技術要約：オブザーバー・クォーシェント（観測者商）セキュリティ

問題提起

現代の暗号学的セキュリティの主張は、根本的に「観測」に関する言明である。2つのシステム実行は、内部的な生の状態（raw state $X$）においては異なっていても、特定のクラスの観測者に対しては区別不能（indistinguishable）であり得る。しかし、この区別不能性は脆弱である。観測者のクラスが精緻化された場合（例：タイミング、キャッシュ、電力、または電磁波などのサイドチャネルの追加）、あるいはシステムが「隠れた継続（hidden continuations）」、すなわち現在の公開トランスクリプトを維持しつつも、将来の観測、繰り返されるセッション、または後処理によって悪用され得るような形で内部状態を変化させる内部状態遷移を行った場合に、その性質は崩壊する可能性がある。

本研究が取り組む核心的な問題は、暗号学的な区別不能性、サイドチャネル漏洩、および制御理論的な観測可能性（observability）を、単一の幾何学的かつ代数的な構造の下で扱う統一的な枠組みが欠如していることである。既存の定義は固定された観測者モデルを前提としていることが多い。観測モデルが変化した場合（例：サイドチャネルの追加）、証明は明確なメカニズムなしに破綻してしまう。また、漏洩を定量化したり、それを軽減するためのセンサを設計したりする手段も欠けている。

手法

本論文は、セキュリティ状態空間を生のインプリメンテーション状態 $X$ ではなく、オブザーバー・クォーシェント（観測者商） $X/\Pi$ として定義することで、オブザーバー・クォーシェント・セキュリティを定式化する。ここで $\Pi$ は許容される観測チャネルのクラスである。

核となる数学的構成要素

1. オブザーバー・クォーシェントと擬距離： 本論文では、すべてのオブザーバー $\Pi$ の出力分布の全変動距離に基づく擬距離 $d_\Pi(x, x')$ を定義する。状態 $x, x'$ は、$d_\Pi(x, x') = 0$ であるとき、同値（$x \equiv_\Pi x'$）とされる。商空間 $X/\Pi$ は、「可視的な」状態空間を表す。
2. 隠れた継続（Hidden Continuations）： 遷移 $T(x)$ が隠れた継続であるとは、$T(x) \neq x$ であるが $T(x) \equiv_\Pi x$ であることを指す。これらは現在の観測者クラスからは不可視な内部状態の変化である。
3. インタラクティブ・セキュリティゲーム： 本フレームワークは、セッション識別子、オラクル転送、適応的オブザーバー・スケジューラ、および後処理を含むインタラクティブなゲームを導入する。セキュリティの定義はReal/Ideal定理である。実ゲーム $G$ が理想的な商機能 $F_{\Pi, B}$ をエミュレートする場合、アドバーサリの識別優位性は、特定の「欠陥（defect）」項の総和によって抑えられる。
4. 境界汎関数と散逸性： 時間進化とノイズを扱うために、本論文ではスカラー境界汎関数 $B_\Pi$ と確率的散逸条件を導入する。これにより、持続的なノイズや実装ドリフトが存在する場合でも、「漏洩フロア（leakage floor）」（残留する識別優位性）がゼロに収束するか、あるいは有界に留まることを証明できる。

証明戦略

主要なReal/Ideal定理は、完全にインデックス化されたハイブリッド・シーケンスを用いて証明される。証明は、セキュリティギャップを以下の命名された欠陥項へと分解する：

• オブザーバー欠陥（Observer defects）： 商類内の状態を区別できない観測者の失敗。
• カーネル欠陥（Kernel defects）： 遷移カーネルが商と互換性を持たないこと（すなわち、等価な状態を区別可能な将来の分布へと分裂させてしまうこと）。
• 後処理欠陥（Post-processing defects）： オブザーバーのファミリーが許容される変換の下で閉じていないこと。
• シミュレータ／インターフェース欠陥（Simulator/Interface defects）： 実インターフェースを理想的な商機能へとマッピングする際の誤差。
• 統計的／残留項（Statistical/Residual terms）： 確率的散逸性と境界・優位性マッピングから導出される境界。

主な貢献

1. オブザーバー・クォーシェント・セキュリティゲームの形式的定義： セッション識別子、適応的スケジューラ、および理想的な商機能を含む包括的なゲーム構造を定義した。状態に誘起される擬距離を定義することで、「オブザーバーモデル」をセキュリティ定理の明示的なパラメータとした。
2. 構成的なReal/Ideal定理： 適応的な環境における識別優位性を抑え込む定理を提供した。この境界は、命名された明示的な項（オブザーバー、カーネル、後処理、シミュレータ、統計、および残留項）の総和として表され、複雑なシステムのモジュール的な分析を可能にする。
3. 計算論的なインスタンス化： 本フレームワークは、具体的な暗号シナリオに対して以下のようにインスタンス化される：
   • タイミング漏洩を伴うIND-CPA： 暗号文のみの安全性に、明示的なタイミング境界パラメータとプロファイリングノイズを加えたものに基づく優位性の境界。
   • 決定論的暗号： アルファベットサイズと平滑化された最大情報漏洩量に対するエントロピー消費を追跡する台帳ベースのアプローチ。
   • Nonce更新型認証暗号： ノンスの衝突と漏洩状態のドリフトを追跡するステートマシン分析。
4. 制御理論的解釈と合成： 本論文は暗号学と制御理論の架け橋となる。オブザーバーの精緻化をセンサの再設計として、隠れた継続を観測可能性のカーネルの要素として解釈する。オブザーバー設計を最適化問題（例：ユーティリティとコストの制約下での漏洩の最小化）として定式化し、緩和されたセンサ選択に対するKKT条件を提供する。
5. 有限システムのためのアルゴリズム検証： 有限状態機械において、オブザーバー・シグネチャを計算し、商の互換性をチェックし、安定した商に達するまで分割を精緻化するための構成的なアルゴリズムを提示している。これにより、「遅延漏洩（delayed leakage）」（現在は等価だが、将来的に区別可能になる状態）の自動検出が可能となる。

結果と主張

本論文は、そのフレームワークが以下の3つの従来は別個であった領域を統合することを主張している：

• 暗号学的区別不能性： 標準的なIND-CPAは、オブザーバーのクラスがトランスクリプトに限定されている場合の特殊なケースとして回収される。
• サイドチャネル分析： 本フレームワークは、サイドチャネルの追加（$\Pi$ の精緻化）がどのように商を粗くし、以前の証明を無効にする可能性があるかを明示的にモデル化する。また、持続的なノイズや実装ドリフトによって生じる「漏洩フロア」を定量化する方法を提供する。
• レジリエントな制御： セキュリティと観測可能性を接続する。「隠密な攻撃（stealthy attack）」は、システムのオブザーバーのカーネル内を移動する入力シーケンスとして定義される。本論文は、センサの行を追加すること（オブザーバーの精緻化）で、カーネルの次元を減少させ、残留優位の境界を下げられることを示している。

本論文は、隠れた継続が危害を及ぼさないのは、商のダイナミクスが互換性を持っている場合のみである（すなわち、遷移カーネルが等価な状態を等価な将来の分布へと写す場合）と述べている。カーネルが不適合であるか、あるいは後にオブザーバーのクラスが精緻化された場合、その隠れた状態は露呈する。

意義

本論文は、セキュリティの主張は本質的にオブザーバーのクラスに依存すると主張している。トランスクリプトのみのオブザーバーに対して有効な証明は、自動的に「トランスクリプト＋タイミング」のオブザーバーに対して有効になるわけではない。本研究の意義は以下の点にある：

1. 明示性： オブザーバーのクラス、ホライゾン、およびアドバーサリモデルの明示的な宣言を強制し、「暗黙的」な仮定によるセキュリティ失敗を防ぐ。
2. モジュール性： セキュリティ境界を命名された欠陥項へと分解することで、設計者がセキュリティ失敗の源泉（例：それはカーネルの不適合か、それとも後処理の問題か？）を特定できるようにする。
3. 設計への統合： 測定コスト、ユーティリティ、および漏洩をトレードオフするための数学的言語を提供する。サイドチャネル対策を事後的な対処として扱うのではなく、センサー設計と漏洩制御をオブザーバー・クォーシェント上の最適化問題として捉える。
4. 定量的残留： 定性的な「安全／不安全」という二値の状態を超え、ノイズやドリフトが存在する場合の「残留優位」や「漏洩フロア」に関する定量的な境界を提供し、より現実的な長期セキュリティ評価を可能にする。

本論文は、「生の等価性」と「オブザーバーの等価性」の間の「ギャップ」こそが、隠れた継続が存在する場所であると結論づけている。セキュリティは、生の状態で同一であることを保証することによってではなく、商のダイナミクスが互換性を持ち、かつ境界汎関数（漏洩ギャップを表す）がゼロまたは無視できるフロアへと駆動されることによって維持されるのである。