Falcon-1024 als Nachfolger für Bitcoin-Signaturen in Betracht gezogen

Die Diskussion über die Reaktion von Bitcoin (BTC) auf Quantencomputer geht über die Auswahl von Signaturalgorithmen hinaus und betrifft nun auch die Gestaltung von Wallets und Node-Infrastrukturen. Der Schlüssel liegt nicht in einer stärkeren mathematischen Struktur, sondern in den Kosten und den Verteilungsbedingungen, die tatsächlich auf die Bitcoin-Chain anwendbar sind.

Das Bitcoin-Infrastrukturunternehmen Blockstream verglich in einem Forschungsbeitrag am 26. die Nachfolgesignaturkandidaten für Bitcoin: Dilithium, Falcon und Hawk. Blockstream betrachtete die Größe, die sich aus der Kombination von öffentlichem Schlüssel und Signatur ergibt, als entscheidenden Kostenfaktor. Jedes Mal, wenn die Ausgabe verwendet wird, müssen alle Full Nodes die entsprechenden Bytes herunterladen und speichern.

Laut den von Blockstream präsentierten Zahlen hat das Dilithium der Klasse 3 eine Größe von 1952 Bytes für den öffentlichen Schlüssel und 3309 Bytes für die Signatur, was insgesamt 5261 Bytes ergibt. Falcon-512 hat insgesamt 1563 Bytes, während Falcon-1024 3073 Bytes benötigt. Hawk hatte den Vorteil einer Signaturgröße von 555 Bytes, wurde jedoch derzeit von der Standardisierung zurückgezogen.

Diese Zahlen zeigen die Belastung im Vergleich zur bestehenden Bitcoin-Signaturstruktur. Die derzeit verwendete Schnorr-Signatur hat eine Größe von 32 Bytes für den öffentlichen Schlüssel und 64 Bytes für die Signatur, was insgesamt 96 Bytes ergibt. Um ein neues Signatursystem in Bitcoin zu integrieren, müssen nicht nur Wallets aktualisiert werden, sondern auch Node-Validierung, Blockgröße und Gebührenstruktur werden betroffen sein.

Dilithium wurde als Kandidat mit einfacher Implementierung bewertet. Es verwendet ganzzahlige Operationen und erfordert keine Fließkomma- oder diskrete Gaußsche Abtastung, was die Implementierungsbelastung relativ gering macht. Allerdings wurde als Schwäche angeführt, dass die On-Chain-Kosten gemäß den Anforderungen der Klasse 3 hoch sind.

Ein Vorteil von Dilithium ist, dass es dem BIP-32-Schlüsselableitungsstandard am nächsten kommt. Blockstream stellte jedoch klar, dass die veröffentlichten Varianten noch nicht auf einem verteilbaren Niveau sind. Es gibt Probleme, dass sie sich von Standard-Validierern unterscheiden, dass es keinen vollständigen Nachweis der Unangreifbarkeit gibt und dass die Sicherheit aller Schlüssel an eine gemeinsame Matrix gebunden ist.

Falcon wurde als überlegener Kandidat in Bezug auf Größe und Verifizierungsgeschwindigkeit eingestuft. Das National Institute of Standards and Technology (NIST) hat Falcon als Standardisierungsziel für FN-DSA ausgewählt und entwickelt es unter FIPS 206 weiter. Blockstream bewertete Falcon als den kleinsten und am schnellsten verifizierbaren Kandidaten unter den drei.

Allerdings ist auch die Verteilung von Falcon nicht unproblematisch. Blockstream erklärte, dass Falcon-1024 einen Sampler benötigt, der etwa 90 kB RAM verwendet. Bei Verwendung einer deterministischen Ganzzahl-Emulation verlangsamt sich die Signaturgeschwindigkeit um etwa das 15-fache und die Schlüsselgenerierung um etwa das 2-fache.

Hawk bleibt in den jüngsten Vergleichen als Warnbeispiel. Anthropic gab am 28. Juli bekannt, dass sie strukturelle Schwächen im Hawk-Design entdeckt haben. NIST erklärte anschließend, dass das Hawk-Entwicklungsteam den Algorithmus aus der Standardisierungsprüfung zurückgezogen hat und dass diese Entdeckung keinen Einfluss auf endgültige Standards wie ML-DSA hat.

Post-Quanten-Kryptographie geht von der Annahme aus, dass ausreichend große Quantencomputer bestehende öffentliche Schlüssel-Kryptographie angreifen können. Bei der Genehmigung von Bitcoin-Transaktionen sind Signaturen erforderlich, und die Blockchain hat eine Struktur, in der diese Daten von allen Nodes validiert und gespeichert werden. Die Größe der Signaturen und die Kosten für die Validierung wirken sich direkter aus als bei allgemeinen Informationstechnologiesystemen.

NIST hat am 13. August 2024 ML-DSA, SLH-DSA und ML-KEM als Standards für Post-Quanten-Kryptographie festgelegt. Der Übergang zur Post-Quanten-Kryptographie wurde als langfristige Sicherheitsaufgabe für Bitcoin und Ethereum behandelt. Allerdings bedeutet die bloße Tatsache, dass Standards festgelegt wurden, nicht, dass die Anwendungsmethoden für Bitcoin festgelegt sind.

Die Diskussionen setzen sich auch in der Bitcoin-Entwickler-Mailingliste fort. Am 26. und 27. wurden Entwürfe zu "Post-Quantum-Pfaden für BIP 324" und "Hash-basierte Signaturen für Bitcoin - SHRINCS" veröffentlicht. Im BIP-360-Update-Thread im Februar 2025 wurde Falcon als bevorzugter Kandidat angesehen, wobei jedoch BIP-32-Kompatibilität, watch-only xpub und Multi-Sig-Verarbeitung als Herausforderungen identifiziert wurden.

Aufgrund der Marktstruktur sind die Interessenvertreter breit gefächert. Full Nodes müssen größere Signaturdaten langfristig speichern, und Hardware-Wallet-Hersteller müssen Signaturen innerhalb begrenzter RAM- und Rechenleistung generieren. Börsen und Treuhandunternehmen müssen möglicherweise ihre Multi-Sig- und Schlüsselverwaltungsverfahren ändern.

Für inländische Investoren hat diese Diskussion eine Bedeutung, die über einfache technische Papiere hinausgeht. Die Art und Weise, wie Bitcoin aufbewahrt wird, die Transaktionsgebühren und die Wallet-Kompatibilität sind direkte Probleme für langfristige Halter und Nutzer von Treuhanddiensten. Diese Diskussion bezieht sich jedoch nicht auf Preisprognosen oder kurzfristige Marktmaterialien, sondern auf die Überprüfung des Sicherheitsdesigns des Protokolls.

Blockstream erklärte, dass sie, wenn sie sich sofort für eine Gitter-basierte Signatur entscheiden müssten, Falcon-1024 wählen würden. Allerdings bleibt die kurzfristige Lösung weiterhin eine hash-basierte Signatur. Die Diskussion über die Quantenresistenz von Bitcoin hat die Phase erreicht, in der die Verteilungskriterien wie Kosten für die Chain, RAM für Hardware-Wallets, Schlüsselableitung und Multi-Sig zuerst berücksichtigt werden müssen.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.