(1).png)
來源：劉教鏈公眾號
BTC昨天剛剛作勢拉升脫離30日均線，今天又回踩了一下30日均線（大約在104.9k附近）。
近日有多位讀者朋友給教鏈轉(zhuǎn)發(fā)有關(guān)量子計算以及大餅要在未來幾年內(nèi)歸零的FUD（教鏈注：幣圈術(shù)語，意為讓聽眾產(chǎn)生恐懼、懷疑、困惑的感覺，以制造恐慌）。
量子計算FUD不說年年都有吧，也是每隔幾年就要來上幾發(fā)。但是怎么說呢，幾乎所有大眾能夠看到的拿量子計算說什么大餅要歸零的，有一個算一個都是忽悠；如果后續(xù)再趁機給你推薦幾個所謂的抗量子幣，那就基本上可以認(rèn)定是騙局了。
但凡是看過教鏈有關(guān)于量子計算的文章，或者認(rèn)真讀過《比特幣史話》中有關(guān)量子計算的章節(jié)，應(yīng)該很容易一眼識破這類忽悠和騙局。
如果只是被忽悠，害怕歸零而不敢持有大餅，那么不過是錯過一些大餅未來上漲的機會而已；但是如果再被騙著去花錢買了什么狗屁抗量子幣，那可就真要遭受財產(chǎn)損失了。
記住以下幾個知識點：
第一，量子計算機達到實用水平還有多長的路要走？很長。至少比出來吹牛逼的那些人嘴里的5年8年要長得多得多。就像你經(jīng)常聽搞AI的人吹牛逼說203X年之前就能搞出來所謂AGI（通用人工智能），計算機在智能水平上徹底碾壓人類。實際上呢，也許只不過是為了忽悠投資人拿錢給他們燒的話術(shù)罷了。也許10年，20年，50年，甚至在戰(zhàn)爭或天災(zāi)導(dǎo)致人類毀滅之前都沒戲也說不定。
第二，如果量子計算機很快實用化，也許你首先應(yīng)該擔(dān)心一下你的傳統(tǒng)銀行賬戶里的錢還安全不安全。這些系統(tǒng)統(tǒng)統(tǒng)都很容易被實用化的量子計算攻破，比大餅要容易得多。大餅的地址是簽名算法外面套了一層哈希，如果遵循教鏈在小白課上講過的「每個地址只用一次」的使用原則，那么就是天然抗量子攻擊的。這是因為大餅用的哈希有很強的量子抗性。
第三，大餅在技術(shù)上很容易把目前的簽名算法更換成抗量子的簽名算法。技術(shù)人員也在積極關(guān)注和研究抗量子算法的最新進展，并且采用確保時刻做好升級準(zhǔn)備的先發(fā)制人策略。至于為什么現(xiàn)在不動手升級？那是因為現(xiàn)在提出來的那些個抗量子算法都太差勁了。倒不是說它們沒有量子抗性，而是它們的簽名尺寸實在是太太太大了，大到根本不能滿足大餅系統(tǒng)的要求。
畢竟，一切問題最終都要落實到工程可行性上面來?！侗忍貛攀吩挕返谌碌?話就介紹過當(dāng)年中本聰針對簽名算法的選擇所重點考慮的正是尺寸因素。當(dāng)年他是這么說的：
中本聰分別在 2010 年 1 月 29 日、5 月 20 日 和 7 月 25 日 三次參與比特幣社區(qū)論壇話題討論時解釋道：“比特幣使用的是橢圓曲線數(shù)字簽名算法(EC-DSA)。這個算法只能用于數(shù)字簽名，而不能用于加密。RSA兩者都能做，但是我沒有采用它，因為它要大一個數(shù)量級，這就不切實際了?！薄安皇钦f可執(zhí)行程序的大小，而是說數(shù)據(jù)的大小。如果區(qū)塊鏈、比特幣地址、磁盤空間、帶寬需求都大一個數(shù)量級，這就不太可行了。”
那么今天我們能看到的抗量子算法，尺寸相比于ECC或者RSA又當(dāng)如何呢？答案是大數(shù)百到近千倍。比如SPHINCS+算法，「較低安全級別的SLH-DSA-SHA2-128s簽名大小約為8KB，而較高安全級別的SLH-DSA-SHA2-256f甚至達到50KB，比傳統(tǒng)簽名算法（如RSA或ECC，后者僅有64B）大得多，不適合對存儲和帶寬要求嚴(yán)格的場景?！?/p>
想象一下大餅的賬本尺寸從今天不到1TB猛增一千倍到1EB會怎么樣？任何一個目前鼓吹什么抗量子幣的，必然用目前市面上已有的抗量子算法，后果就是尺寸太大以至于工程上完全是個廢物，無法承載大吞吐量，并且會因為賬本尺寸過大而嚴(yán)重削弱去中心化。
想當(dāng)年中本聰僅僅因為RSA簽名尺寸比ECC“大了一個數(shù)量級”就棄用RSA，并直言不諱地指出，“這就不切實際了”?？上攵?，今天所有的抗量子算法，比目前算法的簽名尺寸要大三四個數(shù)量級，任何說這種玩意兒比現(xiàn)在的大餅更好的人，非蠢即壞。
前些天，密碼學(xué)家、Blockstream公司創(chuàng)始人Adam Back，也是中本聰在比特幣白皮書參考資料里引用過的人，發(fā)了一些推文，闡述了一下他對于目前抗量子算法以及量子計算FUD的看法。
他說的是什么呢？
他說：「FIPS 205: SLH-DSA。目前我認(rèn)為最佳的后量子安全簽名候選方案。簽名尺寸稍大，但若想阻止過早的量子恐慌（FUD），可設(shè)計一種新地址格式：結(jié)合Schnorr Taproot和SLH-DSA Tapleaf。證畢（QED）。未來工作：利用STARKs實現(xiàn)SLH-DSA的簽名聚合。」
當(dāng)然，作為密碼學(xué)專家，他的話里用了很多術(shù)語，讓普通人難以很快理解。簡單地說，就是他認(rèn)為由美國國家標(biāo)準(zhǔn)局（NIST）標(biāo)準(zhǔn)化的SLH-DSA算法（編號為FIPS 205）是目前最佳。這個SLH-DSA算法，其實就是教鏈在上面提到的SPHINCS+算法。
從技術(shù)上講，SLH-DSA算法的優(yōu)勢在于無狀態(tài)設(shè)計和高安全性（僅依賴哈希函數(shù)），但簽名尺寸顯著大于傳統(tǒng)方案（如RSA或ML-DSA）。
然后他跟推作了一些補充解釋：
「你可以在未來幾年或幾十年內(nèi)逐步遷移到新的地址格式，這種格式既能使用Schnorr簽名進行交易，又無需當(dāng)下承擔(dān)SLH-DSA簽名帶來的空間和費用開銷。但若未來出現(xiàn)具備密碼學(xué)威脅的量子計算機，你已做好應(yīng)對準(zhǔn)備。??
我青睞SLH-DSA，因為它基于SPHINCS+——這一算法本身是對1982年Winternitz簽名的改進，而后者又源自1979年的Lamport簽名，且依賴簡單而穩(wěn)健的數(shù)學(xué)假設(shè)。相比之下，其他多數(shù)NIST候選簽名方案基于未經(jīng)充分驗證的新型數(shù)學(xué)假設(shè)，風(fēng)險較高。??
Taproot地址本質(zhì)上是未哈希的Schnorr公鑰，但可通過調(diào)整（tweak）來揭示一個Tapleaf（包含SLH-DSA或其他操作碼）。Taproot在設(shè)計之初便前瞻性地將Tapleaf的調(diào)整機制設(shè)計為抗量子安全的，以此替代哈希公鑰的方案，體現(xiàn)了更優(yōu)的工程智慧。 」
根據(jù)大餅BIP 341的設(shè)計標(biāo)準(zhǔn)，Tapleaf的調(diào)整（tagged_hash("TapLeaf", ...)）使用抗量子哈希（如SHA-256），確保即使量子計算機出現(xiàn)，腳本路徑仍然安全。
他進一步解釋說：
「比特幣（應(yīng)當(dāng)對）量子計算做好準(zhǔn)備，這樣我們就不會因為信息不對稱的混亂——那些對早期量子計算物理和算法漸進式改進的過度報道——而導(dǎo)致比特幣價格波動，畢竟量子計算要達到密碼學(xué)相關(guān)水平很可能還需要數(shù)十年時間。
在我看來最可能的結(jié)果是SLH-DSA永遠不會被實際使用，因為在具備密碼學(xué)意義的量子計算機建成之前很多年，它就會被更緊湊或支持簽名聚合的方案所取代。但我們必須超越這種愚蠢的短期恐慌。而且這種準(zhǔn)備本身就具有漸進式的實用價值?！?/p>
還有網(wǎng)友問他，疑似屬于中本聰?shù)哪切┏钟写罅緽TC的早期挖礦地址怎么處理。對此，他給出了個人的猜想：
「我猜我們終將知道中本聰是否還在，以及他是否會在抗量子地址啟用后的數(shù)十年間、但在具備密碼學(xué)威脅的量子超級計算機出現(xiàn)之前轉(zhuǎn)移那些比特幣。
如果最終真的出現(xiàn)了具備密碼學(xué)威脅的量子計算機，我們就能知道中本聰是否還在世并轉(zhuǎn)移這些幣。我的猜測是：對于那些屆時仍未移動的比特幣，ECDSA和Schnorr簽名方案將被棄用?！?/p>
贊
.png)
2408
收藏
