Проект квантово-захищеного блокчейну може знизити комісії та зменшити перевантаження мережі

Усунення підписів: 96-байтовий слід у ланцюгу

Протягом багатьох років криптографічна спільнота попереджала про неминуче зіткнення квантових обчислень та технології блокчейну. Математика, що лежить в основі цієї загрози, є простою: алгоритми з відкритим ключем, такі як ECDSA, які забезпечують безпеку всього — від транзакцій з біткойнами до смарт-контрактів, — більше не забезпечуватимуть належного рівня безпеки, коли квантове обладнання досягне зрілості.

Проте запропонований засіб часто здавався майже таким же небезпечним, як і сама проблема. Постквантові криптографічні схеми зазвичай генерують надмірно великі підписи та масивні докази з нульовим розкриттям (ZK) — це вибух обсягів даних, який загрожує перевантажити однорангові мережі, завалити майнерів і підвищити комісії за транзакції.

Проте нова архітектурна парадигма обіцяє подолати цей компроміс із нульовою сумою між квантовою безпекою та масштабованістю мережі. Розроблена дослідником у галузі криптографії Драгосом Іліє разом із командою з Імперського коледжу Лондона, система «Compact Shielded client-side validation» (CSV) демонструє, що перехід до постквантової криптографії не вимагає змирення з надмірно високими комісіями за газ або повільною роботою мережі.

Насправді, завдяки переосмисленню способу підтвердження права власності та перенесенню роботи з верифікації безпосередньо на пристрої користувачів, протокол забезпечує набагато менший обсяг даних у ланцюгу, ніж навіть у сучасних традиційних блокчейнах.

В основі проблеми квантової масштабованості лежить традиційний проектний вибір: зберігання об’ємних цифрових підписів у публічному реєстрі для перевірки кожним повним вузлом. Compact Shielded CSV повністю відмовляється від підписів у ланцюжку, замінюючи їх новою криптографічною конструкцією, яка називається «дегріфер».

На практиці транзакція з одним входом, записана в блокчейні, складається з трьох лаконічних 32-байтових хешів загальним обсягом усього 96 байтів: нуліфікатора для запобігання подвійній витраті, підтвердження транзакції та самого «дегріфера».

«Дегріфер — це просто хеш, що об’єднує нуліфікатор монети, секретний ключ власника та транзакцію, в якій витрачається монета», — пояснив Іліє. «Додавши цей невеликий хеш у ланцюг, відправник тепер може побудувати позаланцюговий доказ із нульовим розкриттям інформації щодо нього».

Нейтралізація «фронт-ранерів» та атак типу «гріфінг»

Оскільки для побудови супутнього доказу з нульовим розкриттям інформації (ZK) потрібен секретний ключ власника як приватний вхідний параметр, зловмисні ретранслятори та «фронт-ранери» опиняються в математичному глухому куті. «Зловмисник може здійснити «фронт-ран» транзакції, але він не зможе побудувати дійсний доказ з нульовим розкриттям інформації, тож, безперечно, не отримає від цього жодної вигоди», — зазначив Іліє.

Крім того, якщо зловмисник транслює конфліктну транзакцію, щоб затримати витрату коштів, законний власник може без зусиль викрити цю спробу. «Користувач може за допомогою доказу ZK довести, що транзакція, здійснена методом «фронт-ранінгу», є недійсною спробою зловмисного втручання, продемонструвавши, що його справжній секретний ключ, хешований за допомогою нуліфікатора, у поєднанні з транзакцією зловмисника не утворює «дегріфера», опублікованого зловмисником», — підкреслив Іліє.

Отже, замість того, щоб змушувати кожен вузол у світі назавжди завантажувати, виконувати та архівувати кожну частину історії транзакцій, Compact Shielded CSV перекладає відповідальність за зберігання та перевірку даних доказів на конкретних користувачів, залучених до транзакції.

З точки зору кінцевого користувача робота з гаманцем на Compact Shielded CSV схожа на використання полегшеного SPV-клієнта Bitcoin. «Потрібно лише підключення до хоча б одного чесного вузла», — зазначив Іліє. Щоб підтвердити вхідний платіж, гаманець перевіряє публічні параметри доказу на відповідність даним у ланцюгу та локально перевіряє ZK-доказ. «Наприклад, для доказу STARK ZK навіть на телефоні [verification] це займає менше 100 мілісекунд», — додав він.

Генерація доказу вихідного платежу вимагає дещо більших обчислювальних ресурсів, але Іліє очікує, що цей процес прискориться у міру вдосконалення схем доведення. Що особливо важливо, оскільки архітектура базується на рекурсивних доказах постійного розміру, глибина історії транзакцій ніколи не створює незручностей для кінцевого користувача. Відповідаючи на занепокоєння щодо зберігання постквантових доказів поза ланцюгом, Іліє зауважив:

«Докази дійсно більші за підписи, їх генерування та перевірка відбуваються повільніше, але це стає тягарем лише тоді, коли вся мережа має їх зберігати та перевіряти. Оскільки це протокол перевірки на стороні клієнта, кожен користувач зберігає, перевіряє та підтверджує лише ті монети, які його особисто цікавлять, що є цілком керованим».

Щоб оцінити обсяг необхідного місця для зберігання, Іліє зазначив, що «фотографія на вашому телефоні в 20–40 разів більша за один доказ», додавши, що надсилання платежів вимагає «меншої пропускної здатності та місця для зберігання, ніж надсилання фотографії».

Відсутність «роздуття» стану

У міру зростання історії транзакцій традиційні периферійні пристрої часто страждають від «роздуття стану». Однак у рамках Compact Shielded CSV легкі клієнти не зберігають жодної історії транзакцій, окрім доказів постійного розміру для своїх власних невитрачених монет. «Щодо всього іншого, наприклад, перевірки того, чи має нуліфікатор конфліктну транзакцію, система просто надсилає запит до повних або архівних вузлів», — зазначив Іліє, додавши, що «зростання історії жодним чином не впливає на розмір доказів або час верифікації».

На відміну від поширеної думки, що квантова стійкість призводить до значного перевантаження мережі та високих комісій, Іліє стверджує, що Compact Shielded CSV є значно ефективнішою, ніж сучасні неквантові мережі:

«Досить несподівано, наша схема є набагато легшою та швидшою, ніж навіть традиційні ланцюги, а не важчою. Ми матимемо набагато нижчі комісії за транзакції та значно менше перевантаження мережі не лише завдяки повній постквантовій захищеності, але й порівняно з існуючим станом речей».