Joseph Gabriel Mattia III, Quantus COO: "Fem lås hjälper inte om de alla delar samma sårbara mekanism" – Varför Multisig inte räddar dig från kvantattacker
I korthet
Kvantberäkning skulle kunna knäcka dagens kryptosäkerhet i slutet av 2020-talet, vilket gör post-kvantmigrering, revisioner och motståndskraftiga plånböcker brådskande.
Internets kryptografiska grundvalar byggdes för en värld som inte längre existerar – eller snarare, för en värld vars tid i tysthet börjar rinna ut. Q-dagen, den tidpunkt då en kvantdator blir tillräckligt kraftfull för att knäcka modern kryptering med publika nycklar, är inte längre en teoretisk horisont. Enligt många veteraner inom kryptografi är det ett problem från slutet av 2020-talet. Det placerar det närmare än de flesta institutionella färdplaner, och mycket närmare än den genomsnittliga kryptoanvändaren har blivit tillsagd att förvänta sig.
Josef Gabriel Mattia III, COO av Quantus — företaget som integrerar postkvantkryptografi i hårdvaruplånboksinfrastruktur — har funderat igenom hur den övergången faktiskt ser ut på protokollnivå, förvaringsnivå och nivån för den vanliga innehavaren som lärde sig allt de behövde veta om säkerhet från en hårdvaruplånbokslåda. Hans svar är mindre lugnande än vad branschens nuvarande ställning antyder att de borde vara. En stablecoins administrativa nyckel oroar honom mer än Satoshis plånbok. Multisig, menar han, erbjuder inget meningsfullt motstånd mot en kvantangripare – bara fler lås av samma trasiga slag. Och varje större kryptotillgång som spåras av migration.fail, en public readiness tracker, listas för närvarande som sårbar på signaturnivå.
Det som följer är en diskussion om hotet som de flesta inom branschen ännu inte tar på tillräckligt stort allvar, varför det kanske redan är för sent att vänta på koncepttest, och hur kvantberedskap faktiskt måste se ut – inte som en marknadsföringsetikett, utan som något verifierbart, granskningsbart och inbyggt i stacken som standard.
När uppskattar du att "Q-dagen" kommer – tröskeln då en kvantdator kan bryta modern kryptografi med offentliga nyckelr? Vilka system, data, tillgångar, protokoll eller infrastruktur skulle motståndare rikta in sig på först? Varför?
Troligtvis någon gång i slutet av 2020-talet. Det råder fortfarande debatt om det exakta året, men många kryptografiveteraner tror att det kommer att hända inom de kommande fyra åren.
När det gäller de första målen förväntar jag mig inte att Satoshis Bitcoin ska vara ett av dem, även om det är dit folks tankar tenderar att gå.
Om en motståndare hade denna förmåga, skulle en siktning på något som är synligt tillkännage det för hela världen och förstöra en enorm strategisk fördel. De skulle förmodligen fokusera på nycklar som ger dem mest kontroll eller värde samtidigt som de drar till sig så lite uppmärksamhet som möjligt.
Inom krypto skulle något i stil med en större stablecoins administrativa nyckel oroa mig mer. En komprometterad nyckel skulle kunna påverka hela ekosystemet, vilket gör den till ett mycket större mål än någon enskild plånbok.
Och utanför krypto skulle jag titta på hemligstämplad statlig kommunikation, militära nätverk och underrättelsesystem, där brytning av kryptografi med offentlig nyckel skulle kunna exponera mycket känsliga data.
Många projekt idag påstår sig ha "kvantmotstånd", men utan en enhetlig, granskbar checklista är sådana påståenden omöjliga att verifiera. Vad anser du utgör minimitröskeln för kvantberedskap?
För mig är minimitröskeln att ett projekt ska kunna visa exakt var kvantsårbar kryptografi fortfarande finns i sin stack. Att använda en postkvantsäker auktoriseringsmekanism är en bra början, men det gör inte hela nätverket kvantsäkert.
Transaktionsauktorisering bör förlita sig på en erkänd postkvantsäker mekanism, och projektet bör offentligt dokumentera vad som skyddar dess P2P-anslutningar, konsensus, nollkunskapssystem, integritetslager, bryggor och all annan kritisk infrastruktur.
Det måste också finnas en tydlig åtskillnad mellan vad som är aktuellt idag och vad som bara finns på en färdplan.
Viktigast av allt är att dessa påståenden måste vara granskningsbara. Vem som helst ska kunna se vilka algoritmer och parameteruppsättningar som används, inspektera implementeringen och verifiera att säkerheten inte är baserad på ett ogenomskinligt eller overifierbart schema eller en marknadsföringsetikett.
Om man inte kan peka på den exakta kryptografin som skyddar varje kritisk del av systemet, tror jag inte att "kvantklar" betyder särskilt mycket.
Vem bör ansvara för att fastställa enhetliga, verifierbara kriterier för kvantberedskap? Vad måste inkluderas i dem?
Jag skulle behålla NIST som referenspunkt för själva kryptografin. Deras postkvantumprocess lockade in forskare från hela världen och gjorde det svårt för en enskild regering eller ett enskilt företag att styra resultatet.
För blockkedjor måste nästa lager byggas av protokollteam som arbetar offentligt, med utrymme för forskare och revisorer att rigoröst utmana designen och dess resultat.
Kriterierna måste sedan återspegla hur nätverket fungerar idag. Det börjar med den kryptografi som används för att auktorisera transaktioner och med huruvida postkvantskydd är standard. Eventuellt kvarvarande beroende av sårbara signaturer måste tydligt redovisas.
Migrering måste också vara en del av den bilden, eftersom ett nätverk kan stödja post-kvantnycklar medan de flesta av dess användare fortfarande sitter på gamla.
Hårdvaruplånböcker skyddar nycklar mot fysisk stöld, men inte mot kvantattacker på publika nycklar. Hur bedömer du användarnas nuvarande medvetenhet om denna skillnad? Finns det en säker lagringsmodell tillgänglig för den genomsnittliga användaren idag, eller kräver branschen ett nytt plånboksparadigm?
Det finns fortfarande en stor missuppfattning om vad en hårdvaruplånbok skyddar dig från. Den håller din privata nyckel isolerad från din bärbara dator eller telefon, vilket är extremt användbart. Men en kvantangripare skulle inte behöva röra enheten. När en sårbar offentlig nyckel har exponerats kan en kvantangripare gå direkt efter kryptografin utan att någonsin röra hårdvaruplånboken.
Det gör inte hårdvaruplånböcker föråldrade. Vi har redan integrerat post-quantum-stöd i Keystone för Quantus, så hårdvarumodellen kan utvecklas. Begränsningen är att en plånbok inte kan göra Bitcoin eller Ethereum post-quantum på egen hand – det underliggande nätverket måste också stödja nya signaturer.
En bättre modell bygger in post-kvantskydd i både plånboken och nätverket som standard. Användare ska inte behöva veta när kryptografin under dem har blivit föråldrad.
Multisignatursystem ökar attackernas komplexitet endast linjärt, inte exponentiellt. Betyder detta att institutionella förvaringsarkitekturer byggda på multisig skapar en falsk känsla av säkerhet?
Multisignering är fortfarande extremt användbart, och jag skulle inte vilja att institutioner övergav det. Det skyddar mot de hot som förvaringssystem hanterar idag, som en stulen nyckel eller en komprometterad signerare.
Det blir farligt när folk börjar använda fler nycklar som skydd mot kvantattacker. En 3-av-5-uppsättning som helt bygger på samma sårbara signaturschema har fortfarande samma underliggande svaghet. En kvantangripare kan behöva återställa flera nycklar, men de löser samma typ av problem varje gång. Fem lås hjälper inte mycket om de alla delar samma sårbara mekanism.
Så ja, multisignatur kan skapa en falsk trygghetskänsla om institutioner antar att redundans är lika med kvantresistens. Det bättre sättet är att behålla distribuerad vårdnad, men ersätta den sårbara auktoriseringen under den med något som kan stå emot en kvantangripare.
Är stora börser och förvaltare förberedda på ett scenario där en kvantdator kan härleda en privat nyckel från en publik nyckel på några minuter? Hur är det med vanliga användare?
De flesta större börser är bra på att försvara sig mot de attacker vi känner till idag. Jag har inte sett mycket bevis för att de är redo för en attack där en privat nyckel kan rekonstrueras utan att deras infrastruktur alls rörs.
Vi spårar detta via migration.fail, en public readiness-mätare som bedömer om större blockkedjenätverk fortfarande förlitar sig på kvantsårbar kryptografi. Just nu listas alla de 20 största kryptotillgångarna som täcks som sårbara på signaturnivå.
En seriös responsplan måste ta hänsyn till vilka operativa nycklar som är exponerade och hur snabbt medel kan flyttas när en sådan blir misstänkt. En skadlig transaktion kan fortfarande se helt giltig ut i kedjan, vilket gör en tidig respons svårare.
Vanliga användare ligger längre efter. De flesta kommer bara att lära sig att de behöver migrera när en plånbok eller börs säger åt dem, så en realistisk plan måste göra den flytten tillräckligt enkel för att genomföras säkert.
Varför är hotet ”skörda nu, dekryptera senare” relevant idag – långt före ankomsten av storskaliga kvantdatorer?
Innan jag gör något annat vill jag skilja detta från kvanthotet mot blockkedjesignaturer, eftersom de ofta klumpas ihop. En Bitcoin-transaktion är redan offentlig. Det finns inget som en angripare behöver registrera idag och dekryptera om tio år.
Men det kan inte sägas om banker, regeringar och andra institutioner vars krypterade data kan (och förmodligen kommer) att vara känsliga om några år. Någon kan samla in den trafiken idag och behålla den tills tekniken kommer ikapp.
Signal, iMessage och Cloudflare har redan flyttat delar av sina system till post-kvantskydd, och de flesta användare märkte det knappt. Det är förmodligen så den här övergången borde se ut.
Känslig data bör inte förbli krypterad med kvantsårbarhet förrän någon bevisar att en kvantdator kan knäcka den. Vid det laget kan åratal av trafik redan finnas i någon annans arkiv.
Blockkedjedata är oföränderlig och offentlig. Finns det något man kan göra åt redan registrerade transaktioner, eller är den informationen komprometterad för alltid?
Registrerad blockkedjedata är permanent, men permanens betyder inte att varje gammal transaktion plötsligt blir farlig efter Q-dagen. Det mesta var ändå redan offentligt på en transparent kedja.
Publika nycklar är undantaget eftersom Bitcoin redan registrerar exponerade nycklar permanent. En angripare behöver inte bygga upp något privat arkiv idag eller avlyssna något i förväg. Om flera år kan de gå tillbaka genom samma publika huvudbok och rikta in sig på vilken exponerad nyckel som helst som fortfarande kontrollerar något värdefullt.
Att flytta pengar till post-kvantnycklar kan ta bort värdet från den gamla exponeringen, men det kan inte rensa upp den historiska posten.
För privata transaktioner är problemet lite annorlunda. Informationen ligger fortfarande kvar i kedjan flera år senare, så om kryptografin som skyddar den så småningom bryts kan information som var dold vid den tidpunkten bli synlig i efterhand.
Vilka mätbara, genomförbara standarder för kvantberedskap bör industrin etablera inom de kommande 12 till 24 månaderna?
Ett användbart riktmärke är vad den amerikanska regeringen gör nu, där federala myndigheter är skyldiga att kartlägga sin kryptografiska exponering och utse specifika personer som ansvarar för migreringen. Högvärdiga system har fasta deadlines för att migrera till postkvantkryptografi, och arbete pågår med en kryptografisk materiallista för att göra dessa beroenden lättare att spåra.
Kryptovalutor behöver sin egen version av den disciplinen under de kommande 12 till 24 månaderna. Stora protokoll bör publicera var sårbar kryptografi fortfarande används och ange datum för att slutföra övergången från den. Börser och förvaltare bör redovisa hur mycket värde som finns bakom äldre nycklar.
När dessa siffror är offentliga kan de också börja användas vid listgranskningar och säkerhetsrevisioner. Det ger branschen något konkret att mäta.
Vad är det enskilt största hindret för att implementera dessa standarder i stor skala? Hur bör branschen hantera det på kort sikt?
Det svåraste är att få miljontals oberoende innehavare att flytta när det inte finns någon central brytare som någon kan trycka på. Ett protokoll kan lägga till postkvantstöd, men mynt som förvarats i kylförvaring i åratal måste fortfarande flyttas av sina ägare.
Omedelbart arbete måste fokusera på att göra migreringen så enkel som möjligt. Plånböcker behöver flöden som vägleder användare till säkrare nycklar med minimal friktion, medan börser och förvaltare behöver procedurer som de redan har testat under belastning. På protokollnivå måste vi också undvika att helt enkelt ersätta ett sårbart system med något som skapar oacceptabla kostnader för bandbredd, lagring eller integritet. Att vänta med att designa dessa system tills hotet känns brådskande skulle lämna lite utrymme för misstag.
Vilande tillgångar gör problemet ännu svårare. Vissa ägare kommer aldrig att dyka upp för att migrera, så nätverk måste också bestämma hur de hanterar sårbara kryptovalutor som finns kvar.
Ansvarsfriskrivning
I linje med den Riktlinjer för Trust Project, vänligen notera att informationen på den här sidan inte är avsedd att vara och inte ska tolkas som juridisk, skattemässig, investerings-, finansiell eller någon annan form av rådgivning. Det är viktigt att bara investera det du har råd att förlora och att söka oberoende finansiell rådgivning om du har några tvivel. För ytterligare information föreslår vi att du hänvisar till villkoren samt hjälp- och supportsidorna som tillhandahålls av utfärdaren eller annonsören. MetaversePost är engagerad i korrekt, opartisk rapportering, men marknadsförhållandena kan ändras utan föregående meddelande.
Om författaren
Alisa, en engagerad journalist på MPost, specialiserar sig på krypto, AI, investeringar och det expansiva området av Web3. Med ett skarpt öga för nya trender och tekniker levererar hon omfattande täckning för att informera och engagera läsare i det ständigt föränderliga landskapet för digital ekonomi.
fler artiklar
Alisa, en engagerad journalist på MPost, specialiserar sig på krypto, AI, investeringar och det expansiva området av Web3. Med ett skarpt öga för nya trender och tekniker levererar hon omfattande täckning för att informera och engagera läsare i det ständigt föränderliga landskapet för digital ekonomi.
