Des signatures Bitcoin résistantes aux ordinateurs quantiques encombreraient les nœuds du réseau avec des données 10 fois plus volumineuses

L'initiative de Coinbase pour préparer Bitcoin à l'informatique quantique aborde ce qui se passe lorsqu'un portefeuille revient d'une ancienne sauvegarde ou qu'un serveur de signature échoue.

Brian Armstrong a appelé le 20 octobre à la préparation et à la collaboration dans l'ensemble de l'industrie. Le détail opérationnel provient de l'article de Coinbase de Shashank Agrawal du 13 octobre, qui demande aux schémas de signature potentiels de fonctionner avec des portefeuilles ordinaires, des procédures de récupération et des serveurs de garde fonctionnant de manière indépendante.

SHRINCS, un projet de schéma de signature basé sur un hachage pour Bitcoin, combine des signatures plus petites qui nécessitent un enregistrement fiable des signatures précédentes avec un plus grand recours qui fonctionne sans cet enregistrement. Selon ses règles actuelles, la récupération avec un état incertain signifie prendre le chemin le plus large.

Cela préserve une voie de signature pour quelqu'un qui peut récupérer le secret. Le compromis est que garder les signatures plus petites nécessite une discipline opérationnelle supplémentaire.

Le test de récupération atteint les portefeuilles et les échanges

La spécification actuelle de SHRINCS liste une clé publique de 48 octets, des signatures avec état entre 548 et 4 619 octets, et une signature sans état de 5 777 octets.

"État" est l'enregistrement changeant des emplacements de signature à usage unique qu'une clé a déjà utilisés. Le composant compact de SHRINCS (XMSS) dépend de ne pas réutiliser ces emplacements. La réutilisation d'un emplacement pour différents messages peut permettre à un observateur de falsifier des signatures.

Une sauvegarde peut récupérer le secret à long terme sans récupérer un enregistrement fiable de chaque signature créée depuis la sauvegarde. Agrawal a également expliqué que les signatures et les mises à jour d'état ne résultent pas nécessairement d'une transaction sur la chaîne.

Lorsque l'état correct n'est pas disponible, y compris après la restauration d'une sauvegarde statique, l'implémentation doit refuser la signature avec état et utiliser uniquement le chemin sans état. Ce recours est dérivé de SLH-DSA, une norme de signature basée sur un hachage, mais utilise un ensemble de paramètres en dehors des ensembles standardisés dans le FIPS 205.

Les règles du signataire interdisent de sauvegarder et de restaurer le compteur mutable ou de l'exporter et de l'importer dans d'autres logiciels. Pourtant, un ancien compteur ne peut pas simplement être traité comme un point de départ sûr pour des signatures compactes.

Les signatures SHRINCS varient de 548 à 4 619 octets avec un état de compteur fiable, tandis qu'un mode sans état de 5 777 octets préserve la sécurité lorsque cet état ne peut pas être fait confiance.

Les questions de propriété entourant les pièces dormantes posent un problème de politique distinct.

Pour un échange, la même exigence va au-delà d'un écran de récupération. Agrawal a décrit de grands échanges exécutant des serveurs de signature de manière indépendante dans différentes zones pour fournir une faible latence et une haute disponibilité.

Dans son évaluation, la signature avec état nécessiterait un accès exclusif à une clé et à son état pendant la génération de la signature, compliquant cette opération indépendante.

Si un serveur crée une signature mais que le résultat de sa mise à jour de compteur est incertain, un serveur de remplacement a besoin d'une base fiable pour savoir quel état reste inutilisé. Copier un ancien compteur sur le remplacement n'établirait pas cela.

Les règles actuelles de SHRINCS interdisent la signature simultanée avec l'état d'une clé et exigent que l'incrément du compteur soit enregistré de manière persistante avant que la signature ne retourne à son appelant. Le compteur ne doit jamais diminuer, et son stockage doit être protégé contre les modifications non autorisées. La spécification souligne un stockage durable qui résiste au retour en arrière.

Les contraintes par clé n'impliquent pas qu'un échange doive arrêter de traiter chaque autre clé pendant qu'une clé signe. L'article d'Agrawal a inclus SHRINCS parmi les candidats dignes d'évaluation et appelle à un mode de fonctionnement uniquement sans état disponible.

Coinbase déclare détenir environ 12 % de BTC en circulation dans le cadre de son activité de garde.

Ce que le recours change dans un modèle de frais Bitcoin

Une signature de 5 777 octets est plus grande qu'une signature de 548 octets, mais ce ratio ne décrit pas directement les frais d'une transaction. Les transactions contiennent d'autres données, et Bitcoin prend en compte les données de témoin différemment des autres octets.

Selon les définitions de poids des transactions du BIP 141, le poids est égal à trois fois la taille de la transaction dépouillée plus la taille totale. La taille virtuelle est le poids divisé par quatre, arrondi à l'unité supérieure.

Un octet de charge utile de signature placé dans le témoin contribue à une unité de poids selon cette comptabilité, tandis que les préfixes et autres données de sérialisation comptent toujours séparément.

Considérons un modèle hypothétique à signature unique. Maintenez tout sauf cette signature à 400 unités de poids, supposons une comptabilité de témoin inchangée, et fixons le taux de frais à 10 satoshis par octet virtuel.

Les lignes d'état utilisent les tailles minimales et maximales de signature du brouillon. Le calcul est poids total = 400 + octets de signature, puis taille virtuelle = poids total divisé par quatre, arrondi à l'unité supérieure :

Dans ce modèle, le repli ajoute 13 080 sats par rapport au cas d'état le plus petit, ou 2 900 sats par rapport au plus grand.

Pour la garde autonome, une transaction de récupération porterait une signature plus grande lorsque l'état correct est absent, donc son constructeur devrait tenir compte de ce poids lors de la définition des frais réseau. Un dépositaire fait face à la fois au travail de préservation d'un état fiable et au poids de transaction de toute signature stateless qu'il utilise.

Que ce soit pour absorber ces coûts ou les transmettre aux clients est une décision de tarification distincte que ces documents n'établissent pas.

La partition offre un chemin d'évaluation

La signature d'état a également des atténuations au-delà d'un compteur partagé. Le RFC 10033 d'information de septembre catalogue des approches incluant la sectorisation, des intervalles réservés, et le transfert contrôlé de matériel de clé et d'état.

La sectorisation divise l'espace de signature en parties non chevauchantes que des dispositifs séparés peuvent gérer. Cela permet une signature parallèle sans que chaque dispositif coordonne chaque signature avec tous les autres.

Pour la garde Bitcoin, cela rend les conceptions partitionnées une voie d'ingénierie pertinente à évaluer. La valeur du RFC est d'identifier des moyens concrets de gérer l'état et les risques opérationnels que chacun introduit.

SHRINCS lui-même reste un brouillon, avec sa preuve de sécurité et sa mise en œuvre entièrement optimisée encore listées comme inachevées. L'appel d'Armstrong à se préparer fournit une attention renouvelée, tandis que l'article d'Agrawal fournit des exigences contre lesquelles les candidats peuvent être évalués.

La prochaine preuve utile serait un design de déploiement et des mises en œuvre montrant comment le chemin compact se comporte à travers des écritures interrompues, le remplacement de serveur, et la restauration de portefeuille.

Le repli existant rend déjà le choix explicite : lorsque l'état fiable n'est pas disponible, conservez la capacité de signature en utilisant la signature plus grande. Préserver les économies du chemin plus petit nécessite de prouver que les échecs ordinaires ne mèneront pas à une réutilisation de l'état.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.