Quantensicheres Blockchain-Design könnte Gebühren senken und Netzwerküberlastung verringern

Beseitigung von Signaturen: Der 96-Byte-Fußabdruck in der Blockchain

Seit Jahren warnt die Kryptografie-Community vor einer drohenden Kollision zwischen Quantencomputern und der Blockchain-Technologie. Die mathematischen Hintergründe dieser Bedrohung sind einfach: Public-Key-Algorithmen wie ECDSA, die alles von Bitcoin-Transaktionen bis hin zu Smart Contracts sichern, werden keine ausreichende Sicherheit mehr bieten, sobald die Quantenhardware ausgereift ist.

Doch die vorgeschlagene Lösung schien oft fast so gefährlich wie das Problem selbst. Postquanten-Kryptosysteme erzeugen regelmäßig aufgeblähte Signaturen und massive Zero-Knowledge-Beweise (ZK-Beweise) – eine Datenexplosion, die Peer-to-Peer-Netzwerke zu verstopfen, Miner zu überfordern und die Transaktionsgebühren in die Höhe zu treiben droht.

Ein neues Architekturparadigma verspricht jedoch, diesen Nullsummen-Kompromiss zwischen Quantensicherheit und Netzwerkskalierbarkeit zu durchbrechen. Entwickelt vom Kryptografie-Forscher Dragos Ilie zusammen mit einem Team des Imperial College London zeigt „Compact Shielded Client-Side Validation“ (CSV), dass der Übergang zur Post-Quanten-Kryptografie nicht mit exorbitanten Gasgebühren oder einer trägen Netzwerkleistung einhergehen muss.

Indem das Protokoll den Nachweis des Eigentums neu konzipiert und die Verifizierungsarbeit direkt auf die Geräte der Nutzer verlagert, erreicht es sogar einen weitaus geringeren On-Chain-Fußabdruck als die heutigen herkömmlichen Blockchains.

Im Kern des Problems der quantenresistenten Skalierbarkeit liegt eine traditionelle Designentscheidung: die Speicherung umfangreicher digitaler Signaturen in einem öffentlichen Ledger, die von jedem Full-Node überprüft werden müssen. „Compact Shielded CSV“ verzichtet vollständig auf On-Chain-Signaturen und ersetzt diese durch ein neuartiges kryptografisches Konstrukt, das als „Degriefer“ bezeichnet wird.

In der Praxis besteht eine in der Blockchain erfasste Transaktion mit einem einzigen Input aus drei kompakten 32-Byte-Hashes mit einer Gesamtgröße von nur 96 Byte: einem „Nullifier“ zur Verhinderung von Doppelausgaben, einer Transaktionszusage und dem „Degriefer“ selbst.

„Der ‚Degriefer‘ ist lediglich ein Hash aus dem Nullifier der Coin, dem geheimen Schlüssel des Eigentümers und der Transaktion, mit der die Coin ausgegeben wird“, erklärte Ilie. „Durch das Hinzufügen dieses kleinen Hashes in der Blockchain kann der Absender nun einen Off-Chain-Zero-Knowledge-Proof dagegen erstellen.“

Front-Runner und Griefing-Angriffe neutralisieren

Da die Erstellung des zugehörigen ZK-Beweises den geheimen Schlüssel des Eigentümers als private Eingabe erfordert, geraten böswillige Relayer und Front-Runner mathematisch in eine Sackgasse. „Ein Angreifer kann eine Transaktion vorwegnehmen, aber er kann keinen gültigen ZK-Beweis erstellen, sodass er mit Sicherheit keinen Vorteil daraus ziehen kann“, merkte Ilie an.

Sollte ein Angreifer zudem eine widersprüchliche Transaktion senden, um die Ausgabe zu verzögern, kann der rechtmäßige Eigentümer diesen Versuch mühelos entlarven. „Der Nutzer kann mittels eines ZK-Beweises nachweisen, dass es sich bei der Frontrunning-Transaktion um einen ungültigen Griefing-Versuch handelt, indem er zeigt, dass sein tatsächlicher geheimer Schlüssel, gehasht mit dem Nullifier und der Transaktion des Angreifers, nicht den vom Angreifer geposteten Degriefer erzeugt“, betonte Ilie.

Anstatt also jeden Knoten weltweit zu zwingen, jeden einzelnen Eintrag der Transaktionshistorie für immer herunterzuladen, auszuführen und zu archivieren, verlagert Compact Shielded CSV die Verantwortung für die Speicherung und Überprüfung von Nachweisdaten auf die spezifischen Nutzer, die an einer Transaktion beteiligt sind.

Aus Sicht des Endnutzers fühlt sich die Nutzung einer Wallet auf Basis von Compact Shielded CSV ähnlich an wie die Verwendung eines leichtgewichtigen Bitcoin-SPV-Clients. „Es ist lediglich eine Verbindung zu mindestens einem ehrlichen Knoten erforderlich“, sagte Ilie. Um eine eingehende Zahlung zu bestätigen, gleicht die Wallet die öffentlichen Parameter des Nachweises mit den On-Chain-Daten ab und validiert den ZK-Nachweis lokal. „Bei einem STARK-ZK-Nachweis dauert es beispielsweise selbst auf einem Smartphone [verification] weniger als 100 Millisekunden“, fügte er hinzu.

Das Erstellen eines Nachweises für eine ausgehende Zahlung erfordert etwas mehr Rechenaufwand, aber Ilie geht davon aus, dass sich dies beschleunigen wird, sobald die Nachweis-Schaltkreise ausgereifter werden. Entscheidend ist, dass die Architektur auf rekursiven Nachweisen mit konstanter Größe basiert, sodass die historische Transaktionstiefe für den Endnutzer niemals einen Nachteil darstellt. Auf Bedenken hinsichtlich der Off-Chain-Speicherung von postquantenresistenten Nachweisen eingehend, merkte Ilie an:

„Die Nachweise sind zwar größer als Signaturen und lassen sich langsamer erstellen und verifizieren, aber das ist nur dann eine Belastung, wenn das gesamte Netzwerk sie speichern und validieren muss. Da es sich um ein clientseitiges Validierungsprotokoll handelt, speichert, verifiziert und weist jeder Nutzer nur die Coins nach, die für ihn persönlich von Bedeutung sind – was sehr überschaubar ist.“

Um den Speicherbedarf ins rechte Licht zu rücken, erklärte Ilie, dass „ein Foto auf Ihrem Smartphone 20–40-mal größer ist als ein einzelner Nachweis“, und fügte hinzu, dass das Senden von Zahlungen „weniger Bandbreite und Speicherplatz erfordert als das Versenden eines Bildes“.

Keine Zustandsaufblähung

Wenn Transaktionshistorien wachsen, leiden herkömmliche Edge-Geräte oft unter einem „State Bloat“. Unter Compact Shielded CSV speichern Light-Clients jedoch keinerlei Transaktionshistorie über die Proofs konstanter Größe für ihre eigenen, noch nicht ausgegebenen Coins hinaus. „Für alles andere, wie zum Beispiel die Überprüfung, ob ein Nullifier eine widersprüchliche Ausgabe aufweist, werden einfach Voll- oder Archivknoten abgefragt“, betonte Ilie und fügte hinzu, dass „das Wachstum der Historie keinerlei Auswirkungen auf die Größe der Nachweise oder die Verifizierungszeit hat.“

Entgegen der weit verbreiteten Annahme, dass Quantenresistenz zu hoher Netzwerküberlastung und hohen Gebühren führt, argumentierte Ilie, dass „Compact Shielded CSV“ deutlich effizienter sei als heutige nicht-quantenresistente Netzwerke:

„Überraschenderweise ist unser Schema weitaus schlanker und schneller als selbst traditionelle Blockchains, anstatt schwerer zu sein. Wir hätten deutlich niedrigere Transaktionsgebühren und weitaus weniger Netzwerküberlastung – nicht nur, weil es vollständig postquantenresistent ist, sondern auch im Vergleich zum Status quo.“