Des chercheurs proposent une nouvelle architecture de portefeuille sécurisé quantique qui réutilise les outils Ethereum actuels pour atténuer les futures attaques quantiques sans toucher au consensus ou aux primitives de signature.
Summary
Risque quantique pour les portefeuilles Ethereum et ECDSA
La menace posée par l’informatique quantique à la cryptographie à courbe elliptique devient plus concrète, même si une machine cryptographiquement pertinente n’existe pas encore. Cependant, l’algorithme de Shor montre déjà à quel point il pourrait résoudre efficacement le problème du logarithme discret et donc casser l’ECDSA.
La Fondation Ethereum a lancé des initiatives de recherche dédiées au post-quantique, et une feuille de route PQ plus large a été esquissée. De plus, les développeurs de l’écosystème explorent des alternatives qui pourraient renforcer Ethereum avant l’arrivée de matériel quantique à grande échelle.
Sur Ethereum, un compte détenu à l’extérieur (EOA) qui n’a jamais envoyé de transaction est effectivement résistant aux quanta, car sa clé publique est cachée derrière un hash. Cela dit, une fois que l’EOA signe une transaction, la clé publique devient définitivement exposée sur la chaîne, et cette adresse est effectivement brûlée d’un point de vue de résistance quantique.
Limites des efforts actuels de signature post-quantique
Plusieurs projets visent à apporter des schémas de signature post-quantique à l’EVM, avec Falcon et Poqeth se distinguant comme des exemples notables. Ces solutions sont essentielles pour la sécurité à long terme. Cependant, la vérification sur la chaîne reste coûteuse, nécessitant plus de 1M de gas par vérification Falcon, tandis que les signatures basées sur des hash se situent actuellement autour de ~200k gas.
Ces coûts pourraient diminuer si des propositions telles que EIP-8051 et EIP-8052 sont ajoutées à l’EVM à l’avenir. De plus, l’efficacité du gas n’est pas le seul obstacle : la standardisation, l’intégration avec les portefeuilles matériels, et la résistance éprouvée aux attaques cryptographiques classiques restent des défis pour toute nouvelle norme de signature ETH.
Même si une signature post-quantique robuste était techniquement prête, la standardisation prendrait encore du temps, et remplacer complètement l’ECDSA exigerait des changements au niveau du protocole. Au lieu de rejeter complètement l’ECDSA, le design décrit ici rend chaque clé ECDSA jetable, en l’utilisant exactement une fois.
Conception de la sécurité quantique par des paires de clés éphémères
Le concept central exploite l’abstraction de compte pour séparer l’identité persistante de l’utilisateur de la clé de signature. Le portefeuille de contrat intelligent maintient une identité statique sur la chaîne tandis que l’adresse du signataire autorisé tourne après chaque transaction, créant ainsi des paires de clés éphémères.
Ce design n’empêche pas un ordinateur quantique de récupérer la clé privée liée à une transaction passée. Cependant, il garantit que toute clé récupérée est inutile pour les opérations futures, puisque le portefeuille de contrat intelligent sera déjà passé à un nouveau signataire.
Le flux de travail de base est simple et s’intègre naturellement dans la logique du portefeuille de contrat intelligent. De plus, il utilise uniquement l’infrastructure actuelle et ne nécessite aucun changement aux règles de protocole sous-jacentes d’Ethereum.
Flux de transaction et rotation des clés ECDSA
Le schéma proposé suit quatre étapes claires pour chaque transaction :
- L’utilisateur ajoute une nouvelle adresse aux données de l’appel de leur userOp.
- Le portefeuille de contrat intelligent valide le userOp et vérifie le signataire actuel.
- Le userOp est exécuté comme d’habitude, par exemple en effectuant un transfert de jetons.
- Enfin, le portefeuille de contrat intelligent met à jour son signataire autorisé à la nouvelle adresse.
Après l’exécution, l’ancienne clé privée, même si elle est récupérée, ne peut plus signer quoi que ce soit de significatif pour ce portefeuille. Seule la nouvelle adresse est stockée dans le portefeuille de contrat intelligent, révélant uniquement une valeur dérivée de hash et gardant la nouvelle clé résistante aux quanta jusqu’à la prochaine transaction.
En pratique, l’expérience utilisateur peut être améliorée en générant la séquence de nouvelles adresses en utilisant un chemin de dérivation BIP44. Cette méthode est déjà standard dans les portefeuilles largement utilisés, ce qui maintient le surcoût de mise en œuvre faible tout en permettant une rotation automatique des clés ecdsa en arrière-plan.
Mise en œuvre pratique sur Ethereum
Cette architecture peut être mise en œuvre en appliquant des modifications mineures à un design de base SimpleWallet. Tout ce qui est requis est une logique pour analyser la prochaine adresse de signataire à partir des données de l’appel et une fonction qui met à jour le propriétaire du portefeuille de contrat intelligent en conséquence.
Une implémentation de preuve de concept existe déjà et démontre que la rotation du signataire peut être finalisée même lorsque le userOp échoue. De plus, cela résout un problème clé : si la rotation ne se produisait qu’en cas de succès, une transaction échouée exposerait toujours le signataire actuel et laisserait le portefeuille vulnérable.
Avec l’implémentation actuelle, les transactions d’exemple montrent des coûts d’environ ~136k gas unités pour un transfert ERC20. Cela implique un surcoût de gas de moins de 100k gas par rapport à un transfert de jetons standard sur la même chaîne. Le surcoût est significativement inférieur au coût de vérification de la plupart des signatures post-quantiques sur la chaîne aujourd’hui.
Profil de coût et avantages de l’abstraction de compte Ethereum
Le coût en gas pour la logique de rotation du signataire seule, lorsqu’elle est intégrée dans un portefeuille basé sur l’abstraction de compte existant, est encore plus bas et presque négligeable dans le contexte plus large des interactions complexes de DeFi. De plus, les utilisateurs héritent de tous les avantages habituels de l’abstraction de compte Ethereum, tels que les opérations groupées et les règles de validation flexibles.
Parce que l’adresse du portefeuille reste constante tandis que les signataires changent, ce design préserve une identité stable sur la chaîne pour les dapps, les explorateurs et les contreparties. Cela dit, il modifie le modèle de sécurité : les utilisateurs doivent s’assurer que leur configuration de génération et de stockage de clés peut gérer en toute sécurité un flux continu de nouvelles clés.
Utilisation de mécanismes de récupération sociale pour la rotation des clés
Une autre façon d’atteindre un comportement similaire est de réutiliser les fonctionnalités de récupération sociale déjà présentes dans de nombreux portefeuilles de contrat intelligent. À moins qu’une restriction spécifique ne l’interdise, un utilisateur peut définir sa propre adresse comme gardien de récupération et déclencher une procédure de récupération après chaque transaction.
Cette approche transfère effectivement le contrôle à une nouvelle clé via la logique de récupération. Cependant, elle entraîne un coût en gas légèrement plus élevé car un mécanisme conçu pour la récupération d’urgence est réutilisé pour un usage routinier. L’avantage est que les utilisateurs peuvent adopter cette structure consciente des quanta sans déployer d’architectures personnalisées sur la chaîne.
Les expériences suggèrent que le coût supplémentaire en gas pour cette opération basée sur la récupération est d’environ ~30k gas, tandis que le surcoût total de l’architecture de base sans récupération est d’environ ~110k gas. De plus, les développeurs de portefeuilles peuvent ajuster ces paramètres en fonction de leurs priorités en matière de sécurité et d’expérience utilisateur.
Risque d’exposition au mempool et vulnérabilités restantes
Les auteurs reconnaissent une vulnérabilité clé que ce modèle ne supprime pas complètement : le risque d’exposition au mempool pendant la période d’attente avant qu’une transaction ne soit minée. Pendant cette fenêtre, la clé publique de l’utilisateur est visible dans le mempool, et un attaquant capable de calcul quantique pourrait, en théorie, récupérer la clé privée et devancer la transaction.
Étant donné les capacités quantiques actuelles, ce scénario n’est pas considéré comme immédiatement alarmant, car l’attaquant n’aurait qu’un très court laps de temps pour effectuer le calcul. Cependant, si l’on veut être aussi prudent que possible, acheminer les transactions via des mempools privés peut virtuellement éliminer cette fuite au niveau du mempool.
De plus, déployer cette architecture sur des réseaux Layer 2 aide à atténuer le risque. Les L2 ont généralement des temps de confirmation plus courts et des mécanismes de séquençage différents, réduisant la fenêtre pendant laquelle la clé publique est exposée à un adversaire.
Positionnement dans le cadre des stratégies de mitigation post-quantique plus larges
Ce design doit être considéré comme un outil complémentaire dans le cadre plus large de la mitigation post-quantique sur Ethereum. Il ne prétend pas être le meilleur portefeuille sécurisé quantique dans un sens absolu, ni ne remplace le besoin à long terme de signatures post-quantiques natives dans le protocole.
Au lieu de cela, il aborde une faiblesse spécifique : l’exposition à long terme de la clé publique que l’algorithme de Shor exploiterait sur le niveau d’exécution. De plus, il utilise uniquement l’infrastructure actuelle et des modèles de contrat intelligent familiers, le rendant déployable sans attendre de nouveaux EIP ou standards de signature.
Perspectives pour des transactions sécurisées quantiques sur Ethereum
Le schéma de portefeuille sécurisé quantique proposé atteint la sécurité quantique au niveau de l’exécution en faisant tourner les paires de clés ECDSA après chaque transaction tout en préservant une adresse de contrat intelligent stable. Il ne nécessite aucun changement de protocole et ajoute environ ~100k gas par rapport à un transfert de base, une fraction des coûts actuels de vérification post-quantique.
Il ne remplace pas les futurs schémas de signature post-quantiques, qui restent essentiels pour une solution complète et à long terme sur Ethereum. Cependant, en éliminant l’exposition prolongée de la clé publique, il offre une défense pratique et incrémentale que les utilisateurs et les développeurs de portefeuilles peuvent adopter dès aujourd’hui, les mempools privés fournissant la plus forte atténuation pour l’exposition restante au niveau du mempool.
