Концепция постквантового обновления Bitcoin от Coinbase

Автор: Дэвид Кристофер, Bankless

Подготовка материала: Saoirse, Foresight News

21 октября Брайан Армстронг опубликовал новые идеи Coinbase по защите от атак квантовых компьютеров и усилению безопасности биткойнов.

Подготовка началась в январе этого года: Coinbase учредила независимый совет по квантовым технологиям, в который вошли исследователи криптографии, такие как Скотт Аронсон, Дэн Боне и Джастин Дрейк. В июле того же года Coinbase совместно с BlackRock, Fidelity, Strategy и другими институтами создала Альянс по безопасности биткойнов, обязавшись инвестировать 15 млн долларов в течение трех лет в исследования в области безопасности биткойнов. Теперь Coinbase полностью изложила свою концепцию создания устойчивого к квантовым атакам биткойна, которая охватывает новые типы адресов, схемы подписи и планы миграции существующих активов.

Разработка масштабируемой и обновляемой базовой архитектуры

Ключевая идея Coinbase: разделить контейнер адреса для хранения биткойнов и механизм подписи для разблокировки активов. Контейнер адреса предназначен для хранения биткойнов, а механизм подписи — для их разблокировки.

В настоящее время никто не может предсказать, какая схема постквантовой подписи в долгосрочной перспективе обеспечит наилучшее сочетание безопасности и практичности. Поэтому Coinbase стремится разработать тип адреса, совместимый с множеством алгоритмов подписи; при замене криптографических схем в будущем не потребуется заново разрабатывать всю адресную систему.

Coinbase предлагает два альтернативных технических направления: BIP-360 (P2MR), в рамках которого планируется внедрение новых типов биткойн-адресов для снижения риска раскрытия данных при квантовых атаках; второй вариант — P2TRv2, архитектурный формат адресов, поддерживающий постквантовые подписи.

Обе схемы обеспечивают гибкость, которой стремится достичь Coinbase, но по отдельности они не являются полноценными решениями. Особенно это касается BIP-360, которому требуются дополнительные обновления для поддержки постквантовых подписей.

Coinbase также выдвигает идею гибридных адресов: пользователи могут тратить одни и те же средства как с помощью существующих подписей, так и с использованием постквантовых. Однако у этого подхода есть недостаток: пока сохраняется возможность использования старых методов подписи, эти средства по-прежнему уязвимы для квантовых атак. Гибридные адреса могут служить лишь переходным решением, а не долгосрочной стратегией.

Выбор подходящих алгоритмов подписи

Определившись с основным принципом гибкости дизайн адресов, следующим ключевым вопросом становится: какой именно алгоритм постквантовой подписи следует выбрать для биткойнов.

Coinbase выделяет четыре варианта:

• ML-DSA: основана на решёточной криптографии, прошла стандартизацию, демонстрирует сбалансированные характеристики; недостатком является большой размер подписи.
• SLH-DSA: также стандартизирована, построена на базе зрелых хеш-функций; размер подписи ещё больше, чем у ML-DSA.
• FN-DSA (Falcon): обеспечивает меньший размер подписи, однако сложна в безопасной реализации и ещё не прошла стандартизацию.
• SHRINCS: экспериментальное решение, специально разработанное для биткойнов, с небольшим размером подписи, но предъявляет крайне строгие требования к управлению ключами.

Четыре кандидата на роль постквантовой подписи для оценки биткойнами, предложенные Coinbase: основанная на решётках ML-DSA и FN-DSA (Falcon), а также хеш-зависимые SLH-DSA и SHRINCS. Каждый из них имеет свои преимущества и недостатки в плане размера подписи, сложности реализации и наличия стандартов NIST.

Главное противоречие при выборе вариантов кроется в размере подписи. Данные постквантовых подписей значительно превышают объём текущих подписей биткойнов, что займёт больше места в блоке, может снизить пропускную способность сети и увеличить комиссии за транзакции.

Поэтому Coinbase рекомендует оценивать различные варианты по нескольким параметрам: безопасность, стоимость использования, скорость обработки, совместимость с аппаратными кошельками, а также сроки миграции наиболее уязвимых биткойн-активов.

Ещё одним важным фактором является модель управления ключами.

Подписи с состоянием: требуют от пользователя ведения учёта использования каждой подписывающей ключевой пары. Если после восстановления из резервной копии старого кошелька ключ будет использован повторно, злоумышленник сможет подделать подпись и украсть активы. Почему же тогда стоит рассмотреть такой вариант? Преимущество заключается в эффективности. Подписи с состоянием можно сделать более компактными, что потенциально позволит сохранить низкие комиссии, хотя риски при этом возрастают. Поэтому Coinbase рекомендует биткойну поддерживать одновременно подписи без состояния, которым не требуется отслеживать статус использования ключей.

Кроме того, Coinbase желает, чтобы выбранные схемы подписи были адаптированы для институциональных кастодиальных провайдеров. Многие институциональные сервисы хранения используют архитектуру мультиподписи, при которой приватные ключи распределены по нескольким серверам. Некоторые решёточные криптографические схемы лучше подходят для такой архитектуры, поэтому совместимость является важным критерием оценки.

Разумеется, у самой Coinbase есть собственные коммерческие соображения. Будучи одним из крупнейших кастодиальных хранителей биткойнов, она хочет, чтобы план обновления был совместим с её собственной инфраструктурой безопасности. Однако институциональные владельцы хранят огромные объёмы биткойнов, и их потребности нельзя игнорировать при развитии всей экосистемы биткойнов.

Поэтапная миграция активов

Помимо выбора схемы подписи, цель Coinbase — разработать чёткий дорожную карту для постепенной миграции биткойн-активов на адреса, устойчивые к квантовым атакам.

Предлагаемый план предусматривает пять возможных этапов реализации:

1. Ранний этап тестирования: позволить пользователям добровольно переводить активы на адреса, устойчивые к квантовым атакам.
2. Этап гибридных адресов: активация смешанных адресов, поддерживающих как традиционные, так и постквантовые подписи, для обеспечения плавного поэтапного перехода.
3. Этап безопасной миграции: поиск технических решений для скрытия публичных ключей при переводе средств, что уменьшит поверхность экспозиции для квантовых атак.
4. Внедрение новых правил: постепенное ограничение переводов на старые адреса с потенциальными уязвимостями и окончательный запрет на трату активов со таких адресов.
5. Финальный этап: разработка правил утилизации оставшихся средств на старых адресах; варианты включают установку крайнего срока миграции, заморозку активов, ограничение лимитов транзакций или создание механизма восстановления активов.

Пять предлагаемых Coinbase этапов миграции биткойнов на адреса с постквантовой защитой: от добровольного обновления пользователями и перехода через гибридные адреса, сокрытия публичных ключей для снижения рисков, до постепенного ограничения использования старых адресов и окончательного определения судьбы унаследованных средств.

Coinbase ещё не утвердила ни одного окончательного решения. Приоритетной задачей на данном этапе является оценка реализуемости различных вариантов, включая проверку совместимости непроапгрейдженных кошельков и узлов, после чего будет определён итоговый план.

Отдельный вопрос: спящие и утраченные биткойны

Далее следует самый спорный вопрос: как поступить с биткойнами, которые долгое время находились в простое?

Миллионы биткойнов хранятся на старых адресах с уже раскрытыми публичными ключами, среди которых есть награды за блоки, добытые Сатоши Накамото. Часть этих монет принадлежит долгосрочным холдерам, другая часть, возможно, безвозвратно утеряна.

Такие активы станут приоритетной целью для квантовых атак. Если кто-то тайно разработает высокопроизводительный квантовый компьютер, он сможет украсть эти биткойны задолго до того, как вся индустрия осознает угрозу.

Coinbase не выступает ни за прямую заморозку, ни за принудительный возврат, и не призывает оставлять всё как есть. Напротив, она предлагает разделить обсуждение проблемы спящих монет и обновления схем подписи, чтобы разногласия вокруг старых биткойнов не тормозили процесс квантового обновления для всего сообщества.

Для создания механизма восстановления активов Coinbase выдвигает два обязательных условия:

• Сам механизм должен обладать свойствами постквантовой защиты: злоумышленник не сможет воспользоваться утечкой публичного ключа для кражи активов через данный механизм восстановления.
• Необходимо предусмотреть действия для всех крайних сценариев: наличие планов на случай утраты владельцами учетных данных для восстановления, перегрузки системы или пропусков сроков пользователями.

В конечном счете, Coinbase рассматривает данный документ как материал для открытого обсуждения, а не как готовый план внедрения. Ни одна компания или отдельный разработчик не способен в одностороннем порядке определить вектор развития биткойна. Процесс достижения консенсуса во всей экосистеме оказывается даже сложнее, чем разработка самих криптографических технологий.