💻 computer science

Finality Before Disclosure for Ledger Authenticators in the Quantum Random Oracle Model

Cet article introduit le concept d'authentificateurs de registre et un modèle d'infalsifiabilité correspondant ( $\LAEUF$ ) pour sécuriser les protocoles d'autorisation réactive dans les registres publics, prouvant une borne de sécurité quantique multi-utilisateur dans le Modèle d'Oracle Aléatoire Quantique qui prend en compte l'ordonnancement adverse, la censure et l'exigence critique de clôturer l'éligibilité des preuves avant la divulgation des justificatifs.

Auteurs originaux : Maja Lie, Benjamin Marsh

Publié 2026-08-20

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Maja Lie, Benjamin Marsh

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Dans le monde numérique, un registre est simplement un enregistrement partagé de qui possède quoi et de ce qui s'est passé. Considérez cela comme un carnet de notes public où chaque transaction est écrite, vérifiée et ajoutée à l'historique. Pendant des décennies, la sécurité de ces carnets reposait sur une clé unique et portable : une signature numérique. Tout comme une signature physique sur un chèque, cette marque numérique prouvait que le propriétaire autorisait une action spécifique. Le système était conçu pour que n'importe qui puisse vérifier la signature à l'aide d'une clé publique, sans avoir besoin de connaître l'historique du compte ou le moment de la transaction. Cela fonctionnait bien pour les transferts simples, mais les registres numériques modernes sont devenus plus complexes. Ils gèrent désormais l'état, ordonnent les événements et comptent sur la finalité du registre — le point où une transaction est considérée comme immuable et permanente. L'ancien modèle de la signature autonome commençait à sembler insuffisant pour ces nouveaux systèmes réactifs, où la validité d'une action peut dépendre de ce qui s'est passé juste avant ou de la manière dont le réseau s'est mis d'accord sur l'ordre des événements.

Ce changement a créé un nouveau défi pour la sécurité, surtout alors que nous envisageons un avenir où de puissants ordinateurs quantiques pourraient briser les méthodes de chiffrement actuelles. Les chercheurs Maja Lie et Benjamin Marsh ont posé une question fondamentale : lorsqu'un registre numérique autorise un changement, quelle part de cette sécurité provient de la clé secrète détenue par l'utilisateur, et quelle part provient de l'historique public du registre lui-même ? Dans de nombreux systèmes modernes, le registre fait plus que simplement porter une signature ; il aide à décider si une action est valide en vérifiant la chronologie, l'ordre des événements et l'état final du compte. Les auteurs ont réalisé que les tests de sécurité standards, qui traitent les signatures comme des objets isolés, ignoraient les dangers uniques de cet environnement. Ils ont identifié qu'un attaquant pourrait potentiellement exploiter le délai entre le moment où un secret est révélé et celui où il est officiellement enregistré, ou utiliser la capacité de retarder et de réordonner les transactions pour créer une contrefaçon.

Pour résoudre cela, les chercheurs ont construit un nouveau cadre appelé « authentificateur de registre » (ledger authenticator). Il s'agit d'un modèle qui traite l'ensemble du processus d'autorisation comme un jeu joué contre l'historique du registre, plutôt que comme une simple vérification de signature. Ils ont introduit un test spécifique, appelé LA-EUF, qui simule un scénario où un attaquant peut observer chaque transaction honnête avant qu'elle ne soit enregistrée, en retarder l'inclusion, et même réordonner la séquence des événements. Le but de ce test est de voir si l'attaquant peut tromper le système pour lui faire accepter une nouvelle action non autorisée en utilisant un secret qui vient d'être révélé. L'article prouve que pour certains types de protocoles, la sécurité repose sur une condition spécifique : le registre doit « clore » la liste des actions possibles avant que le secret ne soit révélé. Si le système permet la création de nouvelles actions après la révélation du secret, le registre est vulnérable. Cependant, si le système fixe la liste des actions valides en se basant sur l'état final et immuable du registre avant que le secret ne fuite, le système reste sécurisé.

Les chercheurs ont démontré que cette approche fonctionne en définissant un processus « commit, close, reveal » (engagement, clôture, révélation). Dans cette méthode, un utilisateur s'engage d'abord sur une action et attend que le registre finalise une fenêtre de temps spécifique. Ce n'est qu'après la clôture de cette fenêtre et la fixation de la liste des engagements valides que l'utilisateur révèle le secret. Cela garantit que même si un attaquant voit le secret, il ne peut pas créer une nouvelle action valide, car le registre a déjà verrouillé les règles pour ce moment précis. Les auteurs ont fourni une preuve mathématique montrant que cette méthode est sécurisée même contre les ordinateurs quantiques, à condition que le système respecte ces règles strictes de synchronisation et de finalité. Ils ont montré que la sécurité du système ne dépend pas seulement de la force de la clé secrète, mais du moment précis où le registre décide de ce qui est autorisé.

L'étude a également clarifié les limites de cette approche. Elle a conclu que si un protocole repose sur un événement unique qui ne dépend pas de l'historique du registre, il revient essentiellement à un schéma de signature standard, perdant ainsi la protection supplémentaire que le registre pourrait apporter. Inversement, si un protocole permet qu'un secret soit réutilisé ou lié à une autre action après sa révélation, il est intrinsèquement dangereux à moins que le registre n'ait déjà gelé la liste des actions valides. Les chercheurs ont prouvé qu'en séparant la sécurité du système de la vitesse à laquelle il traite les transactions, ils pouvaient créer une défense robuste. Ils ont montré que la sécurité peut être garantie même si le réseau est lent ou si un attaquant tente de censurer des transactions honnêtes, tant que l'état final du registre est utilisé pour verrouiller les règles avant que les secrets ne soient exposés.

Ce travail offre une voie claire pour la construction de registaux numériques sécurisés dans un monde post-quantique. Il dépasse l'idée de simplement remplacer les anciennes signatures par de nouvelles signatures résistantes au quantique. Au lieu de cela, il suggère que le registre lui-même devrait être un participant actif de l'argument de sécurité, utilisant son historique public et finalisé pour prévenir la fraude. Les conclusions des chercheurs suggèrent que les systèmes les plus sûrs seront ceux qui gèrent soigneusement le moment où les secrets sont révélés et le moment où les règles du jeu sont gravées dans le marbre. Ce faisant, ils garantissent que le registre reste un enregistrement fiable, capable de résister même aux attaques les plus sophistiquées, sans compter sur l'espoir qu'un secret ne sera jamais deviné. Le résultat est une manière plus résiliente de gérer la confiance numérique, où l'histoire du système est aussi importante que la clé qui l'initie.

Résumé Technique : La Finalité avant la Divulgation pour les Authentificateurs de Registre dans le Modèle d'Oracle Aléatoire Quantique

1. Énoncé du Problème

L'authentification actuelle des registres post-quantiques est principalement formulée comme une simple substitution directe des schémas de signature classiques (par exemple, ECDSA) par des alternatives post-quantiques (par exemple, ML-DSA, SLH-DSA). Cette approche traite l'authentification comme un prédicat portable et local impliquant uniquement une clé publique, un message et une signature. Cependant, les protocoles de registre exposent intrinsèquement un contexte supplémentaire : les transactions antérieures, l'état finalisé, le séquençage et l'ordonnancement.

Les jeux d'unforgeabilité standard (EUF-CMA) échouent à capturer la dynamique de sécurité spécifique de l'autorisation basée sur un registre car ils omettent :

Les Pools de Pendants Publics : Les identifiants honnêtes deviennent visibles pour l'adversaire avant leur inclusion.
L'Ordonnancement Adversarial : L'adversaire peut supprimer des événements honnêtes, réordonner les transactions et censurer les révélations indéfiniment.
Finalité vs Inclusion : Une distinction entre l'inclusion provisoire et la finalisation immuable est absente.
Vérification Dépendante du Transcript : La vérification repose souvent sur un transcript finalisé plutôt que sur une simple clé publique statique.
Persistance de l'État Quantique : Dans le Modèle d'Oracle Aléatoire Quantique (QROM), un adversaire peut conserver un état quantique à travers plusieurs autorisations et à travers la « coupure de finalisation », tandis que les évaluations du vérificateur sur les événements soumis consomment des budgets de requêtes.

La question centrale abordée est : Quelle partie de la dureté de l'authentification dérive d'un identifiant privé, et quelle partie dérive de l'historique finalisé ? Plus précisément, pour les protocoles où un identifiant est révélé après un engagement (révélations re-liables), la sécurité exige qu'aucun ordonnanceur efficace ne puisse rendre une preuve nouvellement construite éligible pour une action différente après la divulgation de l'identifiant.

2. Méthodologie et Cadre

2.1 Authentificateurs de Registre et LA-EUF

Les auteurs introduisent les Authentificateurs de Registre (LA), un tuple $(Setup, Init, Authorize, Judge)$, où l'algorithme Judge est un prédicat public déterministe qui lit un transcript finalisé.

Autorisation Réactive : L'algorithme Authorize est un protocole réactif qui peut émettre des événements, lire des préfixes finalisés et mettre à jour un état privé avant de fixer une action canonique $\tau$ .
Expérience LA-EUF : Un jeu d'unforgeabilité multi-utilisateur où l'adversaire contrôle la soumission, l'inclusion, l'ordonnancement et les appels de finalisation. L'adversaire gagne s'il produit un jugement valide pour une action $\tau$ sur un compte $a$ non corrompu, où $\tau$ n'a pas été demandé par le processus honnête avant l'étape d'acceptation.
Sécurité vs Vivacité : Le modèle sépare la sécurité (absence de redirection non autorisée de l'autorisation, même sous censure indéfinie) de la complétude (progrès), qui est analysée sous des hypothèses de vivacité explicites.

2.2 Limites Structurelles

Le document identifie deux limites de ressources conditionnelles qui déterminent les propriétés de sécurité d'un authentificateur de registre :

La Frontière de l'Événement Unique : Les protocoles qui autorisent une action en émettant un événement unique dont la validité dépend uniquement de l'état d'enregistrement et d'un contexte public fixe sont montrés comme étant équivalents à des signatures à usage unique contextuelles. Si un protocole satisfait des conditions spécifiques d'« événement unique » (émission isolée, complétude locale et capacité d'incorporer un événement censuré dans une extension finalisée), il s'effondre en un schéma de signature à usage unique standard.
Fermeture de l'Éligibilité pour les Révélations Re-liables : Pour les protocoles où un identifiant est révélé après un engagement (par exemple, des préimages de hachage), la sécurité exige une non-admissibilité computationnelle post-divulgation. Si un identifiant $s$ est divulgué, aucune preuve nouvellement construite pour une action différente $\tau'$ ne devrait être admissible. Si la politique d'admission repose uniquement sur le calcul public et l'ordonnancement du registre, cela est imposé par la fermeture de l'ensemble des preuves éligibles dans l'état finalisé.

2.3 Le Modèle d'Exécution du Registre QROM

Les auteurs définissent un modèle d'exécution conjoint où :

Un adversaire quantique interagit avec des interfaces de registre classiques (mempool, finalisation, corruption).
Le registre et les parties honnêtes évaluent un Oracle Aléatoire $H$ commun.
Comptabilité des Requêtes : Le modèle distingue les requêtes quantiques directes ( $Q_{adv}$ ), les évaluations médiées par le vérificateur ( $Q_{med}$ ) et les évaluations honnêtes ( $Q_{hon}$ ). Crucialement, les évaluations médiées par le vérificateur sur des entrées adverses sont imputées au budget de requêtes, car elles constituent un test classique dépendant de l'oracle.
Coupures Finalisées Adaptatives : Le modèle introduit une « coupure finalisée fermée » où l'ensemble des cibles admissibles devient immuable. L'état quantique persiste à travers cette coupure ; ce n'est pas une réinitialisation.

2.4 Le Lemme de la Cible Finalisée

Un résultat technique clé est le Lemme de Recherche de Cible Finalisée. Pour une coupure finalisée fermée avec un ensemble de cibles $C$ de taille au plus $K$ , la probabilité d'une recherche de cible fraîche réussie est bornée par :
$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$
Où :

$\beta_{cut}$ rend compte de l'amplitude « mauvaise » (ouvertures fraîches déjà présentes à la coupure).
$Q$ est le budget total de requêtes après la coupure.
$\ell$ est le nombre de points vérifiés conservés.
$c_{co}$ est une constante universelle.

Ce lemme prouve que si l'ensemble des cibles éligibles est fixé (fermé) avant la divulgation, la probabilité de succès de l'adversaire croît de manière quadratique avec les requêtes ( $Q^2$ ) et linéairement avec la taille de l'ensemble de cibles ( $K$ ), plutôt que de permettre des attaques de collision génériques.

3. Contributions Clés

Définition des Authentificateurs de Registre et LA-EUF : Une expérience formelle d'unforgeabilité pour les protocoles d'autorisation réactive qui intègre les pools de pendants publics, l'ordonnancement adversarial, la censure et la vérification dépendante du transcript. Le modèle montre que les signatures post-quantiques ordinaires s'intègrent dans ce cadre, tandis que les protocoles satisfaisant les conditions d'événement unique produisent des signatures à usage unique contextuelles.
Isolation de la Condition de Fermeture : Le document prouve que pour les protocoles de révélation re-liables, la sécurité exige que l'ensemble des preuves admissibles soit fermé dans l'état finalisé avant la divulgation de l'identifiant. Si cette fermeture n'a pas lieu, un adversaire peut censurer la révélation honnête et lier l'identifiant divulgué à une nouvelle action, entraînant un faux.
Registre QROM et Bornes de Sécurité : Une spécification du modèle d'exécution du Registre QROM et une preuve d'une règle de recherche de cible finalisée. Cette règle tient compte de la persistance de l'état quantique et impute les évaluations du vérificateur. Elle produit une borne de sécurité multi-utilisateur de la durée de vie pour un authenticateur Commit, Close, Reveal (CCR).

4. Résultats et Instanciation

Les auteurs instancient le cadre avec un authenticateur Commit, Close, Reveal (CCR), une construction basée sur le hachage inspirée de l'authentification Guy Fawkes et de Fawkescoin.

Construction : Le protocole implique l'engagement d'une action et d'une tête succédante, l'attente d'un « close » (une fenêtre finalisée où l'ensemble des engagements éligibles est gelé), puis la révélation du secret.
Sécurité : Le schéma CCR satisfait la condition de fermeture d'éligibilité. Les auteurs prouvent une borne QROM multi-utilisateur de la durée de vie pour CCR :
$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$
Cette borne démontre que la sécurité est maintenue même si la révélation honnête est censurée, à condition que l'ensemble cible soit fermé avant la divulgation.

5. Signification et Revendications

Le document revendique fournir une fondation formelle pour comprendre comment les registres contribuent à la sécurité cryptographique au-delà du simple transport.

Recadrage de l'Authentification : Il soutient que l'authentification de registre n'est pas simplement une substitution de signature, mais un primitif distinct où l'« historique finalisé » agit comme une ressource cryptographique.
Sécurité vs Portabilité : Le cadre met en évidence un compromis : les authentificateurs de registre échangent la portabilité (vérification sans contexte) contre une sécurité dérivée du consensus et de la finalité.
Nécessité de la Fermeture : Le document affirme que pour les révélations re-liables, la « fermeture de l'éligibilité finalisée avant la divulgation » est une condition nécessaire à la sécurité. Sans cela, le registre ne peut empêcher le lien d'un identifiant divulgué à des actions non autorisées.
Réalisme du QROM : En modélisant la persistance de l'état quantique à travers les coupures de finalisation et en imputant les évaluations du vérificateur, le document fournit une analyse de sécurité plus précise pour les protocoles de registres post-quantiques que les modèles QROM standards appliqués aux signatures isolées.

Les auteurs déclarent explicitement qu'ils ne prétendent pas être les premiers à proposer des remèdes temporels (citant Guy Fawkes, Fawkescoin, etc.), mais cherchent plutôt à formaliser le jeu d'unforgeabilité pour l'exécution complète, à prouver le théorème de clôture nécessaire pour les révélations re-liables, et à fournir une analyse QROM de la durée de vie qui tient compte des dynamiques spécifiques de l'ordonnancement et de la censure des registres.