Ledger测试后量子签名，但承认存在安全漏洞

• 公司承认当前版本尚未能防御针对芯片的物理攻击。
• 新的密钥和签名的重量是当前椭圆曲线的最多50倍。

量子计算的潜在到来促使加密货币生态系统中的不同参与者增加对一种威胁的保护，尽管这种威胁并不迫在眉睫，但已经影响了新产品的设计。

在这种背景下，Ledger为其设备的安全元素芯片（Secure Element, SE）增加了对ML-KEM和ML-DSA的实验性支持，这两个算法是由美国国家标准与技术研究所（NIST）标准化的后量子密码学算法，从Nano X型号开始。Ledger于7月6日宣布，它通过在Rust和C语言中的软件开发工具包（SDK）对SE进行这些后量子测试。

Ledger的嵌入式软件和质量控制总监Raf在社交媒体X上确认了这一开发，并承认**<<这仍然是实验性的，实施尚未完全安全。还有很多工作要做，但基础是坚实的>>**。

在比特币和大多数加密资产网络的背景下，理论上，拥有足够强大的量子计算机并运行Shor算法的攻击者可以从基于椭圆曲线密码学（ECC）的公钥中获取用户的私钥，并在不知晓用户私钥的情况下授权交易。

Ledger设备将私钥存储在安全元素芯片内，并在不暴露这些密钥的情况下生成交易的加密签名。用于签署这些操作的算法取决于相应的网络。例如，在比特币中，交易可以使用椭圆曲线数字签名算法（ECDSA）进行签名，或者在Taproot地址的情况下，使用Schnorr签名。

将ML-KEM和ML-DSA集成到安全元素中并不意味着Ledger设备已经开始使用后量子算法签署比特币或以太坊交易。这些网络仍然仅接受其自身协议定义的方案。改变的是Ledger安全元素中执行后量子算法的能力的集成，并通过软件开发工具包（SDK）的新功能将其暴露出来，应用程序可以以与今天调用ECDSA功能相同的方式调用这些功能。

SDK是开发人员为Ledger设备构建应用程序所使用的工具和库的集合。通过它，安全元素的后量子新能力将为未来需要它的任何人提供：一个新网络、一个协议更新、一条侧链或任何决定采用后量子密码学的应用程序。
Ledger Nano X将是公司最基本的设备，开始接收这项新技术。来源：Ledger。

Ledger自己承认的不足之处 {#h-lo-que-la-propia-ledger-reconoce-que-falta}

安全元素将私钥与加密资产网络使用的算法隔离，但同样保护新的后量子密钥，使其免受物理攻击，是Ledger尚未完全解决的另一项挑战。

安全元素是Ledger设备操作系统中与其他部分隔离的芯片，这种隔离的安全性不仅依赖于所使用算法的数学强度，还依赖于其物理执行不泄露信息：理论上，攻击者如果能够物理接触设备，可以测量芯片的电力消耗或每个操作所需的时间，从而推断出私钥，而无需破解ML-KEM或ML-DSA背后的数学原理，正如Ledger团队分享的技术文档所述。

这种技术被称为侧信道攻击*(side-channel attack)*，它与量子威胁无关，因为它不需要量子计算机，只需访问设备和测量设备。

Ledger详细说明，目前SDK中实现的ML-KEM和ML-DSA不包括针对这种攻击的对策。该公司提前表示，未来版本将增加两种特定技术来填补这一漏洞：算术掩码*(arithmetic masking)，将每个秘密密钥分割成随机片段，以便没有单独的测量能够揭示真实值；以及操作随机化(shuffling)*，改变内部计算的执行顺序，以使电力消耗模式不可预测。这两种技术目前尚不可用，Ledger也未明确其到来的日期。

技术成本：更重的密钥和签名

根据Ledger团队的说法，新密钥和签名的重量明显大于当前的密钥和签名。如下面的图片所示，ML-KEM-768的公钥占用1,184字节，而基于椭圆曲线密码学（P-256/ECDH）的等效公钥仅占用64字节。同时，使用ML-DSA-65生成的签名占用3,309字节，而ECDSA签名仅占用64字节，这意味着大小增加了多达50倍。
数字交易的不同签名方案。来源：Ledger。

为了使这种额外的重量在其设备有限的内存中有效，具体在28到40千字节之间，Ledger优化了计算，使每个组件一次生成一个，而不是一起加载。此外，Ledger还表示，其实现的输出在他们的话中是<<逐位相同>>于NIST的官方测试向量。

Trezor的前例 {#h-el-antecedente-de-trezor}

正如CriptoNoticias报道的，Trezor在去年十月在其Safe 7钱包的Boardloader中加入了后量子保护，这是在设备启动时运行的第一个程序，出厂时已录制，且之后无法修改。该程序将ECDSA与SLH-DSA-128结合，这是SPHINCS+家族的数字签名算法，与Ledger使用的ML-DSA不同，它的量子抗性基于哈希函数而非格，尽管它的目的相同：证明某个操作是由拥有私钥的人授权的。NIST也在2024年对此进行了标准化。此外，Trezor在其设备集成的三个芯片之一中分发了ML-DSA-44，这是Ledger所采用的同一算法的变体。>>

Charles Guillemet，Ledger 的首席技术官 (CTO)，解释了在一个安全元素上运行这些算法的逻辑：<<量子后密码学毫无意义 **如果私钥仍然存储在一个可能会对你所签署的内容撒谎的机器上**>>。

因此，虽然 Trezor 已经在一个不可更改的组件中内置了量子后保护，Ledger 仍在推进一层实验性保护，而该公司自己尚未认为这完全安全。

你觉得这篇内容有用且相关吗？是 否
发送

这篇文章帮助你了 *理解发生了什么 分析背景 做出明智决策 娱乐 更新 你没得到帮助
发送

你今天在 CriptoNoticias 寻找什么内容？ *快讯 报道 市场分析 采访 评论文章 教育材料
发送

你认为这篇文章有多有价值？0 1 2 3 4 5
发送

你会推荐这篇文章给朋友或同事吗？是 否
发送

你希望以什么格式补充这些信息？ *短视频 音频或播客 信息图 仅文本即可
发送

你在阅读这篇文章后会采取什么行动？ *我会寻找更多相关信息 我会调整我的投资 我会继续阅读其他新闻 没有特别的 我会采取新的安全措施
发送

你觉得理解这篇文本有多容易？ *我一开始就理解了 很清楚，但有一些复杂的术语 我需要查找一些单词和概念的意思 我迷失了，太复杂了
发送

你想看到更多类似的内容吗？是 否
发送

标签：量子计算 加密货币 Ledger 钱包 最新 钱包（Billetera, Cartera 或 Monedero）

本内容仅供参考，不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息，不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性，存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。