Coinbase, хранящий 5% мировых биткоинов, призывает немедленно запустить квантово-устойчивое обновление; споры о потерянных монетах следует обсудить отдельно.

Автор: Омкар Годболе

Перевод: TechFlow

TechFlow: Квантовые риски постепенно перешли из разряда «отдалённых хвостовых событий» в повестку реальных институциональных кастодианов. Как публичная компания, обеспечивающая хранение примерно 5 % всех существующих биткоинов для банков, управляющих компаний и хедж-фондов, Coinbase впервые чётко и системно изложила свою позицию: внедрить гибкие постквантовые подписи, обеспечить поэтапный переход, поддерживать совместимость с MPC-хранением и исключить спорный вопрос «что делать с замороженными/утерянными монетами», чтобы он не тормозил общее обновление. Этот список фактически представляет собой дорожную карту перехода биткоина к квантовой безопасности в глазах институциональных инвесторов.

Что делать, если кто-то создаст достаточно мощный квантовый компьютер, способный взломать защиту вашего биткоин-кошелька и украсть ваши монеты?

Этот вопрос волнует всех, поскольку ряд прогнозов предполагает, что хотя подобные квантовые машины сегодня ещё не существуют, они могут появиться уже через несколько лет.

Криптобиржа Coinbase (COIN), котирующаяся на фондовой бирже NASDAQ, в настоящее время хранит около 5 % всех существующих биткоинов клиентов, включая банки, управляющие компании и хедж-фонды. В своей новой статье в блоге она поделилась позицией по данному вопросу и описала шаги, которые, по её мнению, необходимо предпринять биткойну, чтобы оставаться безопасным перед лицом потенциальной будущей квантовой угрозы.

Её первый тезис звучит так: готовиться нужно уже сейчас, не дожидаясь наступления риска, а вопрос утерянных монет следует рассматривать отдельно.

Чтобы лучше понять рекомендации биржи, полезно сначала разобраться в том, как работают «замки» в биткойне и как именно квантовые компьютеры могут их сломать.

Замки и ключи

Биткоин-кошелёк можно представить себе в виде почтового ящика: сверху есть узкое горизонтальное отверстие для вкладывания писем, и ключи от которого есть только у владельца. Видимое отверстие — через которое любой человек может отправить письмо — это публичный ключ кошелька. По сравнению с ним приватный ключ — это физический ключ от этого ящика. Приватный ключ находится исключительно в руках владельца и скрыт от посторонних, обеспечивая безопасность биткоинов внутри кошелька.

Когда пользователь отправляет биткоины, кошелёк генерирует цифровую подпись с помощью приватного ключа, которая serves своего рода защитным штампом от подделки. Сеть проверяет эту подпись с помощью публичного ключа пользователя; если данные совпадают, транзакция одобряется.

Блокчейн биткоина использует два метода для создания и проверки таких цифровых подписей — ECDSA и Schnorr. В настоящее время они чрезвычайно надёжны, поскольку вычислительной мощности современных компьютеров недостаточно, чтобы взломать лежащую в основе этих технологий математику или вывести приватный ключ из цифровой подписи или публичного ключа пользователя.

Появление квантового риска

Достаточно мощный квантовый компьютер — по словам исследователей Google, такой аппарат может появиться к 2029 году — способен именно на это: вывести приватный ключ из публичного и опустошить биткоин-кошелёк владельца.

Исследователи называют устройства, обладающие подобными возможностями, «криптографически релевантными квантовыми компьютерами» (CRQC).

Предлагаемым решением является постквантовая (PQ) криптография. Проще говоря, это новые методы подписи, способные выдержать квантовые атаки.

По мнению Coinbase, выбор нового метода защиты сам по себе недостаточен. Они считают, что полноценное обновление, способное защитить биткоины от угрозы квантовых компьютеров, должно одновременно защищать старые и новые средства, укладываться в ограниченный объём данных биткоина и позволять обычным компьютерам продолжать обслуживать сеть. Это решение также должно быть совместимо как с крупными криптоплатформами, так и с рядовыми пользователями, а также предлагать чёткие механизмы для старых монет, которые, возможно, никогда не будут потрачены.

Coinbase выступает за немедленные действия

Работу над этим необходимо начинать незамедлительно, в значительной степени потому, что децентрализованная архитектура биткоина — та самая черта, которую обычно считают его преимуществом по сравнению с централизованными организациями — одновременно делает внесение изменений крайне сложной задачей.

Как отмечает сама биржа: «Изменения консенсуса биткоина и миграция экосистемы могут занять годы». Именно поэтому работы должны начаться «гораздо раньше любых объявлений о появлении CRQC».

Разработчики биткоина уже рассматривают предложения по созданию квантовой защиты.

Меры, предлагаемые Coinbase

Разделение «контейнеров» и подписей

Если говорить проще, дизайн биткоина должен позволять формату транзакций поддерживать новые типы постквантовых подписей без необходимости полностью перестраивать систему. Это значительно облегчит добавление, замену или комбинирование устойчивых к квантам подписей с течением времени. Coinbase указывает, что предложения P2MR (BIP-360) и P2TRv2, по всей видимости, способны обеспечить такую гибкость.

Поэтапная защита

Coinbase поддерживает схему, при которой активные кошельки начинают использовать устойчивые к квантам или гибридные подписи ещё до того, как в биткойне окончательно утвердят правила для старых типов подписей. Одним из возможных вариантов перехода является конфигурация «один из двух» (1-of-2): одни и те же биткоины можно будет тратить с использованием либо традиционных ключей ECDSA/Schnorr, либо постквантовых ключей. Это позволит пользователям заранее обезопасить свои средства, не принуждая всех одновременно меняться и избегая риска внезапной потери доступа к средствам.

Использование «состояния»

Некоторые постквантовые схемы подписи требуют, чтобы кошелёк после каждого подписывания записывал определённую информацию, называемую «состоянием». Такие решения используют множество одноразовых ключей подписи, и кошелёк обязан запоминать, какие из них были задействованы, чтобы гарантировать полное отсутствие повторных использований. Если кошелёк восстанавливается из старой резервной копии или не сохраняет эту запись, возможно непреднамеренное повторное использование ключа.

Это открывает возможность злоумышленникам создавать поддельные, но валидные подписи. Подписи с сохранением состояния могут быть компактнее и работать быстрее, однако они более подвержены ошибкам использования. Coinbase считает, что если биткоин будет поддерживать подписи с состоянием, ему необходимо одновременно предоставлять и безсостоятельные опции, не требующие ведения таких записей. Это даст пользователям и разработчикам кошельков более безопасный выбор и снизит риски потери средств или фальсификации транзакций.

Надёжная реализация

Coinbase ожидает, что процесс оценки придаст особое значение программному обеспечению, способному надёжно работать на разных платформах, однозначно проверять подписи независимо от окружения, предотвращать утечку секретных данных через анализ времени выполнения, использовать чётко настроенные параметры и оставаться безопасным даже в случае отказа генератора случайных чисел при создании подписи. Это сделает постквантовые биткоин-кошельки более устойчивыми и снизит уязвимости, риски взлома и потери средств.

Совместимость с MPC

Для Coinbase и многих её клиентов постквантовые решения должны отлично интегрироваться с технологиями многопартийных вычислений (MPC). При грамотной реализации MPC помогает предотвратить кражу приватных ключей и добавляет важный уровень защиты для крупных организаций, постоянно подвергающихся системным кибератакам. Это позволит биржам, кастодианам и крупным корпорациям эффективнее обеспечивать безопасность биткоинов без необходимости полагаться на одного человека или одно устройство для хранения ключей.

Оставить путь для кошельков с запоздалым переходом

Если в будущем биткоин ограничит или полностью прекратит поддержку расходов в форматах ECDSA и Schnorr, у некоторых пользователей средства могут оказаться заблокированными в старом формате кошелька. Coinbase полагает, что стоит заранее продумать, смогут ли эти пользователи и каким образом впоследствии перевести свои средства в квантово-безопасные выходные адреса. Оптимальный подход и сопутствующие компромиссы пока остаются открытым вопросом. Однако это поможет некоторым пользователям избежать блокировки собственных биткоинов из-за несвоевременного обновления. Данная дискуссия может проводиться параллельно и автономно от технической работы по внедрению поддержки постквантовых подписей, что позволит не затягивать саму техническую интеграцию.

Забытые монеты

Наконец, не каждый успеет вовремя перейти на постквантовые решения, особенно владельцы кошельков, которые находятся в спящем состоянии годами. Часть из них принадлежит людям, уже утерявшим ключи. Другие биткоины хранятся на старых типах адресов, где публичные ключи уже стали известны сети.

Coinbase обеспокоен тем, что кто-то тайно создаст квантовый компьютер и начнёт выводить средства из этих кошельков «ещё до того, как об этом узнает общественность».

Сама биржа пока воздерживается от конкретных рекомендаций по обращению с этими монетами, однако подчёркивает, что обсуждение данного вопроса должно вестись отдельно, чтобы не тормозить внедрение защиты для остальных пользователей. Она настаивает на том, что любые варианты спасения средств должны сами обладать квантовой безопасностью, иначе мошенники смогут использовать сам механизм спасения в своих целях.