Trezor рассматривает безопасные подписи по умолчанию для постквантового Bitcoin

Производители аппаратных кошельков готовятся к появлению квантовых компьютеров, и перед ними встают новые трудности. Об этом технический директор Trezor Томаш Шушанка (Tomáš Sušánka) рассказал в эфире MARA Foundation TV.

Сейчас сообщество считает SHRINCS ведущим кандидатом на роль постквантовой подписи для Bitcoin. Схему в конце прошлого года предложили директор по исследованиям Blockstream Йонас Ник (Jonas Nick) и криптограф Михаил Кудинов. Она построена на хеш-функциях и допускает два варианта подписи: с отслеживанием состояния (stateful) и без него (stateless).

Stateless-подписи крупные, поэтому могут влиять на комиссии, скорость подписания и другие показатели эффективности, зато их безопасно использовать повторно. Stateful-подписи компактнее и эффективнее, но у них есть лимит. В основе — дерево одноразовых подписей. Превысишь допустимое число подписей и случайно используешь ключ дважды — раскроется достаточно данных, чтобы злоумышленник подделал подпись и украл средства.

Поэтому разработчикам кошельков придётся тщательно вести учёт состояния. «Вы даёте людям возможность ошибиться. Наша задача — сделать всё безопасно, это не должно быть заботой пользователя», — сказал Шушанка.

Trezor думает сделать более тяжёлые stateless-подписи вариантом по умолчанию, а рискованный stateful-режим спрятать в расширенных настройках. При этом Шушанка признаёт, что SHRINCS — консервативный выбор: схема опирается на те же криптографические допущения, что и SHA-256. Но он «разрывается», ведь поддерживать состояние обременительно. «Можно завести два Trezor с одной сид-фразой. Как между ними разделить состояние? Никак», — пояснил он. Отказываться от stateful-подписей полностью он не хочет: они примерно в 10 раз меньше, а это большая разница.

Обновлять придётся и сами устройства. Большинство из них используют уязвимую для квантовых атак криптографию в аппаратных функциях — например, при проверке прошивки и аутентификации устройства. Для полной защиты нужны «квантово-готовые» устройства. Trezor уже выпускает такие продукты, в частности Trezor Safe 7 с постквантовой криптографией для аутентификации. Но транзакции с них станут квантово-безопасными только после того, как сам Bitcoin перейдёт на постквантовую защиту.

Шушанка предупредил: разработчикам не стоит затягивать с вариантами миграции для пользователей, ведь перевод миллионов людей займёт время. «Нужно быть готовыми к компромиссам. Если мы все будем слишком строги в том, что можно и нельзя, мы никуда не придём», — сказал он.