Bitcoin se už delší dobu připravuje na dobu, kdy dostatečně výkonné kvantové počítače mohou ohrozit dnešní kryptografii. Nově zveřejněný návrh Bitcoin Improvement Proposal s názvem SHRINCS představuje jeden z nejkonkrétnějších pokusů, jak síť posunout k postkvantové bezpečnosti bez dramatického narušení jejích stávajících vlastností. Přesto nejde o hotové řešení bez rizik a samotní výzkumníci upozorňují na několik zásadních kompromisů.
Za pozornost stojí i to, že mezi firmami, které se tématu intenzivně věnují, je Blockstream. Její spoluzakladatel Adam Back patří dlouhodobě ke skeptikům vůči rychlému nástupu kvantových počítačů, zároveň ale zastává názor, že nejbezpečnější je začít se připravovat s velkým předstihem. Právě v tomto duchu nyní vznikl návrh, který by mohl jednou pomoci ochránit Bitcoin před jedním z největších technologických rizik budoucnosti.
Proč kvantové počítače představují pro Bitcoin problém
Odborníci se sice neshodují na tom, kdy přesně se kvantová hrozba stane praktickou, ale panuje široká shoda, že dostatečně vyspělý kvantový počítač by mohl v budoucnu odvozovat soukromé klíče z klíčů veřejných. To by narušilo bezpečnost modelu, na němž Bitcoin stojí, a otevřelo cestu ke krádeži prostředků z ohrožených adres. Nejde tedy o teoretickou drobnost, ale o potenciální systémové riziko pro síť, která chrání hodnotu v řádu stovek miliard dolarů.
Bitcoin dnes využívá podpisové mechanismy ECDSA a Schnorr, které jsou pro klasické počítače bezpečné, ale proti budoucím kvantovým útokům nemusí obstát. Proto se v kryptografické komunitě rozběhl závod o návrh nových podpisových schémat, jež by byla vůči kvantovým počítačům odolná. Největší problém však nespočívá jen v samotné bezpečnosti, ale i v tom, jak takovou změnu zavést, aniž by se výrazně zhoršila propustnost sítě, zvýšily nároky na uživatele nebo se narušila jednoduchost bitcoinového konsenzu.
Co je SHRINCS a proč vzbudil pozornost
Blockstream už dříve představil experimentální postkvantové podpisové schéma SHRINCS a letos pro něj publikoval i samostatný BIP. Podle Jonase Nicka z Blockstream Research jde o první konkrétní návrh postkvantového podpisového schématu navrženého specificky pro Bitcoin. Zároveň ale upozorňuje, že SHRINCS nemá být definitivním nebo univerzálně optimálním řešením, nýbrž pragmatickým kompromisem mezi tím, co je dnes technicky možné a co je pro Bitcoin přijatelné.
SHRINCS je hash-based schéma, tedy podpisový systém založený na hašovacích funkcích. To je důležité i z filozofického hlediska, protože Bitcoin už dnes stojí mimo jiné na důvěře v SHA-256, kterou využívá těžba. Podle Marina Ivezice z PostQuantum.com jde o dosud nejvíce bitcoinově nativní návrh postkvantového podpisu, protože se opírá o stejné bezpečnostní předpoklady jako současná infrastruktura sítě a zároveň podporuje obnovu ze seedů ve stylu BIP-39.
Největší překážka postkvantových podpisů je jejich velikost
Hlavním technickým problémem postkvantových podpisů není jen jejich návrh, ale především jejich objem. Schémata doporučená americkým NIST, ať už hash-based nebo lattice-based, jsou podle dosavadních odhadů 38krát až 123krát větší než dnešní bitcoinové podpisy ECDSA a Schnorr. To je pro síť zásadní komplikace, protože větší podpisy zabírají více místa v blocích a snižují počet transakcí, které lze zpracovat.
Pokud by Bitcoin převzal některá z těchto standardních postkvantových řešení bez dalších úprav, propustnost blockchainu by dramaticky klesla. Uvažované odhady ukazují, že síť by se mohla dostat jen na zlomek dnešní kapacity, v krajním případě výrazně pod 1 transakci za sekundu. Takový scénář by byl pro bitcoinovou ekonomiku velmi problematický, protože by zdražil používání sítě a zhoršil uživatelskou zkušenost. Právě proto se výzkum soustředí na to, jak velikost podpisů co nejvíce stlačit.
Jak si SHRINCS vede ve srovnání s jinými možnostmi
SHRINCS se snaží tento problém řešit výraznou optimalizací. Podle zveřejněných parametrů má minimální velikost podpisu 548 bajtů plus 48 bajtů veřejného klíče, přičemž v některých případech může narůst až na 4619 bajtů. To je stále mnohonásobně více než dnešní Schnorr podpis o velikosti 64 bajtů nebo starší ECDSA podpis kolem 70 bajtů, ale ve světě postkvantové kryptografie jde o relativně úsporný návrh.
Na první pohled by se mohlo zdát, že podpis asi devětkrát větší než Schnorr automaticky znamená i potřebu zhruba devětkrát větších bloků. V praxi to však není tak přímočaré. Díky SegWit se totiž podpisová data ukládají do witness části transakce, kde mají nižší váhu než běžná transakční data. Dopad na kapacitu sítě je tedy menší, než naznačuje samotné srovnání velikosti bajtů.
Dřívější odhady Blockstreamu naznačují, že kdyby Bitcoin plně používal Taproot se Schnorr podpisy, mohl by dosahovat asi 6,5 transakce za sekundu. Při použití lattice-based schématu ML-DSA schváleného NIST by propustnost klesla přibližně na 0,5 TPS a u hash-based SPHINCS+ dokonce asi na 0,36 TPS. SHRINCS by podle těchto odhadů umožnil fungování kolem 3 transakcí za sekundu, což je úroveň relativně blízká současnému provozu Bitcoinu.
Testování na Liquidu ukázalo praktickou použitelnost
Důležitým argumentem ve prospěch SHRINCS je skutečnost, že nejde jen o akademický koncept. Blockstream už schéma nasadil experimentálně na své sidechainové síti Liquid, kde bylo letos v březnu otestováno v produkčním prostředí. Výzkumníci dokonce do jedné z testovacích transakcí vložili kopii bitcoinového whitepaperu, aby demonstrovali, že řešení funguje i v praxi.
To dává návrhu významnou výhodu oproti čistě teoretickým modelům. Ivezic označuje SHRINCS za zatím nejsilnější odpověď na otázku, jak přejít k postkvantové bezpečnosti, aniž by se rozbila ekonomika bitcoinových bloků. Současně ale připomíná, že skutečnost, že software funguje v produkci, ještě neznamená, že je vše definitivně vyřešeno. Mezi experimentálním nasazením a konsenzuální změnou hlavní bitcoinové sítě je stále obrovský rozdíl.
Kde je háček: bezpečnostní důkaz a vyšší složitost
Právě zde přichází hlavní výhrady. Samotný BIP výslovně uvádí, že bezpečnostní důkaz je zatím nedokončený. Jinými slovy, návrh vypadá slibně, ale zatím nejde o kryptograficky plně vyzrálé řešení prověřené dlouhodobou veřejnou analýzou. To je podstatný rozdíl oproti schématům, která prošla roky zkoumání v rámci procesu NIST. Bez důkladných auditů a rozsáhlé kryptanalýzy nelze mluvit o definitivní jistotě.
Další komplikací je vyšší systémová složitost. SHRINCS používá jednorázové klíče a na rozdíl od SPHINCS+ se vzdává robustnější vícevrstvé hash tree struktury, která umožňuje bezstavový provoz. Místo toho se spoléhá na uchovávání informací o použitých klíčích přímo v zařízení uživatele. Takový model je prostorově úspornější, ale zároveň zavádí stavovost, což je z hlediska provozu i bezpečnosti citlivější přístup.
Praktický důsledek je dvojí. Zaprvé se podpis při každém dalším použití zvětšuje o 16 bajtů. Zadruhé při ztrátě zařízení vzniká potřeba takzvané stateless fallback transakce, která může mít velikost kolem 5777 bajtů. To je výrazně více než běžný podpis a ukazuje to, že úspora místa v běžném provozu je vykoupena komplikovanějším řešením okrajových, ale velmi důležitých situací.
Rizika pro peněženky a hardware
Yoon Auh z BOLTS Technologies upozorňuje, že snaha o zmenšení podpisů vedla konstruktéry SHRINCS k přidání celé řady pravidel a předpokladů. Patří mezi ně stavovost, kompaktní podepisovací cesty, nouzové fallback mechanismy, odhady počtu inicializací seedu nebo pravidla pro okamžik, kdy musí zařízení přejít na větší bezstavové podpisy. To může být z inženýrského pohledu praktické, ale zároveň to zvyšuje křehkost celého systému.
V prostředí Bitcoinu je každé nové konsenzuální pravidlo dlouhodobým závazkem. Každý předpoklad implementovaný na úrovni peněženky navíc vytváří nové možné body selhání na straně uživatele. Pokud se v systému objeví nekompatibility mezi implementacemi nebo pokud uživatel nesprávně pracuje se zálohami a obnovou, může to mít přímý dopad na bezpečnost prostředků. To je u bitcoinových peněženek mimořádně citlivé téma.
Samotný BIP navíc varuje před konkrétními riziky při použití hypertree pruning u stateless komponenty. Klíče vytvořené tímto způsobem nemusí být kompatibilní s implementacemi, které hypertree pruning nepodporují. Přenos klíče mezi nekompatibilními peněženkami nebo zařízeními by v krajním případě mohl vést i ke ztrátě prostředků. To je silná připomínka, že cesta k postkvantové bezpečnosti nebude jen otázkou kryptografie, ale také standardizace a pečlivé interoperability.
SHRIMPS a další doplňky mohou řešení rozšířit
Blockstream mezitím pokračuje ve vylepšování návrhu. V březnu představil doprovodné schéma SHRIMPS, které má umožnit, aby záložní zařízení inicializovaná ze stejného seedu mohla také podepisovat transakce. To by bylo důležité zejména pro scénáře, kde uživatel nechce být závislý na jediném fyzickém zařízení. Z návrhu BIP však zatím není zcela jasné, zda a v jaké podobě bude SHRIMPS součástí finálního směru vývoje.
Vedle toho Blockstream experimentuje i s lattice-based podpisy. Ty bývají obecně menší než hash-based alternativy, ale část odborníků je považuje za méně prověřené a méně konzervativní z pohledu bezpečnostních předpokladů. Výzkum tedy nekončí u jediného kandidáta a je pravděpodobné, že bitcoinová komunita bude v příštích letech porovnávat více cest, z nichž žádná nebude bez nevýhod.
Mohly by pomoci zero-knowledge důkazy
Jednou z nejzajímavějších cest, jak zmírnit dopad velkých postkvantových podpisů, je agregace pomocí zero-knowledge důkazů. Myšlenka je jednoduchá: místo ukládání velkého množství jednotlivých podpisů by blok nesl jediný malý důkaz potvrzující jejich správnost. Takový přístup zvažují i některé týmy v ekosystému Etherea a mluví se o něm také v souvislosti s Bitcoinem.
Pokud by se podobná agregace spojila se SHRINCS, odhady Blockstreamu naznačují, že by se propustnost Bitcoinu mohla zvýšit až na zhruba 6,7 transakce za sekundu, tedy dokonce nad dnešní úroveň. To zní velmi lákavě, jenže v bitcoinovém kontextu by šlo o poměrně radikální změnu. Zavedení zero-knowledge důkazů do základního konsenzu by patrně narazilo na vysokou míru opatrnosti a bylo by politicky i technicky výrazně náročnější než samotné přijetí nového podpisového schématu.
Právě proto Blockstream odděluje debatu o volbě podpisů od debaty o agregaci důkazů nebo o případném zvětšení bloků. Jde o strategicky rozumný krok, protože spojení více kontroverzních změn do jediného balíku by mohlo šance na adopci výrazně snížit. U Bitcoinu totiž často nerozhoduje jen technická kvalita návrhu, ale i jeho politická průchodnost.
Nejtěžší část nemusí být kryptografie, ale governance
Ačkoli se diskuse často točí kolem kryptografických detailů, stále zřetelněji se ukazuje, že největší překážkou bitcoinové postkvantové migrace může být governance. Ivezic tuto situaci shrnuje výstižně: problémem už nemusí být nedostatek technických možností, ale spíše absence mechanismu, jak mezi nimi včas vybrat. Vedle SHRINCS se objevují i další návrhy a koncepty, od různých BIPů po agregaci založenou na STARK důkazech. Inženýrské menu se tedy rychle rozšiřuje.
Bitcoin je ale záměrně konzervativní systém. Jakákoli změna konsenzu vyžaduje mimořádně širokou shodu mezi vývojáři, těžaři, provozovateli uzlů, poskytovateli peněženek i širší komunitou. To je za normálních okolností přednost, protože síť chrání před unáhlenými zásahy. V případě kvantové hrozby však může být pomalé rozhodování i slabinou, pokud by se technologický vývoj zrychlil více, než dnes skeptici očekávají.
Co si z návrhu odnést
Zveřejnění BIPu pro SHRINCS je důležitým milníkem v debatě o budoucí bezpečnosti Bitcoinu. Ukazuje, že ochrana před kvantovými útoky už není jen abstraktní akademická úvaha, ale oblast s konkrétním kódem, testováním v produkci a reálnými návrhy pro bitcoinový protokol. Zároveň však platí, že SHRINCS není hotové řešení, ale raný kandidát s výraznými přednostmi i nezanedbatelnými slabinami.
Jeho největší výhodou je snaha zachovat bitcoinovou ekonomiku blokového prostoru v použitelné podobě i po přechodu na postkvantové podpisy. Největší nevýhodou pak zůstává vyšší složitost, stavovost a skutečnost, že návrh teprve čeká na hlubší kryptografické ověření. Pokud se kvantová éra skutečně přiblíží, Bitcoin už zjevně nebude začínat od nuly. Bude ale muset rozhodnout, jaký kompromis mezi bezpečností, jednoduchostí a výkonem je ochoten přijmout.
