойн имеет уникальную экспозицию: его первые транзакции опирались на выводы Pay-to-Public-Key (P2PK), напрямую помещающие открытые ключи в блокчейн, из-за чего существенная доля BTC особенно чувствительна к атакам квантовых компьютеров. Этот технологический нюанс — в комбинации с возрастом сети, концентрацией стоимости, низкой пропускной способностью и консерватизмом управления — делает ситуацию исключительно острой.

Обратите внимание: уязвимость, которую я описал выше, касается криптографической безопасности цифровых подписей Биткойна — но не распространяется на экономическую безопасность сети. Эта экономическая защита зиждется на механизме консенсуса Proof-of-Work (PoW), который не подвержен серьезному влиянию квантовых атак по трем причинам:

• PoW полностью опирается на хэш-функции, поэтому он испытывает лишь квадратичное ускорение со стороны алгоритма Гровера, будучи устойчивым к экспоненциальному ускорению алгоритма Шора.

• Высокие эксплуатационные издержки реализации алгоритма Гровера делают практически невозможным достижение даже умеренного фактического ускорения майнинга для любого квантового компьютера на архитектуре Биткойна.

• Даже в случае достижения заметного ускорения конкурентные преимущества получат лишь крупные квантовые майнеры, что, однако, не фундаментально разрушит базовую экономическую модель безопасности Биткойна.

Затраты и риски постквантовых цифровых подписей

Чтобы понять причины, по которым блокчейнам не стоит спешить с внедрением постквантовых подписей, необходимо оценить эксплуатационные затраты и степень нашей текущей уверенности в постоянно развивающейся сфере постквантовой безопасности.

Основы большей части постквантовой криптографии строятся на одном из пяти математических подходов:

• Хэширование

• Коды коррекции ошибок

• Решетки

• Мультивариантные квадратичные системы (MQ)

• Изогении.

Почему существует пять различных методов? Безопасность любого постквантового криптографического примитива базируется на предположении о неспособности квантовых компьютеров эффективно решать определенные математические задачи. Чем более «структурирована» эта задача, тем эффективнее можно построить на ее основе криптографические протоколы.

Однако этот подход имеет две стороны медали: дополнительная структура предоставляет киберпреступникам больше возможностей для эксплуатации. Возникает фундаментальное противоречие: более жесткие математические допущения обеспечивают высокую производительность, но повышают риск потенциальных уязвимостей (то есть увеличивают вероятность опровержения самих теоретических основ).

В общем плане, подходы на базе хэширования представляют собой наиболее консервативный вариант с точки зрения надежности, поскольку именно для них наименьшая вероятность успешной атаки квантовым компьютером. Одновременно с этим они демонстрируют худшую производительность. Например, стандартизированные NIST хэш-подписи даже в минимальной конфигурации занимают 7–8 КБ. Для сравнения, современные эллиптические цифровые подписи весят всего 64 байта. Разница составляет приблизительно 100 раз.

Сегодня основной фокус развертывания приходится на решетчатые (lattice-based) подходы. Избранные для стандартизации NIST единственный алгоритм шифрования и два из трех алгоритмов цифровых подписей построены именно на решетках. Один из таких алгоритмов (ML-DSA, ранее известный как Dilithium) генерирует подписи размером от 2,4 КБ (на уровне безопасности 128 бит) до 4,6 КБ (на уровне 256 бит) — что в 40–70 раз превышает размеры современных эллиптических аналогов. Другой решетчатый алгоритм Falcon формирует чуть меньшие подписи (666 байт для Falcon-512 и 1,3 КБ для Falcon-1024), но включает сложные операции с плавающей запятой, которые сам NIST официально относит к категории особых трудностей при реализации. Томас Порнен (Thomas Pornin), один из создателей Falcon, назвал его «самым сложным криптоалгоритмом, с которым мне когда-либо приходилось работать».

Обеспечение стойкости реализации решетчатых цифровых подписей также сопряжено с большими сложностями по сравнению с решениями на эллиптических кривых: ML-DSA содержит больше чувствительных промежуточных значений и усложненную логику отклонения выборок, требующую защиты от побочных каналов и инжекции ошибок. Falcon дополнительно осложняется постоянными вычислениями с плавающей запятой; более того, серию успешных атак по побочным каналам уже удалось применить к реализациям Falcon для извлечения секретных ключей.

Указанные технические проблемы формируют непосредственную угрозу прямо сейчас, в отличие от гипотетической и отдаленной опасности квантовых вычислений.

Внедрение более производительных постквантовых методов требует повышенной осмотрительности. История знает примеры, когда ведущие кандидаты, такие как Rainbow (подпись на базе MQ) и SIKE/SIDH (шифрование на изогениях), были успешно взломаны еще на классических ЭВМ задолго до квантовых машин.

Данный факт был выявлен на поздних этапах процесса стандартизации NIST. Подобная ситуация свидетельствует о здоровом научном поиске, однако предупреждает о пагубных последствиях преждевременной стандартизации и развёртывания.

Как отмечалось ранее, интернет-инфраструктура осознанно подходит к процессу миграции на новые криптографические стандарты. Особое внимание привлекает тот факт, что процесс перехода на шифрование в интернете занимает весьма продолжительное время. Переход с устаревших хэш-функций MD5 и SHA-1 — которые технически дискредитировались еще несколько лет назад — потребовал многих лет фактической адаптации в глобальной сети и местами все еще продолжается. Это произошло потому, что названные алгоритмы были полностью взломаны, а не просто потенциально уязвимы к будущим технологиям.

Уникальные вызовы блокчейнов и интернет-инфраструктуры

К счастью, сети, такие как Ethereum и Solana, находящиеся под активным вниманием сообществ разработчиков с открытым исходным кодом, способны обновляться быстрее традиционной сетевой инфраструктуры. С другой стороны, старая телекоммуникационная инфраструктура выигрывает от частой ротации ключей, что означает перемещение поверхности атак быстрее, чем ранних квантовых машин смогут адаптироваться под нее — роскошь, недоступная блокчейнам, где монеты и ключи к ним могут оставаться в публичном доступе сколь угодно долго.

Тем не менее, в целом блокчейнам целесообразно следовать осторожной стратегии миграции подписей, adoptированной интернет-сообществом. Подписи в обеих средах не подвержены рискам HNDL, а ранний переход на непроверенные постквантовые алгоритмы несет огромные финансовые и риски независимо от длительности жизни старых ключей.

Существуют и специфические вызовы, делающие преждевременный переход в блокчейнах крайне рискованным: например, сети предъявляют уникальные требования к алгоритмам подписей, в частности к способности быстро агрегировать тысячи подписей. Сейчас широко применяются подписи BLS, обеспечивающие молниеносную агрегацию, однако они не обладают постквантовой стойкостью. Исследователи активно изучают варианты агрегации постквантовых подписей на базе SNARK. Это направление многообещающее, но находится на начальной стадии.

В сфере SNARK-систем сообщество пока держит курс на структурную схему хэширования как лидирующий постквантовый вариант. Однако грядет кардинальный сдвиг: я убежден, что в ближайшие месяцы и годы методы на решетках станут куда более привлекательной альтернативой. Их показатели производительности превзойдут хэш-ориентированные {SNARKs} практически во всех аспектах, в том числе за счет уменьшения размера доказательств, что аналогично тенденции сокращения размеров решетчатых подписей по сравнению с хэш-подписями.

Нынешняя приоритетная проблема: безопасность реализации

В ближайшие годы дыры в кодовой реализации станут значительно более весомой угрозой безопасности, чем гипотетические квантовые машины. Для {SNARKs} центральное место занимает проблема программных ошибок (bugs).

Программные ошибки давно стали препятствием для цифровых подписей и систем шифрования, а архитектура {SNARKs} невероятно сложнее. Фактически, любую криптографическую схему цифровой подписи можно рассматривать как элементарную форму {zkSNARK}, проверяющую утверждение: «Я владею закрытым ключом, соответствующим моему открытому ключу, и одобряю передачу данного сообщения».

Для постквантовых цифровых подписей непосредственная угроза также включает атаки по побочным каналам и инъекцию аппаратных ошибок. Данные типы воздействий документированы и успешно используются извлечением закрытых ключей из функционирующих систем, представляя собой более насущную опасность, чем далекое будущее квантовых вычислений.

Разработчикам придется затратить годы на поиск и исправление ошибок в кодовых базах {SNARKs}, а также укрепление реализации алгоритмов постквантовых подписей против манипуляций. Поскольку окончательный выбор оптимальных постквантовых {SNARKs} и схем агрегации подписей еще не завершен, проекты, форсирующие переход, рискуют надолго закрепиться в архаичных методах. При появлении новых алгоритмов или вскрытии новых багов им придется вновь осуществлять полную миграцию.

Какие шаги предпринять? 7 рекомендаций

Опираясь на вышеизложенную аналитику, я резюмирую рекомендации для всех участников экосистемы — от технических архитекторов до регуляторов. Главный принцип: квантовые угрозы необходимо серьезно учитывать, однако нельзя строить планы исходя из фиктивной уверенности в скором появлении криптографически релевантных квантовых машин до 2030 года. Никакие текущие технологические успехи эту предпосылку не подтверждают. Тем не менее, прямо сейчас мы можем и обязаны предпринять следующие шаги:

• Немедленно внедрять гибридное шифрование. Либо хотя бы там, где долгосрочная конфиденциальность имеет критическое значение, а сопутствующие затраты приемлемы. Многие браузеры, CDN и мессенджеры (включая iMessage и Signal) уже перевели коммуникации на гибридный метод. Сочетание постквантовой и классической защиты способно парировать угрозы формата HNDL, одновременно хеджируя возможные скрытые уязвимости новых стандартов.

• Там, где позволяют лимиты объемов, сразу применять хэш-прописи. Процессы обновления программного обеспечения и микропрограммного обеспечения — равно как и прочие низкоуровневые сценарии, нечувствительные к габаритам пакетов — обязаны мгновенно интегрировать гибридные хэш-подписи. (Гибридизация применяется исключительно для блокировки потенциальных багов в новейших стандартах, а не ставит под сомнение фундаментальные теоретические базы хэширования.) Такая консервативная мера создаст обществу надежную спасательную шлюпку в маловероятном, но возможном сценарии досрочного прорыва квантовых технологий. Без заблаговременного развертывания обновлений с новыми подписями, при внезапном наступлении CRQC, мы столкнемся с тупиковой ситуацией: не сможем безопасно доставлять критически важные патчи защиты.

• Блокчейнам необязательно форсировать развертывание постквантовых подписей, но нужно немедленно начинать стратегическое планирование. Командам разработчиков следует брать пример с сообщества PKI-интернета, относясь к внедрению постквантовых подписей взвешенно. Такая дисциплина даст стандартам окончательно дозреть как в производительностном ключе, так и в нашем понимании их реальной криптостойкости. Архитекторы выиграют драгоценное время для перестройки инфраструктуры под внушительные объемы данных и создание усовершенствованных алгоритмов агрегации. Для Биткойна и остальных сетей L1: сообщество обязано детально регламентировать маршруты перевода средств и определить жесткую политику обращения с брошенными, кванто-уязвимыми балансами. Пассивная миграция категорически исключена, отсюда потребность в тщательной проработке. Специфические внетехнические вызовы Биткойна — бюрократическая вязкость управления и миллионы высоколиквидных замороженных адресов — диктуют особую важность оперативного старта планирования именно для него. Параллельно необходимо дать необходимое время академическому созреванию исследований в области постквантовых {SNARKs} и методов агрегации подписей (это неизбежно займет очередные годы). Еще раз подчеркнем: преждевременные действия грозят навечно закрепить устаревшее ПО или вызвать новую, третью волну миграций из-за выявления багов.

• Примечание касательно модели счетов в Ethereum: платформа поддерживает два типа учетных записей, по-разному реагирующих на постквантовый переход — внешние счета (EOAs), управляемые классическими приватными ключами {secp}256{k}1, и смарт-контрактные кошельки с программируемой логикой авторизации. В стандартном сценарии при добавлении поддержки постквантовых алгоритмов в Ethereum, обновляемые смарт-контракты смогут гибко переключиться на новые методы верификации — напротив, EOA-пользователям придется вручную конвертировать средства на новые безопасные адреса (хотя разработчики ядра сети, вероятнее всего, предоставят специальные инструменты для автоматизированного перевода). При объявлении режима квантовой чрезвычайщины исследователи предлагают жесткий форк для принудительной заморозки уязвимых адресов. Восстановление баланса предлагается реализовать с помощью пользовательских доказательств владения seed-фразами через алгоритмы постквантовых {SNARKs}. Подобный механизм восстановительного контроля сработает как для обычных EOA, так и для нерасширенных смарт-кошельков. Реальное воздействие на конечных пользователей: проверенные временем обновляемые смарт-кошельки предложат чуть более гладкий сценарий — разница будет минимальной и потребует компромиссов по уровню доверия к вендорам и механизмам управления апгрейдами. Однако важнейшим приоритетом должно оставаться бесперебойное развитие исследовательской базы и плана действий при форс-мажорах.

• Широкие уроки архитектурного проектирования: большинство современных блокчейнов жестко связывают идентичность пользователя с конкретным криптографическим алгоритмом — Биткойн и Ethereum базируются на подписях ECDSA для {secp}256{k}1, остальные сети склонны к EdDSA. Вызовы постквантового перехода наглядно показывают ценность архитектурного разъединения идентификатора и криптографического ядра. Движение Эфириума в сторону интеллектуальных аккаунтов и схожие работы по абстракции учета в других сетях отражают этот вектор: позволяя клиентам обновлять логику аутентификации, не теряя накопленную историю и баланс. Данный демонтаж не стирает все трудности постквантового переезда, но дает существенно большую маневренность по сравнению с хардкодом в одну схему (кстати, открывая двери для смежных опций вроде газ-спонсорства, социальной реставрации и мультиподписей).

• Для приватных блокчейнов с маскировкой деталей обмена: если нагрузка на сеть допускает, первоочередно следует планировать форсированную модернизацию. Конфиденциальность операторов на подобных сетях напрямую уязвима для стратегии HNDL, причем степень катастрофы варьируется по проектам. Самым острым риском обладают протоколы, где одной лишь статистики публичных книг достаточно для полного ретроактивного деанонимизирования. Целесообразно внедрять гибридные решения (постквантовое + классическое) для страховки от внезапного признания новинок слабой даже перед обычными суперкомпьютерами, либо переходить на архитектуру, запрещающую хранение потенциально взламываемых секретов в открытом доступе.

• В краткосрочной перспективе приоритетом должна выступать абсолютная защищенность реализации — а не спекуляции по поводу смягчения гипотетических квантовых угроз. В особенности для таких сложных примитивов, как {SNARKs} и постквантовые подписи, программные сбои и аппаратные контратаки (полезные каналы, инъекции глюков) в ближайшие пару лет составят гигантский уровень угрозы, несопоставимо превосходящий далекую фантазию о квантовых машинах. Настаивательно рекомендуется мгновенно направлять ресурсы на профессиональный аудит, интенсивное фаззинг-тестирование, строгую формальную верификацию и концепцию эшелонированной обороны — не позволяйте гипотетическим квантовым тревогам заглушить более осязаемую реальную опасность критических багов!

• Инвестировать в развитие направления квантовых вычислений. Важнейший макроэкономический и геополитический вывод из всего вышесказанного: нам требуется гарантированная поддержка финансирования и целенаправленная подготовка кадров в сфере квантовых технологий. Если какой-либо ведущий геополитический конкурент сумеет опередить США в создании вычислительной платформы для криптоанализа, это обернется колоссальным ущербом национальным интересам Америки и мировому сообществу в целом.

• Сохранять критический взгляд на объявления о достижениях в квантовых вычислениях. По мере усовершенствования квантового железа впереди ждут очередные знаковые вехи. Парадоксально, но сама частота подобных анонсов лишний раз доказывает нашу отдаленность от полноценных криптографических квантовых машин: каждая веха символизирует очередной мост, который необходимо перешагнуть, генерируя собственный виток медийного шума и техно-энтузиазма. Относитесь к официальным пресс-релизам как к сухим техническим отчетам о промежуточном прогрессе, подлежащим строгой критической оценке, а не как к триггеру для немедленных революционных шагов. Конечно, в индустрии всегда возможны непредвиденные технологические прорывы, способные сократить прогнозируемые графики, точно так же, как непредвиденные барьеры способны неопределенно растянуть сроки. Я не буду утверждать, что появление квантового компьютера, ломающего криптографию, в течение ближайших пяти лет абсолютно невозможно — лишь крайне маловероятно. Все предложенные стратегии залождены с учетом этой фундаментальной неопределенности, а их реализация позволит нейтрализовать более насущные, высокие риски: программные дефекты, панические запуски и банальные просчеты при интеграции новых криптоалгоритмов.