Опубликовано предложение BIP по SHRINCS для квантовой устойчивости Bitcoin, но оно несёт риски

Blockstream опубликовала предложение по улучшению Bitcoin для постквантовой схемы подписей SHRINCS. Jonas Nick из Blockstream Research назвал его первым конкретным предложением постквантовой подписи, разработанным специально для Bitcoin. SHRINCS уже использовала подписи для реальных транзакций в сайдчейне Liquid компании Blockstream. В марте этого года исследователи протестировали схему в рабочей среде Liquid. Минимальный размер подписей SHRINCS составляет 548 байт, плюс 48-байтовый открытый ключ. Размер подписей SHRINCS может достигать 4 619 байт. Существующие подписи Schnorr в Bitcoin имеют размер 64 байта. Подписи ECDSA в Bitcoin имеют размер 70 байт. Одобренные NIST постквантовые схемы подписей в 38–123 раза крупнее существующих подписей Bitcoin. Blockstream оценивает, что Bitcoin сможет обрабатывать примерно 3 транзакции в секунду с SHRINCS. Для сравнения, оценка для одобренной NIST решётчатой схемы ML-DSA составляет 0,5 транзакции в секунду. Для одобренной NIST хеш-ориентированной схемы SPHINCS+ этот показатель составляет 0,36 транзакции в секунду. Segregated Witness позволяет данным подписей занимать в четыре раза меньше места, чем другие данные транзакции. В BIP предупреждается, что доказательство безопасности является неполным. Marin Ivezic заявил, что схема не проходила аудит и не подвергалась публичному криптоанализу, который получили подписи NIST. SHRINCS хранит одноразовые ключи на устройстве вместо использования многослойного хеш-дерева без состояния. При каждом использовании каждая подпись увеличивается на 16 байт. Потеря устройства потребует транзакции без состояния для восстановления размером примерно 5 777 байт. Yoon Auh заявил, что конструкция добавляет хранение состояния, компактные пути подписания, механизмы отката, допущения относительно инициализации сида и правила перехода на более крупные подписи без состояния. В BIP предупреждается, что ключи, созданные с помощью обрезки hypertree, несовместимы с реализациями, не поддерживающими обрезку hypertree. Перенос ключа между несовместимыми реализациями может привести к потере средств. Blockstream встроила сопутствующую схему SHRIMPS в SHRINCS в качестве встроенного пути без состояния с тем же 48-байтовым открытым ключом. Этот путь примерно на 26% меньше эквивалентной альтернативы, поскольку использует нестандартный набор параметров. Blockstream также изучает решётчатые подписи и агрегацию доказательств с нулевым разглашением. Blockstream оценивает, что Bitcoin сможет обрабатывать 6,7 транзакции в секунду при использовании доказательств с нулевым разглашением вместе с SHRINCS. В статье говорится, что переход Bitcoin к квантовой устойчивости потребует решений в сфере управления, поскольку для активации понадобится достаточная поддержка.