Perdebatan Migrasi Pasca-Kuantum Bitcoin
Perdebatan mengenai migrasi pasca-kuantum Bitcoin kini berfokus pada keamanan dompet dan penanganan koin yang tidak aktif. CTO Ledger, Charles Guillemet, berpendapat bahwa memilih skema tanda tangan baru mungkin lebih mudah dibandingkan dengan memindahkan pengguna Bitcoin dan dana yang ada dengan aman. Dalam analisis teknis yang diterbitkan oleh Ledger, Guillemet menyatakan bahwa
“Bitcoin tidak memiliki masalah komputer kuantum saat ini,”
namun ia memperingatkan bahwa penelitian migrasi, implementasi perangkat lunak, perubahan dompet perangkat keras, dan adopsi pengguna dapat memakan waktu bertahun-tahun. Ia menegaskan bahwa saat ini tidak ada komputer kuantum yang relevan secara kriptografis yang mampu memecahkan tanda tangan Bitcoin, dan waktu munculnya mesin semacam itu tetap tidak pasti.
Tinjauan Guillemet dan Proposal SHRINCS
Tinjauan Guillemet berfokus pada SHRINCS, sebuah proposal tanda tangan pasca-kuantum khusus untuk Bitcoin yang menggabungkan mekanisme penandatanganan stateful yang lebih kecil dengan jalur pemulihan stateless yang lebih besar. Spesifikasi tersebut masih dalam tahap pengembangan, belum memiliki nomor BIP yang ditetapkan, dan menyatakan bahwa
“bukti keamanan formalnya masih dalam proses.”
Guillemet menekankan bahwa Bitcoin tidak menghadapi masalah komputer kuantum saat ini, tetapi lebih kepada tantangan migrasi yang dapat memakan waktu bertahun-tahun untuk diselesaikan dengan benar.
SHRINCS adalah proposal pasca-kuantum khusus Bitcoin pertama yang ia lihat, yang menawarkan trade-off end-to-end yang serius dan layak untuk dibaca. Guillemet membagi transisi ini menjadi tiga masalah utama: memilih skema tanda tangan pasca-kuantum, menyesuaikan dompet Bitcoin dan infrastruktur protokol dengan skema tersebut, serta memutuskan bagaimana BTC yang ada harus berpindah ke output yang tahan kuantum. Masalah terakhir mencakup koin yang pemiliknya mungkin telah kehilangan kunci mereka atau belum memindahkan dana selama bertahun-tahun.
Tantangan dalam Otorisasi Transaksi
Otorisasi transaksi Bitcoin saat ini sangat bergantung pada tanda tangan ECDSA dan Schnorr yang dibangun di atas kriptografi kurva elips. Komputer kuantum yang cukup kuat yang menjalankan algoritma Shor secara teoritis dapat memulihkan kunci pribadi dari kunci publik yang terekspos, tetapi hingga saat ini, tidak ada mesin yang telah didemonstrasikan secara publik yang dapat melakukan serangan tersebut terhadap Bitcoin. Guillemet menekankan bahwa migrasi tidak dapat dinilai hanya berdasarkan kekuatan kriptografis dari skema pengganti, karena dompet, perangkat keras, sistem cadangan, dan pengaturan multi-perangkat harus menerapkannya dengan aman.
Ia juga menggambarkan tantangan dalam mencapai kesepakatan sosial mengenai koin warisan yang rentan sebagai salah satu pertanyaan yang lebih sulit yang belum terpecahkan. Pendapat serupa juga muncul dari kriptografer lain, termasuk Dan Boneh dari Stanford, yang berargumen bahwa Bitcoin harus mempersiapkan risiko kuantum sambil menghindari migrasi terburu-buru yang dapat memperkenalkan kegagalan perangkat lunak yang serius.
Spesifikasi Draf SHRINCS
Spesifikasi draf SHRINCS saat ini menggambarkan sistem berbasis hash yang dibangun di sekitar SHA-256, keluarga hash yang sama yang sudah digunakan secara luas oleh Bitcoin. Para desainer menargetkan sekitar 128 bit keamanan klasik dan 64 bit keamanan kuantum di bawah parameter yang mereka pilih. Kunci publik 48-byte-nya berkomitmen pada dua jalur penandatanganan. Rute kompak menggunakan Flexible XMSS dan WOTS+C, menghasilkan tanda tangan stateful dari 548 byte hingga 4.619 byte. Sebuah fallback stateless berdasarkan konsep SLH-DSA menghasilkan tanda tangan 5.777 byte. NIST menstandarkan SLH-DSA sebagai FIPS 205 pada Agustus 2024. Standar itu sendiri bersifat stateless dan berdasarkan SPHINCS+, sementara draf SHRINCS menggunakan konfigurasi parameter kustom di samping komponen stateful terpisahnya.
Angka-angka yang lebih baru penting karena versi sebelumnya dari SHRINCS menghasilkan tanda tangan stateful 324 byte yang sering dikutip. Guillemet menyatakan bahwa angka tersebut tidak lagi menggambarkan draf Bitcoin saat ini, dan spesifikasi September dimulai dari 548 byte untuk jalur stateful-nya.
Analisis dan Tantangan Lainnya
Blockstream Research berpendapat bahwa tanda tangan berbasis hash menawarkan asumsi kriptografis yang konservatif dan verifikasi yang relatif murah. Penelitian Mei mereka mencatat bahwa tanda tangan pasca-kuantum yang distandarisasi jauh lebih besar daripada tanda tangan Schnorr Bitcoin saat ini yang berukuran 64 byte, menciptakan tekanan pada ruang blok dan throughput transaksi. Blockstream telah menunjukkan verifikasi SHRINCS di sidechain Liquid melalui Simplicity, tetapi eksperimen itu tidak berarti skema tersebut aktif di mainnet Bitcoin. Spesifikasi Bitcoin tetap merupakan pekerjaan penelitian yang memerlukan tinjauan dan konsensus sebelum penerapan jaringan apa pun.
Jalur SHRINCS yang kompak mengharuskan setiap kunci penandatanganan satu kali digunakan hanya sekali. Oleh karena itu, dompet harus mempertahankan penghitung yang mengidentifikasi slot penandatanganan mana yang harus digunakan berikutnya, dan penghitung itu harus bergerak maju secara permanen sebelum tanda tangan meninggalkan perangkat. Jika sebuah dompet menggunakan slot penandatanganan yang sama untuk dua pesan yang berbeda, informasi yang terekspos oleh tanda tangan dapat memungkinkan pengamat untuk memalsukan tanda tangan yang valid. Guillemet menulis bahwa penyerang tidak selalu memulihkan seluruh benih pribadi, tetapi dana pengguna yang terkena tetap dapat dicuri.
Cadangan menciptakan masalah lain. Memulihkan dompet dari salinan yang lebih lama dapat mengembalikan penghitung yang sudah usang. Dua perangkat keras yang diinisialisasi dari benih yang sama dapat menghadapi risiko yang sama jika mereka secara independen menggunakan jalur stateful tanpa mengoordinasikan kunci satu kali mana yang telah digunakan. Tinjauan independen Project Eleven tentang SHRINCS mencapai kesimpulan serupa. Peneliti Alex Pruden dan Conor Deegan mengatakan skema tersebut mentransfer persyaratan status yang kritis untuk keamanan ke dompet dan sistem kustodian, di mana pemulihan cadangan atau pengembalian status dapat menyebabkan penggunaan kembali kunci satu kali. SHRINCS menyediakan fallback ketika status hilang atau tidak pasti. Benih asli masih dapat menghasilkan kunci penandatanganan stateless, memungkinkan dana berpindah menggunakan tanda tangan 5.777 byte. Dompet harus secara permanen berhenti menggunakan jalur stateful kompak untuk kunci itu setelah penghitungnya tidak lagi dapat dipercaya. Guillemet menggambarkan sifat ini sebagai salah satu pilihan desain SHRINCS yang lebih kuat karena kehilangan status mempengaruhi efisiensi tanpa secara otomatis membuat koin tidak dapat dibelanjakan.
Perubahan pada Alat Dompet dan Kinerja Perangkat Keras
Peralihan dari tanda tangan kurva elips ke tanda tangan berbasis hash akan mengubah beberapa alat dompet yang digunakan pengguna Bitcoin saat ini. Turunan BIP32 yang tidak diperkuat memungkinkan kunci publik yang diperluas menghasilkan kunci publik anak tanpa mengekspos kunci pribadi, mendukung desain dompet watch-only yang umum. Guillemet menyatakan bahwa padanan yang efisien tidak secara alami dapat diterapkan pada tanda tangan berbasis hash. Penandatanganan ambang batas menghadirkan masalah terkait. Sistem berbasis Schnorr dapat menggabungkan peserta secara efisien, sementara alternatif berbasis hash yang dikenal cenderung memerlukan tanda tangan yang lebih besar, lebih banyak penyimpanan atau komunikasi, atau asumsi kepercayaan yang berbeda. Guillemet menekankan bahwa SHRINCS tidak boleh diharapkan untuk memberikan pengganti kompak yang langsung untuk sistem ambang batas Schnorr saat ini.
Kinerja perangkat keras tetap menjadi batasan lain. Analisis Ledger menunjukkan bahwa pembuatan kunci pasca-kuantum dan jalur SHRINCS yang stateless dapat memakan waktu beberapa menit pada beberapa perangkat keras yang aman, karena proses tersebut melakukan banyak operasi SHA-256 dan memerlukan lebih banyak memori daripada penandatanganan Schnorr. Penelitian Blockstream membingkai trade-off dengan cara yang berbeda, berargumen bahwa verifikasi SHRINCS didominasi oleh perhitungan SHA-256 dan karena itu dapat tetap dapat dikelola secara komputasi, bahkan ketika tanda tangan mengkonsumsi lebih banyak byte. Draf saat ini mengklaim bahwa biaya verifikasi terburuk per byte tanda tangan berada di bawah biaya BIP340 Schnorr.
Diskusi Keamanan Kuantum Bitcoin
SHRINCS hanyalah satu bagian dari diskusi keamanan kuantum Bitcoin saat ini. BIP 360, yang disebut Pay-to-Merkle-Root, adalah proposal draf terpisah yang dirancang untuk menghapus pengeluaran jalur kunci Taproot yang rentan terhadap kuantum dan melindungi pengguna dari serangan paparan jangka panjang. BIP 360 tidak sendiri memperkenalkan algoritma tanda tangan pasca-kuantum. Para penulisnya menyatakan bahwa serangan paparan pendek, di mana penyerang memperoleh kunci pribadi setelah transaksi mengungkapkan kunci publiknya tetapi sebelum konfirmasi, mungkin memerlukan skema tanda tangan pasca-kuantum di masa depan. BIP 361 lebih langsung menangani masalah migrasi. Proposal draf tersebut menggambarkan penghapusan bertahap pengeluaran ECDSA dan Schnorr warisan setelah mekanisme output pasca-kuantum tersedia. Jadwal yang diusulkan mencakup periode migrasi awal yang diikuti kemudian oleh pembatasan yang lebih ketat pada tanda tangan warisan.
Seperti yang dilaporkan oleh crypto.news dalam tinjauan BIP 360 dan BIP 361, satu masalah yang belum terpecahkan adalah apa yang harus terjadi pada BTC yang rentan yang tidak pernah bermigrasi. Pendekatan yang mungkin dapat mempengaruhi koin yang diyakini hilang, ditinggalkan, atau dikendalikan oleh pemilik yang tidak dapat berpartisipasi dalam peningkatan di masa depan. Dewan penasihat kriptografi independen Coinbase telah secara terpisah menyerukan agar perencanaan migrasi dimulai sebelum penyerang kuantum ada. Dewan tersebut mendukung persiapan sambil membiarkan pertanyaan tentang pembekuan atau penanganan koin warisan kepada komunitas Bitcoin. Repositori BIP resmi Bitcoin masih mencantumkan baik BIP 360 maupun BIP 361 sebagai draf per 17 September.
SHRINCS sendiri tetap merupakan spesifikasi draf yang tidak bernomor, dengan para penulisnya memperingatkan bahwa kriptografi tersebut adalah pekerjaan prototipe yang memerlukan tinjauan lebih lanjut dan bukti keamanan yang lengkap. Hingga saat ini, tidak ada komputer kuantum yang telah didemonstrasikan secara publik yang dapat memulihkan kunci pribadi Bitcoin dari kunci publik kurva elipsnya. Guillemet menggambarkan tantangan langsung sebagai mempersiapkan migrasi sebelum perangkat keras semacam itu menjadi praktis. Saat ini, SHRINCS adalah spesifikasi draf eksperimental tanpa nomor BIP yang ditetapkan. Ini tidak diaktifkan dalam Bitcoin Core atau aturan konsensus Bitcoin. Desain saat ini memungkinkan benih untuk memulihkan jalur penandatanganan stateless, menghasilkan tanda tangan yang lebih besar 5.777 byte. Dompet tidak boleh melanjutkan penandatanganan stateful kompak ketika penghitung sebelumnya tidak dapat dipercaya. Jalur kompaknya bergantung pada kunci penandatanganan satu kali. Menggunakan slot yang sama untuk pesan yang berbeda dapat mengekspos cukup banyak informasi untuk memungkinkan tanda tangan yang dipalsukan dan kemungkinan pencurian dana. Saat ini, repositori BIP Bitcoin kanonik mencantumkan kedua proposal sebagai draf, dan tidak ada yang telah diaktifkan sebagai perubahan konsensus Bitcoin.
