Что нужно изменить в Solana для подготовки к квантовой эпохе?

Краткое введение в квантовые вычисления

Квантовые вычисления — это вычислительная парадигма, отличная от классической модели на основе двоичной логики. Вместо обработки информации исключительно в виде нулей и единиц квантовые компьютеры используют кубиты — физические системы, подчиняющиеся законам квантовой механики. Кубит может одновременно находиться в нескольких состояниях — это свойство называется суперпозицией. Благодаря этому квантовые процессоры могут параллельно исследовать множество возможных решений.

Значимость квантовых вычислений заключается не в ускорении всех вычислений, а в ускорении решения отдельных задач. Несмотря на теоретическую мощность, современные квантовые устройства пока не способны выполнять эти алгоритмы в практически значимых масштабах.

Никто не знает, когда и даже смогут ли вообще квантовые компьютеры достичь масштаба, необходимого для взлома современной криптографии с открытым ключом. Для взлома таких схем, как Ed25519, квантовому компьютеру потребовались бы от сотен тысяч до миллионов стабильных кубитов, чрезвычайно качественная коррекция ошибок и достаточно продолжительное время когерентности для выполнения глубоких квантовых схем, таких как алгоритм Шора. Сегодня подобные машины существуют только в теории. Современные квантовые процессоры работают с шумными и недолговечными физическими кубитами, а уровень ошибок слишком высок для сколько-нибудь реальных попыток взломать криптографию. Передовые устройства располагают лишь сотнями или несколькими тысячами физических, а не логических кубитов. Точность их вентилей и характеристики когерентности на несколько порядков ниже уровня, необходимого для практической атаки.

Тем не менее потенциальное долгосрочное влияние квантовых вычислений достаточно велико, чтобы критически важные для безопасности системы, включая блокчейны, учитывали требования перехода на постквантовые примитивы.

Квантовые атаки

Современная криптография опирается на предположения о сложности задач, которые классические компьютеры не могут эффективно решить. Квантовые компьютеры предлагают два основных алгоритма, угрожающих разным криптографическим примитивам: алгоритм Шора и алгоритм Гровера.

Алгоритм Шора эффективно взламывает RSA, Diffie–Hellman и, что особенно важно для Solana, криптографию на эллиптических кривых, включая Ed25519 — основную схему подписей в протоколе Solana. Иными словами, он позволяет злоумышленнику получить закрытый ключ из открытого. Поэтому в долгосрочной перспективе алгоритм Шора представляет существенную квантовую угрозу.

Алгоритм Гровера обеспечивает лишь квадратичное ускорение полного перебора. Он снижает эффективную стойкость SHA-256 до 128 бит, что по-прежнему далеко за пределами любого реалистичного горизонта угроз. Для симметричной криптографии, деревьев Меркла и хеширования масштабирование классического оборудования всё ещё экономичнее, чем создание крупного квантового компьютера, способного выполнять алгоритм Гровера. Поэтому алгоритм Гровера не представляет реальной угрозы для долгосрочной модели безопасности Solana.

Поскольку крупномасштабные квантовые компьютеры принципиально нарушили бы работу современной криптографии с открытым ключом, возникло целое направление — постквантовая криптография (PQC). Оно занимается разработкой схем, сохраняющих безопасность даже при наличии квантовых атак.

На данный момент NIST (Национальный институт стандартов и технологий США) стандартизировал две постквантовые схемы цифровой подписи:

1. ML-DSA — схема на основе решёток, производная от CRYSTALS-Dilithium
2. SLH-DSA — схема на основе хеширования, производная от SPHINCS+

Обе используют открытые ключи и подписи, которые значительно крупнее современных примитивов на эллиптических кривых. Из-за этого преждевременный переход непрактичен для систем с высокой пропускной способностью, таких как Solana, если только квантовые компьютеры не станут непосредственной угрозой.

Существует также FN-DSA на основе FALCON, разработанная как более компактная альтернатива ML-DSA. Сейчас она существует только в виде проекта предложения и ещё не утверждена как стандарт NIST.

Постквантовая криптография всё ещё активно развивается. Скорее всего, более эффективные схемы появятся задолго до создания квантового компьютера, способного применить алгоритм Шора против Ed25519. Первые нестандартные подходы, такие как подписи HAWK, выглядят многообещающе, но пока остаются на стадии исследований.

Пропускная способность интернета растёт в соответствии с законом Нильсена, а лимит размера транзакции Solana уже увеличивается до 4096 байт в 2026 году. Поэтому полный переход на PQ разумно отложить до появления более эффективных схем, одновременно подготавливая протокол к будущему переходу. Пока же можно использовать конструкции хранилищ на основе хорошо изученных одноразовых схем подписи с хешированием, таких как Winternitz. Они обеспечивают долгосрочную безопасность даже от квантовых атак. Такие решения уже существуют в Solana.

Эта статья посвящена только критически важным для консенсуса частям Solana, которые зависят от Ed25519. Полный переход к постквантовой защите также затронул бы другие компоненты: связь между валидаторами, зашифрованные сетевые каналы и симметричную криптографию. Им тоже потребовались бы PQ-безопасные или гибридные замены, но эти вопросы выходят за рамки обзора.

Адреса и подписи транзакций

Во внешних аккаунтах Solana (EOA) открытый ключ используется как адрес: 32-байтовый открытый ключ Ed25519 служит одновременно идентификатором и ключом проверки. Постквантовая схема меняет эту модель. Такие изменения естественно внедрять через новый формат адресов и новую версию транзакций, а не путём изменения существующего формата TX.

• Открытые ключи PQ намного крупнее, поэтому 32-байтовые адреса больше не смогут напрямую кодировать открытые ключи. Вместо этого адресами станут хеши открытого ключа PQ и идентификатора схемы подписи.
• Если во время миграции адреса PQ будут сосуществовать с адресами Ed25519, адресное пространство необходимо организовать так, чтобы полученные из PQ хеши не могли совпасть с точками на кривой Ed25519. Это гарантирует отсутствие закрытых ключей Ed25519 для таких адресов. Аналогичным образом PDA избегают допустимых точек Ed25519 с помощью bump seed.
• Безопасность PDA не изменится, поскольку PDA полагаются на устойчивость SHA-256 к нахождению второго прообраза, которой не угрожает ни одно правдоподобное будущее применение алгоритма Гровера.
• Сегодня идентификатором транзакции служит первая подпись Ed25519 в транзакции. Подписи PQ намного крупнее, поэтому это придётся изменить. Естественная альтернатива — определять идентификатор транзакции как хеш содержимого транзакции. Тогда он не будет зависеть от схемы подписи и сохранит совместимость в будущем.

Помимо пользовательских аккаунтов, все ключи полномочий в Solana также являются открытыми ключами Ed25519. К ним относятся все виды полномочий на уровне протокола и программ: владельцы аккаунтов, полномочия выпуска и заморозки, полномочия обновления, полномочия стейкинга и вывода средств, идентификационные ключи валидаторов и ключи полномочий голосования. Все они представляют собой пары ключей Ed25519 с разными семантическими ролями. Поэтому на них распространяются те же ограничения постквантовой миграции, что и на пользовательские адреса и ключи подписи транзакций.

Как мы увидим в разделе о Votor, сейчас у агрегированных подписей, таких как BLS, нет эквивалента PQ. Если такая схема появится в будущем, мы сможем агрегировать подписи содержимого сообщения и значительно уменьшить размер транзакций с несколькими подписями — возможно, даже сильнее, чем при использовании Ed25519.

Votor

Votor, то есть компонент голосования в обновлении консенсуса Alpenglow, использует структуру голосования «все со всеми» между валидаторами. В каждом слоте валидаторы отправляют голоса всем остальным валидаторам. После достижения кворума можно сформировать сертификат.

Сегодня это эффективно благодаря агрегации BLS, которая обеспечивает компактные подписи и агрегированные сертификаты. При переходе на PQ ситуация изменится.

В настоящее время практически применимого PQ-аналога агрегации BLS нет. Существует несколько направлений исследований, включая идеи агрегации на основе решёток, такие как Chipmunk. Ни одно из них не выглядит принципиально невозможным, но пока они недостаточно эффективны для требований Solana к работе в реальном времени. Есть и агрегация на основе STARK, которая теоретически могла бы подтверждать действительность множества подписей. Однако создание доказательства для сотен подписей валидаторов пока остаётся слишком медленным.

Если в ближайшем будущем потребуется перейти к агрегации подписей, Votor можно будет изменить так, чтобы значительно снизить влияние на пропускную способность сети. Валидаторы будут пересылать полные сертификаты только одному или двум следующим лидерам и небольшой случайной группе стейка, а не транслировать их всем пирам. Требования к пропускной способности возрастут, но останутся сопоставимыми с текущим gossip-слоем до Alpenglow.

Конечно, проблему также смягчило бы сокращение числа валидаторов. Если будущие изменения протокола или экономической модели значительно уменьшат набор валидаторов, требования к пропускной способности и вычислениям для голосования и обработки подписей в эпоху PQ станут существенно проще. Меньшее число валидаторов сокращает объём коммуникации «все со всеми», снижает стоимость формирования сертификатов и делает на практике более жизнеспособными даже неоптимальные схемы агрегации PQ. Однако такое сокращение ухудшает децентрализацию и отказоустойчивость. Поэтому его последствия необходимо тщательно сопоставить с целями безопасности системы.

Rotor (Turbine)

Rotor — преемник протокола Turbine и протокол распространения данных в обновлении Alpenglow. Это сеть Solana с однократной ретрансляцией, которая быстро и эффективно распространяет блоки. Лидер разбивает блок на более крупные единицы, называемые слайсами или наборами прямой коррекции ошибок. Каждый из них состоит из нескольких шредов. Слайсы образуют структуру прямой коррекции ошибок, а шреды служат пакетами размером MTU, которые распространяются через Rotor. Затем лидер отправляет шреды только небольшой группе нод на первом уровне дерева. Каждая из этих нод проверяет шреды и пересылает их своим дочерним нодам. Так система отказоустойчиво использует пропускную способность множества нод, а лидеру не приходится транслировать данные всем участникам. Благодаря сочетанию этой структуры с прямой коррекцией ошибок нодам достаточно получить лишь часть шредов для полного восстановления блока. Это обеспечивает устойчивость к потере пакетов при чрезвычайно высокой пропускной способности.

Чтобы предотвратить распространение вредоносных и недействительных шредов по сети, каждый шред содержит подпись лидера. Это возможно благодаря небольшому размеру подписей Ed25519. Подписи PQ намного крупнее и часто превышают лимиты MTU, поэтому встраивать их в каждый шред невозможно.

Есть два реалистичных подхода, совместимых с PQ:

A) Одна подпись на слайс (набор FEC)

Практический вариант:

• Увеличить размер слайса (набора FEC)
• Аутентифицировать каналы между валидаторами, чтобы вредоносные ноды не могли внедрять поддельные шреды без возможности отследить их источник
• Вычислять корень Меркла для всех шредов слайса и поручить лидеру подписывать только этот корень — именно так система работает уже сегодня
• Каждый шред содержит доказательство Меркла, но не содержит подписи

Валидаторы проверяют подлинность шредов по доказательствам Меркла относительно подписанного корня. Недействительные шреды немедленно отклоняются. Это сохраняет конвейерную обработку и совместимость со взвешенной по стейку схемой ретрансляции Rotor.

B) Одна подпись на весь блок

Другой возможный подход:

• Лидер подписывает только итоговый хеш блока, то есть векторное обязательство для всех шредов
• Шреды пересылаются в течение слота без немедленной аутентификации с помощью подписи
• После завершения блока валидаторы проверяют одну подпись PQ и соответствие всех полученных шредов аутентифицированному хешу блока

В этой модели:

• Валидаторы не могут обнаруживать недействительные шреды в течение слота, поскольку до получения подписи блока невозможно проверить их подлинность
• После завершения блока недействительные шреды обнаруживаются, а ответственных ретрансляторов можно выявить и временно добавить в чёрный список Rotor
• Этот подход также потребует аутентифицированных каналов между валидаторами

Обе стратегии позволяют не встраивать крупные подписи PQ в каждый шред, что является главным узким местом Rotor в мире PQ.

Мифы

Миф 1: «Если квантовые компьютеры взломают асимметричную криптографию, у нас будут проблемы серьёзнее взломанной криптографии.

Часто утверждают, что как только квантовые компьютеры смогут взламывать криптографию с открытым ключом, весь цифровой мир рухнет одновременно: банки, правительства, платёжные сети — всё. На практике централизованным системам намного проще перейти на новую криптографию. Банк или государство могут заменить ключи внутри системы, обновить инфраструктуру и обязать пользователей перейти на новые защищённые каналы.

Публичные блокчейны так не могут. Блокчейн не способен централизованно заменить миллионы пользовательских ключей без подписанной самими пользователями транзакции миграции. Каждый пользователь должен применить свой текущий закрытый ключ — именно тот, который становится уязвимым, — чтобы перевести активы на постквантовый безопасный адрес. Поэтому миграция децентрализованных систем намного сложнее и чувствительнее ко времени, чем миграция любого централизованного сервиса.

Миф 2: «Если вы никогда не тратили средства с адреса, вы в безопасности».

Это верно лишь отчасти и только для некоторых сетей, например Bitcoin. В таких системах монеты часто блокируются хешем, например P2WPKH, а открытый ключ становится известен только при расходовании средств с этого адреса. До этого момента фактический открытый ключ скрыт. Но защита исчезает сразу после первой траты. После раскрытия открытый ключ навсегда остаётся открытым, а в постквантовом мире становится целью для алгоритма Шора.

Однако Solana использует другую модель: каждый адрес является открытым ключом. Здесь нет «скрытого» слоя и защиты прообраза за счёт хеширования. Поэтому после появления достаточно мощной квантовой машины каждый внешний аккаунт Solana по умолчанию станет уязвим для алгоритма Шора. Защиты неиспользованного адреса здесь нет.

Миф 3: «Квантовые компьютеры появятся совсем скоро».

Несмотря на впечатляющий инженерный прогресс за последний год, возможности квантовых компьютеров остаются крайне ограниченными. Современные устройства могут выполнять лишь демонстрационные версии алгоритма Шора. Обычно это показывают на факторизации таких чисел, как 21, что тривиально и не имеет реальной криптоаналитической ценности.

Для взлома современной криптографии потребовались бы от сотен тысяч до миллионов стабильных кубитов, чрезвычайно низкий уровень ошибок, длительное время когерентности и глубокие схемы с коррекцией ошибок.

Миф 4: «Алгоритм Гровера делает хеш-функции бесполезными».

Алгоритм Гровера обеспечивает квадратичное ускорение полного перебора. Для SHA-256 это означает снижение 256-битной стойкости примерно до 128 бит. Это всё ещё далеко за пределами любого реалистичного горизонта атак, особенно с учётом колоссальной сложности создания квантовой машины, способной выполнять алгоритм Гровера в большом масштабе.

Для симметричной криптографии, деревьев Меркла и конструкций на основе хеширования, включая PDA в Solana, масштабирование классических систем дешевле и практичнее квантовых атак.

Миф 5: «Квантовый компьютер может извлечь вашу сид-фразу из открытого ключа».

Ни один квантовый алгоритм не может магическим образом получить сид-фразу из открытого ключа. Сид-фраза математически не встроена в открытый ключ, и обратимого отображения, раскрывающего сид-фразу кошелька через общедоступную информацию, не существует. Квантовые компьютеры могут получить закрытый ключ из открытого, но не могут пройти дальше «вверх по цепочке» и восстановить сид-фразу, из которой изначально была создана эта пара ключей.

Закрытые ключи выводятся из сид-фраз с помощью односторонней функции деривации ключей, и алгоритм Шора не способен обратить такие функции. Получение закрытого ключа квантовым злоумышленником уже катастрофично: он сможет подписывать транзакции. Однако он всё равно не сможет клонировать или восстановить сид-фразу, с помощью которой можно защитить новые ключи PQC, используя другой путь деривации.

Заключение

Solana не нужно переходить на постквантовую криптографию в ближайшее время. Для этого потребуется изменить формат транзакций, чтобы он поддерживал более крупные открытые ключи PQ, добавить логику, гарантирующую нахождение полученного хеша адреса вне кривой — возможно, с использованием bump/salt для предотвращения коллизий, — и реализовать в среде выполнения проверку нескольких схем PQ. Основными издержками станут увеличение размера транзакций и рост вычислительной нагрузки при проверке, поскольку обработка подписей PQ требует больше ресурсов, чем Ed25519. Оценки срока появления практически применимых квантовых компьютеров варьируются от «нескольких лет» до «никогда», а современные схемы подписей PQ довольно велики и медленны для системы, оптимизированной под чрезвычайно высокую пропускную способность.

Но если миграция всё же понадобится, её концептуальный путь уже понятен. Ни одно из этих изменений не является невозможным, однако они преобразят некоторые из самых чувствительных к производительности подсистем Solana. Хорошая новость в том, что к моменту появления реальной квантовой угрозы криптографическая среда, вероятно, будет выглядеть совсем иначе и могут появиться гораздо более эффективные примитивы PQ.

Источники

• Технический документ Alpenglow
• Стандарты постквантовых подписей NIST (ML-DSA, SLH-DSA)
• Подписи HAWK
• Хранилище Solana Winternitz
• Алгоритм Шора (1994)
• Алгоритм Гровера (1996)