Een kwantumbestendig blockchainontwerp zou de kosten kunnen verlagen en netwerkverstopping kunnen tegengaan

Het elimineren van handtekeningen: de 96-byte on-chain-voetafdruk

Al jaren waarschuwt de cryptografische gemeenschap voor een dreigende botsing tussen kwantumcomputers en blockchaintechnologie. De wiskunde achter deze dreiging is eenvoudig: algoritmen met openbare sleutels, zoals ECDSA, die alles beveiligen – van bitcoin-transacties tot slimme contracten – zullen niet langer voldoende beveiliging bieden zodra kwantumhardware volwassen wordt.

Toch lijkt de voorgestelde oplossing vaak bijna net zo gevaarlijk als de ziekte zelf. Post-kwantumcryptografische systemen produceren stelselmatig omvangrijke handtekeningen en enorme zero-knowledge (ZK)-bewijzen – een data-explosie die peer-to-peer-netwerken dreigt te verstoppen, miners te overbelasten en transactiekosten op te drijven.

Een nieuw architecturaal paradigma belooft echter deze zero-sum-afweging tussen kwantumbeveiliging en netwerkschaalbaarheid te doorbreken. Compact Shielded client-side validation (CSV), ontwikkeld door cryptografieonderzoeker Dragos Ilie samen met een team van het Imperial College London, toont aan dat de overgang naar post-kwantumcryptografie niet gepaard hoeft te gaan met exorbitante gasvergoedingen of trage netwerkprestaties.

Door de manier waarop eigendom wordt aangetoond opnieuw te bedenken en het verificatiewerk rechtstreeks naar de apparaten van gebruikers te verplaatsen, bereikt het protocol zelfs een on-chain-voetafdruk die veel lichter is dan die van de huidige, traditionele blockchains.

De kern van het probleem van kwantumschaalbaarheid ligt in een traditionele ontwerpkeuze: het opslaan van zware digitale handtekeningen in een openbaar grootboek, zodat elke volledige node deze kan controleren. Compact Shielded CSV laat on-chain handtekeningen volledig achterwege en vervangt deze door een nieuw cryptografisch construct dat de ‘degriefer’ wordt genoemd.

In de praktijk bestaat een transactie met één invoer die op de blockchain wordt vastgelegd uit drie beknopte hashes van 32 bytes, met een totale omvang van slechts 96 bytes: een ‘nullifier’ om dubbele besteding te voorkomen, een transactieverplichting en de ‘degriefer’ zelf.

"De 'degriefer' is gewoon een hash van de 'nullifier' van de munt, de geheime sleutel van de eigenaar en de transactie waarmee de munt wordt uitgegeven," legde Ilie uit. "Door deze kleine hash on-chain toe te voegen, kan de verzender er nu een off-chain zero-knowledge-bewijs tegen opstellen."

Front-runners en griefing-aanvallen neutraliseren

Omdat het opstellen van het bijbehorende ZK-bewijs de geheime sleutel van de eigenaar als privé-input vereist, lopen kwaadwillende doorgevers en front-runners wiskundig gezien vast. „Een aanvaller kan een transactie frontrunen, maar hij kan geen geldig ZK-bewijs opstellen, dus hij kan hier zeker geen voordeel uit halen,” merkte Ilie op.

Bovendien kan de legitieme eigenaar de poging moeiteloos ontmaskeren als een aanvaller een conflicterende transactie uitzendt om de besteding te vertragen. "De gebruiker kan met een ZK-bewijs aantonen dat de frontrunning-transactie een ongeldige griefing-poging is door te laten zien dat zijn daadwerkelijke geheime sleutel, gehasht met de nullifier, in combinatie met de transactie van de aanvaller niet de door de aanvaller geposte degriefer oplevert," benadrukte Ilie.

Daarom dwingt Compact Shielded CSV niet elke node wereldwijd om elk stukje transactiegeschiedenis voor altijd te downloaden, uit te voeren en te archiveren, maar verschuift het de verantwoordelijkheid voor het opslaan en verifiëren van bewijsgegevens naar de specifieke gebruikers die bij een transactie betrokken zijn.

Vanuit het perspectief van de eindgebruiker voelt het gebruik van een wallet op Compact Shielded CSV aan als het gebruik van een lichtgewicht Bitcoin SPV-client. „Er is alleen een verbinding met ten minste één eerlijke node nodig“, aldus Ilie. Om een inkomende betaling te bevestigen, vergelijkt de wallet de openbare parameters van het bewijs met de on-chain-gegevens en valideert de ZK-bewijs lokaal. "Bij een STARK ZK-bewijs duurt het bijvoorbeeld, zelfs op een telefoon, [verification] minder dan 100 milliseconden", voegde hij eraan toe.

Het genereren van een bewijs voor een uitgaande betaling vereist iets meer rekenkracht, maar Ilie verwacht dat dit sneller zal gaan naarmate de bewijscircuits verder worden ontwikkeld. Cruciaal is dat, omdat de architectuur berust op recursieve bewijzen met een constante grootte, de historische transactiediepte nooit ten koste gaat van de eindgebruiker. In reactie op zorgen over het off-chain opslaan van post-kwantum-bewijzen merkte Ilie op:

"De bewijzen zijn inderdaad groter dan handtekeningen en het genereren en verifiëren ervan duurt langer, maar dat is alleen een last wanneer het hele netwerk ze moet opslaan en valideren. Omdat dit een validatieprotocol aan de clientzijde is, slaat elke gebruiker alleen de munten op, verifieert en bewijst hij alleen die munten waar hij persoonlijk belang bij heeft, wat heel goed beheersbaar is."

Om de opslagruimte in perspectief te plaatsen, zei Ilie dat „een foto op je telefoon 20–40× groter is dan één bewijs”, en voegde hij eraan toe dat het versturen van betalingen „minder bandbreedte en opslagruimte vereist dan het versturen van een foto”.

Geen ‘state bloat’

Naarmate transactiegeschiedenissen groeien, hebben traditionele edge-apparaten vaak last van ‘state bloat’. Onder Compact Shielded CSV slaan light clients echter geen transactiegeschiedenis op buiten de bewijzen met constante grootte voor hun eigen onbestede munten. "Voor al het andere, zoals het controleren of een nullifier een conflicterende uitgave heeft, worden simpelweg volledige of archiefknooppunten geraadpleegd," merkte Ilie op, en hij voegde eraan toe dat "de groei van de geschiedenis helemaal geen invloed heeft op de grootte van de bewijzen of de verificatietijd."

In tegenstelling tot de heersende opvatting dat kwantumbestendigheid leidt tot hoge netwerkcongestie en dure transactiekosten, stelde Ilie dat Compact Shielded CSV aanzienlijk efficiënter is dan de huidige niet-kwantumnetwerken:

"Verrassend genoeg is ons systeem veel lichter en sneller dan zelfs traditionele ketens, in plaats van zwaarder. We zouden veel lagere transactiekosten en veel minder netwerkcongestie hebben, niet alleen omdat het volledig post-kwantum is, maar ook in vergelijking met de huidige situatie."