米大手仮想通貨取引所コインベースで暗号学責任者を務めるイェフダ・リンデル（Yehuda Lindell）氏は22日、MARA財団の番組「MARA Foundation TV」に出演し、量子コンピューターへの備えとして進める資産保管（カストディ）システムの改修方針を説明した。ビットコイン（ BTC ）などのブロックチェーンがどの量子耐性署名方式を採用しても、対応できる体制づくりを目指す。
同氏は、暗号を破れる規模の量子コンピューターの実現は「個人的にはかなり先」とみている。それでも「5年以内に起きないと99.99％の確信で言えるかといえば、答えはノーだ」と語った。発生確率が1％から5％でも、仮想通貨市場全体が危険にさらされる以上、期待損失で考えれば備えは欠かせないという立場だ。
コインベースの保管システムは、秘密鍵を複数の「断片」に分けて持ち合い、鍵を一か所に集めずに署名するMPC（マルチパーティ計算）が中核だ。断片はクラウドサーバーや社員の端末、自社データセンターに分散されている。担当社員の身元は社内でもごく一部しか知らない。参加者のうち1者でも正直であれば鍵は守られる設計で、同氏は管理資産を約4,000億ドルと述べた。
課題は、量子耐性署名の一部がMPCと相性が悪い点にある。同氏によると、代数的な構造を持つ格子暗号ベースの方式はMPCでの実装に道筋が見えている。構造を持たないハッシュベース署名は効率的な実装が難しく、学者らが研究を進めているものの、実用水準に届くかは分からないという。
この事態に備えて同社が開発を進めるのが、プログラム可能なHSM（ハードウェア・セキュリティ・モジュール）を使う方式だ。量子耐性の暗号で保護した鍵の断片を、物理的な攻撃対策を施した装置の内部でだけ一時的に結合し、署名後すぐに消去する。完成時期は約束できないとしつつ、同氏は1年後をめどに「何でもサポートできると言えるようになる」と述べた。
ビットコイン側の設計について、同氏は私見として、現行のECDSA（楕円曲線署名）に格子暗号方式と2種類のハッシュベース方式を加えた4方式のうち、いずれか1つで署名できるアドレス構成を理想に挙げた。
当面はECDSAを使い続け、量子計算による解読が確認された時点でプロトコル側がECDSAを無効化すれば、資金を守ったまま別方式に移れるという。ただし、プロトコルの方向性はコミュニティが決めるべきで、コインベースとして特定案を推す声明は出さない考えだ。
署名のたびに使用状況を記録する必要がある「ステートフル」型のハッシュベース署名には、保管システムの堅牢性を下げるとして懸念を示した。それでも量子コンピューターが暗号を破壊するとの見方は否定する。現在ほど効率的にはならないとしながら、同氏は格子暗号もハッシュベース署名も数十年の研究の蓄積に支えられていると強調した。
