Blockstream zegt quantumveilige handtekeningen brengen hoge kosten mee

Wat er gebeurde

Blockstream publiceerde een studie van 26 augustus waarin het lattice-based handtekeningen vergelijkt als mogelijke vervangers voor de huidige elliptic-curve cryptografie. Ze keken naar Falcon, Dilithium en Hawk.

De onderzoekers noemen Falcon-1024 als hun voorkeurskandidaat vanwege compacte grootte, goede verificatieprestaties en de mate van bestaande veiligheidsanalyse. Ze zeggen wel dat hun bevindingen onderzoek zijn en geen goedgekeurd Bitcoin Improvement Proposal of gepland protocolupgrade.

Blockstream laat zien dat post-quantum handtekeningen veel meer data kunnen vereisen dan de huidige Schnorr- en ECDSA-signatures. Falcon heeft ongeveer 32 keer de gecombineerde omvang van Schnorr, maar is ongeveer 42% kleiner dan Dilithium-3. Grotere cryptografische data kan de effective block capacity en transactiekosten beïnvloeden.

Falcon biedt efficiënte, alleen-integer verificatie, wat belangrijk is omdat iedere node transacties moet verifiëren. Het tekenen zelf vergt meer resources. Blockstream meldt dat de vooraf berekende signing tree ongeveer 90 KB RAM gebruikt. Een hardware wallet kan dit terugbrengen naar ongeveer 16 KB door de tree in delen te bouwen, maar dan duurt het tekenen ongeveer twee keer zo lang.

Er zijn implementatierisico’s. Falcon gebruikt floating-point berekeningen tijdens signeren, wat op verschillende processors tot inconsistenties kan leiden. Een integer-emulatie maakt de resultaten consistent maar verhoogt de signeringstijd met ongeveer 15 keer en de sleutelgeneratie met ongeveer twee keer.

Een belangrijk praktisch probleem is publieke key derivatie. Bitcoin-wallets gebruiken BIP-32 voor deterministische afleiding van publieke keys. Falcon heeft nog geen praktische constructie die dit evenaart. Een voorgestelde Falcon-methode zou signatures opblazen tot ongeveer 23,7 KB en slaagt niet in de veiligheidsvereisten. Dilithium biedt meer ontwikkelde opties, maar de onderzochte constructies blijven experimenteel en vereisen soms aangepaste verificatieregels of missen volledige veiligheidsbewijzen.

Blockstream ontdekte ook een structurele zwakte in Hawk die het herstel van private keys makkelijker maakte. De ontwikkelaars haalden Hawk later terug uit het NIST-proces. Daarom pleit Blockstream voor ruime veiligheidsmarges en brede onafhankelijke analyse.

Als meer conservatieve optie noemt Blockstream hash-based signatures. Die berusten op hashfuncties in plaats van lattice-aanname en hebben een langere staat van analyse. Hun nadeel is vooral de grootte. Hybride ontwerpen die beide benaderingen combineren worden ook genoemd.

Blockstream wijst verder op nog openstaande afhankelijkheden. NIST koos Falcon voor standaardisatie als FN-DSA, maar de definitieve specificatie en het ondersteunende implementatie-ecosysteem zijn nog niet afgerond. Een migratie naar quantumveilige cryptografie vraagt ook veilige wallet-implementaties, praktisch sleutelbeheer, voorspelbare transactiekosten en een manier om bestaande fondsen naar quantumveilige outputs te verplaatsen.

Waarom dit telt

Voor beleggers in BTC betekent dit dat er technisch haalbare routes naar quantum resistance zijn, maar dat een overgang niet gratis is. Een verandering kan tot hogere transactiekosten, grotere opslagbehoefte en aanpassingen bij wallets en custodians leiden.