Signatures post-quantiques : comment éviter l'encombrement sans sacrifier la validation des nœuds grand public
Le débat sur la transition de Bitcoin vers la cryptographie post-quantique ne se limite pas au risque posé par l’algorithme de Shor sur les courbes elliptiques secp256k1. Dans un message publié sur Reddit, un utilisateur met surtout en avant un autre verrou : le surcoût brut en octets des signatures post-quantiques.
Des signatures bien plus lourdes que les signatures actuelles
Selon ce texte, sous NIST FIPS 204 (ML-DSA-65 / Dilithium), une seule signature post-quantique pèse environ 3 300 bytes. À titre de comparaison, les signatures Schnorr utilisées aujourd’hui ne font que 64 bytes.
L’auteur estime que si Bitcoin devait un jour adopter une vérification native des signatures post-quantiques via un soft fork ou un hard fork, un envoi naïf des données sur le réseau provoquerait des difficultés immédiates. Parmi elles, il cite un phénomène de P2P Head-of-Line Blocking : un bloc standard de 4 MB ne pourrait contenir qu’une fraction des transactions actuelles, tandis que la diffusion dans le mempool saturerait les pairs disposant d’une faible bande passante.
Le texte évoque aussi une autre conséquence : la perte de la capacité de vérification à domicile. « L’éthique principale de Bitcoin est que n’importe qui peut faire tourner un nœud sur du matériel grand public, comme un Raspberry Pi ou un ancien PC », rappelle l’auteur. Selon lui, stocker et diffuser en continu des mégabytes de signatures de type lattice sur la couche de gossip P2P menacerait cette décentralisation.
Une architecture en deux niveaux
Pour contourner ce problème, l’auteur propose de découpler la validation sur le plan du réseau. Il présente d’abord un Bounded Validator/Consensus Tier, soit une couche limitée de nœuds dédiés et haut de gamme, chargée de traiter les tours de consensus BFT actifs et d’absorber la bande passante nécessaire à la vérification des signatures ML-DSA-65 pendant la construction des blocs.
Dans cette approche, les nœuds ordinaires n’auraient pas à relayer ni à archiver indéfiniment les enveloppes brutes de signatures d’environ 3,3 KB. Ils vérifieraient à la place les transitions d’état via des engagements déterministes et des hachages cryptographiques, avec par exemple des racines SHA3-256.
Le message conclut que ce découplage entre la vérification cryptographique brute à l’ingestion et l’engagement d’état à long terme permettrait d’obtenir une résistance quantique sans pousser les opérateurs de nœuds hors du réseau à cause de la croissance de l’espace disque et de l’étranglement de la bande passante P2P. L’auteur termine en demandant comment les développeurs de Bitcoin Core et les opérateurs de nœuds arbitreraient entre cette séparation des charges et l’attente d’une agrégation recursive des preuves lorsque le calendrier de transition quantique se resserrera.
