Le débat sur la migration post-quantique de Bitcoin s'est orienté vers la sécurité des portefeuilles et la gestion des pièces dormantes après que le CTO de Ledger, Charles Guillemet, a soutenu que le choix d'un nouveau schéma de signature pourrait s'avérer plus facile que de déplacer en toute sécurité les utilisateurs de Bitcoin et les fonds existants.
Résumé
- Le CTO de Ledger, Charles Guillemet, affirme que Bitcoin fait face à un défi de migration, et non à une crise quantique immédiate.
- SHRINCS combine des signatures à état avec un repli sans état tout en s'appuyant sur SHA-256 pour la sécurité aujourd'hui.
- Les signatures SHRINCS actuelles vont de 548 octets à 5 777 octets, selon le chemin de signature.
- La réutilisation d'un emplacement de signature à état peut permettre des signatures falsifiées, créant de graves risques de vol de fonds au niveau du portefeuille.
- Les BIP 360 et 361 de Bitcoin restent des brouillons, laissant la politique de migration post-quantique non résolue à travers le réseau.
Le CTO de Ledger, Charles Guillemet, a déclaré dans une analyse technique publiée par Ledger que « Bitcoin n'a pas de problème d'ordinateur quantique aujourd'hui », tout en avertissant que la recherche sur la migration, la mise en œuvre logicielle, les modifications des portefeuilles matériels et l'adoption par les utilisateurs pourraient prendre des années. Il a déclaré qu'aucun ordinateur quantique cryptographiquement pertinent capable de casser les signatures actuelles de Bitcoin n'est connu à ce jour, tandis que le moment de l'apparition d'une telle machine reste incertain.
Son examen se concentre sur SHRINCS, une proposition de signature post-quantique spécifique à Bitcoin à l'état de brouillon qui combine un mécanisme de signature à état plus petit avec un chemin de récupération sans état plus grand. La spécification reste inachevée, ne porte aucun numéro BIP attribué et indique que sa « preuve de sécurité formelle est TODO ».
La migration de Bitcoin implique plus que le choix de la cryptographie
Guillemet a divisé la transition en trois problèmes : sélectionner un schéma de signature post-quantique, adapter les portefeuilles Bitcoin et l'infrastructure du protocole à ce schéma, et décider comment les BTC existants devraient être déplacés vers des sorties résistantes au quantique. Le dernier problème inclut les pièces dont les propriétaires ont peut-être perdu leurs clés ou n'ont pas déplacé les fonds depuis de nombreuses années.
L'autorisation de transaction actuelle de Bitcoin repose largement sur les signatures ECDSA et Schnorr construites sur la cryptographie à courbes elliptiques. Un ordinateur quantique suffisamment puissant exécutant l'algorithme de Shor pourrait théoriquement récupérer les clés privées à partir des clés publiques exposées, mais aucune machine démontrée publiquement ne peut effectuer cette attaque contre Bitcoin aujourd'hui.
Guillemet a déclaré que la migration ne peut pas être jugée uniquement sur la force cryptographique d'un schéma de remplacement, car les portefeuilles, les appareils matériels, les systèmes de sauvegarde et les configurations multi-appareils doivent le mettre en œuvre en toute sécurité. Il a décrit la recherche d'un accord social sur les pièces héritées vulnérables comme l'une des questions non résolues les plus difficiles.
Une position similaire a émergé d'autres cryptographes. Le cryptographe de Stanford Dan Boneh a soutenu que Bitcoin devrait se préparer au risque quantique tout en évitant une migration précipitée qui pourrait introduire de graves défaillances logicielles.
SHRINCS échange des signatures plus petites contre l'état du portefeuille
La spécification actuelle du brouillon SHRINCS décrit un système basé sur le hachage construit autour de SHA-256, la même famille de hachage déjà largement utilisée par Bitcoin. Ses concepteurs visent environ 128 bits de sécurité classique et 64 bits de sécurité quantique selon leurs paramètres choisis.
Sa clé publique de 48 octets engage deux chemins de signature. La voie compacte utilise Flexible XMSS et WOTS+C, produisant des signatures à état de 548 octets jusqu'à 4 619 octets. Un repli sans état basé sur les concepts SLH-DSA produit une signature de 5 777 octets.
Le NIST a normalisé SLH-DSA en tant que FIPS 205 en août 2024. La norme elle-même est sans état et basée sur SPHINCS+, tandis que le brouillon SHRINCS utilise une configuration de paramètres personnalisée aux côtés de son composant à état distinct.
Les chiffres plus récents sont importants car une version antérieure de SHRINCS produisait une signature avec état de 324 octets fréquemment citée. Guillemet a déclaré que ce chiffre ne décrit plus le brouillon Bitcoin actuel. La spécification de septembre commence à 548 octets pour sa voie avec état.
Blockstream Research a soutenu que les signatures basées sur le hachage offrent des hypothèses cryptographiques conservatrices et une vérification relativement peu coûteuse. Sa recherche de mai a noté que les signatures post-quantiques standardisées sont beaucoup plus grandes que les signatures Schnorr actuelles de 64 octets de Bitcoin, ce qui crée une pression sur l'espace de bloc et le débit des transactions.
Blockstream a déjà démontré la vérification de SHRINCS sur la chaîne latérale Liquid via Simplicity, mais cette expérience ne signifie pas que le schéma est actif sur le réseau principal de Bitcoin. La spécification Bitcoin reste un travail de recherche nécessitant un examen et un consensus avant tout déploiement sur le réseau.
Les signatures avec état créent un nouveau mode de défaillance du portefeuille
La voie compacte de SHRINCS exige que chaque clé de signature à usage unique ne soit utilisée qu'une seule fois. Un portefeuille maintient donc un compteur identifiant quel emplacement de signature doit être utilisé ensuite, et ce compteur doit avancer de manière permanente avant qu'une signature ne quitte l'appareil.
Si un portefeuille utilise le même emplacement de signature pour deux messages différents, les informations exposées par les signatures peuvent permettre à un observateur de falsifier une signature valide. Guillemet a écrit que l'attaquant ne récupère pas nécessairement la graine privée entière, mais les fonds de l'utilisateur affecté peuvent toujours devenir volables.
Les sauvegardes créent un autre problème. Restaurer un portefeuille à partir d'une copie plus ancienne pourrait restaurer un compteur obsolète. Deux appareils matériels initialisés à partir de la même graine pourraient faire face au même risque s'ils utilisent indépendamment la voie avec état sans coordonner quelles clés à usage unique ont déjà été consommées.
Une analyse indépendante de Project Eleven sur SHRINCS est parvenue à une conclusion similaire. Les chercheurs Alex Pruden et Conor Deegan ont déclaré que le schéma transfère une exigence d'état critique pour la sécurité dans les portefeuilles et les systèmes de dépôt, où la restauration de sauvegarde ou le retour en arrière de l'état pourrait entraîner la réutilisation d'une clé à usage unique.
SHRINCS fournit une solution de repli lorsque l'état est perdu ou incertain. La graine originale peut toujours dériver la clé de signature sans état, permettant aux fonds de se déplacer en utilisant la signature de 5 777 octets. Le portefeuille doit cesser définitivement d'utiliser la voie compacte avec état pour cette clé une fois que son compteur ne peut plus être fiable.
Guillemet a décrit cette propriété comme l'un des choix de conception les plus solides de SHRINCS, car la perte d'état affecte l'efficacité sans rendre automatiquement les pièces impossibles à dépenser.
Les fonctionnalités actuelles des portefeuilles ne se transposeraient pas proprement
Le passage des signatures à courbe elliptique aux signatures basées sur le hachage modifierait plusieurs outils de portefeuille sur lesquels les utilisateurs de Bitcoin comptent aujourd'hui. La dérivation BIP32 non durcie permet à une clé publique étendue de générer des clés publiques enfants sans exposer les clés privées, ce qui soutient les conceptions courantes de portefeuilles en lecture seule. Guillemet a déclaré qu'un équivalent efficace ne se transpose pas naturellement aux signatures basées sur le hachage.
La signature par seuil présente un problème connexe. Les systèmes basés sur Schnorr peuvent combiner efficacement les participants, tandis que les alternatives connues basées sur le hachage ont tendance à nécessiter des signatures plus grandes, plus de stockage ou de communication, ou des hypothèses de confiance différentes. Guillemet a déclaré que SHRINCS ne devrait pas être considéré comme un remplacement compact immédiat pour les systèmes de seuil Schnorr actuels.
Les performances matérielles restent une autre contrainte. L'analyse de Ledger indique que la génération de clés post-quantiques et la voie sans état de SHRINCS peuvent prendre plusieurs minutes sur certains matériels sécurisés, car le processus effectue de nombreuses opérations SHA-256 et nécessite plus de mémoire que la signature Schnorr.
La recherche de Blockstream présente le compromis différemment, soutenant que la vérification de SHRINCS est dominée par les calculs SHA-256 et peut donc rester gérable sur le plan computationnel même lorsque les signatures consomment plus d'octets. Le brouillon actuel affirme que son coût de vérification dans le pire des cas par octet de signature est inférieur à celui de BIP340 Schnorr.
Bitcoin n'a pas encore de migration post-quantique adoptée
SHRINCS ne représente qu'une partie de la discussion actuelle sur la sécurité quantique de Bitcoin. Le BIP 360, appelé Pay-to-Merkle-Root, est une proposition de brouillon distincte conçue pour supprimer la dépense par chemin de clé de Taproot vulnérable aux ordinateurs quantiques et protéger les utilisateurs contre les attaques à longue exposition.
Le BIP 360 n'introduit pas lui-même d'algorithme de signature post-quantique. Ses auteurs déclarent que les attaques à courte exposition, où un attaquant dérive une clé privée après qu'une transaction a révélé sa clé publique mais avant la confirmation, pourraient nécessiter un futur schéma de signature post-quantique.
Le BIP 361 aborde le problème de la migration plus directement. La proposition préliminaire décrit une extinction progressive des dépenses ECDSA et Schnorr héritées après qu'un mécanisme de sortie post-quantique devient disponible. Son calendrier proposé comprend une période de migration initiale suivie plus tard de restrictions plus strictes sur les signatures héritées.
Comme crypto.news l'a rapporté dans sa revue des BIP 360 et BIP 361, une question non résolue est ce qui devrait advenir des BTC vulnérables qui ne migrent jamais. Les approches possibles peuvent affecter des pièces présumées perdues, abandonnées ou contrôlées par des propriétaires qui ne peuvent pas participer à une future mise à niveau.
Le conseil consultatif indépendant en cryptographie de Coinbase a séparément appelé à ce que la planification de la migration commence avant qu'un attaquant quantique n'existe.Le conseil a soutenu la préparation tout en laissant les questions sur le gel ou le traitement des pièces héritées à la communauté Bitcoin.
Le dépôt officiel des BIP de Bitcoin liste encore les BIP 360 et BIP 361 comme Draft au 17 septembre. SHRINCS lui-même reste une spécification préliminaire non numérotée, ses auteurs avertissant que la cryptographie est un travail de prototype nécessitant un examen par les pairs plus approfondi et une preuve de sécurité complète.
FAQ
Bitcoin est-il vulnérable aux ordinateurs quantiques aujourd'hui ?
Aucun ordinateur quantique publiquement démontré ne peut actuellement récupérer les clés privées Bitcoin à partir de ses clés publiques à courbe elliptique. Guillemet décrit le défi immédiat comme la préparation d'une migration avant que de tels matériels ne deviennent pratiques.
Bitcoin a-t-il adopté SHRINCS ?
Non. SHRINCS est une spécification préliminaire expérimentale sans numéro BIP attribué. Elle n'est pas activée dans Bitcoin Core ni dans les règles de consensus de Bitcoin.
Que se passe-t-il si un portefeuille SHRINCS perd son état de signature ?
La conception actuelle permet à la graine de récupérer un chemin de signature sans état, produisant une signature plus grande de 5 777 octets. Le portefeuille ne devrait pas reprendre la signature compacte avec état lorsque son compteur précédent ne peut pas être fiable.
Pourquoi un état SHRINCS réutilisé est-il dangereux ?
Sa voie compacte repose sur des clés de signature à usage unique. Réutiliser le même emplacement pour différents messages peut exposer suffisamment d'informations pour permettre des signatures falsifiées et un éventuel vol de fonds.
Les BIP 360 et BIP 361 sont-ils actifs ?
Non. Le dépôt canonique des BIP de Bitcoin liste actuellement les deux propositions comme Draft. Aucune n'a été activée comme changement de consensus de Bitcoin.
