(1).png)
來(lái)源：劉教鏈公眾號(hào)
BTC昨天剛剛作勢(shì)拉升脫離30日均線，今天又回踩了一下30日均線（大約在104.9k附近）。
近日有多位讀者朋友給教鏈轉(zhuǎn)發(fā)有關(guān)量子計(jì)算以及大餅要在未來(lái)幾年內(nèi)歸零的FUD（教鏈注：幣圈術(shù)語(yǔ)，意為讓聽(tīng)眾產(chǎn)生恐懼、懷疑、困惑的感覺(jué)，以制造恐慌）。
量子計(jì)算FUD不說(shuō)年年都有吧，也是每隔幾年就要來(lái)上幾發(fā)。但是怎么說(shuō)呢，幾乎所有大眾能夠看到的拿量子計(jì)算說(shuō)什么大餅要?dú)w零的，有一個(gè)算一個(gè)都是忽悠；如果后續(xù)再趁機(jī)給你推薦幾個(gè)所謂的抗量子幣，那就基本上可以認(rèn)定是騙局了。
但凡是看過(guò)教鏈有關(guān)于量子計(jì)算的文章，或者認(rèn)真讀過(guò)《比特幣史話》中有關(guān)量子計(jì)算的章節(jié)，應(yīng)該很容易一眼識(shí)破這類忽悠和騙局。
如果只是被忽悠，害怕歸零而不敢持有大餅，那么不過(guò)是錯(cuò)過(guò)一些大餅未來(lái)上漲的機(jī)會(huì)而已；但是如果再被騙著去花錢買了什么狗屁抗量子幣，那可就真要遭受財(cái)產(chǎn)損失了。
記住以下幾個(gè)知識(shí)點(diǎn)：
第一，量子計(jì)算機(jī)達(dá)到實(shí)用水平還有多長(zhǎng)的路要走？很長(zhǎng)。至少比出來(lái)吹牛逼的那些人嘴里的5年8年要長(zhǎng)得多得多。就像你經(jīng)常聽(tīng)搞AI的人吹牛逼說(shuō)203X年之前就能搞出來(lái)所謂AGI（通用人工智能），計(jì)算機(jī)在智能水平上徹底碾壓人類。實(shí)際上呢，也許只不過(guò)是為了忽悠投資人拿錢給他們燒的話術(shù)罷了。也許10年，20年，50年，甚至在戰(zhàn)爭(zhēng)或天災(zāi)導(dǎo)致人類毀滅之前都沒(méi)戲也說(shuō)不定。
第二，如果量子計(jì)算機(jī)很快實(shí)用化，也許你首先應(yīng)該擔(dān)心一下你的傳統(tǒng)銀行賬戶里的錢還安全不安全。這些系統(tǒng)統(tǒng)統(tǒng)都很容易被實(shí)用化的量子計(jì)算攻破，比大餅要容易得多。大餅的地址是簽名算法外面套了一層哈希，如果遵循教鏈在小白課上講過(guò)的「每個(gè)地址只用一次」的使用原則，那么就是天然抗量子攻擊的。這是因?yàn)榇箫炗玫墓Ｓ泻軓?qiáng)的量子抗性。
第三，大餅在技術(shù)上很容易把目前的簽名算法更換成抗量子的簽名算法。技術(shù)人員也在積極關(guān)注和研究抗量子算法的最新進(jìn)展，并且采用確保時(shí)刻做好升級(jí)準(zhǔn)備的先發(fā)制人策略。至于為什么現(xiàn)在不動(dòng)手升級(jí)？那是因?yàn)楝F(xiàn)在提出來(lái)的那些個(gè)抗量子算法都太差勁了。倒不是說(shuō)它們沒(méi)有量子抗性，而是它們的簽名尺寸實(shí)在是太太太大了，大到根本不能滿足大餅系統(tǒng)的要求。
畢竟，一切問(wèn)題最終都要落實(shí)到工程可行性上面來(lái)。《比特幣史話》第三章第9話就介紹過(guò)當(dāng)年中本聰針對(duì)簽名算法的選擇所重點(diǎn)考慮的正是尺寸因素。當(dāng)年他是這么說(shuō)的：
中本聰分別在 2010 年 1 月 29 日、5 月 20 日 和 7 月 25 日 三次參與比特幣社區(qū)論壇話題討論時(shí)解釋道：“比特幣使用的是橢圓曲線數(shù)字簽名算法(EC-DSA)。這個(gè)算法只能用于數(shù)字簽名，而不能用于加密。RSA兩者都能做，但是我沒(méi)有采用它，因?yàn)樗笠粋€(gè)數(shù)量級(jí)，這就不切實(shí)際了。”“不是說(shuō)可執(zhí)行程序的大小，而是說(shuō)數(shù)據(jù)的大小。如果區(qū)塊鏈、比特幣地址、磁盤(pán)空間、帶寬需求都大一個(gè)數(shù)量級(jí)，這就不太可行了?！?/p>
那么今天我們能看到的抗量子算法，尺寸相比于ECC或者RSA又當(dāng)如何呢？答案是大數(shù)百到近千倍。比如SPHINCS+算法，「較低安全級(jí)別的SLH-DSA-SHA2-128s簽名大小約為8KB，而較高安全級(jí)別的SLH-DSA-SHA2-256f甚至達(dá)到50KB，比傳統(tǒng)簽名算法（如RSA或ECC，后者僅有64B）大得多，不適合對(duì)存儲(chǔ)和帶寬要求嚴(yán)格的場(chǎng)景。」
想象一下大餅的賬本尺寸從今天不到1TB猛增一千倍到1EB會(huì)怎么樣？任何一個(gè)目前鼓吹什么抗量子幣的，必然用目前市面上已有的抗量子算法，后果就是尺寸太大以至于工程上完全是個(gè)廢物，無(wú)法承載大吞吐量，并且會(huì)因?yàn)橘~本尺寸過(guò)大而嚴(yán)重削弱去中心化。
想當(dāng)年中本聰僅僅因?yàn)镽SA簽名尺寸比ECC“大了一個(gè)數(shù)量級(jí)”就棄用RSA，并直言不諱地指出，“這就不切實(shí)際了”?？上攵裉焖械目沽孔铀惴?，比目前算法的簽名尺寸要大三四個(gè)數(shù)量級(jí)，任何說(shuō)這種玩意兒比現(xiàn)在的大餅更好的人，非蠢即壞。
前些天，密碼學(xué)家、Blockstream公司創(chuàng)始人Adam Back，也是中本聰在比特幣白皮書(shū)參考資料里引用過(guò)的人，發(fā)了一些推文，闡述了一下他對(duì)于目前抗量子算法以及量子計(jì)算FUD的看法。
他說(shuō)的是什么呢？
他說(shuō)：「FIPS 205: SLH-DSA。目前我認(rèn)為最佳的后量子安全簽名候選方案。簽名尺寸稍大，但若想阻止過(guò)早的量子恐慌（FUD），可設(shè)計(jì)一種新地址格式：結(jié)合Schnorr Taproot和SLH-DSA Tapleaf。證畢（QED）。未來(lái)工作：利用STARKs實(shí)現(xiàn)SLH-DSA的簽名聚合?！?/p>
當(dāng)然，作為密碼學(xué)專家，他的話里用了很多術(shù)語(yǔ)，讓普通人難以很快理解。簡(jiǎn)單地說(shuō)，就是他認(rèn)為由美國(guó)國(guó)家標(biāo)準(zhǔn)局（NIST）標(biāo)準(zhǔn)化的SLH-DSA算法（編號(hào)為FIPS 205）是目前最佳。這個(gè)SLH-DSA算法，其實(shí)就是教鏈在上面提到的SPHINCS+算法。
從技術(shù)上講，SLH-DSA算法的優(yōu)勢(shì)在于無(wú)狀態(tài)設(shè)計(jì)和高安全性（僅依賴哈希函數(shù)），但簽名尺寸顯著大于傳統(tǒng)方案（如RSA或ML-DSA）。
然后他跟推作了一些補(bǔ)充解釋：
「你可以在未來(lái)幾年或幾十年內(nèi)逐步遷移到新的地址格式，這種格式既能使用Schnorr簽名進(jìn)行交易，又無(wú)需當(dāng)下承擔(dān)SLH-DSA簽名帶來(lái)的空間和費(fèi)用開(kāi)銷。但若未來(lái)出現(xiàn)具備密碼學(xué)威脅的量子計(jì)算機(jī)，你已做好應(yīng)對(duì)準(zhǔn)備。??
我青睞SLH-DSA，因?yàn)樗赟PHINCS+——這一算法本身是對(duì)1982年Winternitz簽名的改進(jìn)，而后者又源自1979年的Lamport簽名，且依賴簡(jiǎn)單而穩(wěn)健的數(shù)學(xué)假設(shè)。相比之下，其他多數(shù)NIST候選簽名方案基于未經(jīng)充分驗(yàn)證的新型數(shù)學(xué)假設(shè)，風(fēng)險(xiǎn)較高。??
Taproot地址本質(zhì)上是未哈希的Schnorr公鑰，但可通過(guò)調(diào)整（tweak）來(lái)揭示一個(gè)Tapleaf（包含SLH-DSA或其他操作碼）。Taproot在設(shè)計(jì)之初便前瞻性地將Tapleaf的調(diào)整機(jī)制設(shè)計(jì)為抗量子安全的，以此替代哈希公鑰的方案，體現(xiàn)了更優(yōu)的工程智慧。 」
根據(jù)大餅BIP 341的設(shè)計(jì)標(biāo)準(zhǔn)，Tapleaf的調(diào)整（tagged_hash("TapLeaf", ...)）使用抗量子哈希（如SHA-256），確保即使量子計(jì)算機(jī)出現(xiàn)，腳本路徑仍然安全。
他進(jìn)一步解釋說(shuō)：
「比特幣（應(yīng)當(dāng)對(duì)）量子計(jì)算做好準(zhǔn)備，這樣我們就不會(huì)因?yàn)樾畔⒉粚?duì)稱的混亂——那些對(duì)早期量子計(jì)算物理和算法漸進(jìn)式改進(jìn)的過(guò)度報(bào)道——而導(dǎo)致比特幣價(jià)格波動(dòng)，畢竟量子計(jì)算要達(dá)到密碼學(xué)相關(guān)水平很可能還需要數(shù)十年時(shí)間。
在我看來(lái)最可能的結(jié)果是SLH-DSA永遠(yuǎn)不會(huì)被實(shí)際使用，因?yàn)樵诰邆涿艽a學(xué)意義的量子計(jì)算機(jī)建成之前很多年，它就會(huì)被更緊湊或支持簽名聚合的方案所取代。但我們必須超越這種愚蠢的短期恐慌。而且這種準(zhǔn)備本身就具有漸進(jìn)式的實(shí)用價(jià)值?！?/p>
還有網(wǎng)友問(wèn)他，疑似屬于中本聰?shù)哪切┏钟写罅緽TC的早期挖礦地址怎么處理。對(duì)此，他給出了個(gè)人的猜想：
「我猜我們終將知道中本聰是否還在，以及他是否會(huì)在抗量子地址啟用后的數(shù)十年間、但在具備密碼學(xué)威脅的量子超級(jí)計(jì)算機(jī)出現(xiàn)之前轉(zhuǎn)移那些比特幣。
如果最終真的出現(xiàn)了具備密碼學(xué)威脅的量子計(jì)算機(jī)，我們就能知道中本聰是否還在世并轉(zhuǎn)移這些幣。我的猜測(cè)是：對(duì)于那些屆時(shí)仍未移動(dòng)的比特幣，ECDSA和Schnorr簽名方案將被棄用?！?/p>
贊
.png)
2276
收藏
