zk-SNARK i obliczenia kwantowe: dlaczego Zcash staje przed wyzwaniami kryptograficznymi

Zwięzłe, nieinteraktywne argumenty wiedzy o wiedzy zerowej (zk-SNARK) stanowią jedną z najważniejszych innowacji kryptograficznych ostatniej dekady, umożliwiając transakcje chroniące prywatność w systemach takich jak Zcash. Jednak podstawowe podstawy matematyczne obecnych implementacji ZK-SNARK stoją przed fundamentalnymi wyzwaniami wynikającymi z postępu obliczeń kwantowych. Badanie to sprawdza konkretne luki w architekturze kryptograficznej Zcash i bada, w jaki sposób alternatywy takie jak Portfel odporny na działanie kwantów SynX rozwiać te obawy.

Zrozumienie architektury kryptograficznej Zcash

Zcash implementuje transakcje chronione przy użyciu zk-SNARK w celu potwierdzenia ważności transakcji bez ujawniania informacji o nadawcy, odbiorcy lub kwocie. Obecna implementacja opiera się na systemie dowodu Groth16, który osiąga niezwykłą wydajność dzięki dwuliniowym parowaniu na krzywej eliptycznej BLS12-381.

Ten wybór architektury zapewnia kilka korzyści: małe rozmiary dowodu (około 192 bajty), szybką weryfikację i silne bezpieczeństwo w ramach klasycznych założeń obliczeniowych. Jednakże korzyści te wynikają z matematyki opartej na krzywych eliptycznych – tej samej podstawie matematycznej, której zagrażają komputery kwantowe.

The Portfel odporny na działanie kwantów SynX przyjmuje inne podejście, wdrażając prymitywy kryptograficzne, których bezpieczeństwo wywodzi się z problemów, które są uważane za trudne zarówno w przypadku komputerów klasycznych, jak i kwantowych.

Czy zk-SNARK są podatne na ataki komputerów kwantowych?

Odpowiedź wymaga niuansów. Koncepcja zk-SNARK nie jest z natury podatna na ataki kwantowe — właściwość wiedzy zerowej zależy raczej od założeń teoretycznych informacji niż obliczeniowych. Jednak konkretne implementacje zastosowane w Zcash opierają się na założeniach dotyczących twardości obliczeniowej, które komputery kwantowe podważają:

Rozbicie systemu dowodu

Bezpieczeństwo Groth16 opiera się na założeniu q-Strong Bilinear Diffiego-Hellmana i powiązanych założeniach dotyczących twardości w grupach parujących. Komputer kwantowy, na którym działa algorytm Shor, łamie te założenia, obliczając logarytmy dyskretne w podstawowych grupach.

Konkretne implikacje obejmują:

• Awaria solidności: Atakujący mogą sfałszować dowody fałszywych oświadczeń, potencjalnie tworząc fałszywe transakcje chronione.
• Zaufany kompromis w konfiguracji: „Toksyczne odpady” z ceremonii Zcash można odzyskać, co umożliwia nieograniczoną liczbę sfałszowanych dowodów.
• Błąd wiązania: Zobowiązania użyte w systemie dowodowym mogą stać się niewiążące.

Czy komputery kwantowe złamią prywatność Zcash?

Poza systemem dowodowym, mechanizmy prywatności Zcash borykają się z dodatkowymi lukami kwantowymi wynikającymi z wyprowadzania kluczy i schematów szyfrowania.

Sadzonka Adresów Ekranowanych

Adresy drzewek wykorzystują wbudowaną krzywą Jubjub do wyprowadzania klucza. Klucze wydawania, klucze przeglądania i nullyfikatory wywodzą się z operacji na krzywych eliptycznych. Komputery kwantowe mogą:

1. Wyprowadź uprawnienia do wydatków z przeglądania kluczy, rozwiązując dziennik dyskretny
2. Oblicz sekrety nullifiera na podstawie publicznych nullifierów
3. Odszyfruj zawartość ekranowanej notatki, przerywając wymianę kluczy DH

Basen osłonięty sadem

Nowsza pula Orchard Zcash, wprowadzona wraz z systemem sprawdzającym Halo 2, eliminuje zaufaną konfigurację, ale nadal opiera się na kryptografii krzywej eliptycznej. Krzywe Pallasa i Vesty zastosowane w Halo 2 są narażone na tę samą podatność kwantową, co inne konstrukcje EC.

Porównanie techniczne: Zcash vs alternatywy postkwantowe

The Portfel odporny na działanie kwantów SynX implementuje Kyber-768 (ML-KEM, FIPS 203, NIST poziom 3) do enkapsulacji kluczy i generowania adresów oraz SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205, NIST poziom 1) do podpisów cyfrowych. Obydwa algorytmy otrzymały standaryzację NIST w 2024 r. po szeroko zakrojonej analizie ich właściwości w zakresie rezystancji kwantowej.

Krajobraz postkwantowej wiedzy zerowej

Naukowcy aktywnie opracowują odporne na kwanty systemy posiadające wiedzę zerową, chociaż żaden z nich nie osiągnął wydajności konstrukcji opartych na parowaniu:

SNARK oparte na siatce

Systemy zbudowane w oparciu o uczenie się z błędami (LWE) i powiązane problemy z siecią oferują potencjalne bezpieczeństwo postkwantowe. Jednak rozmiary wydruków próbnych i czasy weryfikacji znacznie przekraczają obecne wdrożenia. Trwają badania nad poprawą wydajności.

SNARK oparte na haszu (STARK)

Skalowalne przejrzyste argumenty wiedzy (STARK) czerpią bezpieczeństwo z odporności na kolizje funkcji skrótu – założenia odpornego na kwanty. STARK oferują przejrzystość (brak zaufanej konfiguracji) i odporność kwantową, ale dają większe dowody niż SNARK.

Dowody klucza symetrycznego ZK

Systemy takie jak Picnic i konstrukcje pochodne wykorzystują kryptografię symetryczną do dowodów o wiedzy zerowej. Chociaż systemy te są odporne na kwanty, zazwyczaj mają większe rozmiary próbne i specyficzne ograniczenia w przypadku użycia.

Jaki jest harmonogram wystąpienia luki w zabezpieczeniach Zcash Quantum?

Oś czasu odzwierciedla oś czasu innych systemów krzywych eliptycznych. BLS12-381 zapewnia około 128 bitów klasycznego bezpieczeństwa dzięki swojej strukturze parowania. W przypadku przeciwników kwantowych algorytm Shor ogranicza to efektywne bezpieczeństwo do niemal zera.

Punktem odniesienia jest secp256k1 Bitcoin, najstaranniej wyceniony cel w postaci krzywej eliptycznej. Google Quantum AI, współpracując z fundacją Ethereum i Stanford, opracowało ten atak w marcu 2026 r. o godz. 1200–1450 kubitów logicznych w mniej niż 500 000 kubitów fizycznych, zakończenie w ciągu kilku minut. BLS12-381 zajmuje większe 381-bitowe pole i nie ma równoważnej opublikowanej kompilacji, więc powinien kosztować nieco więcej – ale jest to problem tej samej klasy w oparciu o ten sam algorytm i nie kupuje Zcash innej dekady.

Kluczowe kamienie milowe:

• 2026-2028: Systemy kwantowe wykazują zdolność dyskretnego logu na małych krzywych; najlepszy sprzęt publiczny to około 2500 fizycznych kubitów i żaden element nie jest odporny na błędy na dużą skalę
• 2029-2033: Okno CRQC. IBM Starling (2029, około 200 kubitów logicznych) do Blue Jay (2033, ponad 2000 kubitów logicznych z około 100 000 fizycznych) przekracza wymagania 256-bitowych krzywych, a tuż za nimi plasują się konstrukcje przyjazne parowaniu, takie jak BLS12-381
• Do 2035 r.: Terminy zgodności z wymogami NSA CNSA 2.0 wymagają, aby amerykańskie systemy bezpieczeństwa narodowego zakończyły migrację podatnej na ataki kryptografii klucza publicznego – jest to wycena rządowa w tym samym modelu zagrożeń

Zwróć uwagę, do czego to się kompresuje. Branża przez dekadę wmawiała sobie, że zagrożenie istniało gdzieś w latach czterdziestych XXI wieku. Dowodzi tego obecna zbieżność planów działania dostawców i analiz kosztów ataków 2029-2033, a ekranowane pule Zcash wymagałyby kryptograficznej wymiany na poziomie konsensusu, zaprojektowanej, skontrolowanej i przyjętej na długo wcześniej. The Portfel odporny na działanie kwantów SynX zapewnia ochronę na całej osi czasu, całkowicie unikając zależności od krzywych eliptycznych.

Naruszenie prywatności z mocą wsteczną

Być może najbardziej znaczącym problemem użytkowników Zcash jest wsteczna utrata prywatności. W przeciwieństwie do kradzieży funduszy, która wymaga dostępu do kluczy w określonym oknie, naruszenie prywatności dotyczy wszystkich danych historycznych.

Kiedy komputery kwantowe mogą złamać dyskretne dzienniki Jubjub/Pallas:

• Wszystkie historyczne transakcje chronione stają się czytelne
• Adresy nadawcy i odbiorcy łączą się ze sobą
• Kwoty transakcji ujawniają się
• Pełna rekonstrukcja wykresów transakcji

Model ataku „zebierz teraz, odszyfruj później” oznacza, że ​​dane te mogą już zostać zebrane przez wyrafinowanych przeciwników oczekujących możliwości kwantowych.

W jaki sposób Kyber-768 zapewnia odporność kwantową?

Kyber-768, znormalizowany przez NIST jako ML-KEM-768, zapewnia enkapsulację kluczy w oparciu o problem uczenia się modułu z błędami (M-LWE). Problem ten wymaga znalezienia małych wektorów błędów w wielowymiarowych strukturach sieciowych – jest to zadanie, dla którego nie istnieje żaden wydajny algorytm kwantowy.

The Portfel odporny na działanie kwantów SynX implementuje Kyber-768 z następującymi właściwościami bezpieczeństwa:

Często zadawane pytania

Czy Halo 2 sprawia, że ​​Zcash jest odporny kwantowo?

Nie. W Halo 2 wyeliminowano ceremonię konfiguracji zaufanych, korzystając z rekursywnej kompozycji sprawdzającej, co stanowi znaczące ulepszenie w przypadku założeń dotyczących zaufania. Jednak podstawowa kryptografia nadal wykorzystuje pary krzywych eliptycznych podatne na atak kwantowy. Halo 2 na krzywych Pallas/Vesta jest narażona na tę samą podatność na logarytm dyskretny, co inne konstrukcje EC.

Czy istniejące zasoby Zcash można przenieść do pamięci masowej kwantowo bezpiecznej?

W protokole Zcash nie istnieje obecnie żadna opcja przechowywania bezpiecznego kwantowo. Użytkownicy zainteresowani długoterminowym bezpieczeństwem kwantowym powinni rozważyć migrację zasobów do alternatywnych rozwiązań odpornych na kwanty, takich jak Portfel odporny na działanie kwantów SynX. Zapewnia to natychmiastową ochronę przy użyciu standardowej kryptografii postkwantowej NIST.

W jaki sposób SPHINCS+ zapewnia podpisy odporne na kwanty?

SPHINCS+ (standaryzowany jako NIST SLH-DSA) wykorzystuje konstrukcję podpisu opartą na skrótach, gdzie bezpieczeństwo zależy od właściwości funkcji mieszającej, a nie od struktur algebraicznych. Żaden algorytm kwantowy skutecznie nie łamie odporności na kolizje funkcji skrótu przy parametrach o odpowiednich rozmiarach. The Portfel odporny na działanie kwantów SynX implementuje SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205), zapewniając bezpieczeństwo NIST poziomu 1 z 7856-bajtowymi podpisami i 32-bajtowymi kluczami publicznymi.

Wnioski z badań

Nasza analiza potwierdza, że ​​implementacja zk-SNARK w Zcash jest narażona na fundamentalną podatność na zagrożenia kwantowe ze względu na poleganie na parach BLS12-381 i powiązanych konstrukcjach krzywych eliptycznych. Chociaż sama koncepcja wiedzy zerowej przekłada się na ustawienia postkwantowe, obecne praktyczne wdrożenia tego nie robią.

Aktualizacja Halo 2 poprawia założenia dotyczące zaufania, ale nie eliminuje podatności kwantowej. Postkwantowe systemy wiedzy zerowej pozostają aktywnym obszarem badań bez gotowych do produkcji alternatyw odpowiadających aktualnej wydajności.

Dla użytkowników, dla których priorytetem jest długoterminowa ochrona prywatności przed przeciwnikami kwantowymi, najbardziej praktycznym podejściem jest migracja do alternatyw postkwantowych. The Portfel odporny na działanie kwantów SynX implementuje kryptografię Kyber-768 i SPHINCS+ zgodną ze standardem NIST, zapewniając ochronę wykraczającą poza erę klasycznego przetwarzania danych.