Na úvod pár technikálií. Bez nich by debata o kvantovom útoku na Bitcoin bola len polovičná. Pointa je práve v detailoch.
Kvantová hrozba pre Bitcoin existuje. Nie je to výmysel. Problém je skôr v tom, že sa často opisuje príliš jednoducho: ako keby bol Bitcoin mŕtvy technický objekt, ktorý čaká na deň, keď príde kvantový počítač a všetko vypne.
Lenže Bitcoin nie je iba kryptografia. Je to aj trhovo koordinovaný systém. A to je pri tejto téme kľúčové.
Kryptografia Bitcoinu v rýchlosti
Bitcoin nechráni banka, heslo, štát ani žiadna centrálna autorita. Je postavený na asymetrickej kryptografii.
Veľmi zjednodušene: Bitcoin funguje vďaka dvojici kľúčov — verejnému a súkromnému. Zo súkromného kľúča sa dá matematicky odvodiť verejný kľúč a z neho následne adresa, na ktorú možno prijímať bitcoin. Opačne to však dnešné superpočítače prakticky nedokážu. Z verejného kľúča ani z adresy nevedia v rozumnom čase zistiť súkromný kľúč.
Súkromný kľúč umožňuje minúť bitcoin, ktorý je uzamknutý príslušnou kryptografickou podmienkou. Inak povedané, vlastniť bitcoin znamená vedieť vytvoriť platný digitálny podpis. Tým nepreukazujem svoju identitu, ale znalosť súkromného kľúča.
Keď teda posielam bitcoin, sieť overí, či podpis sedí k danej podmienke. Ak áno, transakcia je platná a môže byť zaradená do blockchainu.
Dôležité je, že všetky bitcoinové transakcie sú v blockchaine verejné. Každý vidí, kam sa bitcoin poslal a odkiaľ sa neskôr minul. To však ešte neznamená, že je vždy verejný aj samotný verejný kľúč.
Pri mnohých adresách je pred minutím bitcoinu viditeľná len jeho odvodená podoba, napríklad hash verejného kľúča alebo skriptu. Verejný kľúč sa často ukáže až v momente, keď sa bitcoin míňa.
Dnes to nevadí. Klasické počítače z verejného kľúča nevedia vypočítať súkromný kľúč. Budúci dostatočne silný kvantový počítač by to však teoreticky zvládnuť mohol.
Prečo kvantový počítač mení problém
Asymetrická kryptografia stojí na jednosmerných matematických úlohách. Jedným smerom sa počítajú ľahko, opačným smerom extrémne ťažko.
Pri RSA je typickým príkladom rozklad veľkého čísla na prvočísla. Bitcoin však RSA nepoužíva. Používa kryptografiu nad eliptickou krivkou secp256k1 a 256-bitové súkromné kľúče. Pointa je podobná: zo súkromného kľúča sa verejný kľúč vypočíta ľahko, ale späť zo známeho verejného kľúča súkromný kľúč prakticky nie.
Pre klasický počítač rastie náročnosť takéhoto útoku exponenciálne. Pri Bitcoine sa bezpečnosť voči najlepším známym klasickým útokom zvyčajne berie približne ako 128-bitová. To znamená rádovo 2^128 krokov.
Pre predstavu: keby sme veľmi zjednodušene a v prospech útočníka predpokladali výkon rádovo 10^18 krokov za sekundu — teda hrubo na úrovni dnešných najrýchlejších exascale superpočítačov — stále by to trvalo približne 10^13 rokov. Teda asi desať biliónov rokov. Samozrejme, ide len o ilustráciu veľkosti problému. „Krok kryptografického útoku“ nie je to isté ako bežná operácia v benchmarku superpočítača.
Kvantový počítač je pri tomto type problému zaujímavý preto, že nie je len rýchlejšou verziou klasického počítača. Pri niektorých úlohách umožňuje použiť úplne iný typ algoritmov.
Práve sem patrí Shorov algoritmus. Na dostatočne veľkom kvantovom počítači dokáže riešiť diskrétny logaritmus v polynomiálnom čase. Teda nie exponenciálne. Zjednodušene sa často hovorí o približne kubickom raste podľa veľkosti vstupu, niečo ako n^3. V praxi je to, samozrejme, komplikovanejšie, pretože rozhoduje počet qubitov, chybová korekcia a obrovské technické nároky.
Toto je podstata problému: klasický počítač naráža na exponenciálnu stenu. Dostatočne veľký kvantový počítač by ju nepreliezal hrubou silou, ale obišiel by ju iným typom algoritmu.
Súčasné kvantové počítače na prelomenie dnešnej podpisovej kryptografie Bitcoinu ani zďaleka nestačia. Pointa však nie je v dnešnom stave, ale v zmene typu problému: z exponenciálne ťažkého na polynomiálne riešiteľný.
Potom už nejde primárne o otázku matematiky, ale o otázku technického vývoja kvantových počítačov. Preto sa táto téma nedá odbiť tým, že dnešné kvantové počítače sú ešte slabé.
Či sa to stane o 10, 15, 30 rokov alebo neskôr, dnes nikto spoľahlivo nevie. Horizont 15 až 20 rokov na prelomenie kryptografie Bitcoinu by som nepovažoval za istotu, ale ani za čisté sci-fi. Pri bezpečnostných systémoch však netreba čakať na deň, keď problém stojí pred dverami.
Čo so „starými“ bitcoinmi?
Problém sa týka najmä bitcoinov, pri ktorých je verejný kľúč už známy. Dnes to nevadí. Klasický počítač z verejného kľúča súkromný kľúč prakticky nevypočíta. Dostatočne silný kvantový počítač so Shorovým algoritmom by to však v budúcnosti teoreticky dokázať mohol.
Najznámejším príkladom sú staré bitcoiny pripisované Satoshimu Nakamotovi. Pri týchto minciach sa často uvádza približne milión až 1,1 milióna bitcoinov. Treba však byť opatrný. Nejde o overený zoznam Satoshiho peňaženiek, ale o odhady založené na analýze skorého ťaženia.
Podstata problému však nestojí na Satoshim. V blockchaine existuje množstvo starých alebo dlho nepohnutých bitcoinov, pri ktorých môže byť verejný kľúč známy. Ak by raz existoval dostatočne výkonný kvantový počítač, tieto mince by sa mohli stať cieľom útoku.
Bitcoinová komunita problém kvantových počítačov pozná a postupne prichádza s návrhmi riešení. Jedným z aktuálne diskutovaných návrhov je BIP-361, teda návrh na postupné utlmenie starých ECDSA/Schnorr podpisov po zavedení postkvantových typov výstupov. Zjednodušene povedané: používatelia by mali čas presunúť svoje bitcoiny zo starých adries na nové, postkvantovo bezpečnejšie. Po prechodnom období by sa míňanie zo starých zraniteľných výstupov výrazne obmedzilo alebo znemožnilo.
A tu začína skutočný problém. Nie iba technický, ale hlavne filozofický.
Spor nebude o budúcnosť, ale o minulosť
Postkvantová kryptografia ako taká nie je nepredstaviteľná. Ak bude kvantová hrozba reálna, prechod Bitcoinu na nové typy podpisov bude prakticky nevyhnutný.
Skutočný problém bude inde: čo so starými adresami a výstupmi, ktoré na nové zabezpečenie nikdy neprejdú? Niektorí držitelia stratili kľúče. Niektorí zomreli. Niektoré mince sú možno ekonomicky mŕtve už dnes. Lenže v blockchaine stále existujú.
Tu sa technický problém mení na filozofický. Bitcoin vyrástol na myšlienke nedotknuteľnosti vlastníctva. Ak mám súkromný kľúč, mám bitcoin. Bodka. Zablokovanie starých zraniteľných výstupov by preto časť komunity vnímala ako formu konfiškácie. A táto námietka nie je hlúpa.
Na druhej strane, nerobiť nič tiež nie je neutrálne riešenie. Ak by kvantový útočník raz vedel minúť staré zraniteľné bitcoiny, nešlo by len o problém pôvodných vlastníkov. Masová kvantová krádež by mohla poškodiť dôveru v celú sieť a tým aj hodnotu bitcoinov všetkých ostatných držiteľov.
Preto táto diskusia nie je taká čierno-biela, ako ju niektorí bitcoineri prezentujú.
Jedna strana môže povedať: staré výstupy zostávajú minutelné, pretože vlastník so súkromným kľúčom má mať vždy právo minúť svoju mincu. Riziko kvantovej krádeže je cena za nemennosť pravidiel.
Druhá strana môže povedať: po dostatočne dlhom prechodnom období sa staré kvantovo zraniteľné výstupy obmedzia alebo zablokujú, pretože inak sa z nich môže stať otvorená korisť pre prvého útočníka s dostatočne silným kvantovým počítačom.
Obe strany môžu byť postkvantové smerom do budúcnosti. Spor teda nebude o budúcu kryptografiu, ale o minulosť. O staré mince. O to, či je horšie časť starých výstupov zmraziť, alebo ich nechať potenciálne vykradnúť.
Hard fork ako pravdepodobný ventil
Ak sa časť vývojárov a používateľov rozhodne podporiť pravidlá, ktoré staré kvantovo zraniteľné výstupy obmedzia, veľmi pravdepodobne vznikne tlak na rozdelenie siete. Inak povedané, na hard fork.
Bitcoin už v minulosti zažil odštiepenia a spory o pravidlá siete, najznámejšie pri veľkosti blokov. Tento spor by však bol vážnejší. Nešlo by iba o technický detail alebo škálovanie, ale o samotnú hranicu vlastníctva.
V blockchaine by vznikol bod, od ktorého by sa siete rozdelili. Jedna vetva by zachovala pôvodné pravidlo, že staré výstupy sa nesmú blokovať. Druhá vetva by prijala pravidlá, ktoré kvantovo zraniteľné výstupy po určitom čase obmedzia alebo zmrazia.
Čo sa stane potom, dnes nevie predpovedať nikto.
Ako sa k tomu postavia burzy? Ktorú vetvu budú považovať za Bitcoin? Zalistujú obe, podobne ako kedysi Bitcoin Cash alebo Bitcoin SV? Bude jedna z nich hlavná a druhá len okrajový fork? Ako zareagujú custody služby, fondy, ťažiari, prevádzkovatelia uzlov a používatelia?
Možno budú obe siete nejaký čas existovať vedľa seba. Možno krátko, možno dlhšie. Možno jedna veľmi rýchlo stratí likviditu a význam. Možno sa trh rozdelí tvrdšie, než si dnes vieme predstaviť.
Podstata je však inde.
Konečným arbitrom bude trh
Konečným arbitrom nebude vývojárska skupina, komisia ani riaditeľ centrálnej banky. Konečným arbitrom bude trh.
Rozhodne cena. Rozhodne likvidita. Rozhodnú burzy. Rozhodnú používatelia. Rozhodnú ťažiari a prevádzkovatelia uzlov. Rozhodne infraštruktúra, ktorá bude ochotná jednu alebo druhú vetvu podporovať.
Práve preto mi neprekáža samotná polemika o tom, či staré bitcoiny raz zmrazovať alebo nikdy nezmrazovať. Tá debata je potrebná. Ide o vážnu otázku vlastníctva, bezpečnosti siete a dôvery v Bitcoin.
Problém mám skôr s istotou, s akou niektorí ľudia už dnes tvrdia, že presne vedia, ako sa to musí vyriešiť. Nevedia. Nikto to dnes nevie.
Dá sa hovoriť o technických možnostiach. Dá sa pripraviť postkvantová kryptografia. Dá sa debatovať o morálnych a ekonomických dôsledkoch zmrazenia starých výstupov. Dá sa upozorňovať na riziko kvantovej krádeže. To všetko je v poriadku.
Nedá sa však dopredu centrálne naplánovať, ako sa v budúcnosti zachovajú používatelia, burzy, fondy, ťažiari, prevádzkovatelia uzlov a infraštruktúra, keď bude kvantové riziko reálne. To bude trhový proces. A trhový proces sa dá analyzovať, ale nedá sa nadiktovať.
Riziko áno, falošná istota nie
Diskusia o kvantovej hrozbe je potrebná. Problém mám skôr s tým, keď niekto už dnes s istotou tvrdí, ako sa musí vyriešiť spor o staré zraniteľné výstupy.
Nevie to. Nevie to nikto.
Bitcoin pravdepodobne prejde na postkvantovú kryptografiu, ak bude kvantová hrozba reálna. Skutočný konflikt bude o mince, ktoré sa nikdy nepresunú. Či ich nechať minutelné za každú cenu, alebo ich po určitom čase obmedziť.
Dá sa o tom diskutovať. Dá sa pripraviť technológia. Dá sa navrhovať migrácia. Ale nedá sa dnes nadiktovať, ako sa zachovajú burzy, používatelia, ťažiari, uzly a infraštruktúra, keď to raz bude reálny problém.
To je trh. A trh sa dá analyzovať, nie dopredu vyhlásiť za vybavený.
