[論文レビュー] Quantum attacks on Bitcoin, and how to protect against them

Divesh Aggarwal, Gavin K. Brennen+3 more|RePEc: Research Papers in Economics|Oct 28, 2017

Quantum Computing Algorithms and Architecture被引用数 8

ひとこと要約

この論文は、量子攻撃に対するBitcoinの脆弱性を分析し、近い将来の量子コンピュータに対してはASICマイニング速度が非常に高いことから、PoW（プルーフ・オブ・ワーク）は比較的安定している一方、楕円曲線デジタル署名は深刻なリスクを負っていると結論している。具体的には、2027年ごろには量子コンピュータによって破られる可能性がある。著者らは、将来的なブロックチェーンシステムのセキュリティを確保するため、Momentum PoWや後量子署名方式といった量子耐性を持つ代替手法を提案している。

ABSTRACT

The key cryptographic protocols used to secure the internet and financial transactions of today are all susceptible to attack by the development of a sufficiently large quantum computer. One particular area at risk are cryptocurrencies, a market currently worth over 150 billion USD. We investigate the risk of Bitcoin, and other cryptocurrencies, to attacks by quantum computers. We find that the proof-of-work used by Bitcoin is relatively resistant to substantial speedup by quantum computers in the next 10 years, mainly because specialized ASIC miners are extremely fast compared to the estimated clock speed of near-term quantum computers. On the other hand, the elliptic curve signature scheme used by Bitcoin is much more at risk, and could be completely broken by a quantum computer as early as 2027, by the most optimistic estimates. We analyze an alternative proof-of-work called Momentum, based on finding collisions in a hash function, that is even more resistant to speedup by a quantum computer. We also review the available post-quantum signature schemes to see which one would best meet the security and efficiency requirements of blockchain applications.

研究の動機と目的

• 量子コンピュータがBitcoinの核心的な暗号基盤、特にプルーフ・オブ・ワークと楕円曲線署名に与える脅威を評価すること。
• Bitcoinの現在の暗号基盤に対する量子攻撃の実現可能性とタイムラインを評価すること。
• ブロックチェーンアプリケーション向けに、Momentum PoWや後量子署名方式を含む量子耐性を持つ代替手法を提案・分析すること。
• Bitcoinの現在のセキュリティモデルを破る能力を持つ量子コンピュータの登場予測タイムライン、特に署名偽造の可能性がある期間を推定すること。

提案手法

• 2015–2017年の歴史的データを用いて、Bitcoinネットワークのハッシュレートと難易度の将来の成長をモデル化し、将来のマイニング耐性を予測する。
• キュービット数、ゲート周波数、ゲート不正確性に基づいて、量子コンピュータの開発モデルを構築し、上限を設けた指数的成長を仮定する。
• Shorのアルゴリズムを用いて、離散対数問題を解くことで楕円曲線暗号（ECC）を破るのに必要な時間の推定を行う。
• ハッシュ衝突の特定に依存するMomentum PoWスキームを分析し、BitcoinのHashcash PoWと比較して、量子速度上昇に対する耐性を評価する。
• セキュリティ、効率性、鍵長の観点から、ブロックチェーンシステムへの適用性を基準に、後量子署名方式を調査・評価する。
• フォールトトレラント量子コンピューティング分野の理論的進展を組み込み、故障耐性のある量子アルゴリズムに必要なキュービット数とゲート数を削減し、時間依存のオーバーヘッド要因をモデル化する。

実験結果

リサーチクエスチョン

• RQ1 楽観的な仮定のもとで、量子コンピュータはいつまでにBitcoinの楕円曲線デジタル署名方式を破れるか？
• RQ2 量子コンピュータはBitcoinのプルーフ・オブ・ワークマイニングをどの程度加速できるか？その加速は10年以内にシステムを危うくする程度のものか？
• RQ3 Momentum PoWスキームは、BitcoinのHashcash PoWと比較して、量子速度上昇に対してどの程度耐性を示すか？
• RQ4 ブロックチェーンシステムへの導入に最も適した後量子署名方式は何か？セキュリティと効率性のバランスを考慮して評価する。
• RQ5 故障耐性のある量子コンピュータが、Bitcoinの現在の暗号セキュリティを破れるようになる予想タイムラインは？

主な発見

• 最も楽観的な量子コンピュータ開発シナリオのもとでは、量子コンピュータがBitcoinの楕円曲線署名方式を10分未満で破れる可能性があり、これはBitcoinのブロックタイムと同等の速度である。その時期は2027年ごろにまで及ぶ可能性がある。
• Bitcoinの現在のプルーフ・オブ・ワークメカニズムは、近い将来の量子コンピュータですらASICマイナーの速度に比べて著しく遅いため、量子速度上昇に対して比較的耐性がある。
• ハッシュ衝突の特定に依存するMomentum PoWスキームは、BitcoinのHashcash PoWよりもさらに低い量子速度上昇を示し、量子攻撃に対してより耐性がある。
• 量子コンピュータ開発は2つのシナリオでモデル化されている：楽観的（キュービット数が10か月ごとに2倍、ゲート周波数最大50 GHz）と悲観的（20か月ごとに2倍、最大5 GHz）。ゲート不正確性は、楽観的シナリオで5×10⁻⁶、悲観的シナリオで5×10⁻⁵に安定すると予想される。
• 理論的進展により、故障耐性のある量子アルゴリズムのオーバーヘッドは、年間で0.75（楽観的）または0.85（悲観的）の要因で減少すると予想され、大規模な量子攻撃の実現可能性が向上する。
• 後量子署名方式は実用的な代替手段とされているが、ブロックチェーン環境におけるパフォーマンスと鍵長のトレードオフを慎重に評価する必要がある。