NIST (ang. National Institute of Standards and Technology), czyli Narodowy Instytut Standardów i Technologii, to amerykańska agencja federalna podległa Departamentowi Handlu USA. Zajmuje się metrologią, normami technicznymi i cyberbezpieczeństwem. Dla świata kryptowalut NIST jest ważny przede wszystkim jako autor standardów kryptograficznych: funkcji skrótu z rodziny SHA, szyfru AES i – od 2024 roku – algorytmów kryptografii postkwantowej.
Standardy NIST w kryptografii
NIST publikuje obowiązujące standardy jako FIPS (Federal Information Processing Standards) oraz zalecenia w serii SP 800. Formalnie są obowiązkowe dla administracji federalnej USA, ale w praktyce stosuje je cały świat: banki, dostawcy chmur, przeglądarki i twórcy blockchainów.
| Standard | Co opisuje | Związek z krypto |
|---|---|---|
| FIPS 180 (SHA-2) | funkcje skrótu, m.in. SHA-256 | Proof of Work i adresy w Bitcoinie |
| FIPS 202 (SHA-3) | funkcje skrótu z rodziny Keccak | Ethereum używa Keccak-256 w wersji sprzed standaryzacji, dlatego wynik różni się od SHA3-256 |
| FIPS 197 (AES) | szyfr blokowy | szyfrowanie plików portfeli i kopii zapasowych |
| FIPS 203 (ML-KEM) | postkwantowa wymiana kluczy | przyszłe bezpieczne kanały komunikacji |
| FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA) | postkwantowe podpisy cyfrowe | kandydaci do zastąpienia ECDSA w blockchainach |
Ciekawostka: Satoshi Nakamoto wybrał dla Bitcoina krzywą eliptyczną secp256k1, a nie rekomendowaną przez NIST krzywą P-256. Oficjalnego powodu nie znamy, ale często łączy się tę decyzję z nieufnością wobec parametrów zaproponowanych przez agencję.
Sprawa Dual_EC_DRBG
Nieufność ma konkretne źródło. W 2006 roku NIST włączył do zaleceń generator liczb losowych Dual_EC_DRBG. Kryptografowie już wtedy zauważyli, że jego stałe mogą zawierać ukrytą furtkę. Dokumenty ujawnione przez Edwarda Snowdena w 2013 roku wskazywały, że NSA promowała ten standard. W 2014 roku NIST wycofał rekomendację i zrewidował swoje procedury, stawiając na otwarte konkursy i publiczną analizę. Dla kryptowalut lekcja jest prosta: generator losowości to fundament bezpieczeństwa kluczy prywatnych, a „oficjalny” nie znaczy „niepodważalny”.
Kryptografia postkwantowa
Duży komputer kwantowy mógłby algorytmem Shora złamać podpisy oparte na krzywych eliptycznych (ECDSA, Schnorr) i RSA. Funkcje skrótu są bardziej odporne – algorytm Grovera obniża efektywne bezpieczeństwo SHA-256 mniej więcej o połowę, co nadal jest poziomem uznawanym za bezpieczny.
NIST prowadził otwarty konkurs na algorytmy postkwantowe od 2016 roku. 13 sierpnia 2024 roku opublikował trzy standardy: FIPS 203 (ML-KEM, dawniej CRYSTALS-Kyber), FIPS 204 (ML-DSA, dawniej CRYSTALS-Dilithium) i FIPS 205 (SLH-DSA, dawniej SPHINCS+). W marcu 2025 roku wybrał dodatkowo algorytm HQC jako zapasowy mechanizm wymiany kluczy. Standard FIPS 206 z podpisem FN-DSA (dawniej Falcon) jest w przygotowaniu.
Przykład: rozmiar podpisów w blockchainie
Załóżmy prostą transakcję bitcoinową z jednym wejściem. Podpis ECDSA z kluczem publicznym zajmuje ok. 105 bajtów. Przy ML-DSA-44 sam podpis ma 2 420 bajtów, a klucz publiczny 1 312 bajtów – razem 3 732 bajty, czyli ok. 35 razy więcej. Podpis SLH-DSA w wariancie „small” ma 7 856 bajtów.
Skoro miejsce w bloku jest ograniczone, większe podpisy oznaczają mniej transakcji w bloku i wyższe opłaty. Dlatego migracja blockchainów na podpisy postkwantowe to nie tylko zmiana algorytmu, ale też decyzja o przepustowości sieci i kosztach dla użytkowników.
Najczęstsze błędy
- Twierdzenie, że komputery kwantowe „złamią SHA-256” – realne zagrożenie dotyczy podpisów, nie funkcji skrótu.
- Utożsamianie Keccak-256 z Ethereum ze standardem SHA3-256.
- Przekonanie, że standard NIST gwarantuje brak słabości – historia Dual_EC_DRBG pokazuje, że potrzebna jest niezależna analiza.
- Panika po każdym nagłówku o „przełomie kwantowym” bez sprawdzenia, ilu kubitów logicznych naprawdę dotyczy.
Perspektywa tradera
Nagłówki o komputerach kwantowych i standardach postkwantowych co jakiś czas wywołują nerwowe reakcje na rynku krypto. Warto odróżnić wiadomość technologiczną od realnej zmiany ryzyka: publikacja standardu przez NIST to krok obronny, a nie dowód, że atak jest możliwy dziś. Z praktycznego punktu widzenia ważniejsze jest to, jak trzymasz własne środki. Adresy, z których już wysyłałeś transakcje, mają ujawniony klucz publiczny, więc w długim horyzoncie są bardziej narażone niż nowe, nieużywane adresy. Śledź też, jak sieci planują migrację – to proces na lata, który może wymagać przeniesienia środków na nowe typy adresów.
Najczęstsze pytania
Czy Bitcoin korzysta ze standardów NIST?
Częściowo. SHA-256 to standard NIST, ale krzywa secp256k1 używana do podpisów nie jest krzywą rekomendowaną przez NIST.
Co to są FIPS 203, 204 i 205?
To pierwsze standardy kryptografii postkwantowej, opublikowane przez NIST w sierpniu 2024 roku: jeden do wymiany kluczy i dwa do podpisów cyfrowych.
Czy komputer kwantowy może dziś ukraść bitcoiny?
Nie ma publicznie znanej maszyny zdolnej do złamania ECDSA. Zagrożenie jest przyszłe, ale wystarczająco realne, by przygotowania trwały już dziś.
Czym była afera Dual_EC_DRBG?
To generator liczb losowych z zaleceń NIST, który według ujawnionych dokumentów mógł zawierać furtkę dla NSA. NIST wycofał rekomendację w 2014 roku.
Czy Ethereum używa SHA-3?
Używa Keccak-256, czyli wersji algorytmu sprzed ostatecznej standaryzacji. Daje inne wyniki niż SHA3-256 z FIPS 202.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
