Постквантова безпека в Zcash
Коротко
- Квантові комп’ютери є ризиком у майбутньому, тому що вони можуть зламати частину криптографії з відкритим ключем, яку сьогодні використовують блокчейни.
- «Постквантова» означає криптографію, яка працює на звичайних комп’ютерах, але розроблена так, щоб протистояти атакам майбутніх квантових комп’ютерів.
- Сьогодні Zcash не є повністю постквантовим.
- Екранований Zcash зменшує обсяг публічних транзакційних даних, які можуть вивчати майбутні зловмисники, але використання екранованих транзакцій — це не те саме, що повна квантова стійкість.
- Zcash готується завдяки дослідженням, ZIP і пропозиціям оновлень, таким як ZIP 2005 і Project Tachyon.
- Безпечна постквантова міграція має одночасно захистити кошти, приватність, гаманці, біржі та правила консенсусу.
Щоб дізнатися, що змінилося в Ironwood, і переглянути датований статус кожного компонента, див. Чи є Zcash постквантовим?.
Що таке квантові обчислення?
Звичайний комп’ютер зберігає інформацію у вигляді бітів. Кожен біт — це або 0, або 1.
Квантовий комп’ютер використовує квантові біти, які називаються кубітами. Кубіти можна використовувати у спеціальних алгоритмах, що розв’язують деякі математичні задачі значно швидше, ніж звичайні комп’ютери.
Це не означає, що квантовий комп’ютер швидший у всьому. Ризик є конкретним. Деяка криптографія залежить від математичних задач, які дуже важкі для звичайних комп’ютерів, але значно легші для достатньо потужного квантового комп’ютера.
Для блокчейнів найважливішим прикладом є криптографія з відкритим ключем. Відкриті ключі та підписи використовуються, щоб довести, що користувач має право витрачати монети.
Чому блокчейни звертають на це увагу
Блокчейни використовують криптографію для кількох різних завдань:
| Криптографічний інструмент | Що він робить | Квантовий вплив |
|---|
| Цифрові підписи | Доводять, що власник авторизував витрату | Високий ризик для поширених систем на еліптичних кривих |
| Хеш-функції | Створюють адреси, комітменти, дерева Меркла та виклики | Нижчий ризик, але запас безпеки має значення |
| Докази з нульовим розголошенням | Доводять, що екрановані транзакції є чинними без розкриття деталей | Залежить від системи доказів і припущень |
| Узгодження ключів | Допомагає гаманцям шифрувати дані нотаток для отримувачів | Потребує ретельного перегляду в моделі квантових загроз |
Достатньо потужний квантовий комп’ютер може загрожувати багатьом схемам підпису, які використовуються сьогодні, зокрема підписам на еліптичних кривих. Це важливо, тому що саме підпис дає мережі змогу зрозуміти, що транзакцію авторизував правильний ключ.
Хеш-функції відрізняються. Алгоритм Ґровера може прискорити грубий перебір, але не ламає хеш-функції так само безпосередньо. Більший запас безпеки може допомогти.
Що таке постквантова криптографія?
Постквантова криптографія — це криптографія, розроблена так, щоб залишатися безпечною як проти звичайних комп’ютерів, так і проти майбутніх квантових комп’ютерів.
Це не означає, що криптографія використовує квантовий комп’ютер. Це означає, що система базується на інших складних математичних задачах.
У 2024 році NIST випустив перші завершені постквантові стандарти:
- ML-KEM для встановлення ключів
- ML-DSA для цифрових підписів
- SLH-DSA для хеш-орієнтованих цифрових підписів
Ці стандарти є важливою віхою, але блокчейн не може просто за одну ніч замінити один алгоритм іншим. Потрібно врахувати правила консенсусу, гаманці, апаратні гаманці, розміри транзакцій, комісії та приватність.
Як квантовий ризик проявляється ончейн
Простий спосіб уявити ризик такий:
- Користувач створює пару ключів.
- Дані відкритого ключа або підпису можуть з’явитися ончейн.
- Майбутній квантовий зловмисник може використати цей публічний матеріал, щоб дізнатися приватний ключ.
- Якщо кошти все ще контролюються цим ключем, вони можуть опинитися під загрозою.
Прозорі блокчейни за задумом розкривають багато інформації. Адреси, суми та зв’язки між транзакціями є публічними. Дані відкритого ключа також можуть ставати видимими, коли монети витрачаються.
Це одна з причин, чому повторне використання адрес є шкідливим. Повторне використання дає спостерігачам більше даних для зв’язування вже сьогодні та дає майбутнім зловмисникам більше історичного матеріалу для аналізу.
Чим Zcash відрізняється?
Zcash підтримує як прозорі, так і екрановані транзакції.
Прозорий Zcash працює більш схоже на публічне використання блокчейна в стилі Bitcoin. Адреси, суми та зв’язки між транзакціями є видимими.
Екранований Zcash відрізняється. Екрановані транзакції використовують докази з нульовим розголошенням, щоб мережа могла перевірити, що транзакція дотримується правил, не розкриваючи відправника, отримувача або суму.
Це дає Zcash важливу перевагу в приватності:
- Публікується менше транзакційних даних, видимих для всіх.
- Користувачі не створюють публічний граф платежів, коли залишаються в екранованому режимі.
- Майбутні спостерігачі мають менше публічної фінансової історії для аналізу.
- Вибіркове розкриття може відбуватися через viewing keys замість публічних за замовчуванням записів.
Але екранований Zcash не є автоматично постквантовим. Екрановані пули все ще залежать від криптографічних припущень. Авторизація витрат, комітменти нотаток, nullifiers, системи доказів, шифрування та ключі гаманця — усе це потребує ретельного перегляду.
Коротка версія:
Використання екранованих транзакцій зменшує публічну відкритість, але Zcash все одно потребує цілеспрямованих постквантових оновлень.
Карта ризиків Zcash
| Область | Пояснення для початківців | Постквантове занепокоєння |
|---|
| Прозорі адреси | Публічні адреси та публічний граф транзакцій | Ризики, подібні до інших прозорих блокчейнів |
| Авторизація витрат | Доказ того, що користувач має право витрачати | Схеми підпису можуть потребувати заміни або міграції |
| Екрановані нотатки | Приватні записи вартості всередині екранованих пулів | Деяким компонентам можуть знадобитися нові припущення або інструменти відновлення |
| zk-SNARKs | Докази того, що екрановані транзакції є чинними | Припущення системи доказів потребують перегляду |
| Сканування гаманця | Як гаманці знаходять і розшифровують отримані нотатки | Узгодження ключів і шифрування нотаток потребують перегляду |
| Міграція | Переміщення коштів до безпечнішої криптографії | Потрібно уникнути як втрати коштів, так і витоків приватності |
Як Zcash готується
У Zcash є процес оновлення мережі
Zcash вже змінював свою криптографію раніше. Sapling зробив екрановані транзакції простішими у використанні. NU5 представив Orchard, Unified Addresses і Halo 2.
Це важливо, тому що постквантова готовність — це не програмний патч в один рядок. Вона вимагає скоординованих оновлень мережі, змін у гаманцях, аудитів і часу для міграції користувачів.
Попередні оновлення Zcash показують, що екосистема має досвід переходу від старішої криптографії до новіших дизайнів.
Halo і Orchard зменшили залежність від старіших припущень
Halo 2 використовується в Orchard, сучасному екранованому пулі Zcash. Одне з важливих покращень полягає в тому, що Halo усунув потребу в trusted setup для системи доказів Orchard.
Це не те саме, що постквантова безпека. Проте це все одно важливо, тому що показує: Zcash може замінювати великі криптографічні будівельні блоки, коли з’являються кращі дизайни.
ZIP 2005 зосереджується на квантовій відновлюваності
ZIP 2005 має назву "Orchard Quantum Recoverability". Він пропонує зміни, покликані допомогти користувачам Orchard відновити або мігрувати кошти, якщо квантові атаки на старіші припущення стануть практичними.
Відновлюваність — це не те саме, що повна постквантова безпека. Це вужче поняття, але все одно корисне:
- Повна постквантова безпека намагається не допустити, щоб квантові атаки працювали.
- Відновлюваність дає чесним користувачам кращий шлях дій, якщо старіша криптографія стане небезпечною.
Для початківців це можна уявити як аварійний вихід. Він не замінює всю будівлю, але допомагає людям безпечно залишити стару кімнату, якщо старий замок стане слабким.
Project Tachyon дивиться у бік більших покращень протоколу
Project Tachyon — це запропоноване оновлення Zcash, зосереджене на масштабі, синхронізації та зростанні стану. На його публічному сайті сказано, що пропозиція має на меті зменшити розмір транзакцій, знизити зростання стану валідаторів і як побічний ефект отримати повну постквантову приватність.
Оскільки Tachyon є пропозицією, він усе ще залежить від інженерної роботи, перевірки та схвалення спільнотою до активації. Найкраще розуміти його як частину активного дослідницького й оновлювального напряму Zcash, а не як функцію, яку користувачі вже мають сьогодні.
Дослідження і стандарти рухаються вперед
Ширший світ криптографії також рухається вперед. Постквантові стандарти NIST дають розробникам сильніші будівельні блоки для підписів і встановлення ключів. Дослідники zero-knowledge продовжують вивчати системи доказів, які можуть витримувати квантові припущення.
Zcash може виграти від цієї роботи, але йому все одно потрібно адаптувати її до блокчейна, що зберігає приватність.
Можливі підходи до майбутніх оновлень
Постквантова авторизація витрат
Зрештою Zcash може знадобитися авторизація витрат, яка не покладається на вразливі до квантових атак схеми підпису.
Для цього можуть використовуватися постквантові підписи, гібридні підписи або інший дизайн. Гібридний дизайн використовує і класичні, і постквантові перевірки під час перехідного періоду, щоб система не залежала лише від одного припущення.
Складність полягає в розмірі та вартості. Постквантові підписи можуть бути більшими за сучасні підписи, що впливає на розмір транзакцій, пропускну здатність, комісії, мобільні гаманці та апаратні гаманці.
Нові формати адрес і ключів
Нова криптографія часто потребує нових ключів і адрес. Користувачам потрібен буде чіткий шлях міграції від старих форматів до безпечніших.
Міграція в гаманцях має бути простою. Більшості користувачів не доведеться розуміти кожну криптографічну деталь, щоб залишатися в безпеці.
Міграція зі збереженням приватності
Для Zcash міграція є особливо чутливою. Якщо багато користувачів переміщатимуть кошти зі старих пулів до нових за очевидними шаблонами, сама міграція може розкрити інформацію.
Хороший план міграції має захищати:
- Кошти користувачів
- Приватність користувачів
- Сумісність гаманців
- Підтримку бірж
- Підтримку апаратних гаманців
- Безпеку мережевого консенсусу
Перегляд постквантової системи доказів
Замінити підписи недостатньо. Екранований дизайн Zcash також залежить від доказів з нульовим розголошенням і комітментів.
У майбутній роботі може знадобитися переглянути або замінити:
- припущення zk-SNARK
- поліноміальні комітменти
- хеші викликів Fiat-Shamir
- комітменти нотаток
- побудову nullifier
- припущення щодо дерева Меркла
- шифрування нотаток і поведінку viewing key
Деякі компоненти можуть бути прийнятними за скоригованих параметрів. Інші компоненти можуть потребувати нових дизайнів.
Приклади для початківців
Приклад 1: Старий замок
Уявіть сейф із замком, який сьогодні є надійним. Новий інструмент, винайдений у майбутньому, може швидко відкрити цей старий замок.
Постквантова криптографія схожа на заміну замка на конструкцію, яку, як очікується, новий інструмент не зламає.
Для блокчейна замінити замок складно, тому що кожен гаманець, вузол, біржа та апаратний пристрій повинні розуміти новий дизайн.
Приклад 2: Публічна скринька для чеків
Дані прозорого блокчейна схожі на те, ніби всі чеки назавжди кладуть у публічну скриньку. Навіть якщо сьогодні ніхто не може прочитати всі шаблони, майбутні інструменти можуть дізнатися більше пізніше.
Екранований Zcash намагається взагалі не публікувати ці чеки. Це допомагає довгостроковій приватності, але замок, який захищає екрановану систему, все одно треба переглянути з урахуванням квантового майбутнього.
Приклад 3: План виходу
Відновлюваність схожа на планування маршруту виходу ще до пожежі. Ви сподіваєтеся, що він не знадобиться, але набагато безпечніше спроєктувати його заздалегідь, ніж під час надзвичайної ситуації.
ZIP 2005 відповідає цій ідеї для нотаток Orchard.
Що користувачі можуть робити вже сьогодні
Користувачам не потрібно панікувати. Великих публічних квантових комп’ютерів, здатних зламати криптографію розгорнутих блокчейнів, сьогодні не існує.
Хороші звички все одно допомагають:
- За можливості надавайте перевагу використанню екранованого Zcash.
- Уникайте повторного використання адрес.
- Оновлюйте гаманці.
- Слідкуйте за оголошеннями про оновлення мережі Zcash.
- Слідкуйте за ZIP і рекомендаціями гаманців щодо відновлюваності або міграції.
- Не припускайте, що прозора активність є приватною.
- Не переміщуйте кошти на основі чуток; чекайте на чіткі рекомендації від довірених розробників Zcash і команд гаманців.
Виклики
Постквантові оновлення є складними для кожного блокчейна.
Серед типових викликів:
- Більші ключі та підписи
- Більші транзакції
- Вищі витрати на перевірку
- Більше використання пропускної здатності
- Нові аудити безпеки
- Підтримка апаратних гаманців
- Продуктивність мобільних гаманців
- Інтеграція з біржами та кастодіальними сервісами
- Витоки приватності під час міграції
- Згода спільноти щодо змін консенсусу
Для Zcash найскладніше — не лише зберегти можливість витрачати монети. Справжня складність у тому, щоб зберегти можливість витрачати монети, одночасно зберігаючи приватність, яка робить Zcash особливим.
Підсумок
Квантові комп’ютери зрештою можуть загрожувати частині криптографії, яку використовують блокчейни. Постквантова криптографія — це довгострокова відповідь, але її потрібно впроваджувати обережно.
Сьогодні Zcash не є повністю постквантовим. Однак у Zcash є корисні сильні сторони: екрановані транзакції зменшують публічну відкритість, мережа має історію криптографічних оновлень, а поточні дослідження, такі як ZIP 2005 і Project Tachyon, уже спрямовані на майбутні квантові ризики.
Для початківців головна ідея проста: приватність сьогодні зменшує відкритість даних у майбутньому, а ретельно продумані оновлення можуть допомогти Zcash рухатися до сильнішої безпеки квантової епохи без втрати зручності використання.
Пов’язані сторінки
- Чи є Zcash постквантовим? - Що змінилося в Ironwood, що досі залишається вразливим і таблиця стану з датами
- Захищені пули - Як захищені транзакції Zcash захищають деталі транзакцій
- Halo - Система доказів Zcash без довіреної початкової установки
- ZKP і zk-SNARKs - Як докази з нульовим розголошенням працюють у Zcash
- Ключі перегляду - Як вибіркове розкриття інформації працює для захищених Zcash
- Zcash Захищені активи - Майбутні захищені активи та підтримка приватних активів
Джерела
