Bitcoin Magazine
Kwestia kwantowa: zamrażać monety czy nie
Debata o komputerach kwantowych w kontekście Bitcoina to prawdziwy gąszcz. Nie chodzi tu wyłącznie o techniczną dyskusję na temat kompromisów związanych z różnymi rodzajami kryptografii i ich odporności na hipotetyczny komputer kwantowy. To debata o tym, które wartości leżące u podstaw Bitcoina są najważniejsze w obliczu trudnego dylematu: czy dotrzymać obietnicy, że właściciele będą mogli wydawać ważne monety, czy też zadbać o bezpieczeństwo systemu, nie dopuszczając do przejęcia znacznej części jego podaży pieniądza z wykorzystaniem podatności znanej od wielu lat.
Sedno kontrowersji stanowi dylemat: każda poważnie rozważana opcja narusza jakąś zasadę ważną dla użytkowników Bitcoina. Brak działania może zachować obecne zasady konsensusu, ale zarazem pozwolić podmiotom dysponującym w przyszłości komputerami kwantowymi przejąć monety, których właściciele nigdy się na to nie zgodzili. Zamrożenie podatnych monet może zapobiec takiej kradzieży, ale oznacza wsteczne unieważnienie od dawna obowiązujących warunków wydawania środków. Wymuszona migracja na podpisy odporne na ataki kwantowe może być rozsądnym posunięciem inżynieryjnym, ale może też wyglądać jak system konfiskaty narzucony pod presją terminu. Debata jest tak trudna, bo nie ma czystego rozwiązania, które pozwalałoby w pełni ochronić jednocześnie prawa własności, przewidywalność ekonomiczną, odporność na cenzurę, kompatybilność wsteczną i suwerenność użytkowników.
Właśnie dlatego uważam ten problem za fascynujący. Jest wielowymiarowy: ma jednocześnie charakter techniczny, socjologiczny, filozoficzny i ekonomiczny. Dlatego każda poważna dyskusja na jego temat musi uwzględniać wszystkie aspekty.
W tym eseju będę argumentować, że debata o migracji kwantowej jest znacznie bardziej złożona niż tylko pytanie, czy zamrozić bitcoiny podatne na atak, czy tego nie robić. Chodzi raczej o to, jak zminimalizować łączną skalę naruszeń praw własności, gdy podpisy oparte na krzywych eliptycznych przestaną niezawodnie potwierdzać, kto jest prawowitym właścicielem.
Zagrożenie kwantowe
Obecny mechanizm autoryzacji transakcji w Bitcoinie, który ma zapewnić, że środki są wydawane wyłącznie przez ich prawowitych właścicieli, opiera się na kryptografii krzywych eliptycznych. Zarówno starsze podpisy ECDSA, jak i podpisy Schnorra wykorzystują krzywą eliptyczną secp256k1. Przy zwykłych założeniach dotyczących obliczeń klasycznych wyprowadzenie klucza prywatnego z klucza publicznego jest obliczeniowo niewykonalne. Komputer kwantowy o znaczeniu kryptograficznym, uruchamiający algorytm Shora, zmienia to założenie: gdy klucz publiczny jest już dostępny, odpowiednio wydajny komputer kwantowy mógłby wyprowadzić odpowiadający mu klucz prywatny i podpisać transakcję wydającą środki, którą sieć uznałaby za prawidłową. Komputery kwantowe zagrażają złamaniem założenia o trudności przejścia od klucza publicznego do prywatnego, na którym opierają się ECDSA i Schnorr.
To rozróżnienie ma znaczenie, ponieważ nie wszystkie wyjścia Bitcoina ujawniają te same informacje w tym samym momencie. Niektóre typy wyjść od razu ujawniają klucz publiczny i pozostają podatne na atak bezterminowo. Inne ukrywają klucz publiczny za hashem, dopóki właściciel nie wyda środków. Powstają w ten sposób dwie szerokie klasy ataków. Atak dalekiego zasięgu wymierzony jest w wyjścia, których klucze publiczne są już widoczne w łańcuchu bloków, takie jak stare wyjścia typu pay-to-public-key i wyjścia Taproot. Atak bliskiego zasięgu wymierzony jest w monety w chwili ich wydawania: właściciel rozgłasza transakcję, klucz publiczny staje się widoczny, a szybki atakujący dysponujący komputerem kwantowym próbuje dostatecznie szybko wyprowadzić klucz prywatny, by zastąpić transakcję lub ją wyprzedzić.
Zagrożenie dla kopania jest inne. Algorytm Grovera może teoretycznie przyspieszyć przeszukiwanie metodą brute force w celu znalezienia prawidłowego hasha bloku, ale zapewnia jedynie przyspieszenie kwadratowe, podczas gdy algorytm Shora zapewnia przyspieszenie ponadwielomianowe. Dlatego przewaga konkurencyjna jest znacznie mniejsza i raczej nie warto używać komputera kwantowego do kopania.
Kwantowe zagrożenie kwantowe
Co zabawne, samo zagrożenie ze strony komputerów kwantowych znajduje się w kwantowym stanie superpozycji. Komputer kwantowy, którego warto byłoby się obawiać, może powstać albo nie, i nikt nie potrafi udowodnić ani obalić, że tak się stanie. Sceptycy kwantowi nie kwestionują tego, że algorytm Shora mógłby złamać ECC. Twierdzą, że nie ma dobrych powodów, by sądzić, że kiedykolwiek zbudujemy tak potężny, odporny na błędy komputer kwantowy, jakiego potrzeba do uruchomienia algorytmu Shora na skalę istotną z punktu widzenia kryptografii.
Wszyscy zgadzają się, że przy użyciu dzisiejszych zaszumionych procesorów kwantowych złamanie ECC nie jest możliwe. Wymagałoby to wielu niezawodnych kubitów logicznych, niezwykle niskiego poziomu błędów, długotrwałych obliczeń przy wysokiej koherencji oraz skutecznego działania korekcji błędów kwantowych na dużą skalę.
Mocnym argumentem sceptyków jest to, że twierdzenie o progu tolerancji błędów kwantowych opiera się na założeniach, których być może nie da się spełnić fizycznie z wymaganą precyzją. Obejmują one między innymi dostateczną niezależność szumów, odpowiednią dokładność bramek, ograniczenie niepożądanych interakcji oraz możliwość utrzymania błędów poniżej akceptowalnego progu w ogromnym systemie. Mikhail Dyakonov argumentuje, że twierdzenie to zakłada wyidealizowane warunki i nie wskazuje, jakiej rzeczywistej precyzji inżynieryjnej potrzeba, by spełnić każde z tych założeń w prawdziwym urządzeniu.
Krytyka Gila Kalaia ma bardziej strukturalny charakter. Jego argument jest taki, że realistyczne układy kwantowe mogą być narażone na skorelowany szum i jego kumulację, co uniemożliwia tworzenie wysokiej jakości kwantowych kodów korekcji błędów. W swojej pracy z 2011 roku sugeruje, że fizyczne realizacje kodów kwantowych, korelacje w układach stochastycznych i kumulujący się szum mogą doprowadzić do awarii skalowalnych komputerów kwantowych.
To może być najmocniejszy argument sceptyków: korekcja błędów kwantowych działa tylko wtedy, gdy da się opanować szum. Jeśli rzeczywiste układy z dużą liczbą kubitów generują błędy skorelowane w sposób niekorzystny dla korekcji, dodawanie kolejnych kubitów może sprawić, że komputer stanie się bardziej podatny na zakłócenia i mniej niezawodny.
Skalowalność kwantowa pozostaje wielką niewiadomą. Sceptycy twierdzą, że postęp od 50, 100 czy 1000 kubitów fizycznych nie przekłada się automatycznie na miliony kubitów fizycznych ani tysiące kubitów logicznych. Układy kwantowe są analogowe, delikatne i sprzężone z otoczeniem. Wyzwanie inżynieryjne nie polega tylko na tym, by „zrobić więcej kubitów”, lecz by „zrobić więcej kubitów, jednocześnie ograniczając przesłuchy, wycieki, błędy skorelowane, dryft kalibracji, efekty termiczne, błędy pomiaru, zmienność procesu wytwarzania i szum sterowania”. Dlatego krytycy odrzucają proste ekstrapolacje dotyczące terminów. Uważają rozumowanie w rodzaju „w tej dekadzie zwiększyliśmy liczbę kubitów o X, więc do roku Y przełamiemy ECC” za słabe.
Wreszcie demonstracje komputerów kwantowych pokazały, że obecne urządzenia potrafią przewyższyć symulacje klasyczne jedynie w starannie wybranych zadaniach próbkowania. Krytycy słusznie zauważają, że niewiele to mówi o wykonywaniu długich, uporządkowanych algorytmów, takich jak algorytm Shora, z wystarczającą niezawodnością, by odzyskać 256-bitowy klucz prywatny ECC.
Dlaczego migracja do kryptografii postkwantowej ma znaczenie
Zakładając, że pojawi się komputer kwantowy zdolny zagrozić kryptografii, samo dodanie użytkownikom Bitcoina możliwości korzystania z kryptografii postkwantowej nie wystarczy, by powstrzymać atak kwantowy. Łączna pula bitcoinów podatnych na ataki kwantowe obejmuje wczesne monety wysłane na adresy pay-to-public-key, monety kontrolowane przez ponownie użyte klucze publiczne, wyjścia Taproot oraz przypadki, w których klucze publiczne lub rozszerzone klucze publiczne zostały ujawnione poza łańcuchem. Uwagę zwraca koncentracja BTC w starych wyjściach P2PK, które stanowią znikomą część UTXO pod względem liczby, ale odpowiadają za znacznie większą wartość — około 1,7 miliona BTC. Szersze szacunki, oparte na analizie typów wyjść w łańcuchu, wzorców aktywności i znanych informacji o własności, prowadzą nas do wniosku, że co najmniej 2,6 miliona BTC pozostałoby podatnych na ataki, nawet gdyby wszyscy aktywni użytkownicy Bitcoina przenieśli swoje portfele na kryptografię postkwantową.
W związku z tym, nawet jeśli użytkownicy dobrowolnie wybiorą kryptografię postkwantową (PQ), należy się spodziewać, że na zawsze pozostanie pula podatnych monet na tyle duża, by stanowić ryzyko systemowe. Atakujący dysponujący komputerem kwantowym mógłby wykorzystać te monety, by zaszkodzić systemowi na wiele sposobów — nie tylko sprzedając je i obniżając cenę spot BTC. Ochrona tych podatnych monet przed zagrożeniem kwantowym wymaga zatem wprowadzenia pewnych zmian w zasadach, które skutecznie „zablokowałyby dostęp” atakującemu dysponującemu komputerem kwantowym.
W dyskusjach na ten temat często pojawiają się określenia takie jak „konfiskata”, „spalenie”, „zamrożenie”, „kradzież” czy „odzyskanie”, ale opisują one różne mechanizmy. Zamrożenie nie oznaczałoby przekazania monet państwu, górnikom, deweloperom ani jakiemuś funduszowi odzyskiwania środków. W najprostszej postaci polegałoby na zmianie zasad konsensusu tak, aby określonych wyjść transakcji nie można było już wydać przy użyciu podatnych podpisów ECDSA lub Schnorra. Dlatego zwolennicy tego rozwiązania mówią czasem o „spaleniu”, a nie „konfiskacie”: monety nie są przekazywane nikomu innemu — stają się niemożliwe do wydania przy użyciu odpowiadającego im klucza prywatnego. Jednak dla prawowitego właściciela, który nadal ma oryginalny klucz, praktyczny skutek może wciąż przypominać konfiskatę: transakcja, która wcześniej byłaby ważna, przestaje być ważna.
BIP-361 dzieli koncepcję migracji na etapy. Najpierw, gdy tylko pojawi się odporny na ataki kwantowe typ adresu, sieć Bitcoin przestanie zezwalać na wysyłanie nowych monet na adresy podatne na ataki kwantowe. Później, po upływie kilkuletniego okresu przejściowego, transakcje wydające środki z użyciem starszych podpisów ECDSA i Schnorra staną się nieważne. Na koniec pozostaje kwestia możliwości odzyskania środków przez użytkowników, którzy potrafią udowodnić, nie opierając się wyłącznie na złamanym ECC, że są ich prawowitymi właścicielami — na przykład za pomocą dowodu zerowej wiedzy opartego na frazie seedowej lub strukturze portfela HD. Głównym celem tej propozycji nie jest wybór algorytmu podpisu postkwantowego, lecz stworzenie zachęt i wyznaczenie terminów, aby użytkownicy, giełdy, depozytariusze, portfele i instytucje rzeczywiście przeprowadzili migrację na czas, umożliwiając tym samym wycofanie ECC i zapobieżenie atakowi kwantowemu.
Argumenty za zamrożeniem
Najsilniejszy argument za zamrożeniem opiera się na prostym twierdzeniu: atakujący dysponujący komputerem kwantowym, który wyprowadza klucz prywatny z klucza publicznego, nie jest w żadnym moralnie istotnym sensie prawowitym właścicielem. Z tego punktu widzenia „po prostu pozwólmy przejąć podatne monety” nie oznacza neutralności — oznacza przyzwolenie na to, by nowa grupa podmiotów ograbiła stare środki, ponieważ protokół nie wzmocnił zamka, o którym wiadomo, że jest słaby. Zwolennicy zamrożenia argumentują, że szkody wynikające z dopuszczenia do kradzieży kwantowych dotkną nie tylko niedbałych właścicieli, lecz wszystkich posiadaczy, ponieważ udane przejęcie środków przy użyciu komputera kwantowego przeniosłoby majątek na tych, którzy jako pierwsi uzyskają takie możliwości. Jest to problematyczne, ponieważ tak duża ilość bitcoinów w rękach jednego podmiotu, który przeznaczył stosunkowo niewiele zasobów na ich zdobycie, może poważnie zagrozić bezpieczeństwu ekosystemu. Model bezpieczeństwa Bitcoina zakłada, że uczestnicy działają racjonalnie ekonomicznie i mają motywację, by chronić wartość swoich monet, ale podmiot dysponujący komputerem kwantowym może podważyć to założenie. Stanowisko zwolenników zamrożenia jest takie, że Bitcoin nie powinien nagradzać pierwszych podmiotów, które złamią ECC, dając im środki, które mogłyby posłużyć do zaszkodzenia systemowi.
Ten argument jest szczególnie trafny w przypadku monet uznawanych za utracone. Jeśli atakujący dysponujący komputerami kwantowymi nagle będą mogli odzyskiwać utracone monety, podaż w obiegu faktycznie wzrośnie. Nie naruszy to formalnego limitu 21 milionów, ale zmieni sytuację ekonomiczną: monety, które rynek mógł traktować jako nieaktywne, mogą ponownie trafić do obiegu, być może szybko i w ręce niewielkiej grupy osób.
Zwolennicy zamrożenia argumentują również, że zagrożenie nie ogranicza się do zwykłego dążenia do zysku. Przeciwnik dysponujący komputerami kwantowymi mógłby zaatakować Bitcoina z pobudek politycznych, zdestabilizować rynki, podważyć zaufanie społeczne, przez wiele lat nękać sieć, a nawet zdobyć wystarczająco dużą moc obliczeniową, by przeprowadzić atak 51%. Analiza teorii gier pokazuje, że nie możemy po prostu zakładać, iż atakujący przejmie podatne na atak BTC, sprzeda je i spokojnie odejdzie w siną dal — możliwych strategii i niepożądanych skutków jest znacznie więcej.
Źródło: BitcoinMagazine
