技術要約：Witnessd: 敵対的崩壊によるプロセスの証明（Proof-of-Process）

1. 問題提起

現在のデジタル証拠システムは、「所有」と「プロセス」の間に存在する根本的な乖離に苦しんでいる。デジタル署名は鍵の保持と内容の属性証明を行うが、人間が物理的にそのコンテンツを作成したことを検証するものではない。攻撃者は、言語モデルを使用してテキストを生成し、事後的に中間ドキュメントの状態を構築してそれぞれのハッシュに署名することで、コンテンツの起源について何も証明しない有効な署名チェーンを作成できてしまう。

既存のアプローチは、敵対的な状況下では以下のように失敗する：

• 検出システムは、争いのあるシナリオにおいては存在しない「グラウンド・トゥルース（真実の基準）となるオラクル」に依存している。95%の精度を持つ検出器も、攻撃者がターゲットとする5%のケースを制御していれば無用である。
• 認証は第三者への社会的信頼に依存しており、それは侵害や強制を受ける可能性がある。
• 暗号学的完全性（署名）は、署名後にビットが変更されていないことを証明するが、そのビットが特定の物理的プロセスによって生成されたことまでは証明しない。

本論文は、証拠システムを検出精度や認証機関によって評価すべきではなく、**「妥当な代替説明の空間をいかに崩壊させるか」**によって評価すべきであると主張している。

2. 手法

敵対的崩壊の原理（The Adversarial Collapse Principle）

核心となる理論的貢献は、敵対的崩壊の原理である。本論文は、堅牢な証拠システムは、挑戦者を漠然とした疑念から**「具体的な申し立て（Specific Allegations）」**へと強制的に移行させるものであると断定している。

• 具体的申し立ての基準： 証拠に異議を唱えるためには、攻撃者は具体的なメカニメントを特定し、限定された時間枠を特定し、特定の能力レベルを暗示し、かつ独立してテスト可能な主張を行わなければならない。
• 敵対的崩壊： 証拠が「崩壊」に達するのは、その反証に、独立した信頼仮定を持つ複数のコンポーネントに対する具体的な申し立ての結合が必要となる場合である。一つのコンポーネントに異議を唱えるだけでは不十分であり、全体に異議を唱えるには、異なる信頼境界（例：カーネル、ハードウェア、サードパーティのアンカー）にわたる協調的な侵害を申し立てる必要がある。

ジッター・シール（プロセスの証明プリミティブ）

**ジッター・シール（Jitter Seal）**は、ドキュメント作成中に現実の物理的なキーボード操作が行われたことを証明するために設計された暗号プリミティブである。

• メカニズム： システムは、ドキュメント生成プロセスの中に、知覚不可能なマイクロ秒単位の遅延（500–3000 $\mu$s）を注入する。
• 暗号学的結合： 各ジッター値は、セッション秘密鍵（$S$）と6つの結合コンポーネントから派生したHMAC-SHA256によって導出される：
  1. キー入力の順序 ($i$)
  2. ドキュメントのハッシュ ($H_i$)
  3. タイムスタンプ ($t_i$)
  4. ゾーン遷移 ($Z_i$): 特定のキーを明かすことなく、キーボード領域の遷移（8ゾーン）をエンコードする。
  5. インターバル・バケット ($B_i$): キー入力間隔を10個のビンに量子化する。
  6. 前回のジッター ($J_{i-1}$): チェーンの完全性を確保する。
• セキュリティ： セッション秘密鍵なしでは、攻撃者は有効なジッター値のシーケンスを偽造できない。$n$ 個のサンプルに対して有効なジッター値を推測できる確率は $(1/R)^n$ である（ここで $R$ はジッターの範囲）。

Witnessd アーキテクチャ

Witnessd は、敵対的崩壊の原理を強制するために、ジッター・シールを5つの独立した検証チェックポイントと統合している：

1. レイヤー 0 (Jitter Seal): 物理的プロセスを証明する。
2. レイヤー 1 (Verifiable Delay Functions - VDF): チェックポイント間の最小経過時間を証明するために Pietrzak VDF を使用し、時間の圧縮攻撃を防ぐ。
3. レイヤー 2 (外部アンカー): ローカルの時刻操作を防ぐため、タイムスタンプを公開された第三者ソース（OpenTimestamps による Bitcoin ブロックチェーン、または RFC 3161 TSA）にアンカーする。
4. レイヤー 3 (デュアルソース検証): アプリケーションレベルのストリーム（例：CGEventPost）とハードウェアレベルのストリーム（USB/Bluetooth HID）を相互参照することで、キー入力を検証する。有効なキー入力は、50ms 以内に両方に現れなければならない。
5. レイヤー 4 (TPM/セキュア・エンクレーブ): プラットフォームの状態と単調カウンタのための、オプションのハードウェア・アテステーション。
6. レイヤー 5 (ハッシュ・チェーン): 追加専用の完全性を保証するために、証拠を Merkle Mountain Range (MMR) に保存する。

3. 主な貢献

1. 敵対的崩壊の原理： 漠然とした疑念よりも、具体的でテスト可能な申し立てを強制することを優先する、証拠システムの新しい評価基準。
2. ジッター・シール： 物理的なタイピングのダイナミクス（タイミング、ゾーン遷移）をドキュメントの状態に暗号学的に結合する、プロセスの証明プリミティブ。
3. Witnessd アーキテクチャ： ジッター・シール、VDF、外部アンカー、およびデュアルソース検証を組み合わせ、独立した信頼境界を作り出すマルチレイヤー・システム。
4. セキュリティ分析： 残存する攻撃を形式化し、敗北するために必要な能力（例：カーネルの侵害、第三者の共謀）が、単なる一般的な偽造よりも高いレベルであることを示す。
5. 実証的評価： 数千回の試行にわたるシステムの構築とテスト。

4. 結果と評価

論文は、31,000 回のジッター・シール試行および700 回以上のシステムテストの結果を報告している：

• 検証成功率： 1,000 個の有効な証明が正常に検証された（成功率 100%）。
• 偽造失敗： 30,000 回の攻撃試行（捏造されたジッター、不一致のドキュメント、誤った秘密鍵）が検証に失敗した（成功率 0%）。
• 偽造確率： 50 個のサンプルシーケンスに対して、約 $(1/2500)^{50} \approx 10^{-170}$ と算出された。
• パフォーマンス：
  • ジッター計算：サンプルあたり約 286 ns。
  • ジッター注入：500–3000 $\mu$s（人間には知覚不可能であり、知覚閾値の 5–27 倍下回る）。
  • VDF 検証：約 50 ms（バックグラウンドプロセス）。
  • MMR 追加：1 ms 未満。

5. 意義と主張

本論文は、十分に強力な攻撃者（具体的には、キャプチャ前に存在するカーネルレベルの攻撃者 $C_3$）による偽造を 防ぐことはできない ということを控えめに主張している。攻撃者がカーネルを制御している場合、彼らはセッション秘密鍵をダンプして証拠を偽造することができる。

しかし、本システムの意義は、**「立証責任を変える」**ことにある：

• 漠然とした懐疑心（「これは偽造された可能性がある」）を、検証可能な申し立て（「カーネルは、期間 14:00–14:47 において CVE-XXXX を介して侵害された」）へと変換する。
• 本システムは、たとえ内容が AI 生成のテキストであっても、人間が物理的にタイピングしたというプロセスを証明するものである。システムはアイデアの「認知的起源」ではなく、「タイピングのプロセス」を証明する。
• 独立した信頼境界（ハードウェア、OS、第三者アンカー）にわたる協調的な侵害を要求することで、システムは、現在の署名ベースのプロベナンス（由来証明）よりも、攻撃のコストと具体性を大幅に高める。

著者らは、敵対的な文脈において、具体的なテスト可能な申し立てを強制する能力は、明確かつ価値のある貢献であり、「偽物を検出する」というパラダイムから「妥当な否認を崩壊させる」というパラダイムへの転換であると結論づけている。