简要概述
- Trezor 正在为后量子比特币的用户体验挑战做准备，首席技术官 Tomáš Sušánka 表示，社区领先的候选签名方案 SHRINCS 允许用户选择高效的“有状态”签名，但如果在签名预算之外重复使用，可能会使资金面临被盗风险。
- 为降低这一风险，Trezor 正在考虑将更大、更安全的“无状态”签名设为默认选项，并将风险较高的有状态选项隐藏在高级设置之后。
- 他还指出，设备本身也需要针对固件和身份验证进行后量子升级。
比特币托管始终涉及一定程度的风险，但像 Trezor 这样制造旨在将用户私钥安全保存在离线的物理设备的钱包制造商，正在为后量子世界做准备，届时将出现新的挑战。
这是因为，据 Trezor 首席技术官 Tomáš Sušánka 称，社区领先的后量子签名方案候选 SHRINCS 允许用户使用有状态签名进行交易，而这种签名需要严格的状态跟踪以防止资金被盗。
SHRINCS 由 Blockstream 研究总监 Jonas Nick 和密码学家 Mikhail Kudinov 于去年年底提出，其核心是一种基于哈希的复合方法：用户可以使用有状态签名或无状态签名进行交易。
无状态签名体积相当大——可能影响手续费、签名速度及其他效率指标——但可以安全地重复使用；而更小、更高效的有状态签名一旦超出特定签名预算后重复使用，就会带来严重的安全风险。
SHRINCS 的有状态组件由一棵一次性签名树构成，如果这些密钥被意外使用超过一次，就会泄露足够的密码学信息，使他人能够伪造该用户的签名并有效窃取资金。
如果比特币成功采用 SHRINCS，那么精确维护钱包状态的计数将成为钱包开发者的一项关键责任——并伴随着大量潜在的边缘情况安全风险。
“你是在给他们一个出错的机会，”Sušánka 在最近一期 MARA Foundation TV 节目中谈到状态跟踪时说道。“我们的职责是以安全的方式来实现它，对吧？这不应该成为用户的责任。”
为了降低这一风险，Trezor 正在权衡如何在后量子世界中支持安全的用户体验。例如，Sušánka 表示，该公司正在考虑将更重、更慢的无状态签名设为所有用户的默认设置，并将风险更高的有状态选项隐藏在高级设置之后。
尽管 Sušánka 认识到 SHRINCS 可能是保守的密码学选择，因为它依赖于与 SHA-256 相同的密码学假设，但他“在这个问题上有些纠结，因为维护状态是一种负担。”
“例如，你可以有两台使用相同恢复种子的 Trezor。你如何在两者之间共享状态？你实际上做不到，”他补充道。
“话虽如此，就像所有事情一样，这关乎权衡，”Sušánka 继续说道。“[有状态]签名要小 10 倍……这带来了很大的差别。所以，我只是不想把它完全排除在考虑之外。”
比特币BTC · USD
$71,457−6.26%
11月5日11月7日11月9日11月11日11月12日
$76.3k$74.7k$73.1k$71.5k
24小时最高最高$74,695
24小时最低最低$71,238
成交量成交量$1.1B
市场预测赔率来自 Myriad
→用 USDC 购买 比特币
由 Jupiter 提供支持
Sušánka 接着分享道，尽管许多人关注的是比特币向后量子地址和签名的迁移路径，但硬件钱包设备也需要进行物理更新，才能实现全面的量子防护。大多数签名设备在硬件特定的安全功能（如固件和设备认证）中使用的是易受量子攻击的密码学。
如果用户希望确保自己的设备在后量子世界中是安全的，他们就需要使用“量子就绪”设备——也就是说，这些设备还要使用后量子密码学来进行设备和固件认证。
为了预判这些需求，该公司已经在出货像 Trezor Safe 7 这样的产品，它们支持用于钱包认证流程的后量子密码学。当然，只有当比特币本身升级到后量子安全性之后，在这些设备上进行的交易才会具备量子安全性。
话虽如此，Sušánka 警告开发者不要等太久才给用户提供迁移选项，因为他认为，可能多达数百万用户的迁移将需要时间。
“人们应该准备好做出妥协，”Sušánka 说。“如果我们对什么能做、什么不能做都过于严格，我们就哪儿也去不了。”
André Beganski 是 MARA Foundation 的高级内容经理，制作的内容涵盖量子计算与密码学的交叉等主题。他此前曾供职于 Decrypt。
加入 72,000+ 位读者
