Bitcoin-Quantenmigration könnte Jahre dauern, sagt Ledger-CTO

Die Debatte über Bitcoins Post-Quanten-Migration hat sich auf die Sicherheit von Wallets und den Umgang mit ruhenden Coins verlagert, nachdem Ledger-CTO Charles Guillemet argumentierte, dass die Wahl eines neuen Signaturverfahrens einfacher sein könnte als die sichere Migration von Bitcoin-Nutzern und bestehenden Guthaben.

Ledger-CTO Charles Guillemet sagte in einer von Ledger veröffentlichten technischen Analyse, dass „Bitcoin heute kein Quantencomputer-Problem hat“, während er warnte, dass Migrationsforschung, Softwareimplementierung, Änderungen an Hardware-Wallets und Nutzerakzeptanz Jahre dauern könnten. Er sagte, dass heute kein kryptografisch relevanter Quantencomputer bekannt ist, der Bitcoins aktuelle Signaturen brechen könnte, während der Zeitpunkt einer solchen Maschine ungewiss bleibt.

Seine Analyse konzentriert sich auf SHRINCS, einen Bitcoin-spezifischen Post-Quanten-Signaturvorschlag, der einen kleineren zustandsbehafteten Signaturmechanismus mit einem größeren zustandslosen Wiederherstellungspfad kombiniert. Die Spezifikation ist noch unvollständig, hat keine zugewiesene BIP-Nummer und besagt, dass ihr formeller „Sicherheitsbeweis noch aussteht“.

Bitcoin-Migration umfasst mehr als die Wahl der Kryptografie

Guillemet unterteilte den Übergang in drei Probleme: die Auswahl eines Post-Quanten-Signaturverfahrens, die Anpassung von Bitcoin-Wallets und Protokollinfrastruktur an dieses Verfahren und die Entscheidung, wie bestehende BTC in quantenresistente Outputs überführt werden sollen. Das letzte Problem umfasst Coins, deren Besitzer möglicherweise ihre Schlüssel verloren haben oder seit vielen Jahren keine Mittel mehr bewegt haben.

Bitcoins aktuelle Transaktionsautorisierung stützt sich stark auf ECDSA- und Schnorr-Signaturen, die auf Elliptische-Kurven-Kryptografie basieren. Ein ausreichend leistungsfähiger Quantencomputer, der Shors Algorithmus ausführt, könnte theoretisch private Schlüssel aus exponierten öffentlichen Schlüsseln rekonstruieren, aber keine öffentlich demonstrierte Maschine kann diesen Angriff heute gegen Bitcoin durchführen.

Guillemet sagte, die Migration könne nicht allein anhand der kryptografischen Stärke eines Ersatzverfahrens beurteilt werden, da Wallets, Hardwaregeräte, Backup-Systeme und Multi-Device-Setups es sicher implementieren müssten. Er bezeichnete die Erzielung einer gesellschaftlichen Einigung über gefährdete Alt-Coins als eine der schwierigeren ungelösten Fragen.

Eine ähnliche Position ist von anderen Kryptografen zu vernehmen. Der Stanford-Kryptograf Dan Boneh hat argumentiert, dass Bitcoin sich auf Quantenrisiken vorbereiten sollte, während eine überstürzte Migration vermieden werden müsse, die schwerwiegende Softwarefehler verursachen könnte.

SHRINCS tauscht kleinere Signaturen gegen Wallet-Zustand

Die aktuelle SHRINCS-Entwurfsspezifikation beschreibt ein hashbasiertes System, das auf SHA-256 aufbaut, derselben Hash-Familie, die bereits umfassend von Bitcoin verwendet wird. Seine Designer streben unter ihren gewählten Parametern etwa 128 Bit klassische Sicherheit und 64 Bit Quantensicherheit an.

Sein 48-Byte öffentlicher Schlüssel bindet sich an zwei Signaturpfade. Der kompakte Weg verwendet Flexible XMSS und WOTS+C und erzeugt zustandsbehaftete Signaturen von 548 Bytes bis zu 4.619 Bytes. Ein zustandsloser Fallback, der auf SLH-DSA-Konzepten basiert, erzeugt eine 5.777-Byte-Signatur.

NIST standardisierte SLH-DSA im August 2024 als FIPS 205. Der Standard selbst ist zustandslos und basiert auf SPHINCS+, während der SHRINCS-Entwurf eine benutzerdefinierte Parameterkonfiguration neben seiner separaten zustandsbehafteten Komponente verwendet.

Die neueren Zahlen sind wichtig, weil eine frühere Version von SHRINCS eine häufig zitierte zustandsbehaftete Signatur mit 324 Byte erzeugte. Guillemet sagte, dass diese Zahl nicht mehr den aktuellen Bitcoin-Entwurf beschreibt. Die September-Spezifikation beginnt bei 548 Byte für ihren zustandsbehafteten Pfad.

Blockstream Research hat argumentiert, dass hashbasierte Signaturen konservative kryptografische Annahmen und eine relativ kostengünstige Verifikation bieten. In seiner Forschungsarbeit vom Mai wurde festgestellt, dass standardisierte Post-Quanten-Signaturen viel größer sind als Bitcoins aktuelle 64-Byte-Schnorr-Signaturen, was Druck auf den Blockspeicher und den Transaktionsdurchsatz erzeugt.

Blockstream hat die SHRINCS-Verifikation bereits auf der Liquid-Seitenkette über Simplicity demonstriert, aber dieses Experiment bedeutet nicht, dass das Schema auf dem Bitcoin-Mainnet aktiv ist. Die Bitcoin-Spezifikation bleibt Forschungsarbeit, die vor einer Netzwerkbereitstellung Überprüfung und Konsens erfordert.

Zustandsbehaftete Signaturen erzeugen einen neuen Wallet-Fehlermodus

Der kompakte SHRINCS-Pfad erfordert, dass jeder Einmal-Signaturschlüssel nur einmal verwendet wird. Eine Wallet führt daher einen Zähler, der angibt, welcher Signatur-Slot als Nächstes verwendet werden soll, und dieser Zähler muss dauerhaft voranschreiten, bevor eine Signatur das Gerät verlässt.

Wenn eine Wallet denselben Signatur-Slot für zwei verschiedene Nachrichten verwendet, können die durch die Signaturen offengelegten Informationen es einem Beobachter ermöglichen, eine gültige Signatur zu fälschen. Guillemet schrieb, dass der Angreifer nicht unbedingt den gesamten privaten Seed wiederherstellt, aber die Gelder des betroffenen Nutzers dennoch stehlbar werden können.

Backups schaffen ein weiteres Problem. Das Wiederherstellen einer Wallet aus einer älteren Kopie könnte einen veralteten Zähler wiederherstellen. Zwei Hardware-Geräte, die aus demselben Seed initialisiert wurden, könnten demselben Risiko ausgesetzt sein, wenn sie den zustandsbehafteten Pfad unabhängig voneinander nutzen, ohne zu koordinieren, welche Einmalschlüssel bereits verbraucht wurden.

Eine unabhängigeProject Eleven Überprüfung von SHRINCS kam zu einem ähnlichen Schluss. Die Forscher Alex Pruden und Conor Deegan sagten, dass das Schema eine sicherheitskritische Zustandsanforderung in Wallets und Verwahrungssysteme verlagert, wo Backup-Wiederherstellung oder Zustands-Rollback zur Wiederverwendung eines Einmalschlüssels führen könnten.

SHRINCS bietet einen Fallback, wenn der Zustand verloren geht oder unsicher ist. Der ursprüngliche Seed kann weiterhin den zustandslosen Signaturschlüssel ableiten, wodurch Gelder mit der 5.777-Byte-Signatur bewegt werden können. Die Wallet muss die dauerhafte Nutzung des kompakten zustandsbehafteten Pfads für diesen Schlüssel einstellen, sobald ihrem Zähler nicht mehr vertraut werden kann.

Guillemet beschrieb diese Eigenschaft als eine der stärkeren Designentscheidungen von SHRINCS, weil der Verlust des Zustands die Effizienz beeinträchtigt, ohne die Coins automatisch unausgebbar zu machen.

Aktuelle Wallet-Funktionen würden nicht sauber übertragen werden

Der Wechsel von Elliptische-Kurven-Signaturen zu hashbasierten Signaturen würde mehrere Wallet-Tools verändern, auf die sich Bitcoin-Nutzer heute verlassen. Die nicht-gehärtete BIP32-Ableitung ermöglicht es einem erweiterten öffentlichen Schlüssel, untergeordnete öffentliche Schlüssel zu generieren, ohne private Schlüssel offenzulegen, was gängige Watch-Only-Wallet-Designs unterstützt. Guillemet sagte, dass ein effizientes Äquivalent nicht ohne Weiteres auf hashbasierte Signaturen übertragbar ist.

Schwellenwert-Signierung stellt ein verwandtes Problem dar. Schnorr-basierte Systeme können Teilnehmer effizient kombinieren, während bekannte hashbasierte Alternativen tendenziell größere Signaturen, mehr Speicher oder Kommunikation oder andere Vertrauensannahmen erfordern. Guillemet sagte, dass von SHRINCS nicht erwartet werden sollte, einen kompakten Drop-in-Ersatz für aktuelle Schnorr-Schwellenwertsysteme zu bieten.

Hardware-Leistung bleibt eine weitere Einschränkung. Ledgers Analyse besagt, dass Post-Quanten-Schlüsselgenerierung und der zustandslose SHRINCS-Pfad auf einiger sicherer Hardware Minuten dauern können, weil der Prozess viele SHA-256-Operationen durchführt und mehr Speicher benötigt als Schnorr-Signierung.

Blockstreams Forschung rahmt den Kompromiss anders ein und argumentiert, dass die SHRINCS-Verifikation von SHA-256-Berechnungen dominiert wird und daher rechnerisch handhabbar bleiben kann, selbst wenn Signaturen mehr Bytes verbrauchen. Der aktuelle Entwurf behauptet, dass seine Worst-Case-Verifikationskosten pro Signaturbyte unter denen von BIP340 Schnorr liegen.

Bitcoin hat noch keine angenommene Post-Quanten-Migration

SHRINCS ist nur ein Teil der aktuellen Bitcoin-Quantensicherheitsdiskussion. BIP 360, genannt Pay-to-Merkle-Root, ist ein separater Draft-Vorschlag, der darauf abzielt, Taproots quantenanfällige Key-Path-Ausgabe zu entfernen und Nutzer vor Langzeitexpositionsangriffen zu schützen.

BIP 360 führt selbst keinen Post-Quanten-Signaturalgorithmus ein. Seine Autoren erklären, dass Kurzzeitexpositionsangriffe, bei denen ein Angreifer einen privaten Schlüssel ableitet, nachdem eine Transaktion ihren öffentlichen Schlüssel offengelegt hat, aber vor der Bestätigung, ein zukünftiges Post-Quanten-Signaturschema erfordern könnten.

BIP 361 geht das Migrationsproblem direkter an. Der Entwurfsvorschlag beschreibt eine schrittweise Abschaffung von Legacy-ECDSA- und Schnorr-Ausgaben, nachdem ein Post-Quanten-Ausgabemechanismus verfügbar wird. Sein vorgeschlagener Zeitplan umfasst eine anfängliche Migrationsphase, gefolgt später von strengeren Einschränkungen für Legacy-Signaturen.

Wie crypto.news in seiner Überprüfung von BIP 360 und BIP 361 berichtete, ist ein ungelöstes Problem, was mit gefährdeten BTC geschehen soll, die niemals migrieren. Mögliche Ansätze können Coins betreffen, die als verloren, aufgegeben oder von Eigentümern kontrolliert gelten, die nicht an einem zukünftigen Upgrade teilnehmen können.

Coinbases unabhängiger Kryptografie-Beirat hat separat dazu aufgerufen, mit der Migrationsplanung zu beginnen, bevor ein Quantenangreifer existiert.Der Beirat unterstützte die Vorbereitung, überließ jedoch Fragen zum Einfrieren oder zur Handhabung von Legacy-Coins der Bitcoin-Community.

Das offizielle Bitcoin-BIP-Repository führt sowohl BIP 360 als auch BIP 361 mit Stand vom 17. September weiterhin als Entwurf. SHRINCS selbst bleibt eine unnummerierte Entwurfsspezifikation, wobei seine Autoren warnen, dass die Kryptografie Prototypenarbeit ist, die weitere Peer-Reviews und einen abgeschlossenen Sicherheitsbeweis erfordert.

FAQs