Resumen Técnico: Finalidad Antes de la Divulgación para Autenticadores de Ledger en el Modelo de Oráculo Aleatorio Cuántico

1. Planteamiento del Problema

La autenticación actual de ledgers post-cuánticos se enmarca predominantemente como una sustitución directa de esquemas de firma clásicos (p. ej., ECDSA) por alternativas post-cuánticas (p. ej., ML-DSA, SLH-DSA). Este enfoque trata la autenticación como un predicado portátil y local que involucra únicamente una clave pública, un mensaje y una firma. Sin embargo, los protocolos de ledger exponen intrínsecamente un contexto adicional: transacciones previas, estado finalizado, tiempo y ordenación.

Los juegos de no falsificabilidad estándar (EUF-CMA) no logran capturar la dinámica de seguridad específica de la autorización basada en ledgers porque omiten:

• Pools de Pendientes Públicos: Las credenciales honestas se vuelven visibles para el adversario antes de su inclusión.
• Programación Adversaria: El adversario puede suprimir eventos honestos, reordenar transacciones y censurar revelaciones indefinidamente.
• Finalidad vs. Inclusión: Falta una distinción entre la inclusión provisional y la finalización inmutable.
• Verificación Dependiente del Transcrito: La verificación suele depender de un transcrito finalizado en lugar de solo una clave pública estática.
• Persistencia del Estado Cuántico: En el Modelo de Oráculo Aleatorio Cuántico (QROM), un adversario puede retener el estado cuántico a través de múltiples autorizaciones y a través del "corte de finalización", mientras que las evaluaciones del verificador sobre eventos enviados consumen presupuestos de consulta.

La pregunta central abordada es: ¿Qué parte de la dureza de la autenticación deriva de una credencial privada y qué parte deriva del historial finalizado? Específicamente, para protocolos donde una credencial se revela después de un compromiso (revelaciones revinculables), la seguridad requiere que ningún programador eficiente pueda hacer que la evidencia recién construida sea elegible para una acción diferente tras la divulgación de la credencial.

2. Metodología y Marco de Trabajo

2.1 Autenticadores de Ledger y LA-EUF

Los autores introducen los Autenticadores de Ledger (LA), una tupla $(Setup, Init, Authorize, Judge)$, donde el algoritmo Judge es un predicado público determinista que lee un transcrito finalizado.

• Autorización Reactiva: El algoritmo Authorize es un protocolo reactivo que puede emitir eventos, leer prefijos finalizados y actualizar el estado privado antes de fijar una acción canónica $\tau$.
• Experimento LA-EUF: Un juego de no falsificabilidad multiusuario donde el adversario controla la sumisión, inclusión, ordenación y llamadas de finalización. El adversario gana si produce un juicio válido para una acción $\tau$ en una cuenta $a$ no corrompida, donde $\tau$ no fue solicitada por el proceso honesto antes del paso de aceptación.
• Seguridad vs. Vitalidad (Liveness): El modelo separa la seguridad (no redirección no autorizada de la autorización, incluso bajo censura indefinida) de la completitud (progreso), la cual se analiza bajo supuestos explícitos de vitalidad.

2.1 Límites Estructurales

El artículo identifica dos límites de recursos condicionales que determinan las propiedades de seguridad de un autenticador de ledger:

1. La Frontera de Evento Único: Se demuestra que los protocolos que autorizan una acción mediante la emisión de un único evento cuya validez depende solo del estado de registro y un contexto público fijo son equivalentes a firmas de un solo uso contextuales. Si un protocolo satisface condiciones específicas de "evento único" (emisión aislada, completitud local y la capacidad de incrustar un evento censurado en una extensión finalizada), colapsa a un esquema de firma de un solo uso estándar.
2. Cierre de Elegibilidad para Revelaciones Revinculables: Para protocolos donde una credencial se revela después de un compromiso (p. ej., preimágenes de hash), la seguridad requiere no admisibilidad computacional post-divulgación. Si una credencial $s$ es divulgada, ninguna evidencia recién construida para una acción diferente $\tau'$ debería ser admisible. Si la política de admisión depende solo de computación pública y programación de ledger, esto se impone cerrando el conjunto de evidencia elegible en el estado finalizado antes de que la credencial sea divulgada.

2.3 El Modelo de Ejecución de Ledger QROM

Los autores definen un modelo de ejecución conjunta donde:

• Un adversario cuántico interactúa con interfaces de ledger clásicas (mempool, finalización, corrupción).
• El ledger y las partes honestas evalúan un Oráculo Aleatorio $H$ común.
• Contabilidad de Consultas: El modelo distingue entre consultas cuánticas directas ($Q_{adv}$), evaluaciones mediadas por el verificador ($Q_{med}$) y evaluaciones honestas ($Q_{hon}$). Crucialmente, las evaluaciones mediadas por el verificador sobre entradas adversarias se cargan al presupuesto de consulta, ya que proporcionan una prueba clásica dependiente del oráculo.
• Cortes Finalizados Adaptativos: El modelo introduce un "corte finalizado cerrado" donde el conjunto de objetivos admisibles se vuelve inmutable. El estado cuántico persiste a través de este corte; no es un reinicio.

2.4 El Lema del Objetivo Finalizado

Un resultado técnico clave es el Lema de Búsqueda de Objetivo Finalizado. Para un corte finalizado cerrado con un conjunto de objetivos $C$ de tamaño máximo $K$, la probabilidad de una búsqueda de objetivo fresco exitosa está acotada por:
$$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$$
Donde:

• $\beta_{cut}$ contabiliza la "mala" amplitud (aperturas frescas ya presentes en el corte).
• $Q$ es el presupuesto total de consultas después del corte.
• $\ell$ es el número de puntos verificados retenidos.
• $c_{co}$ es una constante universal.

Este lema demuestra que si el conjunto de objetivos elegibles es fijo (cerrado) antes de la divulgación, la probabilidad de éxito del adversario escala cuadráticamente con las consultas ($Q^2$) y linealmente con el tamaño del conjunto de objetivos ($K$), en lugar de permitir ataques de colisión genéricos.

3. Contribuciones Clave

1. Definición de Autenticadores de Ledger y LA-EUF: Un experimento formal de no falsificabilidad para protocolos de autorización reactiva que incorpora pools de pendientes públicos, programación adversaria, censura y verificación dependiente del transcrito. El modelo muestra cómo las firmas post-cuánticas ordinarias se integran en este marco, mientras que los protocolos que satisfacen condiciones de evento único resultan en firmas de un solo uso contextuales.
2. Aislamiento de la Condición de Cierre: El artículo demuestra que para los protocolos de revelación revinculable, la seguridad requiere que el conjunto de evidencia admisible se cierre en el estado finalizado antes de que la credencial sea divulgada. Si este cierre no ocurre, un adversario puede censurar la revelación honesta y vincular la credencial divulgada a una nueva acción, resultando en una falsificación.
3. Ledger QROM y Límites de Seguridad: Una especificación del modelo de ejecución de Ledger QROM y una prueba de una regla de búsqueda de objetivo finalizado. Esta regla tiene en cuenta la persistencia del estado cuántico y carga las evaluaciones del verificador. Proporciona un límite de seguridad de vida multiusuario para un autenticador Commit, Close, Reveal (CCR).

4. Resultados e Instanciación

Los autores instancian el marco con un autenticador Commit, Close, Reveal (CCR), una construcción basada en hash inspirada en la autenticación de Guy Fawkes y Fawkescoin.

• Construcción: El protocolo implica comprometerse con una acción y un sucesor cabeza, esperar a un "cierre" (una ventana finalizada donde el conjunto de compromisos elegibles se congela) y luego revelar el secreto.
• Seguridad: El esquema CCR satisface la condición de cierre de elegibilidad. Los autores prueban un límite QROM multiusuario de vida para CCR:
  $$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$$
  Este límite demuestra que la seguridad se mantiene incluso si la revelación honesta es censurada, siempre que el objetivo se cierre antes de la divulgación.

5. Significado y Reivindicaciones

El artículo afirma proporcionar una base formal para entender cómo los ledgers contribuyen a la seguridad criptográfica más allá del mero transporte.

• Reencuadre de la Autenticación: Argumenta que la autenticación de ledger no es simplemente una sustitución de firmas, sino un primitivo distinto donde el "historial finalizado" actúa como un recurso criptográfico.
• Seguridad vs. Portabilidad: El marco resalta un intercambio: los autenticadores de ledger intercambian portabilidad (verificación sin contexto) por seguridad derivada del consenso y la finalidad.
• Necesidad de Cierre: El artículo sostiene que para las revelaciones revinculables, el "cierre de elegibilidad finalizado antes de la divulgación" es una condición necesaria para la seguridad. Sin esto, el ledger no puede evitar la vinculación de una credencial divulgada a acciones no autorizadas.
• Realismo de QROM: Al modelar la persistencia del estado cuántico a través de los cortes de finalización y cargar las evaluaciones del verificador, el trabajo proporciona un análisis de seguridad más preciso para los protocolos de ledger post-cuánticos que los modelos QROM estándar aplicados a firmas aisladas.

Los autores declaran explícitamente que no pretenden ser los primeros en proponer remedios temporales (citando a Guy Fawkes, Fawkescoin, etc.), sino que buscan formalizar el juego de no falsificabilidad para la ejecución completa, probar el teorema de cierre necesario para las revelaciones revinculables y proporcionar un análisis QROM de vida que tenga en cuenta la dinámica específica de la programación y censura de los ledgers.