Разработка квантово-безопасной блокчейн-сети может снизить комиссии и уменьшить перегрузку сети

Устранение подписей: 96-байтовый след в цепочке

На протяжении многих лет криптографическое сообщество предупреждало о надвигающемся столкновении между квантовыми вычислениями и технологией блокчейна. Математика, лежащая в основе этой угрозы, проста: алгоритмы с открытым ключом, такие как ECDSA, которые обеспечивают безопасность всего — от транзакций с биткойнами до смарт-контрактов, — перестанут обеспечивать адекватную защиту, как только квантовое оборудование достигнет зрелости.

Однако предлагаемое решение зачастую казалось почти столь же опасным, как и сама проблема. Постквантовые криптографические схемы регулярно генерируют раздутые подписи и огромные доказательства с нулевым разглашением (ZK) — настоящий взрыв данных, который грозит перегрузить одноранговые сети, завалить майнеров и привести к росту комиссий за транзакции.

Однако новая архитектурная парадигма обещает преодолеть этот компромисс с нулевой суммой между квантовой безопасностью и масштабируемостью сети. Разработанная исследователем в области криптографии Драгосом Илие совместно с командой из Имперского колледжа Лондона, технология Compact Shielded client-side validation (CSV) демонстрирует, что переход к постквантовой криптографии не требует согласия на непомерно высокие комиссии за газ или низкую производительность сети.

Фактически, благодаря переосмыслению способа подтверждения права собственности и переносу работы по проверке непосредственно на устройства пользователей протокол обеспечивает гораздо меньшую нагрузку на цепочку, чем даже у современных устаревших блокчейнов.

В основе проблемы квантовой масштабируемости лежит традиционный проектный выбор: хранение объёмных цифровых подписей в публичном реестре для проверки каждым полным узлом. Compact Shielded CSV полностью отказывается от подписей в цепочке, заменяя их новой криптографической конструкцией, называемой «дегрифером».

На практике транзакция с одним входом, записанная в блокчейне, состоит из трех лаконичных 32-байтовых хешей общим объёмом всего 96 байт: нуллификатора для предотвращения двойной траты, обязательства по транзакции и самого «дегрифера».

«Дегрифер — это просто хеш, вычисляемый из нуллификатора монеты, секретного ключа владельца и транзакции, расходующей эту монету», — пояснил Илие. «Добавив этот небольшой хеш в цепочку, отправитель теперь может построить внецепочечное доказательство с нулевым разглашением на его основе».

Нейтрализация «фронт-раннеров» и атак типа «грифинг»

Поскольку для построения сопутствующего доказательства с нулевым разглашением требуется секретный ключ владельца в качестве частного входа, злонамеренные ретрансляторы и «фронт-раннеры» оказываются в математическом тупике. «Злоумышленник может опередить транзакцию, но он не сможет построить действительное доказательство с нулевым разглашением, поэтому он точно не сможет извлечь из этого выгоду», — отметил Илие.

Кроме того, если злоумышленник транслирует конфликтующую транзакцию, чтобы задержать расходование средств, законный владелец может без труда разоблачить эту попытку. «Пользователь может с помощью доказательства ZK доказать, что транзакция, совершенная методом «фронт-раннинга», является недействительной попыткой злоумышленного вмешательства, показав, что его фактический секретный ключ, пропущенный через нуллификатор, в сочетании с транзакцией злоумышленника не дает результата, соответствующего «дегрифиру», опубликованному злоумышленником», — подчеркнул Илие.

Поэтому, вместо того чтобы заставлять каждый узел по всему миру загружать, выполнять и архивировать каждый фрагмент истории транзакций навечно, Compact Shielded CSV перекладывает ответственность за хранение и проверку данных доказательств на конкретных пользователей, участвующих в транзакции.

С точки зрения конечного пользователя работа с кошельком на Compact Shielded CSV похожа на использование облегченного SPV-клиента Bitcoin. «Требуется лишь подключение хотя бы к одному честному узлу», — сказал Илие. Чтобы подтвердить входящий платеж, кошелек сверяет открытые параметры доказательства с данными в цепочке и проверяет ZK-доказательство локально. «Например, для доказательства STARK ZK даже на телефоне [verification] это занимает менее 100 миллисекунд», — добавил он.

Генерация доказательства исходящего платежа требует немного большего объёма вычислений, но Илие ожидает, что этот процесс ускорится по мере совершенствования схем доказательств. Что особенно важно: поскольку архитектура основана на рекурсивных доказательствах постоянного размера, глубина истории транзакций никогда не создаёт неудобств для конечного пользователя. Отвечая на опасения относительно хранения постквантовых доказательств вне цепочки, Илие заметил:

«Доказательства действительно больше, чем подписи, и их генерация и проверка занимают больше времени, но это становится проблемой только тогда, когда вся сеть должна их хранить и проверять. Поскольку это протокол проверки на стороне клиента, каждый пользователь хранит, проверяет и подтверждает только те монеты, которые ему лично важны, что вполне управляемо».

Чтобы дать представление о размере занимаемого места, Илие отметил, что «одна фотография на телефоне в 20–40 раз больше, чем одно доказательство», добавив, что отправка платежей требует «меньшей пропускной способности и меньшего объёма хранилища, чем отправка фотографии».

Отсутствие раздувания состояния

По мере роста истории транзакций традиционные периферийные устройства часто сталкиваются с проблемой раздувания состояния. Однако в рамках Compact Shielded CSV лёгкие клиенты не хранят никакой истории транзакций, кроме доказательств постоянного размера для своих собственных неизрасходованных монет. «Для всего остального, например, для проверки наличия у нуллификатора конфликтующих трат, он просто запрашивает полные или архивные узлы», — отметил Илие, добавив, что «рост истории транзакций совершенно не влияет на размер доказательств или время проверки».

Вопреки распространенному мнению о том, что квантовая устойчивость приводит к высокой перегрузке сети и высоким комиссиям, Илие утверждает, что Compact Shielded CSV значительно эффективнее современных неквантовых сетей:

«Довольно удивительно, но наша схема не только не тяжелее, но и намного легче и быстрее даже традиционных цепочек. У нас будут гораздо более низкие комиссии за транзакции и значительно меньшая перегрузка сети — не только благодаря полной постквантовой защите, но и по сравнению с существующим положением дел».