zk-SNARK и квантовые вычисления: почему Zcash сталкивается с криптографическими проблемами

Краткие неинтерактивные аргументы знания с нулевым разглашением (zk-SNARK) представляют собой одну из наиболее значительных криптографических инноваций последнего десятилетия, позволяющую осуществлять транзакции с сохранением конфиденциальности в таких системах, как Zcash. Однако лежащие в основе математических основ нынешних реализаций zk-SNARK сталкиваются с фундаментальными проблемами, связанными с достижениями квантовых вычислений. В этом исследовании рассматриваются конкретные уязвимости криптографической архитектуры Zcash и исследуется, как альтернативы, такие как Квантостойкий кошелек SynX решить эти проблемы.

Понимание криптографической архитектуры Zcash

Zcash реализует защищенные транзакции с использованием zk-SNARK для подтверждения действительности транзакции без раскрытия информации об отправителе, получателе или сумме. Текущая реализация опирается на систему доказательства Groth16, которая достигает замечательной эффективности за счет билинейного спаривания на эллиптической кривой BLS12-381.

Этот архитектурный выбор дает несколько преимуществ: небольшой размер доказательства (около 192 байт), быстрая проверка и высокий уровень безопасности при классических вычислительных предположениях. Однако эти преимущества проистекают из математики эллиптических кривых — той же математической основы, которой угрожают квантовые компьютеры.

The Квантостойкий кошелек SynX использует другой подход, реализуя криптографические примитивы, безопасность которых основана на проблемах, которые считались трудными как для классических, так и для квантовых компьютеров.

Являются ли zk-SNARK уязвимыми для квантовых компьютеров?

Ответ требует нюансов. zk-SNARK как концепция по своей сути не являются квантово-уязвимыми — свойство нулевого разглашения зависит от теоретико-информационных, а не вычислительных предположений. Однако конкретные реализации, используемые в Zcash, основаны на предположениях о вычислительной сложности, которые подрывают квантовые компьютеры:

Разрушение системы доказательств

Безопасность Groth16 основана на предположении q-сильной билинейной теории Диффи-Хеллмана и связанных с ней предположениях о жесткости групп спаривания. Квантовый компьютер, использующий алгоритм Shor, нарушает эти предположения, вычисляя дискретные логарифмы в базовых группах.

Конкретные последствия включают в себя:

• Нарушение работоспособности: Злоумышленники могут подделать доказательства ложных заявлений, потенциально создавая поддельные защищенные транзакции.
• Компромисс доверенной установки: «Токсичные отходы» церемонии Zcash можно восстановить, что дает возможность неограниченного количества поддельных доказательств.
• Сбой привязки: Обязательства, используемые в системе доказательств, могут стать необязательными.

Нарушат ли квантовые компьютеры конфиденциальность Zcash?

Помимо системы доказательств, механизмы конфиденциальности Zcash сталкиваются с дополнительными квантовыми уязвимостями из-за схем получения ключей и шифрования.

Экранированные адреса Sapling

Адреса саженцев используют встроенную кривую Jubjub для получения ключа. Ключи расходов, ключи просмотра и обнулители — все они являются производными от операций с эллиптической кривой. Квантовые компьютеры могут:

1. Получите полномочия на расходование средств на основе просмотра ключей путем решения дискретного журнала.
2. Вычисление секретов нуллификаторов на основе общедоступных нуллификаторов
3. Расшифруйте содержимое защищенной заметки, взломав обмен ключами DH.

Защищенный бассейн в саду

Новый пул Orchard от Zcash, представленный вместе с системой проверки Halo 2, исключает доверенную настройку, но по-прежнему использует криптографию на основе эллиптических кривых. Кривые Палласа и Весты, используемые в Halo 2, сталкиваются с той же квантовой уязвимостью, что и другие конструкции ЕС.

Техническое сравнение: Zcash и постквантовые альтернативы

The Квантостойкий кошелек SynX реализует Kyber-768 (ML-KEM, FIPS 203, NIST уровня 3) для инкапсуляции ключей и генерации адреса и SPHINCS+-SHAKE-128s (SLH-DSA, FIPS 205, NIST уровня 1) для цифровых подписей. Оба алгоритма получили стандартизацию NIST в 2024 году после тщательного анализа их свойств квантовой устойчивости.

Постквантовый ландшафт с нулевым знанием

Исследователи активно разрабатывают квантовоустойчивые системы доказательства с нулевым разглашением, хотя ни одна из них не достигла эффективности конструкций, основанных на спаривании:

SNARK на основе решетки

Системы, построенные на обучении с ошибками (LWE) и связанных с ним решеточных задачах, предлагают потенциальную постквантовую безопасность. Однако размеры доказательства и время проверки значительно превышают текущие реализации. Продолжаются исследования по повышению эффективности.

SNARK на основе хеша (STARK)

Масштабируемые прозрачные аргументы знаний (STARK) обеспечивают безопасность за счет устойчивости к коллизиям хеш-функций — квантовоустойчивого предположения. STARK обеспечивают прозрачность (без доверенной настройки) и квантовую устойчивость, но предоставляют более серьезные доказательства, чем SNARK.

Симметричный ключ ZK Доказательства

Такие системы, как Picnic и производные конструкции, используют симметричную криптографию для доказательств с нулевым разглашением. Несмотря на квантовую устойчивость, эти системы обычно имеют большие размеры пробных образцов и ограничения для конкретных вариантов использования.

Каковы сроки появления квантовой уязвимости Zcash?

Временная шкала повторяет временную шкалу других систем эллиптических кривых. BLS12-381 обеспечивает примерно 128 бит классической безопасности благодаря своей парной структуре. Против квантовых противников алгоритм Shor снижает эффективную безопасность практически до нуля.

Ориентиром является secp256k1 Bitcoin, наиболее тщательно рассчитанная цель эллиптической кривой. Google Quantum AI, работая с Ethereum Foundation и Стэнфордом, скомпилировал эту атаку в марте 2026 года на сайте 1200–1450 логических кубитов внутри менее 500 000 физических кубитов., завершение за несколько минут. BLS12-381 занимает более крупное 381-битное поле и не имеет эквивалентной опубликованной компиляции, поэтому он должен стоить несколько дороже, но это тот же класс задач на том же алгоритме, и он не покупает Zcash другого десятилетия.

Ключевые этапы:

• 2026-2028: Квантовые системы демонстрируют возможность дискретного журнала на небольших кривых; Лучшее общедоступное оборудование по-прежнему содержит около 2500 физических кубитов, при этом нет ничего отказоустойчивого в масштабе.
• 2029-2033: Окно CRQC. IBM Starling (2029 г., примерно 200 логических кубитов) и Blue Jay (2033 г., более 2000 логических кубитов из примерно 100 000 физических) соответствуют требованиям к 256-битным кривым, а конструкции, удобные для спаривания, такие как BLS12-381, следуют за ними.
• К 2035 году: Крайние сроки соблюдения АНБ CNSA 2.0 требуют, чтобы системы национальной безопасности США завершили переход от уязвимой криптографии с открытым ключом - правительство оценивает ту же модель угроз.

Обратите внимание, во что это сжимается. Отрасль провела десятилетие, убеждая себя, что угроза существовала где-то в 2040-х годах. Текущая конвергенция дорожных карт поставщиков и анализа стоимости атак ставит его на первое место. 2029-2033, а защищенным пулам Zcash потребуется криптографическая замена на уровне консенсуса, разработанная, проверенная и принятая задолго до этого. Квантостойкий кошелек SynX обеспечивает защиту на всей временной шкале, полностью исключая зависимости от эллиптических кривых.

Ретроактивное нарушение конфиденциальности

Возможно, наиболее серьезной проблемой для пользователей Zcash является ретроактивная потеря конфиденциальности. В отличие от кражи средств, которая требует доступа к ключам в течение определенного периода времени, компрометация конфиденциальности действует для всех исторических данных.

Когда квантовые компьютеры могут взломать дискретные журналы Jubjub/Pallas:

• Все исторические защищенные транзакции становятся доступными для чтения.
• Адреса отправителя и получателя связаны друг с другом.
• Суммы транзакций раскрываются
• Полная реконструкция графов транзакций

Модель атаки «собрать сейчас, расшифровать позже» означает, что эти данные уже могут быть собраны опытными злоумышленниками, ожидающими квантовых возможностей.

Как Kyber-768 обеспечивает квантовую устойчивость?

Kyber-768, стандартизированный NIST как ML-KEM-768, обеспечивает инкапсуляцию ключей на основе проблемы обучения модуля с ошибками (M-LWE). Эта проблема требует поиска малых векторов ошибок в многомерных решетчатых структурах — задача, для которой не существует эффективного квантового алгоритма.

The Квантостойкий кошелек SynX реализует Kyber-768 со следующими свойствами безопасности:

Часто задаваемые вопросы

Делает ли Halo 2 Zcash квантово-устойчивым?

Нет. Halo 2 устраняет церемонию доверенной установки за счет использования рекурсивной композиции доказательств, что является значительным улучшением предположений о доверии. Однако базовая криптография по-прежнему использует пары эллиптических кривых, уязвимых для квантовой атаки. Halo 2 на кривых Паллады/Весты сталкивается с той же уязвимостью дискретного логарифма, что и другие конструкции ЕС.

Можно ли перенести существующие активы Zcash в квантовобезопасное хранилище?

В протоколе Zcash в настоящее время не существует квантовобезопасного хранилища. Пользователям, обеспокоенным долгосрочной квантовой безопасностью, следует рассмотреть возможность переноса активов на квантовоустойчивые альтернативы, такие как Квантостойкий кошелек SynX. Это обеспечивает немедленную защиту с использованием постквантовой криптографии, стандартизированной NIST.

Как SPHINCS+ обеспечивает квантово-устойчивые подписи?

SPHINCS+ (стандартизованный как NIST SLH-DSA) использует построение подписи на основе хеш-функции, где безопасность зависит от свойств хеш-функции, а не от алгебраических структур. Ни один квантовый алгоритм эффективно не нарушает устойчивость к коллизиям хеш-функций при правильном размере параметров. Квантостойкий кошелек SynX реализует SPHINCS+-SHAKE-128 (SLH-DSA, FIPS 205), обеспечивая безопасность NIST уровня 1 с 7856-байтовыми подписями и 32-байтовыми открытыми ключами.

Выводы исследования

Наш анализ подтверждает, что реализация zk-SNARK Zcash сталкивается с фундаментальной квантовой уязвимостью из-за использования пар BLS12-381 и связанных с ними конструкций эллиптических кривых. Хотя сама концепция нулевого знания применима к постквантовым условиям, текущие практические реализации этого не делают.

Обновление Halo 2 улучшает предположения о доверии, но не устраняет квантовую уязвимость. Постквантовые системы с нулевым знанием остаются активными областями исследований без готовых к производству альтернатив, соответствующих текущей эффективности.

Для пользователей, отдающих приоритет долгосрочному сохранению конфиденциальности от квантовых противников, переход к постквантовым альтернативам представляет собой наиболее практичный подход. Квантостойкий кошелек SynX реализует стандартизированную NIST криптографию Kyber-768 и SPHINCS+, обеспечивая защиту, которая сохраняется и после эпохи классических вычислений.