スタンフォード教授ダン・ボネー氏、a16zでビットコインの耐量子化を解説 ― ハッシュベース署名が本命に
暗号資産業界にとって「量子コンピュータの脅威」は、ここ数年繰り返し取り沙汰されてきたテーマだ。スタンフォード大学教授で著名な暗号学者であるダン・ボネー氏が、a16z cryptoの研究拠点で、ビットコインとイーサリアムが量子コンピュータ時代にどう備えようとしているかについて講演を行った。本稿では、この講演内容を、暗号資産に関心のある投資家・ビジネスパーソン向けに、専門用語をなるべく噛み砕きながら整理して解説する。
1. 「量子の脅威」報道は毎週続く ― しかし対策は着実に進行中
ボネー氏は、まず、ブロックチェーンに関するニュースを見るたびに、量子コンピュータがもたらす脅威についての報道が絶えないと指摘した。「ビットコインは終わる」「著名投資家が量子リスクを理由にビットコインを売却している」といった見出しが、ここ最近だけでも次々と登場しているという。
こうした懸念に対し、暗号学コミュニティは、決して手をこまねいているわけではないとボネー氏は強調した。実際には、格子ベース署名、ハッシュベース署名、同種写像(アイソジェニー)ベース署名、多変数ベース署名、ゼロ知識証明ベース署名など、複数の「耐量子署名」の系統が標準化に向けて開発されているという。
2. ビットコイン・イーサリアムが選ぶのは「ハッシュベース署名」
2-1. 格子暗号ではなく、あえて保守的な選択を
ボネー氏は、自身がこれまで長年、ブロックチェーン向けには格子ベース署名を推奨してきたと明かした。ブロックチェーンには、従来のECDSAやSchnorr署名が持つような「代数的構造」が必要であり、格子暗号にもその多くが備わっているためだという。しかし、同氏は、「残念ながら、世界はそちらには向かっていない」と述べた。
その背景には、新たな暗号学的仮定への警戒感があるという。ビットコイン・イーサリアムのコミュニティが最終的に選びそうなのは、「ハッシュベース署名」であり、その最大の理由は、この方式が新たな仮定を一切導入しないためだとボネー氏は説明した。ビットコインコミュニティは、現在ECDSAやSchnorrで使われている離散対数仮定を排除し、ハッシュベース署名を用いることで、依拠する仮定をSHA-256一つだけに絞れる点を歓迎しているという。同氏は、「ビットコインのコア開発者たちと格子ベース暗号について話しても、正直まったく響かない」と率直に語った。
3. ハッシュベース署名の基礎知識 ― 3つの用語
ボネー氏は、ハッシュベース署名を理解する上で重要な3つの用語を紹介した。
3-1. ワンタイム署名・数回署名・ステートフル署名
「ワンタイム署名(one-time signature)」は、単一の公開鍵の下で最大1回しか署名を発行しない限りにおいて安全な方式だ。署名は比較的短く済むという利点がある。
「few-time署名(数回署名)」は、単一の鍵で数回まで署名できる方式だが、署名回数が増えるほど安全性が徐々に低下していくという特性を持つ。
「ステートフルなfew-time署名」は、複数のワンタイム署名鍵をマークル木の形でまとめる方式で、非常に短い署名と高速な検証を実現できる利点がある一方、署名者が「どの葉(リーフ)を既に使ったか」を管理する状態(ステート)を維持し続けなければならないという課題を抱える。
3-2. ステートフル署名の「大きな落とし穴」
ボネー氏は、このステート管理に失敗すると、署名方式全体が破られてしまう危険性があると強調した。複数のデバイス間でステートの同期がずれてしまい、同じ葉を使って2つの異なるメッセージに署名してしまうと、秘密鍵が漏洩してしまうという。同氏はこれを「大きな落とし穴」と表現し、「ステートフルな署名方式を使う場合は、必ずECDSAとのハイブリッド方式にすべきだ」と繰り返し強調した。量子コンピュータが実用化される「Qデー」が来るまでは、たとえミスがあってもECDSAの部分が安全性を担保してくれるという理由からだ。
4. NIST標準「SLH-DSA」の仕組みと課題
米国立標準技術研究所(NIST)は、ハッシュベース署名の標準規格「SLH-DSA」(Sphinx+と呼ばれる枠組みに基づく)を策定している。
4-1. 署名サイズと署名時間のトレードオフ
このNIST標準は、単一の公開鍵の下で最大2の64乗回のステートレス署名を発行できるよう設計されている。ただしその代償として、署名サイズは通常8キロバイトに達し、より高速な検証を求める設定ではさらに大きくなるという。一方で、公開鍵・秘密鍵自体は非常に短いのが特徴だ。
ボネー氏は、このNIST標準がソフトウェアアップデートの署名用途には非常に適している一方、ブロックチェーンには不向きだと指摘した。取引一つひとつに8キロバイトもの署名を付けるのは現実的ではなく、また2の64乗回もの署名を発行する必要性もブロックチェーンにはないためだという。こうした批判を受けて、NISTは今年4月に、2の24乗回までの署名発行に対応する縮小版のSphinxを発表しており、署名サイズは3.8キロバイト程度まで縮小されたという。ただしこの方式は、署名生成に約10億回のハッシュ計算が必要になる一方、検証はわずか300回のハッシュ計算で済むという特徴があり、これはZK-SNARKとの相性の良さにもつながるとボネー氏は説明した。
5. イーサリアムとビットコインの移行計画 ― 「Leanig」と「Sprinks」
5-1. 長期鍵と短期鍵の二段構え
イーサリアムでは、「Leanig」、ビットコインでは、「Sprinks」と呼ばれる仕組みが検討されている。基本的な考え方は共通しており、長期的なステートレス公開鍵(シードフレーズから導出)と、取引ごとに使い捨てる短期的な鍵の2種類を組み合わせる設計だという。
短期鍵は、基本的に1回の取引にのみ使用され、取引データの中に次回取引用の新たな公開鍵を含める形で、鍵をローリングさせていく。長期鍵は、ウォレットの状態(カウンター)が失われたり信頼できなくなったりした際の「復旧用」として使われるという。
5-2. ウォレット業界の懸念 ― ステート管理という「頭痛の種」
ボネー氏は、こうしたステートフルな署名方式の導入について、LedgerやTrezorといったハードウェアウォレット企業側が強い難色を示していると明かした。理由の一つは、現行のハードウェア上ではハッシュベース署名の鍵・署名生成に数十秒単位の時間がかかってしまう点だが、これはSHA-256をハードウェアレベルで高速化する次世代プロセッサが登場すれば解決される見通しだという。
6. 難題:しきい値署名(マルチシグ)は量子時代を生き残れるか
ボネー氏は講演の後半で、複数者による共同署名(しきい値署名)をハッシュベース署名の世界でどう実現するかという、より技術的に難易度の高いテーマを扱った。
6-1. 汎用的な解決策の限界
同氏は、単純な「マルチシグ」方式(n個の公開鍵のうちt個の署名を要求する)には、署名サイズがt に比例して肥大化する上、必要な署名者数(t)が外部から見えてしまうという問題があると指摘した。ZK-SNARKで署名をまとめる方法も理論上は可能だが、ビットコインコミュニティにSNARK検証機能を組み込むことは「今のところ非現実的」だという。
6-2. 独自の解決策 ― 「署名はハッシュベース、しきい値化の仕組みは格子ベース」
ボネー氏の研究チームが提案するアプローチは、やや変わった発想に基づいている。最終的にブロックチェーン上で検証される署名自体は純粋なハッシュベース署名としながら、複数者が共同で鍵をしきい値化する仕組みの部分にのみ、格子暗号ベースの技術を用いるというものだ。「自分の鍵をどうしきい値化するかは、私自身の判断であり、他の誰にも関係ない」とボネー氏は述べ、この設計思想がブロックチェーン側には格子暗号の存在を一切意識させない点が重要だと強調した。
同氏はこの手法を、鍵の保持者自身が選択できる仕組みだと位置づけ、「Fireblocksのような機関投資家向けカストディ企業が、この格子ベースの仕組みを選んでも、誰もそれを止めることはできない」と述べた。
6-3. 「コンテキスト認識型しきい値PRF」という新概念
この仕組みの核となるのが、研究チームが「コンテキスト認識型しきい値疑似乱数関数(PRF)」と呼ぶ新たな暗号学的構成要素だ。署名対象のメッセージ自体を「コンテキスト」として組み込むことで、攻撃者が異なるメッセージに対する部分的な署名シェアをかき集めても、それらを組み合わせて偽の署名を生成できないようにする仕組みだという。
ボネー氏は、この構成を用いることで、伝統的な「ワンタイム署名(Winternitz署名、通称WOTS)」のしきい値化が可能になり、任意の規模の署名者集団(N)としきい値(T)に対応できると説明した。論文はまだ執筆中で、数週間以内の公開を目指しているという。
7. 実務上の課題 ― ブロックサイズと「見捨てられた資産」問題
7-1. 署名サイズ増大とブロックサイズ論争の再燃リスク
質疑応答では、量子耐性化に伴う署名サイズの増大が、ビットコインのブロックサイズ論争を再燃させる可能性について質問が出た。ボネー氏は、イーサリアムは大量の署名をSNARKでまとめて圧縮する方針を取る一方、ビットコインについては「今のところ未定」だと述べた。現行のビットコイン署名(64バイト)と比較して、量子耐性化後の署名サイズは「桁違いに大きく、数百バイト規模」になる可能性が高く、コア開発者の一部からは「ブロックサイズを増やす必要が出てくるかもしれない」との声も上がっているという。ただし取引件数自体を増やすわけではなく、あくまで署名サイズの増大に対応するための措置になるとボネー氏は補足した。
7-2. 「見捨てられた資産」という最も厄介な難題
ボネー氏は、量子耐性化を巡る議論の中で最も難しいのが、既に紛失されたり、所有者が秘密鍵にアクセスできなくなったりした「見捨てられた資産」の扱いだと指摘した。量子コンピュータが実用化されれば、理論上は誰でもそうした資産の秘密鍵を復元できてしまう。
一つの提案として、円周率の数字列から生成したような「おとりアドレス」をビットコインネットワーク上に置いておき、そのアドレスが実際に破られた時点をもって、ECDSAベースの署名を無効化するトリガーとする案が検討されているという。この方式は、最初に量子コンピュータを実用化するのが「善意の主体」であることを前提としているとボネー氏は率直に認めた。
7-3. サトシ・ナカモトはどう自分の資産を証明するか
ボネー氏は最後に、興味深い思考実験として、仮にサトシ・ナカモトが100年後に「復活」し、自身の資産を主張したい場合にどうするかという問いを紹介した。ECDSAが無効化された後の世界では、量子コンピュータを持つ者なら誰でも該当する秘密鍵を生成できてしまうため、単に鍵を提示するだけでは所有権の証明にならない。
一つのアイデアとして、今のうちに(2026年の時点で)自身の資産を使う取引を作成し、その内容を秘匿したまま「コミットメント」の形でブロックチェーン上に記録しておくという方法が挙げられた。将来、ECDSAが無効化された後に、このコミットメントを開示することで、「2026年時点で秘密鍵を知っていた」ことを証明できるという仕組みだ。ボネー氏は、こうした復旧経路についての議論が現在進行中であり、まだ多くの詳細を詰める必要があると述べた。
