Orijinal Başlık: Kuantum Bilişim ve Blok Zincirler: Aciliyeti Gerçek Tehditlere Uyarlama
Orijinal Yazar: Justin Thaler, a16zcrypto
Çeviri: Peggy, BlockBeats

Editör Notu: Kuantum tehdidinin anlatısı piyasada aşırı derecede aciliyetlendiriliyor, ancak sonrası kuantum geçişi kesinlikle tek tip olmamalı. Bu makalenin ana görüşü şudur: Şifreleme hibrit çözümlere hızla geçmelidir, çünkü "Önce Toplama, Sonra Şifre Çözme" (HNDL) gerçek risk haline gelmiştir; ancak dijital imza ve zkSNARK'ın acele etmesi gerekmez, erken geçiş hacim genişlemesine, performans düşüşüne ve uygulama hatalarına gibi daha doğrudan güvenlik maliyetlerine neden olabilir.

Bu makale yazarı Justin Thaler, a16z Araştırma Ortakları'ndan biridir ve Georgetown Üniversitesi Bilgisayar Bilimleri Bölümü Yardımcı Doçenti olup doğrulanabilir hesaplama gibi alanlarda araştırma yapmaktadır. Thaler, endüstrinin sonrası kuantum çağında yapması gerekenin panik havasında bir geçiş olmadığını, ancak kaynakları gerçekten acil olan risklere yönlendirmenin önemli olduğunu hatırlatmaktadır.

Aşağıda orijinal metin yer almaktadır:

Kuantum bilgisayarların "mevcut şifre sistemlerini tehdit edecek kadar" ne kadar uzakta olduğu, piyasadaki zaman çizelgeleri genellikle gereğinden fazla erkenden belirlenir ve bu da "hemen ve tamamen sonrası kuantum şifrelemeye (PQC) geçilmelidir" zorunluluğu anlatısını doğurur.

Ancak sorun şudur ki, bu tür çağrılar genellikle önemli bir gerçeği göz ardı eder: Erken geçişin kendisi büyük maliyetleri ve yeni riskleri beraberinde getirir. Daha da önemlisi, şifreleme sistemi tek parça değildir ve farklı şifreleme temel yapılarının (kriptografik ilkelerin) saldırıya açılma şekli ve risk maruziyeti aslında oldukça farklıdır:

Sonrası kuantum şifreleme (Post-kuantum encryption) mantıklı olarak daha acildir: maliyet ne olursa olsun, en kısa sürede uygulanmalıdır. Nedeni, "Önce Topla, Sonra Şifreyi Çöz" (HNDL) saldırısının zaten gerçekleşmekte olmasıdır - düşmanlar bugün şifrelenmiş hassas verileri toplayabilirler ve gelecekte gerçek kuantum bilgisayarlar ortaya çıktığında bu verileri şifre çözebilirler. Kuantum bilgisayarın gerçekten ortaya çıkması belki onlarca yıl sürebilir, ancak bu veriler o zamana kadar hala değerliyse, bu gerçek bir tehdittir. Sonrası kuantum şifreleme gerçekten performans maliyeti ve uygulama riski taşır, ancak uzun süreli gizliliğe ihtiyaç duyan veriler için, HNDL saldırısı bize başka seçenek bırakmaz.

Sonrası kuantum imzalarının (Post-kuantum signatures) hesaplama şekli ise farklıdır: HNDL saldırısından etkilenmezler, ancak maliyetleri ve riskleri (daha büyük boyut, performans maliyeti, olgunlaşmamış uygulama, hata riski) geçişin daha dikkatli ve daha ritmik olmasını, hemen ve tamamen başlamak yerine daha temkinli olmasını gerektirir.

Bu ayrım çok önemlidir. Yanlış algı maliyet-fayda analizini çarpıtabilir ve takımı daha acil güvenlik risklerini (örneğin, kod açıkları) ihmal etmeye yönlendirebilir. Başarılı bir şekilde kuantum anahtar geçişini ilerletmenin gerçek zorluğu, "aciliyetin" "gerçek tehdit" ile eşleşmesini sağlamaktır. Aşağıda, kuantum tehditleri ve şifreleme hakkındaki yaygın yanılgılardan bazılarını netleştireceğim – şifreleme, imzalama ve sıfır bilgi ispatını kapsayarak ve özellikle bunların blokzincir üzerindeki etkilerine vurgu yaparak.

Şu Anda Hangi Aşamadayız?

2020'lerde "Şifre Çözmeyle İlgili Kuantum Bilgisayar"ın (Cryptographically Relevant Quantum Computer, CRQC) ortaya çıkması son derece olası değildir, bazı iddiaların aksine.

Benim "şifreleme ile ilgili kuantum bilgisayarı" dediğim şey, toleranslı, hata düzeltme özelliğine sahip bir kuantum bilgisayardır; yeterli ölçekte Shor algoritmasını çalıştırabilir ve makul bir süre içinde eliptik eğri şifresini ya da RSA'yı (örneğin, secp256k1 veya RSA-2048'i bir aydan az süren sürekli hesaplama ile kırabilir) çözebilir.

Herhangi bir kamuoyuna açık kilometre taşına veya kaynak tahminine dayalı makul bir yorumla, CRQC'ye olan mesafe hala çok uzaktır. Bazı şirketler 2030'lar öncesinde veya 2035'ten önce CRQC'yi başarabileceklerini iddia etseler de, genelde açıkta olan ilerlemeler bu iddiaları desteklememektedir.

Karşılaştırma yapmak gerekirse: mevcut tüm anahtar mimarilerde, yani iyon tuzağı, süperiletken kubit ve nötr atom sistemlerinde, Shor algoritmasını çalıştırmak için gereken ölçekte hiçbir platform yoktur: RSA-2048 veya secp256k1'i çözmek için genellikle on binlerce ila milyonlarca fiziksel bit gerekir (hata oranına ve hata düzeltme şemasına bağlı olarak).

Sınırlayıcı faktörler yalnızca bit sayısı değil, aynı zamanda kapı sadakati (gate fidelity), bit bağlantısı (connectivity) ve uzun vadeli korunabilen hata düzeltme devresinin derinliği dahil derin kuantum algoritmasını çalıştırmak için gerekli olan tüm öğelerdir. Bazı sistemler gerçekten fiziksel hata oranını "kuantum hata düzeltmenin etkisini göstermeye başlama" eşiğine yaklaştırdı, ancak şu anda çok az mantıksal kubitin (logical qubit) yeterince derin hata düzeltme devresinde sürekli olarak çalıştırılabileceğini gösteren kimse yok – Shor algoritması için gerçekten gerekli olan binlerce yüksek sadakatli, derin hata düzeltme devresine sahip mantıksal kubitleri.

「量子纠错证明在原理上可行」到「达到足以用于密码分析的规模」的差距仍然非常巨大。

简而言之：在物理比特数量和保真度都提高数个数量级之前，CRQC 仍然遥不可及。

但为什么人们容易被误导？

企业新闻稿和媒体报道很容易造成混淆，常见的误解包括：

一些演示声称实现了「量子优势」（quantum advantage），但目前多针对人为设计的、并不实用的任务。这些任务之所以被选中，不是因为具有现实价值，而是因为它们可以在现有硬件上运行，并且「看起来」有巨大的量子加速，而这种背景往往被在公告中淡化。

一些公司声称实现了「数千个物理比特」，但通常这指的是量子退火器（quantum annealer），而不是运行 Shor 算法所需的门模型量子计算机（门模型机器）。

还有一些公司滥用「逻辑比特」这个术语。由于物理比特存在较大噪声，量子算法需要使用逻辑比特；然而，Shor 算法需要数千个逻辑比特。逻辑比特通常由许多物理比特通过纠错码构成 — 每个逻辑比特通常需要几百到几千个物理比特（取决于误差率）。然而，一些公司将这个概念「扭曲到无法辨认」。例如，有声明声称使用距离为 2 的纠错码（距离-2 编码），每个逻辑比特仅使用两个物理比特，就实现了 48 个逻辑比特 — 这是荒谬的：距离为 2 的码只能检测错误，而不能纠正错误。真正用于密码分析的容错逻辑比特，每个需要几百到几千个物理比特，而不是两个。

更广义地说，在许多量子计算的路线图中，「逻辑比特」指的是只支持 Clifford 门操作的比特；而 Clifford 门操作可以通过经典计算机有效模拟，因此根本无法运行 Shor 算法。Shor 算法需要大量纠错后的 T 门（或更通用的非 Clifford 门）。

因此，即使某些路线图声明「在 X 年之前达到数千逻辑比特」，也不意味着该公司预计同一年就能运行 Shor 算法来破解经典密码学。

这些做法严重扭曲了公众对 CRQC 的认识，即使在某些专业观察者群体中也是如此。

Uzmanlar da Heyecanlı Olabilir, Ancak Bu Hemen Kırılabilir Anlamına Gelmez

Gerçekten de, bazı uzmanlar gelişmelerden heyecan duyuyor. Örneğin, Scott Aaronson yakın zamanda, “Mevcut inanılmaz donanım ilerleme hızı” göz önünde bulundurularak, Shor Algoritması'nı çalıştırabilen hata düzeltme özellikli bir kuantum bilgisayarın bir sonraki ABD başkanlık seçiminden önce ortaya çıkabileceğini bir “gerçekçi olasılık” olarak gördüğünü yazmıştı.

Ancak Aaronson daha sonra şunu da açıkladı: Bu CRQC'yi kastetmiyordu. Hatta tamamen hataya dayanıklı bir Shor Algoritması'nın 15'i çözebilmesine dair bir çalışmayı bile “başarılı” sayacağını ifade etti. Bu hesaplama, kalem kağıtla bile daha hızlı yapılabilir. Eşiği aşmak hala “küçük ölçekli” olarak çalıştırmaktır, şifre kırma için kullanılabilecek bir ölçek değil.

Ayrıca, neden pek çok deneycinin hep 15'i çözmeyi sevdiği? Çünkü mod 15 aritmetiği çok basittir ve 21 gibi biraz daha büyük sayıları çözmek çok daha zordur. Bu nedenle, 21'i çözebileceğini iddia eden deneyler genellikle ek ipuçlarına veya kısayollara bağımlıdır.

Sonuç olarak: Gelecekte RSA-2048 veya secp256k1'i kırmak için kullanılabilecek bir CRQC'nin (bu pratik kriptografinin gerçekten önemsediği yetenek) önümüzdeki 5 yıl içinde ortaya çıkacağını düşünmek için halka açık bir ilerleme destekleyici bir durum yok.

5 yıl bile çok iyimser bir tahmindir, 10 yıla gelince, daha da radikal olur. CRQC'ye ne kadar uzakta olduğumuzu düşündüğümüzde, donanımdaki ilerlemeye heyecan duymak, tamamen “10 yılı aşkın bir zaman çizelgesi” ile uyumludur.

Amerikan hükümetinin 2035'i hükümet sistemlerinin tamamen kuantum sonrası sistemlere geçirileceği bir hedef tarih olarak görmesine gelince: Ben bunun büyük ölçekli bir geçişin tamamlanması için makul bir “zaman çizelgesi” olduğunu düşünüyorum, ancak bu “2035'ten önce bir CRQC ortaya çıkacak” anlamına gelmiyor.

HNDL Saldırısı Nerede Geçerlidir (Nerede Geçerli Değildir)?

“Önce Topla, Sonra Şifre Kır” (HNDL) saldırısı, rakibin şu anda şifreli iletişim trafiğini depolamasını ve daha sonra gelecekte bir CRQC ortaya çıktığında şifreyi çözmesini ifade eder. Ulusal düzeydeki bir rakibin muhtemelen Amerikan hükümetinin şifreli iletişimini geniş çapta arşivlediğini ve yıllar sonra bunları çözebilecek şekilde hazırlandığını göz önünde bulundurun.

Bu nedenle, şifreleme sistemlerinin bugünden başlayarak geçiş yapması gerekmektedir - en azından 10-50 yıl boyunca gizliliği korumak isteyenler için.

Ancak blok zinciri kullandığı dijital imza şifrelemesinden farklıdır: İmza kendisi “gizli içerik” taşımaz, sonradan çözülebilecek bir sır yoktur.

Diğer bir deyişle: CRQC geldiğinde, o andan itibaren imza sahteciliği yapılabilir; ancak geçmiş imzalar, şifreli mesajlar gibi “sır” taşımazlar. Bir imzanın CRQC ortaya çıkmadan önce oluşturulduğunu bildiğiniz sürece, o imzanın sahte olma olasılığı yoktur.

Bu, son kuantum dijital imzanın geçişini, şifrenin son kuantum geçişinden çok daha acil hale getiriyor.

Bu nedenle ana platformların hareketi de bu ritme uygundur:

Chrome ve Cloudflare, TLS şifrelemesinde X25519 + ML-KEM karma çözümünü başlattı.
(Not: Okunabilirlik açısından burada "şifreleme şeması" dedim, ama sıkı olarak TLS'nin kullandığı şey anahtar değişimi veya anahtar kapsülleme mekanizmasıdır, geleneksel anlamda genel anahtar şifrelemesi değil.)

“Karma”, son kuantum güvenli şemasını (ML-KEM) mevcut şemayla (X25519) bir araya getirilerek kullanmayı ve bu şekilde her iki güvenliğin de sağlanmasını aynı anda sağlamayı ifade eder: Bir yandan ML-KEM'i HNDL'ye karşı savunma olarak kullanırken, diğer yandan ML-KEM'in klasik bilgisayarlar için güvensiz olduğu kanıtlanmış olsa bile X25519'un klasik güvenliğini korur.

Apple'ın iMessage'ı, PQ3 protokolünü kullanarak benzer bir karma son kuantum şifreleme uyguladı; Signal de PQXDH ve SPQR protokollerini kullanarak benzer bir yaklaşımı uyguladı.

Bununla karşılık, kritik internet altyapısındaki son kuantum dijital imza uygulamaları, mevcut performans düşüşü nedeniyle CRQC gerçekten yaklaşana kadar ertelendi (daha sonraki metin açıklanacaktır).

zkSNARK, şifreleme değil imza için benzer bir duruma sahip

zkSNARK (sıfır bilgi ispatı) blockchain'in uzun vadeli ölçeklenebilirliği ve gizliliği için çok önemlidir, durumu imza ile benzerdir: Bazı zkSNARK'lar son kuantum güvenli olmayabilir (çünkü eliptik eğri kriptografiyi kullanırlar, bugünün son kuantum ötesi şifreleme ve imza şemaları gibi), ancak sıfır bilgi özellikleri hala son kuantum güvenlidir.

Sıfır bilgi özelliği, ispatın "gizli tanık" hakkında herhangi bir bilgi sızdırmayacağı anlamına gelir - hatta bir kuantum rakibe karşı bile - bu nedenle "önce topla, sonra çöz" yaklaşımına dayalı gizli içerik yoktur.

Bu nedenle zkSNARK, HNDL saldırısından etkilenmez. Bugün üretilen son kuantum ötesi imzaların hala güvenilir olduğu gibi, bir zkSNARK ispatı CRQC ortaya çıkmadan önce üretildiyse güvenilirdir (ispatın tezi kesinlikle doğrudur), hatta bu zkSNARK eliptik eğri kriptografiyi kullanıyorsa bile. Sadece CRQC ortaya çıktıktan sonra saldırganlar "görünüşte güvenilir ancak aslında yanlış tezi kanıtlayan" bir ispatı sahtecilik yapabilir.

Blockchain için Bu Ne Anlama Geliyor?

Çoğu blokzincir HNDL saldırısına maruz kalmaz: Bitcoin, Ethereum gibi gizlilik odaklı olmayan zincirler, işlem yetkilendirmesinde genellikle post-kuantum şifreleme kullanır, yani dijital imza kullanır, şifreleme değil. İmza, HNDL'nin risk noktası değildir: HNDL, şifreli verilere odaklanır. Örneğin Bitcoin zinciri açıktır, kuantum tehdidi "sahte imza (özel anahtar türeterek hırsızlık)"ne karşıdır, "zaten açık olan işlem verilerini çözmek" değil. Dolayısıyla, HNDL, "derhal taşınmaları gereken" bir şifreleme aciliyeti getirmez.

Ne yazık ki, Fed gibi güvenilir kaynaklar tarafından yapılan bazı analizler bile Bitcoin'in HNDL saldırısına maruz kalacağını yanlışlıkla iddia etti, bu tür bir yanlışlık post-kuantum geçişin aciliyetini abartabilir.

Tabii ki, aciliyetin azalması, Bitcoin'in yavaşça bekleyebileceği anlamına gelmez: Zaman baskısı başka bir şeyden kaynaklanır — protokolün değiştirilmesi için gereken büyük toplumsal koordinasyon maliyetinden kaynaklanır. (Sonraki kısımlarda Bitcoin'in özel baş ağrısından bahsedilecektir.)

Şu anda gerçek istisna olan gizlilik odaklı zincirlerdir: Bu tür birçok zincir alıcıyı ve miktarı şifreler veya gizler. Bu tür gizlilik, "şimdi toplayabilir" ve gelecekte kuantum bilgisayarlarla eliptik eğri şifresini kırabilen zamanlarda anonimliği izleyebilir.

Gizlilik odaklı zincirlerin maruz kalma derecesi tasarıma bağlıdır. Örneğin, Monero'nun eğri tabanlı halka imzası ve key image (çift harcamayı önlemek için kullanılan bir "her çıktı için bağlantılı etiket") ile tarihçe harcamalarının büyük ölçüde açık defterden yeniden oluşturulabileceği olasıdır. Diğer bazı gizlilik çözümlerinin zararı daha sınırlı olabilir — ayrıntılar için Zcash'ın kripto mühendisi ve araştırmacısı Sean Bowe'nin tartışmasına bakabilirsiniz.

Eğer kullanıcılar işlemlerinin CRQC'nin gelmesinden sonra açığa çıkmamasına çok önem veriyorsa, o zaman gizlilik odaklı zincirlerin mümkün olan en kısa sürede post-kuantum şemaya (veya karma şemaya) geçiş yapmaları veya açık olarak çözülebilir gizliliği zincire yazmaktan kaçınan bir mimari benimsemeleri gerekmektedir.

Bitcoin'in "Özel Baş Ağrısı": Yönetişim + Sahiplik Terk Etme

Bitcoin için, post-kuantum imza geçişini en kısa sürede planlaması gerektiren iki gerçek faktör vardır — ve bu iki faktör de kuantum teknolojisiyle ilgili değildir:

Yönetişim Hızı: Bitcoin'in yükseltilmesi çok yavaştır. Herhangi bir anlaşmazlık konusu yıkıcı bir sert çatala yol açabilir, eğer topluluk uzlaşma sağlayamazsa.

Geçiş Pasif olarak Tamamlanamaz: Bitcoin'in post-kuantum imzaya geçişi "otomatik olarak geçiş" yapamaz, jeton sahipleri varlıklarını aktif bir şekilde taşımalıdır. Yani, terk edilmiş, kuantum açısından savunmasız jetonlar korunamaz. Bazı tahminlere göre, bu tür potansiyel olarak terk edilmiş ve kuantum açısından savunmasız BTC'lerin milyonlarca adedi olabilir ve 2025 Aralık fiyatlarına göre trilyonlarca dolarlık bir değere sahip olabilir.

Ancak, Bitcoin'in kuantum tehdidi aniden bir kıyamet günü olmayacak, daha çok seçmeli ve aşamalı bir saldırı sürecine benziyor. Kuantum bilgisayarlar tüm anahtarları aynı anda çözmeyeceklerdir: Shor algoritması her bir genel anahtarı teker teker ele geçirmeyi gerektirir. Erken dönem kuantum saldırısı son derece pahalı ve yavaş olacaktır. Bu nedenle, bir kereye mahsus Bitcoin imza anahtarını kırdıktan sonra, saldırganlar yüksek değerli cüzdanlara öncelik verecektir.

Ayrıca, adres yeniden kullanmayan ve Taproot adresleri (Taproot genel anahtarı doğrudan açığa çıkarır) kullanmayan kullanıcılar, protokol değişmese bile göreceli olarak güvendedir: Genel anahtarları harcama öncesinde sürekli olarak bir kriptografik çekişi korur. Harcama işlemi gönderildiğinde genel anahtar görünür hale gelir ve bu noktada kısa süreli bir "gerçek zamanlı yarış" ortaya çıkar — gerçek sahibinin işlemi en kısa sürede onaylanması gerekirken, kuantum saldırganı anahtarı çıkararak önceden harcamaya çalışır. Dolayısıyla, gerçekten uzun vadeli olarak hassas olan şey, genel anahtarı zaten ortaya çıkmış olan paralardır: Erken dönem P2PK çıktıları, yeniden kullanılan adresler ve Taproot ile tutulanlar.

Ortaya çıkmış ve terk edilmiş paralar için basit bir çözüm yoktur, mümkün olan seçenekler şunları içerebilir:

Toplumun belirli bir "bayrak günü" belirlemesi, belirli bir tarihten sonra taşınmayan tüm paraların imha edilmiş sayılmasına yol açar;

veya bu terkedilmiş kuantum hassas paraları bırakır ve gelecekte herhangi bir CRQC sahibinin doğrudan "ele geçirmesine" izin verir.

İkinci seçenek ciddi yasal ve güvenlik sorunlarına neden olacaktır: Kuantum bilgisayar kullanarak anahtarsız bir şekilde parayı ele geçirmek, sahipliğin yasal veya iyi niyetli olduğunu iddia etseler bile, birçok yargı alanında hırsızlık veya bilgisayar dolandırıcılığıyla ilgili yasaları ihlal edebilir.

Ayrıca, "terk etme" kavramı sadece uzun süre kullanılmayan paralar üzerine yapılan bir tahmine dayanır, kimse bu paraların gerçekten sahipsiz olduğunu veya hala erişilebilir anahtarlara sahip olabileceğini doğrulayamaz. Sadece "bu paralara bir zamanlar sahiptim" kanıtıyla, genellikle varlıkları geri almak için yeterli yasal yetkinin olmadığı ortaya çıkar. Bu tür yasal belirsizlik, kötü niyetli saldırganların hızla işlem yapma olasılığını artırır.

Bitcoin'in ek bir sorunu daha var: zincirdeki işlem kapasitesi çok düşük. Göç planı netleşse bile, tüm kuantum hassas fonları kuantum güvenli sonraki adreslere taşımak, mevcut Bitcoin işlem hızıyla aylar alabilir.

Bu sorunlar, Bitcoin'in şimdiden kuantum sonrası göçü planlaması gerektiği anlamına gelir — CRQC'nin 2030'a kadar ortaya çıkacak olmasından değil, yönetim, koordinasyon ve teknik göçün çözümü için yıllar gerektiğinden dolayı.

Bitcoin'in karşı karşıya olduğu kuantum riski gerçektir, ancak zaman baskısı kendisine özgü kısıtlamalardan kaynaklanır, kuantum bilgisayarların acil bir tehdit olmasından değil. Diğer blockchainler de kuantum hassas fonlarla karşılaşacak, ancak Bitcoin daha özeldir: erken dönem işlemler P2PK çıktılarını kullandı, genel anahtarı doğrudan zincire yazdı, bu da kuantum hassas fon oranını özellikle belirgin hale getirdi. Bitcoin'in tarihi daha eski, değeri daha yoğun, işlem hızı daha düşük ve yönetişimi daha katı olduğundan, sorun daha da ciddileşmektedir.

Vurgulanması gereken önemli bir nokta şudur: Yukarıdaki zayıflık, Bitcoin dijital imza güvenliğini etkiler, Bitcoin ağı ekonomik güvenliğini değil. Bitcoin'in ekonomik güvenliği PoW'a (Proof of Work - İş Kanıtı) dayanmaktadır, kuantum bilgisayarlar PoW'a nispeten sınırlı bir tehdit oluşturur, bunun üç sebebi vardır:

PoW, karmaşık yapısından dolayı yalnızca Grover arama algoritmasının karesel hızlandırmasından etkilenir, Shor algoritması tarafından kullanılan gibi üssel hızlandırmaya maruz kalmaz;

Grover aramasının gerçek dünya uygulaması oldukça maliyetlidir, bu da kuantum bilgisayarların Bitcoin PoW'u üzerinde bile "hafif bir gerçek dünya hızlandırması" elde etmelerini oldukça zor kılar;

Büyük ölçüde bir hızlandırma olsa bile, bunun daha çok büyük madencileri (kuantum madencileri) daha avantajlı hale getireceği, Bitcoin'in ekonomik güvenlik modelini temelden sarsmayacağıdır.

Sonrası Kuantum İmza Maliyeti ve Riski

Bloğ Zincirinin neden hızla sonrası kuantum imzasına geçmemesi gerektiğini anlamak için hem performans maliyetini hem de sonrası kuantum güvenliğimize olan güvenimizin hala değişmekte olduğunu anlamamız gerekmektedir.

Çoğu sonrası kuantum şifreleme şeması beş yolun birine dayanmaktadır:

Hashlama (hashing), Kodlar (codes), Kafesler (lattices), Çok Değişkenli İkinci Dereceden Denklem Sistemleri (MQ), İzogeniler (isogenies)

Neden beş farklı yol var? Çünkü herhangi bir sonrası kuantum şifreleme şemasının güvenliği, kuantum bilgisayarların belirli bir matematiksel problemleri etkili bir şekilde çözemediği varsayımına dayanır. Problemin yapısı ne kadar güçlüyse, o kadar etkili protokoller oluşturabiliriz.

Ancak, daha güçlü yapılar aynı zamanda daha büyük bir saldırı yüzeyi anlamına gelir, daha kolay algoritmalar tarafından sömürülebilirler. Bu temel bir çekişme oluşturur: Daha güçlü bir yapı varsayımı, daha iyi performans getirirken aynı zamanda daha yüksek bir güvenlik riski (varsayımın daha büyük olasılıkla çürütüleceği riski) getirebilir.

Genel olarak, Hashlama yolu güvenlik açısından en muhafazakâr olanıdır, çünkü kuantum bilgisayarların onları etkili bir şekilde hacklemesinin zor olacağına dair güvenimiz vardır; ancak performansı en kötü olandır. Örneğin, NIST'in standartlaştırdığı hash imzalar, yani en küçük parametrelerle bile, 7-8KB boyutundadır. Karşılaştırıldığında, bugün kullanılan eliptik eğri tabanlı dijital imzalar sadece 64 bayttır, yaklaşık olarak boyut olarak 100 kat daha küçüktür.

Kafes şifreleri şu anda geniş çapta dağıtım odaklıdır: NIST tarafından standartlaştırılmış tek şifreleme çözümü ve üç imza algoritmasından ikisi kafeslere dayanır.

Bunlardan biri olan ML-DSA (önceki adıyla Dilithium), şu anda şu şekildedir:

128 bit güvenlik seviyesi: 2.4KB

256 Bit Güvenlik Seviyesi: 4.6 KB

Elips Eğrisi İmzasına Kıyasla Yaklaşık 40-70 Kat Daha Büyük.

Daha küçük bir ızgara imza türü olan Falcon imzası (Falcon-512 için 666 bayt, Falcon-1024 için 1.3 KB) daha küçüktür, ancak karmaşık kayan nokta işlemlerini gerektirir. NIST, uygulamanın zorluğuna özellikle dikkat çekmektedir. Falcon'ın bir yazarı olan Thomas Pornin bile onu "gerçekleştirdiğim en karmaşık şifreleme algoritması" olarak adlandırmıştır.

Güvenlik uygulama açısından bakıldığında, ızgara imza şemaları elips eğrisi şemalarından daha zorlu bir şekilde güvenlik duvarını geçmektedir: ML-DSA daha fazla hassas ara değere ve karmaşık red örnekleme mantığına sahiptir, yan kanal ve hataya dayanıklılık koruması gerektirir; Falcon, sabit zamanlı kayan nokta uygulaması gibi zorluklar içerir ve gerçekten Falcon üzerine yapılan yan kanal saldırılarıyla özel anahtar kurtarımı mümkün olabilmektedir.

Bu sorunlar şu an hemen risk teşkil etmektedir, uzak gelecekteki CRQC riskleri değildir.

Dikkatli olmak tarihsel bir dersle ilişkilidir: Bazı önde gelen aday çözümler, Rainbow (MQ imzası) ve SIKE/SIDH (izogen mantık şifreleme) gibi, sonradan klasik bilgisayarlar tarafından kırılmıştır; yani bugünün bilgisayarları kullanılarak kırılabilmekte, kuantum bilgisayarlarla değil.

Ayrıca, bunlar genellikle NIST standardizasyon sürecinin ilerlemiş aşamalarında kırılmışlardır. Bu durum, bilimsel sürecin işe yaradığını göstermektedir; ancak bize aşırı erken standartlaşmanın ve uygulamanın erken başlamasının ters etki yapabileceğini hatırlatmaktadır.

İnternet altyapısı, bu nedenlerle imza geçişlerinde daha sağlam bir yol izlemektedir. İnternet şifreleme geçişi başladığında bile, genellikle gerçekten yaygınlaşması çok uzun zaman alır: MD5 ve SHA-1'in kullanımdan kaldırılması bunun örneğidir, bunlara rağmen, altyapının gerçekten terk edilmesi yıllar almakta ve hala bazı senaryolarda tamamen ortadan kalkmamıştır. Bu, bu algoritmaların "tamamen kırılmış" durumunda olduğunu, yani sadece "gelecekte kırılabilecekleri" anlamına gelmez.

Blockchain vs Internet Altyapısı: Bazı Benzersiz Zorluklar

İyi haber şu ki, Ethereum, Solana gibi etkin açık kaynaklı topluluklar tarafından sürdürülen zincirler genellikle geleneksel İnternet altyapısından daha hızlı bir şekilde güncellenir.

Ancak, geleneksel İnternet altyapısının da avantajları vardır: Sık sık anahtarları değiştirir, bu da saldırı yüzeyinin sürekli olarak değişmesini sağlar, bu da erken dönemdeki kuantum bilgisayarların tek tek kırılmasını zorlaştırır. Ancak blockchain'in bu "lüks koşulu" yoktur, çünkü coinler ve ilişkili anahtarlar uzun süre açık bir şekilde muhafaza edilebilir ve hareketsiz kalabilir.

Genel olarak, blok zincirin, İnternet karşısında imza taşınmasını ``sağlam bir hızla`` benimsemeye devam etmesi gerekmektedir: çünkü imza HNDL ile yüzleşmemektedir ve olgunlaşmamış kuantum sonrası çözümüne erken geçmenin maliyeti ve riski hala çok büyüktür.

Aynı zamanda, blok zincirinin erken geçişi daha karmaşık hale getiren bazı özel gereksinimleri de vardır: örneğin, zincir üzerinde hızlı bir şekilde büyük miktarda imzanın toplanması gerekebilir. Bugün, BLS imzaları yaygın olarak kullanılmaktadır, çünkü toplama işlemi son derece hızlıdır, ancak bu imzalar kuantum sonrası güvenli değildir. Araştırmacılar, SNARK'ları toplayarak kuantum sonrası imzaları oluşturmanın yollarını araştırmaktadır, bu gelecek vaat eden bir yaklaşım olsa da, halen erken aşamadadır.

SNARK'lar için, topluluk şu anda hash tabanlı yaklaşımı ana kuantum sonrası çözümü olarak görmektedir. Ancak gelecek birkaç aydan birkaç yıla kadar, ızgara tabanlı çözümler, daha iyi performans gibi avantajlar sağlayarak, daha kısa ispatlar gibi avantajlar sunarak tercih edilebilir bir seçenek haline gelebilir - benzer şekilde "ızgara imzası, hash imzasına kıyasla daha kısadır" karşılaştırmasına benzer şekilde.

Şu Anda Daha Büyük Sorun: Güvenliği Sağlamak, Kuantum Tehditleri Değil

Gelecek birçok yıl boyunca, uygulama güvenlik açıklıklarının, CRQC'den daha olası ana güvenlik riski haline gelmesi muhtemeldir. SNARK'lar için, başlıca sorun hatalardır.

Dijital imzaların ve şifrelemenin hata olmaksızın uygulanması zaten zordur, SNARK'ların karmaşıklığı ise daha da fazladır. Aslında, dijital imza şemaları, çok basit bir zkSNARK türü olarak düşünülebilir: "Bu public anahtara karşılık gelen özel anahtarı biliyorum ve bu iletiye yetkiliyim" şeklinde bir kanıt sunar.

Kuantum sonrası imzalar için, şu anda yan kanal saldırıları, hata enjeksiyonları ve diğer uygulama saldırılarıyla yüzleşmek gerekmektedir. Bu tür saldırılar gerçek dünyada oldukça olgunlaşmış durumda olup, bu saldırılar sistemin root private anahtarlarını çıkarmak için yeterince güçlüdür, bu da uzak kuantum bilgisayarının tehdidinden çok daha acildir.

Gelecek birkaç yıl boyunca, topluluk SNARK'ların hatalarını sürekli olarak keşfetmeli ve düzeltmeli ve yan kanal saldırılarına ve hata enjeksiyonlarına karşı dayanıklı kuantum sonrası imzaları güçlendirmelidir. Kuantum sonrası SNARK'lar ve imza toplama şemaları hala gelişmekte olduğundan, erken geçiş yapan bir zincir, daha iyi bir çözüm ortaya çıktığında veya bir güvenlik açığı keşfedildiğinde ikinci bir göç yapmak zorunda kalabilir ve yanlış bir çözümde kilitlenebilir.

Ne Yapmalıyız? 7 Öneri

Yukarıdaki gerçekleri göz önünde bulundurarak, farklı roller için (geliştiriciler, politika belirleyiciler vb.) önerilerim şunlardır: Kuantum tehditlerine ciddi bir şekilde yaklaşın, ancak CRQC'nin 2030'a kadar geleceğini varsaymayın. Bu varsayım, açık ilerlemelerle uyumlu değildir. Bununla birlikte, hala hemen yapabileceğimiz bazı adımlar var ve bu adımları atmalıyız:

#1 Hemen karmaşık şifreleme uygulayın.
Uzun süreli gizlilik gerektiren yerlerde en azından. Tarayıcılar, CDN'ler, iletişim uygulamaları, HNDL'ye karşı direnç göstermek ve aynı zamanda kuantum sonrası çözümlerin olası eksikliklerine karşı koruma sağlamak için geniş çapta "kuantum sonrası + klasik" karma yaklaşımını benimsemişlerdir.

#2 Boyut izin verdiğinde, hemen kara liste imzası kullanın.
Örneğin düşük sıklıklı, hacim duyarlı olmayan senaryolar, yazılım/donanım güncellemeleri gibi durumlarda, karma liste imzasını hemen benimsemek gerekir (karma, bir hata olasılığına karşı dengeleme yapmak için değil, kara liste güvenliği varsayımından şüphe etmek için).

Bu adeta topluma bir "can simidi" hazırlamak gibidir: Eğer CRQC beklenenden önce meydana gelirse ve bizim daha sonraki kara liste imzası yazılım güncelleme mekanizmamız yoksa, başlangıçta sıkıntıya düşeriz—hatta CRQC'ye karşı yamağı güvenli bir şekilde dağıtamayız.

#3 Blockchain'in hemen ardından kara liste imzasına geçmesi gerekmez, ancak şu anda planlama yapmalıdır.
Blockchain, İnternet PKI topluluğunun istikrarlı hızına özen göstermeli, kara liste imzasının olgunlaşmasına izin vermeli, sistem yeniden yapılandırmasına zaman tanımalı, daha büyük imzaları uyum sağlamak ve daha iyi toplama teknolojilerini geliştirmek için.

Bitcoin'e ve diğer L1'lere kıyasla: Acil bir şekilde, kara liste imzası ve kırılgan kara liste fonları için bir göç planı ve politika belirlemek önemlidir, çünkü pasif göç mümkün değildir, ve Bitcoin'in zorluğu daha çok yavaş yönetimden ve büyük miktardaki yüksek değerli potansiyel terk edilmiş adreslerden kaynaklanmaktadır, bu nedenle şimdi planlama yapmak daha da önemlidir.

Aynı zamanda, kara liste sonrası SNARK ve toplama imza araştırmalarının olgunlaşması için zaman ayrılmalıdır (belki bir veya iki yıl veya daha uzun sürebilir). Erken bir göç, altında kalmış bir çözümle sıkışıp kalabilir veya bir uygulama hatası açığa çıktıktan sonra ikinci kez göç etmek zorunda kalabilir.

Ethereum hesap modeli hakkında ek açıklamalar: Ethereum'un iki farklı hesap türü vardır, bu da sonrası kara liste geçiş şeklini etkiler: Dış hesaplar (EOA), secp256k1 özel anahtarı tarafından kontrol edilir; akıllı sözleşme cüzdanları, programlanabilir yetkilendirme mantığına sahiptir.

Acil olmayan durumlarda, Ethereum'un kara liste imza desteğine katılması durumunda, yükseltilebilir bir sözleşme cüzdanı güncellemeyle doğrulama mantığını değiştirebilir; EOA'lar ise muhtemelen varlıkları yeni bir kara liste güvenli adresine taşımak zorunda kalacak (Ethereum muhtemelen özel bir mekanizma sunacaktır). "Kara liste acil durumu"nda, Ethereum araştırmacıları zayıf hesapları dondurma çözümü önermişler ve kullanıcıların varlıklarını kurtarmak için kara liste güvenli SNARK kanıtını bilmeleri gereken bir mekanizma önermişlerdir, bu mekanizma hem EOA'lara hem de güncellenmemiş cüzdanlara uygulanabilir.

Kullanıcılar için: İyi denetlenmiş, yükseltilebilir bir sözleşme cüzdanının taşınması biraz daha kolay olabilir; ancak fark sınırlıdır ve cüzdan sağlayıcısına güven ve yükseltme yönetimi arasında seçim yapmayı gerektirir. Hesap türünden daha önemli olan, Ethereum'un kara liste primitif araştırmasını ve acil durum planlarını sürekli olarak ilerletmesidir.

Geliştiriciler için daha genel tasarım ipuçları: Birçok zincir, hesap kimliğini belirli bir imza primitifiyle sıkıca bağlamıştır (örneğin Bitcoin/Ethereum secp256k1'e bağlı, diğer zincirler EdDSA'ya bağlı). Sonrası kara liste göçü, "hesap kimliğini belirli bir imza protokolünden ayırma" değerini ortaya koymuştur. Ethereum'un akıllı hesaplarını ilerletmesi ve diğer zincirlerin hesap soyutlamasını ilerletmesi, bu eğilimi yansıtmaktadır: Hesap güncelleme kimliğini mümkün kılar, blockchain tarihini ve durumunu terk etmeden. Bu, sonrası kara liste göçünü "kolay" hale getirmez, ancak esnekliği önemli ölçüde artırır ve aynı zamanda vekalet ödemeleri, sosyal kurtarma, çoklu imza gibi işlevleri destekler.

#4 Özel Zincir İçin Öncelikli Göç: Mümkünse Erken (Eğer Performans Buna İzin Veriyorsa).
Özel zincirin gizliliği, HNDL riskinden etkilenecek ve tasarımı daha fazla açık hesap defterine geriye doğru izlenebilir hale geldikçe risk daha da artacaktır. Hibrit bir yaklaşım düşünülebilir veya çözülebilir gizlemelerin zincirde saklanmasından kaçınmak için mimari ayarlamalar yapılabilecektir.

#5 Şu Anda En Önemli Öncelik Güvenliği Sağlamak, Kuantumla Başa Çıkmak Değil.
SNARK ve sonraki kuantum sonrası imza gibi karmaşık primitifler için, hatalar, yan kanal saldırıları ve hata enjeksiyonu gelecek yıllarda CRQC'den çok daha tehlikeli olmaya devam edecektir. Derhal denetim, bulanık test, biçimsel doğrulama ve derin savunmaya yatırım yapılmalıdır; "kuantum kaygısının" daha acil güvenlik açıkları riskini gölgelemesine izin verilmemelidir.

#6 Kuantum Hesaplamanın Gelişimine Destek Verin.
Eğer Amerika Birleşik Devletleri'nden önce ana rakipler CRQC'yi başarırsa, ciddi ulusal güvenlik riski ortaya çıkacaktır. Bu nedenle, kuantum hesaplama araştırma ve yeteneklerine sürekli yatırım yapılmalıdır.

#7 Kuantum Hesaplama Açıklamalarına Sakin Bir Bakış Açısıyla Yaklaşın.
Gelecek birkaç yıl boyunca birçok donanım kilometre taşı olacaktır. Belirli bir anlamda, sık sık gerçekleşen bu kilometre taşları aslında CRQC'ye henüz çok uzak olduğumuzu göstermektedir: Her bir kilometre taşı yalnızca CRQC'ye giden birçok köprüden biri olup, her seferinde bir dizi rezalet ve heyecan dalgası yaratacaktır. Haber bültenlerini "eleştirel bir değerlendirme gerektiren gelişme raporu" olarak değerlendirmeli ve "derhal kapsamlı bir eylem sinyali" olarak değil.

Tabii ki, gelecekte beklenmedik yeniliklerin hızlı bir zaman çizelgesi sağlayabileceği ve aynı şekilde ciddi engellerle karşılaşabileceği de mümkündür. Beş yıl içinde CRQC'nin fiziksel olarak tamamen imkansız olacağını söylemeyeceğim, ancak olasılık çok düşüktür. Yukarıdaki önerilerin amacı, bu belirsizliğe karşı sağlamlığı korumak ve aynı zamanda daha gerçekçi ve daha yüksek olasılıklı riskleri önlemek: zafiyetlerin ortaya çıkması, aceleyle dağıtım, ve şifreleme geçişlerinde yaygın olarak karşılaşılan insan hataları.

[Orjinal Makale Bağlantısı]

BlockBeats Resmi Topluluğuna Katılın:

Telegram Abonelik Grubu: https://t.me/theblockbeats

Telegram Sohbet Grubu: https://t.me/BlockBeats_App

Twitter Resmi Hesabı: https://twitter.com/BlockBeatsAsia