Bunker-Modus: Kann KI die Kryptografie elliptischer Kurven knacken?

Jeder Weg, Bitcoin mittels der in dieser Reihe behandelten Quantenbedrohung zu kompromittieren, führt über einen kryptografisch relevanten Quantencomputer (CRQC). Nach aktuellem Kenntnisstand dürfte das Zeitfenster für eine solche Maschine gegen Ende dieses Jahrzehnts aufgehen. Bis die Migration von Bitcoin auf quantenresistente Verfahren abgeschlossen ist, besteht die wichtigste Schutzmassnahme für Inhaber darin, ihre öffentlichen Schlüssel verborgen zu halten, da ein Angreifer einen Schlüssel zunächst sehen muss, um ihn gezielt angreifen zu können.

Am 7. Oktober argumentierte der Ethereum-Foundation-Forscher Justin Drake, dass KI-gestützte Fortschritte in der Mathematik dieselbe Kryptografie möglicherweise schon früher überwinden könnten, ganz ohne Quantencomputer. Entsprechend forderte er Inhaber dazu auf, öffentliche Schlüssel deutlich konsequenter zu verbergen. Ob diese Dringlichkeit gerechtfertigt ist, hängt jedoch sowohl von der Einordnung der jüngsten KI-Fortschritte als auch von der Frage ab, welchen tatsächlichen Sicherheitsgewinn eine Verschiebung von Vermögenswerten bringen würde.

Drake stützt seine Argumentation auf die wegweisende Veröffentlichung von über 700 mathematischen Manuskripten durch OpenAI, von denen einige Lösungsansätze für langjährige mathematische Fragestellungen präsentieren. Daraus leitet er ab, dass die Annahme, welche die Elliptic-Curve-Kryptografie (ECC) schützt, nämlich dass sich ein privater Schlüssel praktisch nicht aus seinem öffentlichen Schlüssel ableiten lässt, durch neue, KI-gestützte mathematische Erkenntnisse infrage gestellt werden könnte. Elliptische Kurven betrachtet er als besonders exponiert, da ihre ausgeprägte algebraische Struktur einem Angreifer mehr Ansatzpunkte bietet als Hash-Funktionen, die bewusst möglichst wenig Struktur aufweisen.

In Drakes Risikoszenario würde ein solcher Durchbruch die Ableitung eines privaten Schlüssels aus einem öffentlichen Schlüssel innerhalb von etwa einer Woche auf bestehender Hardware ermöglichen, im schlechtesten Fall sogar innerhalb weniger Monate. Da für einen solchen Angriff ein sichtbarer öffentlicher Schlüssel erforderlich ist, empfiehlt Drake einen «Bunker Mode»: eine kontrollierte Verlagerung von Vermögenswerten auf Adressen, deren öffentliche Schlüssel weiterhin durch einen Hash verborgen bleiben. Nach jeder Transaktion soll ein verbleibendes Guthaben zudem auf eine neue Adresse übertragen werden. Drake betont, dass es sich dabei um seine persönliche Einschätzung handelt und Inhaber weder überstürzt handeln noch in Panik geraten sollten.

Die Kryptografen, die auf Drakes Aussagen reagierten, erkennen zwar an, dass KI die Mathematik verändert, ziehen daraus jedoch andere Schlussfolgerungen. Yehuda Lindell schrieb, dass der Beweis schwieriger mathematischer Sätze durch KI „in keiner Weise darauf hindeutet, dass als schwierig angenommene Probleme dies nicht mehr sind“. JP Aumasson ergänzte, dass, falls das mathematische Problem hinter der Elliptic-Curve-Kryptografie tatsächlich schwer lösbar ist, auch eine KI keinen effizienten Algorithmus zu dessen Lösung finden könne.

Dass diese Schwierigkeit bislang nicht bewiesen ist, ist ein Argument, das Daniel J. Bernstein seit Langem vorbringt. Die von OpenAI veröffentlichten Arbeiten liefern hierfür jedoch weder einen Beweis noch einen Gegenbeweis.

Unbestritten ist hingegen, dass KI die Suche nach Schwachstellen in kryptografischen Verfahren beschleunigen kann. Im Juli entdeckte Anthropics Claude Mythos Preview eine strukturelle Schwachstelle in HAWK, einem neueren gitterbasierten Signaturverfahren, was zu dessen Rückzug aus der NIST-Evaluierung für Post-Quantum-Signaturen führte. Erst kürzlich identifizierten KI-gestützte Forscher innerhalb einer Woche nach der Veröffentlichung chinesischer Kandidaten für Kryptografie der nächsten Generation mehrere kritische Schwachstellen, darunter Möglichkeiten zur Schlüsselwiederherstellung.

As Drake notes, none of the OpenAI manuscripts concerns cryptography. In a release this broad, the omission is striking: it leaves open the possibility that results in cryptanalysis, perhaps a weakening rather than a full break, were kept back. We cannot know what has not been released, or expect complete visibility into such work. That uncertainty is a reason for the protocol work to prepare for the worst rather than wait for more explicit signs of an attack.  

Wie Drake selbst festhält, befasst sich keines der veröffentlichten OpenAI-Manuskripte mit Kryptografie. Bei einer Veröffentlichung dieser Grössenordnung fällt dieses Fehlen auf: Es lässt die Möglichkeit offen, dass Ergebnisse aus der Kryptoanalyse, sei es in Form einer Schwächung oder sogar eines vollständigen Angriffs, nicht veröffentlicht wurden. Was nicht publiziert wurde, lässt sich jedoch weder beurteilen noch verlässlich beobachten. Diese Unsicherheit ist aus seiner Sicht ein Argument dafür, Protokolle vorsorglich auf ungünstige Szenarien vorzubereiten, anstatt auf eindeutigere Hinweise für einen Angriff zu warten.

Dieselbe Überlegung ist nicht neu: Einige Bitcoin-Entwickler haben bereits für quantenresistente Signaturverfahren plädiert, selbst für den Fall, dass kryptografisch relevante Quantencomputer nie Realität werden. Ihr Argument lautet, dass die Kryptografie elliptischer Kurven auch durch klassische mathematische Fortschritte geschwächt werden könnte, unabhängig davon, ob KI dabei eine Rolle spielt oder nicht.

Selbst wenn Drakes Annahme bislang unbewiesen ist, lässt sich seine Empfehlung unabhängig davon bewerten. In seinem Szenario, das von einem Zeitfenster von rund einer Woche ausgeht, wird ein öffentlicher Schlüssel erst beim Ausgeben der Coins offengelegt, wie es bei einmalig verwendeten gehashten Adressformaten der Fall ist. Dadurch bliebe genügend Zeit, eine Transaktion abzuschliessen, bevor ein Angreifer den privaten Schlüssel ableiten könnte. In einem ungünstigeren Szenario, in dem ein Angriff schnell genug wäre, den Schlüssel noch vor der Bestätigung der Transaktion wiederherzustellen, würde dieser Schutz jedoch vollständig entfallen.

Dort, wo der Schutz greift, betrifft er zudem nur die eigenen Bestände eines Inhabers. Dankrad Feist argumentierte, dass bei einer grossflächigen Kompromittierung offengelegter Schlüssel im Netzwerk die Coins unabhängig davon an Wert verlieren würden, ob sie sich im «Bunker Mode» befinden oder nicht. Diese Einschätzung deckt sich mit meiner Sorge, dass das Vertrauen in das Netzwerk insgesamt beeinträchtigt werden könnte.

Auch die Verschiebung von Vermögenswerten bringt eigene Risiken mit sich. Vitalik Buterin schrieb, dass er durch fehlerhafte Migrationen mehr Geld verloren habe als durch Angriffe. Ohne eine nachgewiesene Bedrohung könnten ungewohnte Übertragungsprozesse für viele Inhaber daher mehr Risiken schaffen als beseitigen.

Das Vermeiden unnötig offengelegter öffentlicher Schlüssel bleibt eine sinnvolle Vorsichtsmassnahme. Für den langfristigen Schutz des Netzwerks reicht dies meiner Meinung nach jedoch nicht aus. Dafür wären eine Protokollanpassung und eine vollständige Migration auf neue Verfahren erforderlich.

Eine Protokollanpassung erfordert die Entscheidung, wodurch die Elliptic-Curve-Kryptografie (ECC) ersetzt werden soll. Drake befürwortet einen ausschliesslichen Rückgriff auf hash-basierte Kryptografie, die auf bewährten Hash-Funktionen aufbaut. Seine Begründung entspricht jener für seine Skepsis gegenüber elliptischen Kurven: Hash-Funktionen bieten nur wenig Struktur, die für Angriffe ausgenutzt werden könnte.

Buterin stimmte zu, dass Hash-Funktionen überall dort bevorzugt werden sollten, wo dies möglich ist. Gleichzeitig äusserte er die Erwartung, dass KI die Sicherheit gitterbasierter Kryptografie, der wichtigsten alternativen Verfahrensfamilie, schwächen könnte. Zugleich räumte er ein, dass sich Public-Key-Verschlüsselung nicht allein mit Hash-Funktionen umsetzen lässt.

Charles Hoskinson entgegnete, dass die Parameter gitterbasierter Verfahren bereits Jahrzehnte kryptografischer Angriffe berücksichtigen. Zudem verwies er darauf, dass Hash-Funktionen wie MD5 und SHA-1 in der Vergangenheit gebrochen wurden. Gitterbasierte Verfahren aufzugeben, bevor überhaupt ein konkreter Angriff existiert, komme seiner Ansicht nach einer Panikreaktion gleich.

Buterins Einschränkung verdeutlicht die Grenzen der ausschliesslich auf Hash-Funktionen basierenden Betrachtungsweise, da die digitale Infrastruktur für den Aufbau verschlüsselter Verbindungen auf gitterbasierte Verfahren angewiesen ist. Bei Signaturen stellt sich die Situation jedoch anders dar: Diese können auch auf Basis von Hash-Funktionen umgesetzt werden, und für Bitcoin galten hashbasierte Signaturverfahren bereits lange vor dieser Debatte als einer der führenden Kandidaten.

Sowohl der Rückzug von HAWK als auch die von Hoskinson angeführten kompromittierten Hash-Funktionen deuten darauf hin, dass das Alter und die wissenschaftliche Prüfung eines Verfahrens wichtiger sein könnten als die kryptografische Familie, zu der es gehört. Genau deshalb war kryptografische Agilität, also die Fähigkeit, einen Algorithmus bei veränderter Sicherheitsbewertung zu ersetzen, bereits vor der Veröffentlichung der OpenAI-Ergebnisse sinnvoll und bleibt es auch weiterhin.

All dies ändert nichts daran, was Bitcoin-Inhaber heute tun sollten. Bislang wurde kein Angriff auf die Elliptic-Curve-Kryptografie (ECC) nachgewiesen, und das Verbergen öffentlicher Schlüssel bietet sowohl gegen das von Drake beschriebene Szenario als auch gegen einen Quantencomputer Schutz, der nicht schnell genug wäre, um eine Transaktion vor ihrer Bestätigung anzugreifen.

Die Debatte unterstreicht jedoch die Bedeutung einer zügigen Protokollanpassung. Denn erst wenn sich das Netzwerk als Ganzes weiterentwickelt, können alle Inhaber geschützt werden. Ebenso wichtig ist es, die Infrastruktur so zu gestalten, dass kryptografische Verfahren bei Bedarf erneut ersetzt werden können.

Gelassenheit ist in dieser Debatte angebracht. Gleichzeitig spricht vieles dafür, die Weiterentwicklung des Protokolls mit Nachdruck voranzutreiben. Wir verfolgen die Entwicklungen in unserem Quantum Hub und beleuchten sie monatlich im Quantum Update.