-
Una modificación de consenso podría proteger solo determinadas operaciones en la cadena.
-
Un nodo nuevo descargaría hasta 270 MB de gossip, frente a 26 MB hoy.
Ahmet Kurt, investigador de la Universidad Agrícola y Técnica de Texas del Este, publicó el 12 de septiembre un paper titulado PQLN, lo que se traduce en una extensión postcuántica de la red Lightning.
El trabajo se difundió primero en un foro técnico donde desarrolladores de Bitcoin discuten propuestas de protocolo antes de llevarlas a revisión formal. Esta vez llega con una implementación funcional probada en nodos reales, algo que las propuestas anteriores sobre este tema no habían ofrecido.
La pregunta habitual sobre computación cuántica suele ser si Bitcoin podría sobrevivir a una máquina lo bastante potente como para romper sus firmas actuales. Pero PQLN plantea una pregunta distinta: aunque Bitcoin resuelva ese problema en su capa de consenso, ¿qué queda expuesto en todo lo que rodea a la red?
La respuesta, según este trabajo, es que buena parte de Lightning sigue desnuda frente a ese escenario. Vive fuera de la cadena de bloques, y nadie la había blindado todavía.
Esa distinción no es cosmética. Las claves dentro de las transacciones de apertura, compromiso y penalización de un canal no pueden migrar sin un cambio de consenso en Bitcoin, así que quedan fuera del alcance de PQLN.
Todo lo demás son mensajes entre nodos, y esos sí pueden actualizarse sin tocar el protocolo base:
| Elemento | ¿Puede migrar sin cambio de consenso? |
|---|---|
| Transacciones de apertura, compromiso y penalización | No |
| Gossip entre nodos | Sí |
| Transporte cifrado | Sí |
| Facturas de pago (invoices) | Sí |
| Ofertas de pago | Sí |
| Paquete de enrutamiento (onion) | Sí |
La urgencia no es especulativa. Un adversario puede grabar hoy el tráfico cifrado de Lightning sin poder leerlo, a la espera de una computadora cuántica capaz de descifrarlo después.
Ese principio se conoce como «cosechar ahora, descifrar después». Convierte la migración en una carrera contra un reloj que ya empezó a correr, aunque nadie sepa cuánto falta para que suene la alarma.
Cinco puntos débiles, cinco soluciones distintas
PQLN no aplica un parche único. Cada superficie de Lightning tenía un problema distinto, y cada una recibió una solución a medida:
- Gossip: no existe infraestructura de certificados, así que cada nodo memoriza la primera clave que ve de otro para detectar sustituciones futuras
- Transporte: el saludo inicial combina cifrado clásico y postcuántico a la vez, y ambos deben fallar para que un atacante gane algo
- Facturas de pago: una firma postcuántica no entra en el campo que Lightning le reserva, así que se parte en fragmentos para seguir cabiendo en un código QR
- Ofertas de pago: cada oferta carga su propia firma, verificable sin haber visto nada previamente
- Paquete de enrutamiento (onion): la clave viaja aparte, mezclada con datos falsos que impiden contar cuántos saltos tiene la ruta
De acuerdo al paper, el desafío de las facturas era puramente de espacio. Una firma ML-DSA-44 mide 2420 bytes, y el campo disponible solo admite 639.
Además, las ofertas de pago no pueden apoyarse en el mismo mecanismo de memorización que el gossip, porque el pagador nunca vio antes esa clave. La solución, en este caso, fue anclar cada oferta a una firma propia y única.
El gossip es el mecanismo mediante el cual los nodos de Lightning se anuncian entre sí y difunden la existencia de canales abiertos, para que cualquier participante pueda construir un mapa de la red y encontrar rutas de pago. Funciona sin una autoridad central: cada nodo retransmite lo que recibe de sus vecinos, de forma similar a como se propaga un rumor de persona a persona, hasta que la información llega a toda la red.
Se trata de un diseño abierto, que es también su punto débil frente a la computación cuántica, porque cualquier clave o firma que viaje por gossip queda expuesta a quien intercepte el tráfico.
El costo real no es de cómputo, es de espacio
Cifrar y firmar con algoritmos postcuánticos resultó barato en tiempo de procesamiento. La operación más lenta del sistema, firmar con ML-DSA, toma apenas 0,33 milisegundos.
El problema aparece en el ancho de banda, no en la potencia de cálculo:
| Nodo clásico | Nodo PQLN | |
|---|---|---|
| Gossip descargado (red actual) | ~26 MB | ~270 MB |
| Crecimiento de gossip | base | 10 veces |
| Almacenamiento | base | 9 veces |
Para dimensionar esa cifra conviene compararla con una estimación previa del desarrollador de Lightning Network Daemon, Olaoluwa Osuntokun. Él había calculado un aumento de 29 veces si todas las firmas del gossip migraran a un esquema postcuántico. Esto según lo citado en el estudio.
PQLN se queda en 10 veces porque deja sin tocar el mensaje de anuncio de canal, cuyas firmas ya dependen de Bitcoin. Cambiar el algoritmo de firma por uno más compacto, llamado FN-DSA, bajaría ese crecimiento a 4 veces.
La migración tendría que ocurrir por capas
El valor del estudio está menos en presentar PQLN como una solución definitiva y más en mostrar qué ocurre cuando la criptografía postcuántica se lleva a una implementación de Lightning.
La resistencia cuántica no sería una actualización única para todo Bitcoin. Una modificación de consenso podría proteger determinadas operaciones en la cadena, pero dejaría intactas las dependencias criptográficas de otras partes del ecosistema.
En Lightning, esas dependencias están repartidas entre varios mecanismos de comunicación. En las wallets, aparecen además en la generación y administración de claves. En los nodos, afectan la transmisión y verificación de información. Y en Bitcoin, las nuevas firmas tendrían que convivir con los fondos que todavía utilizan los sistemas actuales.
El resultado de PQLN también introduce una consideración práctica: la migración postcuántica puede aumentar significativamente el volumen de datos. Si Bitcoin y Lightning adoptan mecanismos con estructuras mucho mayores, el diseño de los protocolos tendrá que considerar ese crecimiento desde el principio.
El estudio no demuestra que ML-DSA, ML-KEM o PQLN vayan a convertirse en los mecanismos utilizados por Lightning. Tampoco establece cuándo será necesaria una migración. Su contribución es más concreta: presenta un diseño, una implementación sobre rust-lightning y mediciones que muestran dónde aparecen los costos.
Eso cambia la pregunta sobre la seguridad cuántica de Bitcoin. El problema no sería solamente si la cadena de bloques puede adoptar firmas resistentes a una computadora cuántica, sino cuántas capas independientes tendrán que hacer la misma transición.
Si Bitcoin llega a modificar su criptografía de consenso, Lightning todavía tendrá que resolver la suya. Y el experimento de PQLN muestra que esa segunda migración no sería simplemente cambiar un algoritmo. También implicaría rediseñar cuánto y cómo se comunican los nodos.
