量子コンピュータに対するZcashのセキュリティ対策
TL;DR
- 量子コンピュータは将来のリスクであり、現在のブロックチェーンで使用されている一部の公開鍵暗号を破ることができる可能性があります。
- 「ポスト量子（Post-quantum）」とは、通常のコンピュータでも動作し、将来的な量子コンピュータからの攻撃にも耐えるように設計された暗号技術のことです。
- Zcashは現在、完全にポスト量子ではありません。
- シールド付きZcashは、将来の攻撃者が研究することができる公開取引データ量を減らすことができますが、シールド付きの使用は完全な量子耐性とは異なります。
- ZcashはZIP 2005やプロジェクトTachyonなどの研究およびアップグレード案を通じて準備しています。
- 安全なポスト量子への移行には、資金、プライバシー、ウォレット、取引所、コンセンサスルールを同時に保護する必要があります。
Ironwoodで変更された内容と各要素の日時付きステータスについては、Zcashはポスト量子対応ですか？を参照してください。
量子コンピュータとは？
通常のコンピュータは情報をビットとして保存します。各ビットは0か1です。
量子コンピュータは量子ビット（qubit）を使用します。qubitは、特殊なアルゴリズムによって、通常のコンピュータよりも数学的な問題をはるかに早く解決できる可能性があります。
これは、量子コンピュータがすべての処理で高速であることを意味するわけではありません。リスクは特定です。一部の暗号技術は、通常のコンピュータにとっては非常に難しい数学的問題に依存していますが、十分なサイズの量子コンピュータにとっては簡単に解ける可能性があります。
ブロックチェーンにとって最も重要な例は公開鍵暗号です。公開鍵と署名は、ユーザーがコインを支出する権限があることを証明するために使用されます。
ブロックチェーンがなぜ関心を持つのか
ブロックチェーンでは、いくつかの異なる目的のために暗号技術を使用します：
| 暗号ツール | その役割 | 量子コンピュータへの影響 |
|---|
| デジタル署名 | 所有者が支出を承認したことを証明する | 普通の楕円曲線システムでは高いリスク |
| ハッシュ関数 | アドレス、コミットメント、マージェルツリー、課題を作成する | 低いリスクだがセキュリティ余裕が重要 |
| 零知識証明 | 詳細を明らかにすることなくシールド付き取引の有効性を証明する | 証明システムと仮定により異なる |
| キー交換 | ノートデータを受信者で暗号化するためにウォレットが使用する | 量子脅威モデル下での慎重な検討が必要 |
十分に強力な量子コンピュータは、今日使われている多くの署名方式（例えば楕円曲線署名）を脅かす可能性があります。これは、署名がネットワークに正しい鍵によって取引が承認されたことを知らせるからです。
ハッシュ関数は異なります。グローバーのアルゴリズムはブルートフォース検索を加速できますが、ハッシュ関数を直接的に破るわけではありません。セキュリティ余裕を大きくすることで対応可能です。
ポスト量子暗号とは？
ポスト量子暗号は、通常のコンピュータと将来的な量子コンピュータの両方に対して安全であるように設計された暗号技術です。
これは、暗号が量子コンピュータを使用することを意味するわけではありません。システムは異なる困難な数学的問題に基づいています。
2024年、NISTは最初のポスト量子標準を発表しました：
- ML-KEM：鍵確立用
- ML-DSA：デジタル署名用
- SLH-DSA：ハッシュベースのデジタル署名用
これらの基準は重要なマイルストーンですが、ブロックチェーンでは一夜にしてアルゴリズムを単純に置き換えることはできません。コンセンサスルール、ウォレット、ハードウェアウォレット、取引サイズ、手数料、プライバシーすべてが考慮される必要があります。
量子リスクのオンチェーンへの影響
リスクを考える簡単な方法は次の通りです：
- ユーザーが鍵ペアを作成します。
- 公開鍵または署名データがオンチェーンに現れることがあります。
- 将来の量子攻撃者はその公開情報を使って秘密鍵を学ぶ可能性があります。
- その鍵で資金がまだ管理されている場合、リスクがあるかもしれません。
透明なブロックチェーンは設計上多くの情報を暴露します。アドレス、金額、取引の関係性はすべて公開されます。コインが使われるとき、公開鍵情報も見えるようになります。
これがアドレス再利用が有害な理由です。再利用は観測者に今日つなげるデータを提供し、将来的な攻撃者が分析する歴史的資料を増やします。
Zcashの違いとは？
Zcashは透明な取引とシールド付き取引の両方をサポートしています。
透明なZcashはビットコインスタイルの公開ブロックチェーンの使い方に近いです。アドレス、金額、取引関係性はすべて見えるようになります。
シールド付きZcashは異なります。シールド付き取引ではゼロ知識証明を使用してネットワークが取引がルールに従っていることを確認できますが、送信者、受信者、金額を明らかにすることなくします。
これにより、Zcashには重要なプライバシーの利点があります：
- 公開される取引データはすべての人に見える量が少なくなります。
- シールド付きでいることで、ユーザーは公開された支払いグラフを作成しなくなります。
- 将来的な観測者は分析するための公開された財務履歴が少なくなってきます。
- 選択的な開示は視認鍵を通じてデフォルトで公開される記録ではなく行うことができます。
しかし、シールド付きZcashは自動的にポスト量子ではありません。シールドプールはまだ暗号的仮定に依存しています。支出承認、ノートコミットメント、ヌリファイア、証明システム、暗号化、ウォレット鍵すべてが慎重な検討が必要です。
短いバージョン：
シールド付きの使用は公開された情報への露出を減らしますが、Zcashには意図的なポスト量子アップグレードが必要です。
Zcashリスクマップ
| 領域 | 初心者向け説明 | ポスト量子関心 |
|---|
| 透明アドレス | 公開されたアドレスと公開された取引グラフ | 他の透明ブロックチェーンと同じようなリスク |
| 支出承認 | ユーザーが支出を許可していることを証明する | 署名方式の置き換えや移行が必要な可能性がある |
| シールドノート | シールドプール内での価値のプライベート記録 | 一部のコンポーネントに新しい仮定や復元ツールが必要かもしれない |
| zk-SNARKs | シールド付き取引が有効であることを証明する | 証明システムの仮定を再評価する必要がある |
| ワレットスキャン | ワレットが受信ノートを見つけて復号化する方法 | キー交換とノート暗号化を再評価する必要がある |
| 移行 | より安全な暗号に資金を移動する | 資金の損失やプライバシー漏洩を避ける必要がある |
Zcashがどのように準備しているか
Zcashにはネットワークアップグレードプロセスがある
Zcashは以前にも暗号技術を変更してきました。Saplingによりシールド付き取引の使用が簡単になりました。NU5ではOrchard、統合アドレス、Halo 2を導入しました。
これはポスト量子準備が単なるソフトウェアパッチではないことを意味します。ネットワークアップグレード、ウォレット変更、監査、ユーザーが移行するための時間が必要です。
過去のZcashアップグレードは、エコシステムが古い暗号から新しい設計に移行する経験があることを示しています。
HaloとOrchardにより古い仮定を減らした
Halo 2はOrchard、Zcashの現代的なシールドプールで使用されています。重要な改善点の一つは、HaloがOrchard証明システムに信頼設定を必要とするのをなくしました。
これはポスト量子セキュリティとは異なるものです。それでも関係しています。なぜなら、これによりZcashはより良い設計が利用可能になったときに主要な暗号構成要素を置き換えることができることを示しているからです。
ZIP 2005は量子復元可能性に焦点を当てている
ZIP 2005のタイトルは「Orchard Quantum Recoverability（Orchard量子復元性）」です。これは、古い仮定に対する量子攻撃が実用的になった場合にOrchardユーザーが資金を回復または移行できるようにする変更案を提案しています。
復元可能性は完全なポスト量子セキュリティとは異なります。範囲は狭くても有用です：
- 完全なポスト量子セキュリティは、量子攻撃が機能しないようにしようとする。
- 復元可能性は、古い暗号が安全でなくなった場合に正直なユーザーにとってより良い経路を提供する。
初心者向けには、これは緊急時の出口計画のようなものです。全体の建物を置き換えるわけではないですが、古い部屋の鍵が弱くなったときに人々が安全に旧部屋から出られるようにします。
プロジェクトTachyonはより大きなプロトコル改善を目指している
プロジェクトTachyonは、スケール、同期、ステート成長に焦点を当てたZcashアップグレード案です。その公式サイトによると、この提案の目的は取引サイズを縮小し、検証者ステートの成長を減らし、完全なポスト量子プライバシーを得ることです。
Tachyonは提案なので、アクティベーション前にエンジニアリング作業、レビュー、コミュニティ承認に依存しています。これはZcashの活発な研究とアップグレード方向として理解するのが最適で、今日ユーザーがすでに持っている機能ではないものです。
研究と基準は進んでいる
暗号技術界全体も進展しています。NISTのポスト量子基準は署名や鍵確立に強力な構成要素を提供します。ゼロ知識研究者は、量子仮定下で耐えられる証明システムを継続的に研究しています。
Zcashはその成果から恩恵を受けられますが、プライバシー保護ブロックチェーンに適応する必要があります。
今後のアップグレードの可能性
ポスト量子支出承認
Zcashは最終的には量子耐性のある署名方式に依存しない支出承認が必要になるかもしれません。
これはポスト量子署名、ハイブリッド署名、または他の設計を使用して実現できます。ハイブリッド設計では移行期間中に古典的およびポスト量子チェックの両方を行い、システムが単一の仮定に依存しないようにします。
課題はサイズとコストです。ポスト量子署名は現在の署名よりも大きく、取引サイズ、帯域幅、手数料、モバイルウォレット、ハードウェアウォレットに影響を与えます。
新しいアドレスと鍵フォーマット
新しい暗号技術は通常新しい鍵とアドレスが必要です。ユーザーは古いフォーマットから安全なフォーマットへの明確な移行経路を必要とします。
移行はウォレット内でシンプルであるべきです。ほとんどのユーザーがすべての暗号的詳細を理解しなくても安全に保つことができます。
プライバシー保護型移行
Zcashにとっては移行は特に敏感です。多くのユーザーが古いプールから新しいプールへ資金を移動する際、明らかにパターンがあると、移行そのものが情報を漏らす可能性があります。
良い移行計画では次のものを保護する必要があります：
- ユーザーの資金
- ユーザーのプライバシー
- ウォレットの互換性
- 取引所サポート
- ハードウェアウォレットサポート
- ネットワークコンセンサス安全性
ポスト量子証明システムの見直し
署名の置き換えだけでは十分ではありません。Zcashのシールド設計はゼロ知識証明とコミットメントにも依存しています。
将来的な作業では以下のものを見直す必要があるかもしれません：
- zk-SNARK仮定
- 多項式コミットメント
- フィアト・シャミル課題ハッシュ
- ノートコミットメント
- ニュリファイア構造
- マージェルツリー仮定
- ノート暗号化と視認鍵の動作
一部のコンポーネントは調整されたパラメータで受け入れ可能かもしれません。他のコンポーネントには新しい設計が必要かもしれません。
初心者向け例
例1：古いロック
今強いロックがついた金庫を想像してください。将来に発明される新しいツールはその古いロックを開けるのをすぐにできるかもしれません。
ポスト量子暗号は、その古いロックを新しい設計に置き換えることのように見えます。新しいツールはそれを破ることができないと期待されます。
ブロックチェーンでは、このロックの置き換えは難しいです。なぜなら、すべてのウォレット、ノード、取引所、ハードウェアデバイスが新しいデザインを理解する必要があるからです。
例2：公開された領収書ボックス
透明なブロックチェーンデータは、すべての領収書を永遠に公開された箱に入れるようなものです。今日誰もすべてのパターンを読むことはできないかもしれませんが、将来的なツールが後でより多くの情報を学ぶ可能性があります。
シールド付きZcashはまずその領収書を公開しないように試みます。これは長期的なプライバシーに役立ちますが、シールドシステムを守るロックは量子の未来のために再評価される必要があります。
例3：出口計画
復元可能性とは、火事が起こる前に出口ルートを計画することのように見えます。あなたはそれを必要としないことを望みますが、緊急時に設計するよりも早めに設計するのがはるかに安全です。
ZIP 2005はOrchardノートに対してこのアイデアに合致します。
ユーザーが今日できること
ユーザーはパニックする必要はありません。現在では、公開されたブロックチェーン暗号を破ることができる大規模な量子コンピュータは存在していません。
良い習慣は依然として役立ちます：
- 可能であればシールド付きZcashの使用を優先してください。
- アドレスの再利用を避けてください。
- ウォレットを最新版に保ってください。
- Zcashネットワークアップグレードに関する発表をフォローしてください。
- ZIPやウォレットガイドで復元可能性または移行に関する情報を注視してください。
- 透明な活動がプライバシーであると仮定しないでください。
- 猜測に基づいて資金を動かさず、信頼できるZcash開発者およびウォレットチームからの明確なガイドラインを待ってください。
課題
ポスト量子アップグレードはすべてのブロックチェーンにとって困難です。
一般的な課題には以下があります：
- より大きな鍵と署名
- より大きな取引
- 高い検証コスト
- より多くの帯域幅使用
- 新しいセキュリティ監査
- ハードウェアウォレットサポート
- モバイルウォレットパフォーマンス
- 取引所およびカスタディ統合
- 移行中のプライバシー漏洩
- コミュニティによるコンセンサス変更への合意
Zcashにとって最も難しいのは、コインが使い続けられるようにすることだけではありません。コインが使い続けられながらも、Zcashの特徴であるプライバシーを保つことが非常に困難です。
まとめ
量子コンピュータは最終的にブロックチェーンで使用されている一部の暗号技術に脅威を与える可能性があります。ポスト量子暗号は長期的な答えですが、慎重に導入する必要があります。
Zcashは現在完全にポスト量子ではありませんが、いくつかの有用な強みを持っています：シールド付き取引は公開された情報への露出を減らし、ネットワークには暗号アップグレードの歴史があり、ZIP 2005やプロジェクトTachyonなどの現在の研究は将来的な量子リスクに向けられています。
初心者にとっての主なアイデアは簡単です：今日のプライバシーは将来のデータ露出を減らし、慎重なアップグレードはZcashが使いやすさを犠牲にすることなく、より強い量子時代のセキュリティに向かうことを助けます。
関連ページ
参考文献
