Las firmas de Bitcoin a prueba de cuántica obstruirían los nodos de la red con datos 10 veces más grandes

El impulso de Coinbase para preparar Bitcoin para la computación cuántica aborda lo que sucede cuando una billetera regresa de una copia de seguridad antigua o un servidor de firma falla.

Brian Armstrong hizo un llamado el 20 de octubre para la preparación y colaboración en toda la industria. El detalle operativo proviene del artículo de Coinbase de Shashank Agrawal del 13 de octubre, que pide a los esquemas de firma prospectivos que trabajen con billeteras ordinarias, procedimientos de recuperación y servidores de custodia que operen de forma independiente.

SHRINCS, un esquema de firma basado en hash en borrador para Bitcoin, combina firmas más pequeñas que requieren un registro confiable de firmas anteriores con un respaldo más grande que funciona sin ese registro. Según sus reglas actuales, la recuperación con un estado incierto significa tomar el camino más grande.

Eso preserva una ruta para firmar para alguien que puede recuperar el secreto. El compromiso es que mantener las firmas más pequeñas requiere una disciplina operativa adicional.

La prueba de recuperación llega a billeteras y exchanges

La especificación actual de SHRINCS enumera una clave pública de 48 bytes, firmas con estado entre 548 y 4,619 bytes, y una firma sin estado de 5,777 bytes.

"Estado" es el registro cambiante de qué espacios de firma de un solo uso ya ha utilizado una clave. El componente compacto de SHRINCS (XMSS) depende de no reutilizar esos espacios. Reutilizar uno para diferentes mensajes puede permitir a un observador falsificar firmas.

Una copia de seguridad puede recuperar el secreto de larga duración sin recuperar un registro confiable de cada firma creada desde la copia de seguridad. Agrawal también explicó que las firmas y las actualizaciones de estado no necesariamente resultan en una transacción en la cadena.

Cuando el estado correcto no está disponible, incluso después de restaurar desde una copia de seguridad estática, la implementación debe rechazar la firma con estado y usar solo el camino sin estado. Ese respaldo se deriva de SLH-DSA, un estándar de firma basado en hash, pero utiliza un conjunto de parámetros fuera de los conjuntos estandarizados en FIPS 205.

Las reglas del firmante prohíben hacer copias de seguridad y restaurar el contador mutable o exportarlo e importarlo en otro software. Sin embargo, un contador antiguo no puede simplemente ser tratado como un punto de partida seguro para firmas compactas.

Las firmas de SHRINCS varían de 548 a 4,619 bytes con un estado de contador confiable, mientras que un modo sin estado de 5,777 bytes preserva la seguridad cuando ese estado no puede ser confiado.

Las preguntas de propiedad que rodean a las monedas inactivas presentan un problema de política separado.

Para un exchange, el mismo requisito va más allá de una pantalla de recuperación. Agrawal describió grandes exchanges que ejecutan servidores de firma de forma independiente en diferentes zonas para proporcionar baja latencia y alta disponibilidad.

En su evaluación, la firma con estado requeriría acceso exclusivo a una clave y su estado durante la generación de la firma, complicando esa operación independiente.

Si un servidor crea una firma pero el resultado de su actualización de contador no está claro, un servidor de reemplazo necesita una base confiable para saber qué estado permanece sin usar. Copiar un contador más antiguo en el reemplazo no establecería eso.

Las reglas actuales de SHRINCS prohíben la firma concurrente con el estado de una clave y requieren que el incremento del contador se registre de manera persistente antes de que la firma regrese a su llamador. El contador nunca debe disminuir, y su almacenamiento debe estar protegido contra cambios no autorizados. La especificación enfatiza el almacenamiento duradero que resiste el retroceso.

Las restricciones por clave no implican que un exchange deba dejar de procesar cada otra clave mientras una firma. El artículo de Agrawal incluyó a SHRINCS entre los candidatos que valen la pena evaluar y pide un modo operativo disponible solo sin estado.

Coinbase dice que posee aproximadamente el 12% de BTC en existencia en el contexto de su negocio de custodia.

Lo que el respaldo cambia en un modelo de tarifas de Bitcoin

Una firma de 5,777 bytes es más grande que una firma de 548 bytes, pero esa proporción no describe directamente la tarifa de una transacción. Las transacciones contienen otros datos, y Bitcoin contabiliza los datos de testigos de manera diferente a otros bytes.

Bajo las definiciones de peso de transacción de BIP 141, el peso es igual a tres veces el tamaño de la transacción despojada más el tamaño total. El tamaño virtual es el peso dividido por cuatro, redondeado hacia arriba.

Un byte de carga útil de firma colocado en el testigo contribuye con una unidad de peso bajo esa contabilidad, mientras que los prefijos y otros datos de serialización todavía cuentan por separado.

Consideremos un modelo hipotético deliberadamente simple de una sola firma. Mantenga todo excepto esa firma en 400 unidades de peso, asuma que la contabilidad de testigos no cambia y fije la tarifa en 10 satoshis por byte virtual.

Las filas con estado utilizan los tamaños mínimos y máximos de firma del borrador. El cálculo es peso total = 400 + bytes de firma, luego tamaño virtual = peso total dividido por cuatro, redondeado hacia arriba:

En este modelo, el respaldo añade 13,080 sats en comparación con el caso estatal más pequeño, o 2,900 sats en comparación con el más grande.

Para la autocustodia, una transacción de recuperación llevaría una firma más grande cuando el estado correcto está ausente, por lo que su constructor necesitaría tener en cuenta ese peso al establecer la tarifa de red. Un custodio enfrenta tanto el trabajo de preservar un estado confiable como el peso de transacción de cualquier firma sin estado que utilice.

Si absorbe esos costos o los pasa a los clientes es una decisión de precios separada que estos documentos no establecen.

La partición ofrece un camino para evaluar

La firma estatal también tiene mitigaciones más allá de un contador compartido. El RFC informativo 10033 de septiembre cataloga enfoques que incluyen sectorización, intervalos reservados y transferencia controlada de material clave y de estado.

La sectorización divide el espacio de firma en partes no superpuestas que dispositivos separados pueden gestionar. Esto permite la firma paralela sin que cada dispositivo coordine cada firma con todos los demás.

Para la custodia de Bitcoin, eso hace que los diseños particionados sean una vía de ingeniería relevante para evaluar. El valor del RFC es identificar formas concretas de gestionar el estado y los riesgos operativos que cada uno introduce.

SHRINCS en sí mismo sigue siendo un borrador, con su prueba de seguridad y la implementación completamente optimizada aún listadas como no finalizadas. La llamada de Armstrong para prepararse ha renovado la atención, mientras que el artículo de Agrawal proporciona requisitos contra los cuales se pueden evaluar los candidatos.

La próxima evidencia útil sería un diseño de implementación y implementaciones que muestren cómo se comporta el camino compacto a través de escrituras interrumpidas, reemplazo de servidores y restauración de billeteras.

El respaldo existente ya hace explícita la elección: cuando el estado confiable no está disponible, se mantiene la capacidad de firma utilizando la firma más grande. Preservar los ahorros del camino más pequeño requiere probar que las fallas ordinarias no llevarán a la reutilización del estado.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.