Blockstream、ビットコインの量子安全化を目指すSHRINCSのBIPを公開、リスクも指摘

Blockstreamは、同社のSHRINCSポスト量子署名方式に関するビットコイン改善提案（BIP）を公開した。Blockstream ResearchのJonas Nickは、ビットコイン専用に設計された具体的なポスト量子署名の提案としては初めてだと述べた。SHRINCSはすでにBlockstreamのLiquidサイドチェーン上で実際の取引に署名している。今年3月、研究者らはLiquidの本番環境でこの方式をテストした。SHRINCS署名の最小サイズは548バイトで、48バイトの公開鍵が加わる。SHRINCS署名は最大4,619バイトまで大きくなる。ビットコインの既存のSchnorr署名は64バイトである。ビットコインのECDSA署名は70バイトである。NISTが承認したポスト量子署名方式は、ビットコインの既存の署名より38倍から123倍大きい。Blockstreamは、SHRINCSを使った場合、ビットコインは毎秒約3件の取引を処理できると見積もっている。この見積もりは、NISTが承認した格子ベースのML-DSA方式の毎秒0.5件と比較したものだ。また、NISTが承認したハッシュベースのSPHINCS+方式の毎秒0.36件とも比較している。Segregated Witnessにより、署名データが占めるスペースは他の取引データの4分の1になる。このBIPは、セキュリティ証明が不完全だと警告している。Marin Ivezicは、この方式は監査を受けておらず、NISTの署名方式が受けた公開暗号解析も経ていないと述べた。SHRINCSは、ステートレスな多層ハッシュツリーを使う代わりに、ワンタイムキーをデバイス上に保存する。使用するたびに、各署名は16バイト大きくなる。デバイスを紛失した場合、復旧には約5,777バイトのステートレスなフォールバック取引が必要になる。Yoon Auhは、この設計がステートフル性、コンパクトな署名パス、フォールバック、シード初期化の前提、さらに大きなステートレス署名へ切り替えるためのルールを追加すると述べた。このBIPは、ハイパーツリー剪定によって生成された鍵は、ハイパーツリー剪定に対応していない実装と互換性がないと警告している。互換性のない実装間で鍵をインポートすると、資金を失う可能性がある。Blockstreamは、付随するSHRIMPS方式をSHRINCSに組み込み、同じ48バイトの公開鍵の下で内蔵のステートレスパスとして利用できるようにした。この組み込まれたパスは、標準外のパラメータセットを使うため、その他の条件が同等のバージョンより約26％小さい。Blockstreamは、格子ベースの署名とゼロ知識証明の集約についても研究している。Blockstreamは、ゼロ知識証明をSHRINCSと併用した場合、ビットコインは毎秒6.7件の取引を処理できると見積もっている。記事は、ビットコインの量子移行にはガバナンス上の判断が必要になると述べている。導入には十分な支持が必要になるためだ。