💻 computer science

Finality Before Disclosure for Ledger Authenticators in the Quantum Random Oracle Model

Questo articolo introduce il concetto di autenticatori di registro e un corrispondente modello di inautenticabilità ( $\LAEUF$ ) per proteggere i protocolli di autorizzazione reattiva nei registri pubblici, dimostrando un limite di sicurezza quantistica multi-utente nel Modello di Oracolo Casuale Quantistico che tiene conto dell'ordinamento avversariale, della censura e del requisito critico di chiudere l'ammissibilità delle prove prima della rivelazione delle credenziali.

Autori originali: Maja Lie, Benjamin Marsh

Pubblicato 2026-08-20

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Maja Lie, Benjamin Marsh

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Nel mondo digitale, un registro è semplicemente un record condiviso di chi possiede cosa e di cosa è accaduto. Pensatelo come un taccuino pubblico dove ogni transazione viene scritta, verificata e aggiunta alla cronologia. Per decenni, la sicurezza di questi taccuini si è basata su una singola chiave portatile: una firma digitale. Proprio come una firma fisica su un assegno, questo segno digitale provava che il proprietario aveva autorizzato un'azione specifica. Il sistema era progettato in modo che chiunque potesse verificare la firma utilizzando una chiave pubblica, senza dover conoscere la cronologia dell'account o il momento della transazione. Questo funzionava bene per i trasferimenti semplici, ma i moderni registri digitali sono diventati più complessi. Gestiscono ora lo stato, ordinano gli eventi e si basano sulla finalità del record — il punto in cui una transazione è considerata immutabile e permanente. Il vecchio modello di una firma autonoma ha iniziato a sembrare insufficiente per questi nuovi sistemi reattivi, dove la validità di un'azione potrebbe dipendere da ciò che è accaduto appena prima o da come la rete ha concordato l'ordine degli eventi.

Questo cambiamento ha creato una nuova sfida per la sicurezza, specialmente mentre guardiamo verso un futuro in cui potenti computer quantistici potrebbero rompere gli attuali metodi di crittografia. I ricercatori Maja Lie e Benjamin Marsh si sono posti una domanda fondamentale: quando un registro autorizza un cambiamento, quanta parte di quella sicurezza deriva dalla chiave segreta detenuta dall'utente e quanta deriva dalla cronologia pubblica del registro stesso? In molti sistemi moderni, il registro fa molto di più del semplice trasporto di una firma; esso aiuta a decidere se un'azione è valida controllando la linea temporale, l'ordine degli eventi e lo stato finale dell'account. Gli autori si sono resi conto che i test di sicurezza standard, che trattano le firme come oggetti isolati, trascuravano i pericoli unici di questo ambiente. Hanno identificato che un attaccante potrebbe potenzialmente sfruttare il tempo tra quando un segreto viene rivelato e quando viene ufficialmente registrato, o utilizzare la capacità di ritardare e riordinare le transazioni per creare una falsificazione.

Per risolvere questo problema, i ricercori hanno costruito un nuovo framework chiamato "autenticatore di registro" (ledger authenticator). Questo è un modello che tratta l'intero processo di autorizzazione come un gioco giocato contro la cronologia del registro, piuttosto che come un semplice controllo di una firma. Hanno introdotto un test specifico, chiamato LA-EUF, che simula uno scenario in cui un attaccante può osservare ogni transazione onesta prima che venga registrata, ritardarne l'inclusione e persino riordinare la sequenza degli eventi. L'obiettivo di questo test è vedere se l'attaccante può ingannare il sistema affinché accetti una nuova azione non autorizzata utilizzando un segreto che è stato appena rivelato. Il documento dimostra che per certi tipi di protocolli, la sicurezza dipende da una condizione specifica: il registro deve "chiudere" l'elenco delle possibili azioni prima che il segreto venga rivelato. Se il sistema permette la creazione di nuove azioni dopo che il segreto è stato esposto, il registro è vulnerabile. Tuttavia, se il sistema fissa l'elenco delle azioni valide basandosi sullo stato finale e immutabile del registro prima che il segreto venga trapelato, il sistema rimane sicuro.

I ricercatori hanno dimostrato che questo approccio funziona definendo un processo "commit, close, reveal" (impegno, chiusura, rivelazione). In questo metodo, un utente prima si impegna in un'azione e attende che il registro finalizzi una specifica finestra temporale. Solo dopo che questa finestra è stata chiusa e l'elenco dei commitment validi è stato fissato, l'utente rivela il segreto. Ciò assicura che anche se un attaccante vede il segreto, non può creare una nuova azione valida perché il registro ha già bloccato le regole per quel momento. Gli autori hanno fornato una prova matematica dimostrando che questo metodo è sicuro anche contro i computer quantistici, a patto che il sistema segua queste rigide regole di tempistica e finalità. Hanno dimostrato che la sicurezza del sistema non riguarda solo la forza della chiave segreta, ma il momento preciso in cui il registro decide cosa è permesso.

Lo studio ha anche chiarito i limiti di questo approccio. Ha scoperto che se un protocollo si basa su un singolo evento che non dipende dalla cronologia del registro, esso collassa essenzialmente in uno schema di firma standard, perdendo la protezione extra che il registro potrebbe fornire. Al contrario, se un protocollo permette a un segreto di essere riutilizzato o ricollegato a un'azione diversa dopo la sua rivelazione, è intrinsecamente insicuro a meno che il registro non abbia già congelato l'elenco delle azioni valide. I ricercatori hanno dimostrato che, separando la sicurezza del sistema dalla velocità con cui vengono elaborate le transazioni, potevano creare una difesa robusta. Hanno mostrato che la sicurezza può essere garantita anche se la rete è lenta o se un attaccante tenta di censurare le transazioni oneste, purché lo stato finale del registro venga utilizzato per bloccare le regole prima che i segreti vengano esposti.

Questo lavoro offre una via chiara per costruire registri digitali sicuri in un mondo post-quantistico. Si va oltre l'idea di sostituire semplicemente le vecchie firme con nuove firme resistenti al calcolo quantistico. Invece, suggerisce che il registro stesso debba essere un partecipante attivo nell'argomento della sicurezza, utilizzando la sua cronologia pubblica e finalizzata per prevenire le frodi. Le scoperte dei ricercatori suggeriscono che i sistemi più sicuri saranno quelli che gestiscono attentamente il momento in cui i segreti vengono rivelati e quando le regole del gioco vengono fissate nella pietra. In questo modo, assicurano che il registro rimanga un record affidabile, capace di resistere anche agli attacchi più sofisticati, senza fare affidamento sulla speranza che un segreto non venga mai indovinato. Il risultato è un modo più resiliente di gestire la fiducia digitale, dove la cronologia del sistema è importante quanto la chiave che la avvia.

Sintesi Tecnica: Finalità Prima della Rivelazione per gli Autenticatori di Ledger nel Modello di Oracle Casuale Quantistico (QROM)

1. Definizione del Problema

L'autenticazione post-quantistica dei ledger è attualmente inquadrata prevalentemente come una sostituzione diretta di schemi di firma classici (es. ECDSA) con alternative post-quantistiche (es. ML-DSA, SLH-DSA). Questo approccio tratta l'autenticazione come un predicato portabile e locale che coinvolge solo una chiave pubblica, un messaggio e una firma. Tuttavia, i protocolli di ledger espongono intrinsecamente un contesto aggiuntivo: transazioni pregresse, stato finalizzato, tempistica e ordinamento.

I classici giochi di unforgeability (EUF-CMA) non riescono a catturare le specifiche dinamiche di sicurezza delle autorizzazioni basate su ledger perché omettono:

Pool Pubblici Pendenti: Le credenziali oneste diventano visibili all'avversario prima dell'inclusione.
Scheduling Avversariale: L'avversario può sopprimere eventi onesti, riordinare le transazioni e censurare le rivelazioni indefinitamente.
Finalità vs. Inclusione: Manca una distinzione tra inclusione provvisoria e finalizzazione immutabile.
Verifica Dipendente dal Transcript: La verifica spesso si basa su un transcript finalizzato piuttosto che su una semplice chiave pubblica statica.
Persistenza dello Stato Quantistico: Nel Modello di Oracle Casuale Quantistico (QROM), un avversario può mantenere uno stato quantistico attraverso molteplici autorizzazioni e attraverso il "taglio di finalizzazione" (finalization cut), mentre le valutazioni del verificatore sugli eventi sottoposti consumano i budget di query.

La domanda centrale affrontata è: Quale parte della durezza dell'autenticazione deriva da una credenziale privata e quale parte deriva dalla storia finalizzata? Specificamente, per i protocolli in cui una credenziale viene rivelata dopo un impegno (rivelazioni ri-legabili o rebindable reveals), la sicurezza richiede che nessun programmatore (scheduler) efficiente possa rendere nuove evidenze costruite idonee per un'azione differente dopo la divulgazione della credenziale.

2. Metodologia e Framework

2.1 Ledger Authenticators e LA-EUF

Gli autori introducono gli Ledger Authenticators (LA), una tupla $(Setup, Init, Authorize, Judge)$, dove l'algoritmo Judge è un predicato pubblico deterministico che legge un transcript finalizzato.

Autorizzazione Reattiva: L'algoritmo Authorize è un protocollo reattivo che può emettere eventi, leggere prefissi finalizzati e aggiornare lo stato privato prima di fissare un'azione canonica $\tau$ .
Esperimento LA-EUF: Un gioco di unforgeability multi-utente in cui l'avversario controlla la sottomissione, l'inclusione, l'ordinamento e le chiamate di finalizzazione. L'avversario vince se produce un giudizio valido per un'azione $\tau$ su un account non corrotto $a$ , dove $\tau$ non era stata richiesta dal processo onesto prima del passaggio di accettazione.
Sicurezza (Safety) vs. Liveness: Il modello separa la sicurezza (nessun reindirizzamento non autorizzato dell'autorizzazione, anche sotto censura indefinita) dalla completezza (progresso), che viene analizzata sotto espliciti assunzioni di liveness.

2.2 Confini Strutturali

Il documento identifica due confini di risorse condizionali che determinano le proprietà di sicurezza di un autenticatore di ledger:

Il Singolo Evento (Single Event Frontier): I protocolli che autorizzano un'azione emettendo un singolo evento la cui validità dipende solo dallo stato di registrazione e da un contesto pubblico fisso sono dimostrati essere equivalenti a firme a chiave singola contestuali (contextual one-time signatures). Se un protocollo soddisfa specifiche condizioni di "singolo evento" (emissione isolata, completezza locale e capacità di incorporare un evento censurato in un'estensione finalizzata), esso collassa in uno schema di firma a chiave singola standard.
Chiusura dell'Idoneità per le Rivelazioni Ri-legabili (Eligibility Closure for Rebindable Reveals): Per i protocololi in cui una credenziale viene rivelata dopo un impegno (es. preimmagini di hash), la sicurezza richiede la non-ammissibilità computazionale post-divulgazione. Se una credenziale $s$ viene divulgata, nessuna nuova evidenza costruita per un'azione diversa $\tau'$ dovrebbe essere ammissibile. Se la politica di ammissione si basa solo su computazione pubblica e scheduling del ledger, ciò è garantito dalla chiusura dell'insieme di evidenze elegibili nello stato finalizzato prima che la credenziale venga divulgata.

2.3 Il Modello di Esecuzione Ledger QROM

Gli autori definiscono un modello di esecuzione congiunta in cui:

Un avversario quantistico interagisce con interfacce di ledger classiche (mempool, finalizzazione, corruzione).
Il ledger e le parti oneste valutano un comune Oracle Casuale $H$ .
Contabilità delle Query: Il modello distingue tra query quantistiche dirette ( $Q_{adv}$ ), valutazioni mediate dal verificatore ( $Q_{med}$ ) ed valutazioni oneste ( $Q_{hon}$ ). Fondamentalmente, le valutazioni mediate dal verificatore su input avversariali sono addebitate al budget di query, poiché forniscono un test classico dipendente dall'oracle.
Tagli Finalizzati Adattivi (Adaptive Finalized Cuts): Il modello introduce un "taglio finalizzato chiuso" dove l'insieme dei target ammissibili diventa immutabile. Lo stato quantistico persiste attraverso questo taglio; non è un reset.

2.4 Il Lemma del Target Finalizzato (Finalized Target Lemma)

Un risultato tecnico chiave è il Finalized Target Search Lemma. Per un taglio finalizzato chiuso con un insieme di target $C$ di dimensione al massimo $K$ , la probabilità di una ricerca di un nuovo target ha successo è limitata da:
$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$
Dove:

$\beta_{cut}$ tiene conto della "cattiva" ampiezza (aperture fresche già presenti al taglio).
$Q$ è il budget totale di query dopo il taglio.
$\ell$ è il numero di punti controllati mantenuti.
$c_{co}$ è una costante universale.

Questo lemma dimostra che se l'insieme dei target elegibili è fissato (chiuso) prima della divulgazione, la probabilità di successo dell'avversario scala quadraticamente con le query ( $Q^2$ ) e linearmente con la dimensione del set di target ( $K$ ), invece di permettere attacchi generici di collisione.

3. Contributi Chiave

Definizione di Ledger Authenticators e LA-EUF: Un esperimento formale di unforgeability per protocolli di autorizzazione reattiva che incorpora pool pendenti pubblici, scheduling avversariale, censura e verifica dipendente dal transcript. Il modello mostra come le firme post-quantistiche ordinarie si inseriscano in questo framework, mentre i protocolli che soddisfano le condizioni di singolo evento producono firme a chiave singola contestuali.
Isolamento della Condizione di Chiusura: Il documento prova che per i protocolli di rivelazione ri-legabile, la sicurezza richiede che l'insieme delle evidenze ammissibili sia chiuso nello stato finalizzato prima che la credenziale venga divulgata. Se questa chiusura non avviene, un avversario può censurare la rivelazione onesta e legare la credenziale divulgata a una nuova azione, risultando in una falsificazione.
Ledger QROM e Limiti di Sicurezza: Una specifica del modello di esecuzione Ledger QROM e una prova di una regola di ricerca del target finalizzato. Questa regola tiene conto della persistenza dello stato quantistico e addebita le valutazioni del verificatore. Fornisce un limite di sicurezza lifetime multi-utente per un autenticatore Commit, Close, Reveal (CCR).

4. Risultati e Istanziazione

Gli autori istanziano il framework con un autenticatore Commit, Close, Reveal (CCR), una costruzione basata su hash ispirata a Guy Fawkes authentication e Fawkescoin.

Costruzione: Il protocollo prevede l'impegno a un'azione e a un successore (successor head), l'attesa di un "close" (una finestra finalizzata in cui l'insieme dei commitment elegibili è congelato) e la successiva rivelazione del segreto.
Sicurezza: Lo schema CCR soddisfa la condizione di chiusura dell'idoneità. Gli autori dimostrano un limite QROM multi-utente per CCR:
$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$
Questo limite dimostra che la sicurezza è mantenuta anche se la rivelazione onesta viene censurata, a patto che il set di target sia chiuso prima della divulgazione.

5. Significato e Rivendicazioni

Il documento sostiene di fornire una base formale per comprendere come i ledger contribuiscano alla sicurezza crittografica oltre il mero trasporto.

Rifocalizzazione dell'Autenticazione: Si argomenta che l'autenticazione su ledger non è semplicemente una sostituzione di firma, ma un primitivo distinto dove la "storia finalizzata" agisce come una risorsa crittografica.
Sicurezza (Safety) vs. Portabilità: Il framework evidenzia un compromesso: gli autenticatori di ledger scambiano la portabilità (verifica senza contesto) con la sicurezza derivante da consenso e finalità.
Necessità della Chiusura: Il documento afferma che per le rivelazioni ri-legabili, la "chiusura dell'idoneità finalizzata prima della divulgazione" è una condizione necessaria per la sicurezza. Senza di essa, il ledger non può impedire il legame della credenziale divulgata ad azioni non autorizzate.
Realismo QROM: Modellando la persistenza dello stato quantistico attraverso i tagli di finalizzazione e addebitando le valutazioni del verificatore, il lavoro fornisce un'analisi della sicurezza più accurata per i protocolli di ledger post-quantistici rispetto ai modelli QROM standard applicati a firme isolate.

Gli autori dichiarano esplicitamente di non pretendere di essere i primi ad aver proposto rimedi temporali (citando Guy Fawkes, Fawkescoin, ecc.), ma piuttosto di formalizzare il gioco di unforgeability per l'esecuzione completa, provare il teorema di necessità della chiusura per le rivelazioni ri-legabili e fornire un'analisi QROM lifetime che tenga conto delle specifiche dinamiche di scheduling e censura del ledger.