イーストテキサスA&M大学、Bitcoin(BTC)Lightning向け耐量子暗号PQLNを発表、12項目のノード試験に合格

PQLNはrust-lightning上で動作

Bitcoin (BTC)のLightningネットワークに、量子コンピュータの脅威に耐えられる耐量子暗号のセキュリティ層が、動作する研究コードとして登場した。10月13日(火曜日)、イーストテキサスA&M大学の研究チームはPQLNの評価結果を公開した。PQLNはLightningのオフチェーン部分を対象に設計された耐量子暗号方式で、ネットワーク主要実装の一つであるrust-lightningに実装され、実験室環境でLightningノードとの検証が行われている。ただしこれはネットワークのリリースではない。PQLNはあくまで研究段階にあり、Lightningへの正式な採用は何も決まっていない。

この研究は9月12日付の論文「PQLN: Post-Quantum Security for the Bitcoin Lightning Network's Off-Chain Surfaces」として文書化され、ソースコードは公開されている。チームの把握する限り、Lightning向けの耐量子暗号を設計から実装、評価まで通しで進めた先行の取り組みは存在しないという。

PQLNの基盤は、米国標準技術研究所(NIST)が2024年8月に標準化した二つのアルゴリズム、署名方式のML-DSAと鍵カプセル化機構のML-KEMだ。設計は既存の暗号を捨てるものではなく、新アルゴリズムを現行方式と組み合わせた上で、三つの個別の対象に適用する。ノード間通信、支払い請求書の認証、そして経路情報の保護である。この対象が属する仕組みを確認しておく。Lightningはベースチェーンの外で送金を決済する。ユーザーはBTCをデポジットして支払いチャネルを開き、個々の送金をブロックチェーンに記録せずに処理し、直接チャネルを持たない相手とはマルチホップの経路付けを通じて到達する。チャネルで扱われるのはネイティブなBTCであり、wrapped Bitcoinの請求権ではない。この即時決済の特性こそ、同ネットワークがPayFiの議論に繰り返し登場する理由だ。PQLNはBitcoin (BTC)自身のコンセンサスには一切手を付けない。プルーフオブワークによるベース層もそのままであり、チームの主張は、ベースチェーンとオフチェーンのスタックには別々の量子対策が必要、というものだ。大学側が示したのは検証済みの動作と互換性であって、展開済みのアップグレードではない。ノード運用者には現時点で移行すべき対象が存在しない。

危険にさらされるオフチェーン部分

Lightningのプロトコルが手術を必要としたのは今回が初めてではない。2017年のSegregated Witnessのアップグレードが、オフチェーンチャネルの前提となるトランザクション改ざん可能性を取り除いて初めて、同ネットワークは実用になった。だが現在の暴露面は性質が異なる。ノード間のメッセージングと支払い認証は楕円曲線の公開鍵暗号に依存しており、十分な能力を持つ量子コンピュータが実現すればこの暗号は破られ、攻撃者はノードへのなりすましや支払いデータの偽造が可能になる。もう一つのシナリオは未来の機械を必要としない。今日の暗号化されたチャネル通信を記録しておき、量子ハードウェアの成熟後に復号する「後から解読」型の攻撃だ。チームはさらに、仮にBitcoinのベース層が量子耐性を持っても、Lightning固有のメッセージングと決済の配管は対象外になると指摘する。チャネル内にロックされた資金は通常のBitcoinトランザクションで管理されており、PQLNの適用範囲から完全に外れている。

後方互換性も設計に組み込まれている。PQLN対応ノードは、対応していないノードとも取引を続けられる。ただし保護されていないノードとの、またそれを経由する通信には耐量子保護が及ばない。方針は運用者が自分で決める。旧方式との接続を許すか、耐量子保護のない接続と支払いをすべて拒否するかだ。

実測されたコストは明快に分かれる。性能は実験室のrust-lightningノードで評価され、最も重い追加暗号操作である署名生成の所要は平均で約0.33ミリ秒だった。互換性は、PQLN対応ノードと従来型ノードを組み合わせた12のシナリオで確認され、全試験が合格した。負荷の中心は計算量ではなく帯域幅だ。ネットワーク情報の取得サイズは標準署名で従来の約10倍、より小さい署名を使えば約4倍に増え、研究者はこのデータ増大を運用上の最大の負担と位置づける。限界は三つある。検証はrust-lightning単体に限られ、他のLightning実装との互換性は未確認だ。拡張仕様はいまだ実験的な扱いであり、正式採用にはさらなる検証と技術仕様の完成が必要で、どちらも現時点で存在しない。その意味で今回の節目はエンジニアリングであって展開ではない。10月13日の前後で、ネットワーク自体の動作は何も変わっていない。

設計から動くコードへ

私たちの読みとしては、ここでの価値は、議論が割れていたリスクに測定可能な成果物が結びついた点にある。Bitcoin (BTC)をめぐる量子問題は、暗号学的に意味のある量子機械の実現時期をめぐる予測から、公の場での否定まで、もっぱら言論の層で動いてきた。その一例が最近のEdwardsとSaylorの応酬だ(Edwards-Saylor論争)。これらはビットコインの価格に直接触れるものではなく、市場自身の駆動要因は別に動いていた。80,000ドルの夜間試験を経ての82,000ドルの回復、そしてGrayscaleの測定による43%のボラティリティで、その水準はS&P 500の範囲内にとどまっている。それでも、エンジニアリングの床は動いた。以前は動かなかったものが今は動いている。ML-DSA署名とML-KEM鍵交換を載せたrust-lightningノードが、検証済みの12シナリオを通じて旧来のピアと相互運用するのだ。Bitcoinの量子耐性をめぐる研究(Bitcoin研究)には、動作し、誰でも検証できるコードが加わった。