Kryptograficzne podstawy internetu zostały stworzone dla świata, który już nie istnieje — a dokładniej: dla świata, któremu po cichu kończy się czas. Q-Day, czyli moment, w którym komputer kwantowy będzie na tyle potężny, by złamać nowoczesne szyfrowanie z użyciem klucza publicznego, nie jest już teoretycznym horyzontem. Zdaniem wielu weteranów kryptografii jest to problem końca lat 20. XXI wieku. Oznacza to, że jest bliżej, niż sugeruje większość korporacyjnych planów, i znacznie bliżej, niż przeciętny użytkownik krypto został przygotowany oczekiwać. Kluczowym mechanizmem jest algorytm Shora, opublikowany w 1994 roku: wystarczająco duża, skorygowana błędami maszyna kwantowa mogłaby wykorzystać go do wyprowadzenia kluczy prywatnych stojących za kryptografią RSA i kryptografią krzywych eliptycznych, czyli schematami zabezpieczającymi większość ruchu internetowego i praktycznie całe krypto. Żaden istniejący dziś komputer nie jest w stanie uruchomić tego algorytmu na taką skalę, dlatego spór ekspertów koncentruje się na dacie pojawienia się tej możliwości, a nie na samej matematyce.

Joseph Gabriel Mattia III, COO Quantus — firmy integrującej kryptografię postkwantową z infrastrukturą portfeli sprzętowych — analizuje, jak taka zmiana wygląda na poziomie protokołu, na poziomie przechowywania aktywów oraz z perspektywy zwykłego posiadacza, który o bezpieczeństwie nauczył się wszystkiego z pudełka po portfelu sprzętowym. Jego odpowiedzi są mniej uspokajające, niż sugeruje obecna postawa branży. Bardziej niepokoi go administracyjny klucz stablecoina niż portfel Satoshiego. Twierdzi, że multisig nie zapewnia realnego oporu wobec ataku kwantowego — to po prostu więcej zamków tego samego, uszkodzonego rodzaju. A każdy ważny aktyw krypto śledzony przez migration.fail, publiczny tracker gotowości, jest obecnie oznaczony jako podatny na poziomie podpisu.

Poniżej rozmowa o zagrożeniu, którego branża jeszcze nie traktuje wystarczająco poważnie, o tym, dlaczego czekanie na proof of concept może już być zbyt późne, oraz o tym, jak naprawdę powinna wyglądać gotowość kwantowa — nie jako etykieta marketingowa, lecz jako coś możliwego do zweryfikowania, audytowalnego i wbudowanego domyślnie w cały stack.

Kiedy według pana nastąpi „Q-Day” — próg, po którym komputer kwantowy może złamać nowoczesną kryptografię klucza publicznego? Które systemy, dane, aktywa, protokoły lub infrastruktura byłyby pierwszym celem atakujących? Dlaczego?

Najprawdopodobniej gdzieś pod koniec lat 20. XXI wieku. Nadal trwa spór o dokładny rok, ale wielu weteranów kryptografii uważa, że stanie się to w ciągu najbliższych czterech lat.

Jeśli chodzi o pierwsze cele, nie spodziewam się, że będzie to Bitcoin Satoshiego, mimo że to właśnie tam zwykle kierują się myśli ludzi.

Gdyby atakujący dysponował taką możliwością, uderzenie w coś widocznego oznajmiłoby to całemu światu i zniszczyło ogromną przewagę strategiczną. Prawdopodobnie skupiliby się na kluczach dających największą kontrolę lub wartość, jednocześnie przyciągając jak najmniej uwagi.

W krypto bardziej niepokoiłby mnie na przykład administracyjny klucz dużego stablecoina. Jeden skompromitowany klucz mógłby wpłynąć na cały ekosystem, co czyni go znacznie większym celem niż pojedynczy portfel.

Poza krypto wskazałbym tajne komunikacje rządowe, sieci wojskowe i systemy wywiadowcze, gdzie złamanie kryptografii klucza publicznego mogłoby ujawnić bardzo wrażliwe dane.

Wiele projektów twierdzi dziś, że jest „odpornych na kwanty”, ale bez jednolitej, audytowalnej listy kontrolnej takie deklaracje są niemożliwe do zweryfikowania. Co pana zdaniem stanowi minimalny próg gotowości kwantowej?

Dla mnie minimalny próg oznacza, że projekt powinien być w stanie dokładnie pokazać, gdzie w jego stosie nadal istnieje kryptografia podatna na zagrożenia kwantowe. Użycie mechanizmu autoryzacji bezpiecznego postkwantowo to dobry początek, ale nie sprawia, że cała sieć jest gotowa na kwanty.

Autoryzacja transakcji powinna opierać się na uznanym postkwantowo bezpiecznym mechanizmie, a projekt powinien publicznie dokumentować, co chroni jego połączenia P2P, konsensus, systemy zero-knowledge, warstwę prywatności, mosty oraz wszelką inną krytyczną infrastrukturę.

Potrzebne jest też wyraźne rozróżnienie między tym, co działa dziś, a tym, co istnieje wyłącznie na mapie drogowej.

Najważniejsze jednak, żeby te deklaracje dało się audytować. Każdy powinien móc zobaczyć, jakie algorytmy i zestawy parametrów są używane, przeanalizować implementację i zweryfikować, że bezpieczeństwo nie opiera się na nieprzejrzystym lub nieweryfikowalnym schemacie ani na etykiecie marketingowej.

Jeśli nie można wskazać dokładnej kryptografii chroniącej każdą krytyczną część systemu, nie sądzę, by określenie „gotowy na kwanty” miało większe znaczenie.

Kto powinien odpowiadać za ustanowienie jednolitych, weryfikowalnych kryteriów gotowości kwantowej? Co powinno się w nich znaleźć?

Za punkt odniesienia dla samej kryptografii uznałbym NIST. Ich postkwantowy proces włączył badaczy z całego świata i utrudnił komukolwiek — rządowi czy firmie — sterowanie wynikiem. Ten proces — otwarty, wieloletni konkurs rozpoczęty w 2016 roku — doprowadził do pierwszych sfinalizowanych standardów w sierpniu 2024 roku: ML-KEM dla ustanawiania kluczy oraz schematów podpisu ML-DSA i SLH-DSA.

W przypadku blockchainów kolejną warstwę muszą zbudować zespoły protokołów działające otwarcie, z przestrzenią dla badaczy i audytorów, aby rygorystycznie kwestionować projekt i jego rezultaty.

Kryteria muszą potem odzwierciedlać to, jak sieć działa dziś. Zaczyna się od kryptografii używanej do autoryzacji transakcji i od tego, czy ochrona postkwantowa jest domyślna. Każde pozostałe poleganie na podatnych podpisach musi być jasno ujawnione.

Migracja też musi być częścią tego obrazu, ponieważ sieć może obsługiwać klucze postkwantowe, podczas gdy większość użytkowników nadal pozostaje przy starych.

Portfele sprzętowe chronią klucze przed fizyczną kradzieżą, ale nie przed atakami kwantowymi na klucze publiczne. Jak ocenia pan obecny poziom świadomości użytkowników w tym zakresie? Czy dziś przeciętny użytkownik ma do dyspozycji bezpieczny model przechowywania, czy branża potrzebuje nowego paradygmatu portfela?

Wciąż istnieje duże nieporozumienie dotyczące tego, przed czym chroni portfel sprzętowy. Izoluje on klucz prywatny od laptopa lub telefonu, co jest niezwykle przydatne. Ale atakujący wykorzystujący komputer kwantowy nie musiałby dotykać urządzenia. Gdy podatny klucz publiczny zostanie ujawniony, atakujący może zaatakować kryptografię bezpośrednio, nigdy nie dotykając portfela sprzętowego.

To nie oznacza, że portfele sprzętowe stają się zbędne. Zintegrowaliśmy już obsługę postkwantową w Keystone dla Quantus, więc model sprzętowy może się rozwijać. Ograniczenie polega na tym, że sam portfel nie może uczynić Bitcoina ani Ethereum postkwantowymi — warstwa bazowa sieci również musi obsługiwać nowe podpisy.

Lepszy model domyślnie wbudowuje ochronę postkwantową zarówno w portfel, jak i w sieć. Użytkownicy nie powinni musieć wiedzieć, kiedy kryptografia pod nimi stała się przestarzała.

Schematy multisignature zwiększają złożoność ataku tylko liniowo, a nie wykładniczo. Czy oznacza to, że instytucjonalne architektury powiernicze oparte na multisig tworzą fałszywe poczucie bezpieczeństwa?

Multisig nadal jest niezwykle użyteczny i nie chciałbym, aby instytucje z niego rezygnowały. Chroni przed zagrożeniami, z którymi systemy powiernicze mierzą się dziś, takimi jak kradzież jednego klucza czy kompromitacja jednego sygnatariusza.

Staje się niebezpieczny wtedy, gdy ludzie zaczynają traktować większą liczbę kluczy jako ochronę przed atakami kwantowymi. Konfiguracja 3 z 5 zbudowana w całości na tym samym podatnym schemacie podpisu nadal ma tę samą podstawową słabość. Atakujący kwantowy może potrzebować odzyskać kilka kluczy, ale za każdym razem rozwiązuje ten sam rodzaj problemu. Pięć zamków niewiele pomaga, jeśli wszystkie opierają się na tym samym podatnym mechanizmie.

Tak więc tak — multisig może tworzyć fałszywe poczucie bezpieczeństwa, jeśli instytucje zakładają, że redundancja równa się odporności na kwanty. Lepszą drogą jest zachowanie rozproszonej opieki nad aktywami, ale zastąpienie podatnej autoryzacji pod spodem czymś, co wytrzyma atak kwantowy.

Czy duże giełdy i podmioty powiernicze są przygotowane na scenariusz, w którym komputer kwantowy może wyprowadzić klucz prywatny z klucza publicznego w kilka minut? A co z przeciętnymi użytkownikami?

Większość dużych giełd dobrze broni się przed atakami, które znamy dziś. Nie widzę zbyt wielu dowodów na to, że są gotowe na atak, w którym klucz prywatny można odtworzyć bez dotykania ich infrastruktury.

Śledzimy to za pomocą migration.fail, publicznego trackera gotowości, który ocenia, czy główne sieci blockchain nadal polegają na kryptografii podatnej na zagrożenia kwantowe. Obecnie wszystkie 20 największych aktywów krypto, które obejmuje, jest oznaczonych jako podatne na poziomie podpisu.

Poważny plan reakcji musi uwzględniać, które klucze operacyjne są ujawnione i jak szybko można byłoby przenieść środki, gdy jeden z nich stanie się podejrzany. Złośliwa transakcja może nadal wyglądać na łańcuchu w pełni poprawnie, co utrudnia wczesną reakcję.

Przeciętni użytkownicy są jeszcze dalej w tyle. Większość dowie się, że musi migrować, dopiero gdy powie im o tym portfel lub giełda, więc każdy realistyczny plan musi sprawić, że taka migracja będzie na tyle prosta, by można ją było bezpiecznie zakończyć.

Dlaczego zagrożenie typu „zbierz teraz, odszyfruj później” jest dziś istotne — na długo przed pojawieniem się komputerów kwantowych na dużą skalę?

Przede wszystkim chciałbym oddzielić to od zagrożenia kwantowego dla podpisów blockchain, bo często wrzuca się te kwestie do jednego worka. Transakcja Bitcoina jest już publiczna. Atakujący nie musi dziś niczego nagrywać, by odszyfrować to za dziesięć lat.

Nie można tego jednak powiedzieć o bankach, rządach i innych instytucjach, których zaszyfrowane dane mogą — i prawdopodobnie będą — pozostawać wrażliwe także za lata. Ktoś może zebrać ten ruch dziś i przechować go, aż technologia dogoni problem.

Signal, iMessage i Cloudflare przeniosły już części swoich systemów do ochrony postkwantowej — Signal włączył postkwantową wymianę kluczy dla nowych czatów w 2023 roku, Apple wdrożyło protokół PQ3 w całym iMessage w 2024 roku, a Cloudflare uruchomił hybrydową postkwantową wymianę kluczy w całej swojej sieci — a większość użytkowników prawie tego nie zauważyła. Prawdopodobnie tak właśnie powinna wyglądać ta zmiana.

Wrażliwe dane nie powinny pozostawać na kryptografii podatnej na ataki kwantowe tylko dlatego, że ktoś jeszcze nie udowodnił, iż komputer kwantowy może ją złamać. Do tego czasu lata ruchu mogą już znajdować się w cudzym archiwum.

Dane blockchain są niezmienne i publiczne. Czy można coś zrobić z transakcjami już zapisanymi, czy te dane są stracone na zawsze?

Zapisane dane blockchain są trwałe, ale trwałość nie oznacza, że każda stara transakcja nagle stanie się niebezpieczna po Q-Day. Większość z nich i tak była już publiczna na przejrzystym łańcuchu.

Wyjątkiem są klucze publiczne, ponieważ Bitcoin już przechowuje ujawnione klucze na stałe. Standardowe adresy Bitcoina publikują jedynie skrót klucza publicznego, dopóki środki nie zostaną z nich wydane, ale najwcześniejsze wyjścia typu pay-to-public-key w sieci — oraz każdy ponownie użyty lub już wydany adres — pokazują klucz publiczny wprost. Atakujący nie musi dziś budować prywatnego archiwum ani niczego przechwytywać z wyprzedzeniem. Za kilka lat może wrócić do tego samego publicznego rejestru i zaatakować każdy ujawniony klucz, który nadal kontroluje coś wartościowego.

Przeniesienie środków na klucze postkwantowe może odebrać wartość temu dawnemu ujawnieniu, ale nie usunie zapisu historycznego.

W przypadku transakcji prywatnych problem wygląda nieco inaczej. Dane nadal pozostają na łańcuchu po latach, więc jeśli kryptografia je chroniąca zostanie kiedyś złamana, informacje ukryte w momencie zapisu mogą po fakcie stać się widoczne.

Jakie mierzalne i egzekwowalne standardy gotowości kwantowej powinna ustanowić branża w ciągu najbliższych 12 do 24 miesięcy?

Jednym użytecznym benchmarkiem jest to, co robi obecnie rząd USA, wymagając od agencji federalnych mapowania ich ekspozycji kryptograficznej i wyznaczenia konkretnych osób odpowiedzialnych za migrację. W przypadku systemów o wysokiej wartości obowiązują twarde terminy przejścia na kryptografię postkwantową, a równolegle trwają prace nad kryptograficznym wykazem materiałowym, aby łatwiej śledzić te zależności.

Krypto potrzebuje własnej wersji takiej dyscypliny w ciągu najbliższych 12 do 24 miesięcy. Główne protokoły powinny publikować, gdzie nadal używana jest podatna kryptografia, oraz podawać daty zakończenia przejścia. Giełdy i podmioty powiernicze powinny ujawniać, jaka wartość znajduje się za starymi kluczami.

Gdy te liczby staną się publiczne, mogą z nich korzystać także przeglądy notowań i audyty bezpieczeństwa. To daje branży coś konkretnego do mierzenia.

Jaka jest największa pojedyncza przeszkoda we wdrożeniu tych standardów na szeroką skalę? Jak branża powinna zająć się tym natychmiast?

Najtrudniejsze jest skłonienie milionów niezależnych posiadaczy do ruchu, gdy nie ma centralnego przełącznika, który ktoś mógłby nacisnąć. Protokół może dodać wsparcie postkwantowe, ale monety przechowywane latami w cold storage nadal muszą zostać przeniesione przez swoich właścicieli.

Natychmiastowe działania muszą skupić się na maksymalnym uproszczeniu migracji. Portfele potrzebują procesów prowadzących użytkownika na bezpieczniejsze klucze przy minimalnym tarciu, a giełdy i podmioty powiernicze — procedur, które już testowały pod obciążeniem. Na poziomie protokołu musimy też uniknąć zwykłego zastąpienia jednego podatnego systemu czymś, co generuje nieakceptowalne koszty przepustowości, pamięci lub prywatności. To nie jest abstrakcyjny warunek: podpisy ML-DSA NIST mają rozmiar liczony w kilku kilobajtach, czyli wielokrotnie więcej niż podpisy krzywych eliptycznych o wielkości 64–72 bajtów powszechne dziś w blockchainach, a alternatywy oparte na hashach mają własne kompromisy dotyczące rozmiaru podpisu i zarządzania stanem. Odkładanie projektowania tych systemów do momentu, gdy zagrożenie stanie się pilne, pozostawiłoby zbyt mało miejsca na błędy.

Uśpione aktywa jeszcze bardziej komplikują problem. Niektórzy właściciele nigdy nie pojawią się, by przeprowadzić migrację, więc sieci muszą też zdecydować, jak traktować podatne monety, które pozostaną w tyle.