技術要約：レジャー・オーセンティケーターにおける開示前のファイナリティ（確定性）— 量子ランダムオラクルモデルにおいて

1. 問題提起

現在のポスト量子レジャー認証は、主に古典的な署名スキーム（例：ECDSA）をポスト量子代替案（例：ML-DSA, SLH-DSA）へと直接置換するものとして捉えられている。このアプローチは、認証を公開鍵、メッセージ、および署名のみに関与する、ポータブルでローカルな述語として扱うものである。しかし、レジャー・プロトコルは本質的に、先行するトランザクション、確定した状態、タイミング、および順序といった追加のコンテキストを露出させる。

標準的な不偽造ゲーム（EUF-CMA）は、以下の要素を欠いているため、レジャーベースの認可に特有のセキュリティ・ダイナミクスを捉えることができない：

• 公開保留プール（Public Pending Pools）: 正当な資格情報が、アドバーサリ（攻撃者）によって含まれる前に可視化される。
• アドバーサリによるスケジューリング: アドバーサリは、正当なイベントを抑制し、トランザクションを並べ替え、開示を無期限に検閲することができる。
• ファイナリティ（確定）対 インクルージョン（包含）: 一時的な包含と、不可逆的なファイナリティとの間の区別が欠落している。
• トランスクリプト依存の検証: 検証は、単なる静的な公開鍵ではなく、確定したトランスクリプトに依存する場合がある。
• 量子状態の持続性: 量子ランダムオラクルモデル（QROM）において、アドバーサリは複数の認可にわたって、また「ファイナリティ・カット（確定の切断）」を越えて量子状態を保持できる。一方で、提出されたイベントに対する検証者の評価は、クエリ・予算を消費する。

対処される中心的な問いは、**「認証の困難性のうち、どの部分が秘密の資格情報に由来し、どの部分が確定した履歴に由来するのか？」**である。具体的には、コミットメントの後に資格情報が開示される（再結合可能な開示：rebindable reveals）プロトコルの場合、安全性には、新たに構築されたエビデンスが、資格開示後に異なるアクションに対して適格とならないようにすることが要求される。

2. メソドロジーとフレームワーク

2.1 レジャー・オーセンティケーターと LA-EUF

著者らは、レジャー・オーセンティケーター（LA）、すなわち $(Setup, Init, Authorize, Judge)$ のタプルを導入する。ここで Judge アルゴリズムは、確定したトランスクリプトを読み取る決定論的な公開述語である。

• リアクティブな認可（Reactive Authorization）: Authorize アルゴリズムは、イベントを生成し、確定したプレフィックスを読み取り、正当なアクション $\tau$ を確定させる前にプライベートな状態を更新する可能性のある、リアクティブなプロトコルである。
• LA-EUF 実験: アドバーサリが、提出、包含、順序付け、およびファイナリティの呼び出しを制御するマルチユーザー不偽造ゲームである。アドバーサリは、正当なプロセスが受理ステップの前に要求していなかったアクション $\tau$ に対して、汚染されていないアカウント $a$ の有効な判断（judgment）を生成した場合に勝利する。
• 安全性（Safety）対 活性（Liveness）: このモデルは、安全性（無期限の検閲下でも、認可の不正なリダイレクションが発生しないこと）と、明示的な活性仮定の下で分析される完全性（進展）を分離している。

2.2 構造的境界

論文では、レジャー・オーセンティケーターのセキュリティ特性を決定する2つの条件付きリソース境界を特定している：

1. シングル・イベント・フロンティア（Single Event Frontier）: 登録状態と固定された公開コンテキストにのみ依存する単一のイベントを放出することによってアクションを認可するプロトコルは、コンテクスト付きワンタイム署名と等価であることが示されている。もしプロトコルが特定の「シングル・イベント」条件（孤立した放出、ローカルな完全性、および検閲されたイベントを確定した拡張に埋め込む能力）を満たす場合、それは標準的なワンタイム署名スキームへと収束する。
2. 再結合可能な開示のための適格性閉鎖（Eligibility Closure for Rebindable Reveals）: 資格情報が（ハッシュ・プリイメージなどの）コミットメントの後に開示されるプロトコルの場合、安全性には計算論的な開示後非受容性（post-disclosure non-admissibility）が必要である。もし資格 $s$ が開示された場合、異なるアクション $\tau'$ のための新たに構築されたエビデンスが受理可能であってはならない。もし受理ポリシーが公開された計算とレジャーのスケジューリングのみに依存している場合、これは、資格が開示される前に、確定した状態における適格なエビデンスの集合を閉じることによって強制される。

2.3 レジャー QROM 実行モデル

著者らは、以下の共同実行モデルを定義する：

• 量子アドバーサリは、古典的なレジャー・インターフェース（メンプール、ファイナリティ、汚染）と相互作用する。
• レジャーおよび正当な当事者は、共通のランダムオラクル $H$ を評価する。
• クエリ会計（Query Accounting）: モデルは、直接的な量子クエリ（$Q_{adv}$）、検証者媒介の評価（$Q_{med}$）、および正当な評価（$Q_{hon}$）を区別する。決定的なことは、アドバーサリの入力に対する検証者媒介の評価も、オラクルに依存する古典的なテストを提供するため、クエリ・予算にカウントされる点である。
• 適応的確定カット（Adaptive Finalized Cuts）: モデルは、「閉じたファイナリティ・カット（closed finalized cut）」を導入する。ここでは、受理可能なターゲットの集合が不可変となる。量子状態はこのカットを越えて持続し、リセットではない。

2.4 確定ターゲット・レンマ（Finalized Target Lemma）

主要な技術的結果は、**確定ターゲット探索レンマ（Finalized Target Search Lemma）**である。サイズが最大 $K$ の閉じた確定カット $C$ に対して、成功するフレッシュなターゲット探索の確率は以下のように抑えられる：
$$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$$
ここで：

• $\beta_{cut}$ は「悪い」振幅（カット時に既に存在するフレッシュなオープニング）を考慮する。
• $Q$ はカット後の総クエリ・予算である。
• $\ell$ は保持されたチェック済みポイントの数である。
• $c_{co}$ は普遍的な定数である。

このレンマは、もし適格なターゲットの集合が（資格）開示前に固定（閉鎖）されていれば、アドバーサリの成功確率は、一般的な衝突攻撃を許すのではなく、クエリ $Q^2$ に対して二次的に、およびターゲット集合のサイズ $K$ に対して線形にスケールすることを証明している。

3. 主要な貢献

1. レジャー・オーセンティケーターおよび LA-EUF の定義: 公開保留プール、アドバーサリによるスケジューリング、検閲、およびトランスクリプト依存の検証を取り入れた、リアクティブな認可プロトコルのための形式的な不偽造実験。このモデルは、通常のポスト量子署名がこのフレームワークに埋め込まれることを示し、同時に、シングル・イベント条件を満たすプロトコルがコンテクスト付きワンタイム署名を生み出すことを示している。
2. 閉鎖条件の分離: 論文は、再結合可能な開示プロトコルにおいて、安全性を確保するためには、資格が開示される前に、確定した状態において受理可能なエビデンスの集合が閉じられていなければならないことを証明している。もしこの閉鎖が行われない場合、アドバーサリは正当な開示を検閲し、開示された資格を新しいアクションに結合させることができ、結果として偽造を招く。
3. レジャー QROM とセキュリティ境界: レジャー QROM 実行モデルの仕様化、および確定ターゲット探索ルールの証明。このルールは、持続する量子状態と検証者による評価のコストを考慮している。これにより、Commit, Close, Reveal (CCR) オーセンティケケーターに対するマルチユーザー・ライフタイム QROM 境界が提供される。

4. 結果とインスタンス化

著者らは、Guy Fawkes 認証や Fawkescoin に着想を得たハッシュベースの構成である Commit, Close, Reveal (CCR) オーセンティケーターを用いて、このフレームワークを実装している。

• 構成: プロトコルは、アクションと後続のヘッドへのコミットメント、および「Close（閉鎖）」の待機（適格なコミットメントの集合が凍結される確定ウィンドウ）を伴い、その後に秘密の開示を行う。
• セキュリティ: CCR スキームは適格性閉鎖条件を満たす。著者らは、CCR のマルチユーザー・ライフタイム QROM 境界を以下のように証明している：
  $$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$$
  この境界は、たとえ正当な開示が検閲されたとしても、資格が開示される前にターゲット集合が閉じられていれば、安全性が維持されることを示している。

5. 意義と主張

本論文は、レジャーが単なる輸送手段を超えて、どのように暗号学的セキュリティに寄与するかを理解するための形式的な基礎を提供すると主張している。

• 認証の再定義: レジャー認証は単なる署名の置換ではなく、 「確定した履歴」が暗号学的リソースとして機能する、明確に異なるプリミティブであると論じている。
• 安全性 対 ポータビリティ: フレームワークは、トレードオフを浮き彫りにしている。レジャー・オーセンティケーターは、コンテキストなしでの検証（ポータビリティ）を、コンセンサスとファイナリティから導かれる安全性と交換する。
• 閉鎖の必要性: 再結合可能な開示において、「開示前の確定した適格性閉鎖」は安全性に不可なる条件であることを本論文は主張している。これがなければ、レジャーは開示された資格を不正なアクションに結合させることを防ぐことができない。
• QROM のリアリズム: ファイナリティ・カットを越えた量子状態の持続性をモデル化し、検証者による評価をカウントすることで、本論文は、孤立した署名に適用される標準的な QROM モデルよりも、ポスト量子レジャー・プロトコルに対してより正確なセキュリティ分析を提供している。

著者らは、時間的な救済策（Guy Fawkes, Fawkescoin 等）を最初に提案したとは主張しておらず、むしろ、フル・エグゼキューションのための不偽造ゲームを形式化し、必要な閉鎖定理を証明し、レジャーのスケジューリングと検閲の特定のダイナミクスを考慮したライフタイム QROM 分析を提供することを目的としている。