Квантово-стійкі підписи Bitcoin заблокують вузли мережі з даними в 10 разів більшими

Прагнення Coinbase підготувати Bitcoin до квантових обчислень стосується того, що відбувається, коли гаманець повертається з старої резервної копії або коли сервер підпису не працює.

Брайан Армстронг закликав 20 жовтня до підготовки та співпраці в усій індустрії. Операційні деталі походять з статті Шашанка Агравала від 13 жовтня на Coinbase, яка закликає до того, щоб перспективні схеми підпису працювали з звичайними гаманцями, процедурами відновлення та незалежно працюючими серверами зберігання.

SHRINCS, проектна схема підпису на основі хешу для Bitcoin, поєднує менші підписи, які вимагають надійного запису попереднього підпису, з більшим резервним варіантом, який працює без цього запису. Відповідно до своїх поточних правил, відновлення з невизначеним станом означає вибір більшого шляху.

Це зберігає маршрут для підписання для тих, хто може відновити секрет. Угода полягає в тому, що збереження менших підписів вимагає додаткової оперативної дисципліни.

Тест відновлення охоплює гаманці та біржі

Поточна специфікація SHRINCS містить 48-байтний публічний ключ, станні підписи від 548 до 4,619 байтів та безстанний підпис обсягом 5,777 байтів.

"Стан" — це змінний запис про те, які одноразові слоти підпису вже використовував ключ. Компактний компонент SHRINCS (XMSS) залежить від того, щоб не повторно використовувати ці слоти. Повторне використання одного для різних повідомлень може дозволити спостерігачеві підробити підписи.

Резервна копія може відновити довгостроковий секрет без відновлення надійного запису кожного підпису, створеного з моменту резервного копіювання. Агравал також пояснив, що підписи та оновлення стану не завжди призводять до транзакції в ланцюзі.

Коли правильний стан недоступний, включаючи після відновлення з статичної резервної копії, реалізація повинна відмовитися від станного підписання та використовувати лише безстанний шлях. Цей резервний варіант походить від SLH-DSA, стандарту підпису на основі хешу, але використовує набір параметрів, що виходить за межі наборів, стандартизованих у FIPS 205.

Правила підписувача забороняють резервне копіювання та відновлення змінного лічильника або його експорт та імпорт в інше програмне забезпечення. Проте старий лічильник не може просто вважатися безпечним початковим пунктом для компактних підписів.

Підписи SHRINCS варіюються від 548 до 4,619 байтів з надійним станом лічильника, тоді як 5,777-байтовий безстанний режим зберігає безпеку, коли цей стан не можна довіряти.

Питання власності, що стосуються сплячих монет, представляють окрему політичну проблему.

Для біржі те саме вимога виходить за межі екрану відновлення. Агравал описав великі біржі, які працюють з серверами підпису незалежно в різних зонах, щоб забезпечити низьку затримку та високу доступність.

На його думку, станне підписання вимагало б ексклюзивного доступу до ключа та його стану під час генерації підпису, ускладнюючи цю незалежну операцію.

Якщо сервер створює підпис, але результат його оновлення лічильника неясний, сервер заміни потребує надійної основи для знання, який стан залишився невикористаним. Копіювання старого лічильника на заміну не встановить цього.

Поточні правила SHRINCS забороняють одночасне підписання з станом ключа та вимагають, щоб збільшення лічильника фіксувалося постійно перед тим, як підпис повернеться до свого виклику. Лічильник ніколи не повинен зменшуватися, а його зберігання повинно бути захищене від несанкціонованих змін. Специфікація підкреслює надійне зберігання, яке протистоїть відкату.

Обмеження на кожен ключ не означають, що біржа повинна зупинити обробку кожного іншого ключа, поки один підписує. Стаття Агравала включала SHRINCS серед кандидатів, які варто оцінити, і закликає до доступного режиму роботи лише безстанного.

Coinbase стверджує, що вона володіє приблизно 12% BTC, що існує в контексті свого бізнесу зберігання.

Що змінює резервний варіант у моделі збору Bitcoin

Підпис розміром 5,777 байтів більший за підпис розміром 548 байтів, але це співвідношення не описує безпосередньо плату за транзакцію. Транзакції містять інші дані, і Bitcoin враховує дані свідків інакше, ніж інші байти.

Згідно з визначеннями ваги транзакцій BIP 141, вага дорівнює трьом розмірам очищеної транзакції плюс загальний розмір. Віртуальний розмір — це вага, поділена на чотири, округлена вгору.

Байт навантаження підпису, розміщений у свідку, вносить один ваговий одиницю за цим обліком, тоді як префікси та інші дані серіалізації все ще враховуються окремо.

Розгляньте навмисно гіпотетичну модель з одним підписом. Утримуйте все, крім цього підпису, на 400 вагових одиницях, припустимо, що облік свідків не змінюється, і зафіксуйте ставку плати на рівні 10 сатоші за віртуальний байт.

Станові рядки використовують мінімальні та максимальні розміри підпису з проекту. Обчислення: загальна вага = 400 + байти підпису, тоді віртуальний розмір = загальна вага, поділена на чотири, округлена вгору:

У цій моделі резервний варіант додає 13,080 сат у порівнянні з найменшим станом, або 2,900 сат у порівнянні з найбільшим.

Для самостійного зберігання транзакція відновлення матиме більший підпис, коли правильний стан відсутній, тому її розробник повинен враховувати цю вагу при встановленні плати за мережу. Кустодіан стикається як з роботою збереження надійного стану, так і з вагою транзакції будь-якого безстанного підпису, який він використовує.

Чи поглине він ці витрати, чи передасть їх клієнтам, є окремим рішенням щодо ціноутворення, яке ці документи не встановлюють.

Розподіл пропонує шлях для оцінки

Станове підписання також має пом'якшення, крім одного спільного лічильника. Інформаційний RFC 10033 за вересень каталогізує підходи, включаючи секторизацію, зарезервовані інтервали та контрольовану передачу ключових та станових матеріалів.

Секторизація ділить простір підпису на неперекриваючі частини, якими можуть керувати окремі пристрої. Це дозволяє паралельне підписання без необхідності кожному пристрою координувати кожен підпис з усіма іншими.

Для зберігання Bitcoin це робить розподілені проекти актуальним інженерним шляхом для оцінки. Цінність RFC полягає в тому, щоб визначити конкретні способи управління станом та операційними ризиками, які кожен з них вводить.

SHRINCS сам по собі залишається проектом, з його доказом безпеки та повністю оптимізованою реалізацією, які все ще вважаються незавершеними. Заклик Армстронга підготувати постачання привернув нову увагу, тоді як стаття Агравала постачає вимоги, за якими кандидати можуть бути оцінені.

Наступними корисними доказами були б проекти впровадження та реалізації, які показують, як компактний шлях поводиться під час перерваних записів, заміни серверів та відновлення гаманців.

Існуючий резервний варіант вже робить вибір явним: коли надійний стан недоступний, зберігайте можливість підписання, використовуючи більший підпис. Збереження заощаджень меншого шляху вимагає доведення того, що звичайні збої не призведуть до повторного використання стану.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.