Виталик Бутерин представил план обновления Ethereum для защиты от квантовых вычислений

Сооснователь Ethereum, Виталик Бутерин, в четверг призвал к масштабной переработке криптографической основы сети, предупредив, что достижения в области квантовых вычислений могут нарушить основные компоненты протокола, и представил многоэтапный план по их замене.

В публикации в X Бутерин выделил четыре уязвимые области: криптографические подписи BLS на уровне консенсуса, инструменты обеспечения доступности данных, известные как KZG-коммиты, схема подписи ECDSA, используемая стандартными учетными записями пользователей, и системы доказательств с нулевым разглашением, используемые приложениями и сетями второго уровня.

Он отметил, что каждую из этих областей можно решать поэтапно, с использованием специализированных решений на каждом уровне протокола. «Важным шагом является выбор хеш-функции», — написал Бутерин. «Это может быть «последняя хеш-функция» для Ethereum, поэтому важно сделать правильный выбор».

Эта публикация появилась в связи с тем, что Фонд Ethereum сделал пост-квантовую безопасность приоритетом.

Квантовые компьютеры представляют угрозу для Ethereum, Bitcoin и всей криптоиндустрии, поскольку они потенциально могут взломать криптографию с открытым ключом, которая обеспечивает безопасность кошельков и подписывает транзакции, позволяя злоумышленникам получать приватные ключи из открытых ключей и перемещать средства.

Для решения этой проблемы Фонд Ethereum в январе создал специальную команду по пост-квантовой безопасности, а в начале этого месяца представил план обновления из семи этапов, получивший название «Strawmap», который интегрирует устойчивые к квантовым воздействиям подписи и криптографию, совместимую с STARK, в архитектуру консенсуса сети к 2029 году.

На уровне консенсуса Бутерин предложил заменить подписи BLS, которые используются валидаторами для подтверждения блоков, на альтернативные решения на основе хеш-функций, которые, по мнению исследователей, более устойчивы к квантовым атакам. Он также предложил использовать STARK, тип доказательства с нулевым разглашением, для сжатия множества подписей валидаторов в одно подтверждение.

В отношении обеспечения доступности данных Бутерин отметил, что будут компромиссы. Ethereum использует KZG-коммиты для проверки правильной структуры и доступности данных блоков. STARK могут выполнять ту же функцию, но им не хватает математического свойства, называемого линейностью, которое обеспечивает выборку данных в двух измерениях.

«Это приемлемо, но логистика этого усложняется, если вы хотите поддерживать распределенный выбор блоков», — написал Бутерин.

Использование устойчивой к квантовым воздействиям криптографии приведет к значительному увеличению стоимости для учетных записей пользователей и систем доказательств. Подтверждение современной подписи ECDSA стоит около 3000 единиц газа, в то время как подпись на основе хеш-функций, устойчивая к квантовым воздействиям, будет стоить примерно 200 000 единиц газа.

Разница еще больше для доказательств: для проверки ZK-SNARK требуется от 300 000 до 500 000 единиц газа, в то время как для проверки квантово-устойчивого STARK требуется около 10 миллионов единиц газа — это слишком дорого для большинства приложений, обеспечивающих конфиденциальность, и сетей второго уровня.

«Решением снова является рекурсивная агрегация подписей и доказательств на уровне протокола», — сказал Бутерин, ссылаясь на предложение по улучшению Ethereum 8141.

Согласно EIP-8141, каждая транзакция будет включать в себя "рамку проверки", которую можно заменить доказательством, основанным на технологии STARK, подтверждающим ее корректное выполнение. Все рамки проверки в блоке могут быть объединены в одно доказательство, что позволяет сохранить небольшой объем данных, хранящихся в блокчейне, даже при увеличении размера отдельных подписей.

Бутерин отметил, что процесс создания доказательства может происходить на уровне пула памяти (mempool), а не во время создания блока, при этом узлы будут распространять действительные транзакции каждые 500 миллисекунд вместе с доказательством их корректности.

"Это вполне реализуемо, но требует значительного объема инженерной работы", - сказал он.