简要来说

• Trezor 正在为后量子比特币时代的用户体验问题做准备。该公司 CTO Tomáš Sušánka 表示，社区主推的签名方案 SHRINCS 允许用户选择更高效的“有状态”签名，但如果在超过签名预算后重复使用，可能会让资金面临被盗风险。
• 为降低这一风险，Trezor 正考虑将更大、更安全的“无状态”签名设为默认选项，并把风险更高的有状态签名放到高级设置中。
• 他还指出，设备本身也需要在固件和认证方面进行后量子升级。

比特币托管一直都伴随着某种程度的风险，但像 Trezor 这样的钱包制造商——它们生产旨在将用户私钥离线安全保存的实体设备——正在为后量子世界做准备，因为届时会出现新的挑战。

原因在于，社区主推的后量子签名方案 SHRINCS 允许用户使用有状态签名进行交易，而这种签名需要严格跟踪状态，以防资金被盗，Trezor CTO Tomáš Sušánka 表示。

SHRINCS 由 Blockstream 研究总监 Jonas Nick 和密码学家 Mikhail Kudinov 去年晚些时候提出，其核心是一种复合的基于哈希的方法：用户可以使用有状态签名或无状态签名进行交易。

无状态签名体积相当大，可能会影响手续费、签名速度以及其他效率指标，但它可以安全重复使用；而更小、效率更高的有状态签名，一旦在特定签名预算之外被重复使用，就会带来严重的安全风险。

SHRINCS 的有状态部分由一棵一次性签名树组成，如果这些密钥被意外使用超过一次，就会泄露足够的密码学信息，使他人能够伪造该用户的签名，并实际上窃取资金。

如果比特币最终成功采用 SHRINCS，那么对钱包状态进行精确计数将成为钱包开发者的一项关键职责，同时也会带来许多潜在的边缘场景安全风险。

“你是在给他们一个出错的机会，”Sušánka 在最近一期 MARA Foundation TV 节目中谈到状态跟踪时说。“我们的工作是把它做得安全，对吧？这不应该是用户的工作。”

为缓解这一风险，Trezor 正在权衡如何在后量子世界中支持安全的用户体验。例如，Sušánka 说，公司正在考虑把更笨重、速度更慢的无状态签名设为所有用户的默认设置，而把风险更高的有状态签名藏在高级设置之后。

虽然 Sušánka 认为 SHRINCS 可能是更保守的密码学选择，因为它依赖与 SHA-256 相同的密码学假设，但他也表示自己“对这个话题有点纠结，因为维护状态是一种负担”。

“比如，你可以有两台使用同一个恢复助记词的 Trezor。你要怎么在这两台设备之间共享状态？你其实做不到，”他补充说。

“话虽如此，和所有事情一样，这里也存在取舍，”Sušánka 继续说。“[有状态]签名要小 10 倍……这会带来很大差异。所以，我只是并不想把它完全排除掉。”

Sušánka 还表示，虽然很多人关注的是比特币迁移到后量子地址和签名的路径，但硬件钱包设备本身也需要进行物理更新，才能实现完整的量子防护。大多数签名设备在固件和设备认证等硬件特定安全功能上，仍使用对量子计算脆弱的密码学。

如果用户希望确保设备在后量子世界中仍然安全，就需要使用“量子就绪”设备，也就是在设备和固件认证方面同样采用后量子密码学的设备。

为提前满足这些需求，该公司已经在发售像 Trezor Safe 7 这样的产品，这些产品支持用于钱包认证流程的后量子密码学。当然，这些设备上的交易只有在比特币本身升级到后量子安全之后，才会真正实现量子安全。

尽管如此，Sušánka 仍警告开发者不要拖得太久才向用户提供迁移选项，因为他认为，潜在的数百万用户迁移将需要时间。

“人们应该准备好做出妥协，”Sušánka 说。“如果我们对什么能做、什么不能做都非常严格，我们就什么也做不成。”

André Beganski 是 MARA Foundation 的高级内容经理，负责制作包括量子计算与密码学交叉领域在内的内容。他此前曾在 Decrypt 工作。

每日简报通讯

每天一开始就获取最新头条新闻，以及原创专题、播客、视频等更多内容。