aqui estão os slides da minha palestra no @PresidioBitcoin Quantum Bitcoin Summit: TL; DR: Proponho que o(s) conjunto(s) de parâmetros sha2 de SPHINCs+ (SLH-DSA/FIPS-205) ajustado(s) para assinaturas menores (~3KB, menor possível) seja adotado no Bitcoin como esquema de assinatura PQC

Também exploro quais são as implicações para o tipo de assinatura na pilha (alterações de tapscript, etc.) a maior mudança é que a derivação de chave pública BIP-32 não funciona mais (por exemplo: da qual dependem as carteiras de hardware somente para relógio), pois os sigs baseados em hash não oferecem nenhum tipo de estrutura algébrica

A derivação de chave determinística de uma semente ainda é suportada, mas não haveria tal coisa como um "xpub"

Portanto, podemos direcionar um AMT menor para o AMT máximo de SIGs para uma única chave + ajustar outros parâmetros para trocar a geração de SIG um pouco mais lenta (a validação ainda é rápida), para SIGs menores Se você violar essa meta máxima de AMT, a segurança diminui (128 bits -> 112 bits), mas não quebra instantaneamente

para que seja possível chegar a um intervalo de parâmetros com sigs menores ou no mesmo nível com ML-DSA (sig baseado em rede), com chaves privadas + públicas menores: * SLH-DSA: chaves pub de 32 bytes, chaves priv de 64 bytes * ML-DSA: 2KB+ chaves priv, 1KB+ chaves pub A compensação não é uma estrutura extra para fazer criptografia sofisticada

menos flexível, mas mais conservador Bitcoin já usa sha2 em todos os lugares todos os sigs têm uma função hash em algum lugar Nenhuma nova suposição de criptografia (1ª ou 2ª resistência de pré-imagem, etc.) introduzida, fazer uma tonelada de hashes é rápido, especialmente com inst vetorizado + aceleração de hardware

cozinhando alguns código + especificações 😈 não muito interessado na questão política de se as moedas devem ser congeladas / apreendidas, etc, etc imo que quebra um inquilino fundamental do Bitcoin, DEVEMOS resistir a grupos que tentam coordenar para redistribuir efetivamente a riqueza perda de valor a partir dessa quebra de PQ >