Projekt łańcucha bloków odpornego na ataki kwantowe mógłby obniżyć opłaty i ograniczyć przeciążenie sieci

Eliminacja podpisów: 96-bajtowy ślad w łańcuchu

Od lat społeczność kryptograficzna ostrzega przed zbliżającym się zderzeniem między informatyką kwantową a technologią łańcucha bloków. Matematyczne podstawy tego zagrożenia są proste: algorytmy klucza publicznego, takie jak ECDSA, które zabezpieczają wszystko – od transakcji bitcoinowych po inteligentne kontrakty – nie będą już zapewniać odpowiedniego bezpieczeństwa, gdy sprzęt kwantowy osiągnie dojrzałość.

Jednak proponowane rozwiązanie często wydawało się niemal równie niebezpieczne jak sama choroba. Schematy kryptograficzne postkwantowe rutynowo generują rozbudowane podpisy i ogromne dowody zerowej wiedzy (ZK) — eksplozję danych, która grozi zatkaniem sieci peer-to-peer, przeciążeniem górników i wzrostem opłat transakcyjnych.

Jednak nowy paradygmat architektoniczny obiecuje przełamać ten kompromis typu zero-jedynkowego między bezpieczeństwem kwantowym a skalowalnością sieci. Opracowana przez badacza kryptografii Dragosa Ilie wraz z zespołem z Imperial College London technologia Compact Shielded client-side validation (CSV) pokazuje, że przejście na kryptografię postkwantową nie wymaga akceptowania wygórowanych opłat za gaz ani spowolnienia działania sieci.

W rzeczywistości, dzięki nowemu podejściu do sposobu potwierdzania własności oraz przeniesieniu zadań weryfikacyjnych bezpośrednio na urządzenia użytkowników, protokół ten zajmuje w łańcuchu znacznie mniej miejsca niż nawet dzisiejsze starsze łańcuchy bloków.

U podstaw problemu skalowalności kwantowej leży tradycyjny wybór projektowy: przechowywanie rozbudowanych podpisów cyfrowych w publicznym rejestrze, które każdy pełny węzeł musi sprawdzać. Compact Shielded CSV całkowicie rezygnuje z podpisów w łańcuchu bloków, zastępując je nowatorską konstrukcją kryptograficzną zwaną „degrieferem”.

W praktyce transakcja z jednym wejściem zapisana w łańcuchu bloków składa się z trzech zwięzłych skrótów o długości 32 bajtów, których łączna wielkość wynosi zaledwie 96 bajtów: nullifier zapobiegający podwójnemu wydatkowaniu, zobowiązanie transakcyjne oraz sam degriefer.

„Degriefer to po prostu skrót obejmujący nullifier monety, tajny klucz właściciela oraz transakcję wydatkującą tę monetę” – wyjaśnił Ilie. „Dodając ten niewielki skrót do łańcucha bloków, nadawca może teraz skonstruować poza łańcuchem dowód zerowej wiedzy w odniesieniu do niego”.

Neutralizacja ataków typu „front-runner” i „griefing”

Ponieważ skonstruowanie towarzyszącego dowodu ZK wymaga tajnego klucza właściciela jako prywatnego danych wejściowych, złośliwi przekaźnicy i osoby wykorzystujące ataki typu „front-run” znajdują się w matematycznym impasie. „Atakujący może przeprowadzić atak typu „front-run” na transakcję, ale nie jest w stanie skonstruować ważnego dowodu ZK, więc z pewnością nie odniesie z tego korzyści” – zauważył Ilie.

Co więcej, jeśli atakujący wyśle sprzeczną transakcję, aby zablokować wydatek, prawowity właściciel może bez trudu zdemaskować tę próbę. „Użytkownik może udowodnić za pomocą dowodu ZK, że transakcja typu frontrunning stanowi nieważną próbę griefingu, wykazując, że jego rzeczywisty klucz tajny, poddany funkcji skrótu przy użyciu nullifier, w połączeniu z transakcją atakującego nie generuje kodu degriefer opublikowanego przez atakującego” – podkreślił Ilie.

Dlatego zamiast zmuszać każdy węzeł na całym świecie do pobierania, wykonywania i archiwizowania na zawsze każdego elementu historii transakcji, Compact Shielded CSV przenosi odpowiedzialność za przechowywanie i weryfikację danych dowodowych na konkretnych użytkowników uczestniczących w transakcji.

Z punktu widzenia użytkownika końcowego korzystanie z portfela opartego na Compact Shielded CSV przypomina korzystanie z lekkiego klienta SPV dla Bitcoina. „Wystarczy połączenie z co najmniej jednym uczciwym węzłem” – powiedział Ilie. Aby potwierdzić przychodzącą płatność, portfel porównuje publiczne parametry dowodu z danymi w łańcuchu bloków i lokalnie weryfikuje dowód ZK. „Na przykład w przypadku dowodu ZK typu STARK, nawet na telefonie, [verification] zajmuje to mniej niż 100 milisekund” – dodał.

Wygenerowanie dowodu płatności wychodzącej wymaga nieco większej mocy obliczeniowej, ale Ilie spodziewa się, że proces ten przyspieszy wraz z dojrzewaniem obwodów dowodowych. Co najważniejsze, ponieważ architektura opiera się na dowodach rekurencyjnych o stałym rozmiarze, głębokość historii transakcji nigdy nie stanowi utrudnienia dla użytkownika końcowego. Odnosząc się do obaw dotyczących przechowywania dowodów postkwantowych poza łańcuchem, Ilie zauważył:

„Dowody są rzeczywiście większe niż podpisy, a ich generowanie i weryfikacja trwają dłużej, ale stanowi to obciążenie tylko wtedy, gdy cała sieć musi je przechowywać i weryfikować. Ponieważ jest to protokół weryfikacji po stronie klienta, każdy użytkownik przechowuje, weryfikuje i potwierdza wyłącznie te monety, które go osobiście interesują, co jest bardzo łatwe do opanowania”.

Aby spojrzeć na zajmowaną przestrzeń dyskową z odpowiedniej perspektywy, Ilie powiedział, że „zdjęcie w telefonie jest 20–40 razy większe niż jeden dowód”, dodając, że wysyłanie płatności wymaga „mniej przepustowości i miejsca na dysku niż wysyłanie zdjęcia”.

Brak nadmiernego obciążenia stanu

W miarę powiększania się historii transakcji tradycyjne urządzenia brzegowe często borykają się z problemem nadmiernego rozrostu stanu. Jednak w ramach protokołu Compact Shielded CSV klienci lekcy nie przechowują żadnej historii transakcji poza dowodami o stałym rozmiarze dotyczącymi ich własnych, niewydanych monet. „W przypadku wszelkich innych czynności, takich jak sprawdzanie, czy podmiot unieważniający ma sprzeczne wydatki, po prostu wysyła zapytanie do węzłów pełnych lub archiwalnych” – zaznaczył Ilie, dodając, że „wzrost historii w ogóle nie wpływa na rozmiar dowodów ani czas weryfikacji”.

Wbrew powszechnemu przekonaniu, że odporność na ataki kwantowe prowadzi do dużego przeciążenia sieci i wysokich opłat, Ilie argumentował, że Compact Shielded CSV jest znacznie bardziej wydajny niż dzisiejsze sieci niekwantowe:

„Co dość zaskakujące, nasz schemat jest znacznie lżejszy i szybszy nawet od tradycyjnych łańcuchów, a nie cięższy. Mielibyśmy znacznie niższe opłaty transakcyjne i znacznie mniejsze przeciążenie sieci, nie tylko dzięki pełnej odporności na ataki kwantowe, ale także w porównaniu z obecnym stanem rzeczy”.