Poseidon2b ist ein zentrales Bauelement für Zero-Knowledge-Proof-Verifikationssysteme, insbesondere in Plattformen wie Binius, die auf binären Erweiterungskörpern arbeiten. Die Balance zwischen Verifikationsgeschwindigkeit und Sicherheitsniveau ist entscheidend für skalierbare Blockchains und ZK-Systeme. Dieser Artikel untersucht die Sicherheit der t=4-Instanz von Poseidon2b (GF(2^128), M4-MDS-Matrix) sowie deren Leistungsmerkmale im Vergleich zu Keccak-f.

Sicherheit der Poseidon2b-t=4-Instanz

Resistenz gegen Round-Skipping-Angriffe

Die aktuelle t=4-Instanz von Poseidon2b verwendet eine M4-MDS-Matrix, die vollständig unzerlegt ist und nicht aus wiederholt verknüpften Teilmatrizen besteht. Diese Struktur verhindert die in der „Skipping Class“-Analyse beschriebenen Round-Skipping-Angriffe, die bei breiteren Instanzen (t ≥ 12) auftreten können.

• Die M4-Matrix sorgt für maximale Diffusion und eliminiert invariante Unterräume, die sonst Angreifern das Überspringen mehrerer Runden ermöglichen würden (Merz & Rodríguez García, 2026).
• Die Analyse belegt, dass die t=4-Konfiguration nicht anfällig für die in „Skipping Class“ vorgestellten Angriffsmethoden ist.

Algebraische Projektion und Sicherheitsniveau

Im Rahmen der algebraischen Angriffsbewertung wurde der ideale Bruchgrad dI ≤ 7^73 ermittelt. Die daraus resultierende Projektion log2(dI²) ≈ 409.87 Bit gibt den theoretischen Aufwand im eingeschränkten Angriffsmodell wieder. Diese Zahl liegt deutlich über dem angestrebten 128-Bit-Sicherheitsniveau und stellt daher keine praktische Bedrohung dar.

• Idealgebraadgrenze dI: 7^73 (Jahr 2026, Quelle S1).
• Algebraische Projektion log2(dI²): 409.87 Bit-Äquivalent (Jahr 2026, Quelle S1).
• Die Projektion beschreibt einen rein theoretischen Lösungsraum und führt nicht zu einem realisierbaren Angriff unter 128-Bit-Sicherheit.

Die mathematische Projektion muss nicht mit einem praktischen Bruchalgorithmus verwechselt werden; sie verdeutlicht lediglich, dass die aktuelle Instanz von Poseidon2b innerhalb des definierten Modells sicher bleibt.

Leistungsmerkmale im Vergleich zu Keccak-f

Verifikationszeit

Ein zentraler Vorteil von Poseidon2b liegt in der deutlich kürzeren Verifikationszeit gegenüber dem etablierten Keccak-f-Permutation.

• Verifikationszeit Poseidon2b (t=4): 6.52 ms (Jahr 2025, Quelle S3).
• Verifikationszeit Keccak-f: 46.59 ms (Jahr 2025, Quelle S3).

Prover-Zeit und Beweisgröße

Während die Verifikation stark profitiert, entstehen bei Poseidon2b moderate Verlängerungen der Prover-Zeit und etwas größere Beweise.

• Beweiserzeit Poseidon2b (t=4): 0.564 s (Jahr 2025, Quelle S3).
• Beweiserzeit Keccak-f: 0.425 s (Jahr 2025, Quelle S3).
• Beweisgröße Poseidon2b (t=4): 507 KiB (Jahr 2025, Quelle S3).
• Beweisgröße Keccak-f: 438 KiB (Jahr 2025, Quelle S3).

Die kompakte S-Box (x⁷) von Poseidon2b unterstützt eine effiziente Diffusion, die mit dem arithmetischen Kontext von Binius kompatibel ist und die Verifikationszeit stark reduziert.

Praktische Implikationen für skalierbare Blockchains und ZK-Systeme

• In Netzwerken, in denen jede Node jede eingehende Block-Proof verifizieren muss, reduziert die niedrige Verifikationszeit von Poseidon2b die Latenz beim Synchronisieren erheblich.
• Der Trade-off zwischen schnelleren Verifikationen und leicht erhöhten Prover-Kosten ist für Systeme mit hoher Skalierbarkeit oft akzeptabel.
• Die Verwendung von GF(2^128) und einer Zustandsbreite von t = 4 ermöglicht eine direkte Integration von PCS-Werten und Fiat-Shamir-Challenges ohne zusätzliche Feld-Konvertierungen.

Gegenargumente und Risiken

• Keccak-f als Alternative: In Szenarien, in denen die Verifikation keine dominante Rolle spielt, kann Keccak-f aufgrund geringerer Prover-Latenz (0.425 s vs. 0.564 s) und kleinerer Beweisgröße (438 KiB vs. 507 KiB) vorzuziehen sein.
• Fortlaufende Kryptoanalyse: Der schnelle Fortschritt algebraischer Angriffe könnte zukünftige Sicherheitsmargen von Poseidon2b verringern. Obwohl die aktuelle t=4-Instanz sicher bleibt, bleibt Vorsicht geboten.

Häufig gestellte Fragen (FAQ)

Warum verhindert die M4-Matrix die Round-Skipping-Angriffe bei t=4?

Die M4-Matrix ist in Poseidon2b (t=4) vollständig unzerlegt und nicht aus wiederholt verknüpften Teilmatrizen konstruiert. Dadurch entsteht maximale Diffusion, und die in breiteren Instanzen auftretenden invarianten Unterräume, die das Skipping ermöglichen, existieren nicht (Merz & Rodríguez García, 2026).

Warum ist eine Projektion auf 409,87 Bit nicht gleichbedeutend mit praktischer Bruchresistenz?

Die Zahl bezeichnet eine Projektion des algebraischen Aufwands in ein Modell mit begrenzten Operationen. Sie ist ein theoretischer Wert und spiegelt nicht den konkreten Algorithmus wider, der zur Schlüsselbrechung benötigt wird. Ein tatsächlicher praktischer Angriff müsste das zugrundeliegende Ideal dI brechen.

Fazit

Die Poseidon2b-t=4-Instanz bietet im Zero-Knowledge-Proof-Umfeld eine robuste Sicherheitslage dank einer unteilbaren M4-MDS-Matrix und einer theoretischen Sicherheitsprojektion weit über dem 128-Bit-Level. Gleichzeitig ermöglicht das kompakte S-Box-Design eine signifikante Reduktion der Verifikationszeit gegenüber Keccak-f, was für verteilte, skalierbare Blockchains von hohem Nutzen ist. Trotz moderater Nachteile bei Prover-Zeit und Beweisgröße bleibt Poseidon2b eine strategisch relevante Wahl, solange die kontinuierliche Kryptoanalyse die aktuelle Sicherheitsmargin nicht untergräbt.