DIT: A Decentralized Identity and Trust Protocol for Post-Quantum CA-Free Web Authentication

インターネットを、あらゆるショップ、銀行、家庭が自分たちの身元を証明するための安全な方法を必要とする、巨大で賑やかな都市だと想像してみてください。現在、この都市は「認証局（CA）」と呼ばれる大規模で中央集権的な「公証人」のシステムに依存しています。これらのCAは、ショップのIDカードにスタンプを押すことを許された唯一の人々のようなものです。もし公証人がハッキングされたりミスをしたりすれば、都市全体のセキュリティが危険にさらされます。これを解決するために、都市はIDカードの有効期限を非常に短く（時には50日未満に）設定し始めました。これにより、ショップは絶えず更新を強制されることになります。しかし、これは屋根の修理をする代わりに、毎週屋根瓦を交換して雨漏りを止めようとしているようなものです。本当の問題は、システムがこれらの中央集権的な公証人に依存しすぎていることであり、強力な量子コンピュータがこれらのIDカードの鍵を完全に破ってしまう可能性のある未来に対して、準備ができていないことです。

この論文は、DIT（分散型アイデンティティと信頼：Decentralized Identity and Trust）という、デジタル・アイデンティティを扱うための新しい手法を紹介しています。DITは、中央の公証人に頼るのではなく、すべてのショップが独自のマスターキーを保持し、それを都市の公開ディレクトリ（DNSシステム）に公開し、独立した誠実な目撃者グループによってチェックされることを提案しています。これには、量子コンピュータでも解読できない「将来を見据えた」数学が使用されています。著者らはこのシステムの動作モデルを構築し、それが現在のシステムと同じ速さでアイデンティティの証明と秘密保持を行える一方で、中央の公証人を必要としないことを明らかにしました。しかし、マスターキーを紛失した場合、リカバリ（復旧）プロセスは依然として量子コンピュータによって破られる可能性がある古い数学に依存しており、また、このシステム全体は都市の公開ディレクトリがすでに安全であることを前提としていることも認めています。

大きな理念：公証人を排除する

現在のウェブのセキュリティ維持の方法は、見知らぬ人物を保証するために、一連の人々を信頼するという「伝言ゲーム」のようなものです。あなたはブラウザを信頼し、ブラウザは大きな会社（CA）を信頼し、その会社があなたが訪問しているウェブサイトを保証するという仕組みです。もしその大きな会社がハッキングされれば、彼らは「誰にでも」なりすますことができます。論文は、この連鎖は壊れていると主張しています。解決策は、連鎖を短くしたりカードの期限を短くしたりすることではなく、仲介者を完全に排除することです。

DITは、ウェブサイトのアイデンティティをインターネットの電話帳（DNS）に直接紐付けるシステムを提案しています。CAが証明書にスタンプを押す代わりに、ウェブサイトは自身の電話帳のエントリに「マスターキー」を公開します。このエントリは、究極の真実の語り手として機能する電話帳自身のセキュリティシステム（DNSSEC）によって署名されます。

3層のセキュリティ・キャッスル（城）

中央のボスなしでこれを実現するために、著者らは3層の鍵の城を設計しました。

1. アイデンティティ・キー（マスターキー）： これはウェブサイトの恒久的な、オフラインのマスターキーです。家の権利書のようなものです。めったに変更されることはなく、超強力な金庫（または信頼できる人々のグループに分割されたもの）に保管されます。これは、将来の量子コンピュータでも解読不可能とされる特別な「量子耐性」を持つロック（ML-DSA-65）を使用しています。
2. エポック・キー（デイリーパス）： 24時間ごとに、ウェブサイトは全く新しい一時的なキーを生成します。これは、建物への入館を1日だけ許可するデイリーパスのようなものです。マスターキーはこのデイリーパスに署名し、「はい、このパスは本物です」と宣言します。もしハッカーがデイリーパスを盗んでも、それは1日しか機能せず、その後は自己消滅します。
3. セッション・キー（ハンドシェイク）： あなたがウェブサイトを訪れるとき、あなたとサーバーは、その特定の会話のためだけの秘密のコードを作成するために握手を交わします。これは、たとえ今日誰かがあなたの会話を記録したとしても、後で鍵を盗まれたとしても、明日その内容を読めないようにするために、新旧の数学（X25519とML-KEM-768）を組み合わせて使用します。

「誠実な目撃者」システム

マスターキーがハッカーによって電話帳の中で入れ替えられていないことを、どうやって知るのでしょうか？DITは**信頼の目撃者（Trust Witnesses）**というシステムを使用しています。ウェブサイトの活動を監視する、独立した監査人（陪審員のようなもの）のグループを想像してください。ウェブサイトがマスターキーを変更する場合、必ず7人の監査人のうち少なくとも5人から変更の承認を得なければなりません。

ウェブサイトはまた、すべての鍵の変更が記録される、ガラス張りの日記のような公開「透明性ログ」を保持しています。もしハッカーが目撃者の承認なしに鍵を入れ替えようとすれば、公衆はすぐにそれを知ることができます。著者らは、7人の目撃者のうち少なくとも3人が誠実である限り、ハッカーがシステムを欺くことはできないことを数学的に証明しました。

「量子耐性」の約束

DITの最もエキサイティングな部分は、それが未来に向けて構築されていることです。著者らは、量子コンピュータによる攻撃に耐えられるよう設計された新しいタイプの数学（格子ベース暗号）を使用しました。

• 認証： アイデンティティを検証するための署名は、量子耐性があります。
• 秘密保持： 秘密が交換される方法も、量子耐性があります。

しかし、論文は一つの弱点について非常に正直です。それはリカバリ（復旧）です。マスターキーを紛失または盗難された場合、ウェブサイトは新しいキーを取得する方法を必要とします。現在のリカバリ方法は、量子コンピュータに対して脆弱な古いタイプの数学（FROST-Schnorr）を使用しています。著者らは、このリカバリ・パスが量子耐性を持たないことを明示しており、より優れた量子耐性を持つリカバリ・ツールが登場した際に、将来的なアップデートが必要であると示唆しています。

それは本当に機能するのか？

著者らは単に理論を書いただけでなく、動作するプロトタイプを構築し、テストを行いました。

• 速度： ユーザーが以前に訪れたことのあるサイトを訪問する場合（「ウォームパス」）、DITは現在のシステムと同じ速さであり、検証に約6 KBのデータを使用します。
• 初回訪問： ユーザーが新しいサイトを初めて訪問する場合（「コールドパス」）、目撃者の署名とログの履歴をダウンロードする必要があるため、少し多くのデータ（約34 KB）を消費します。しかし、このコストは一度支払えば済み、その後の訪問はすべて高速です。
• 効率性： デイリーキーが自動的に回転するため、ウェブサイトは年間で何千回も証明書を更新する必要はありません。著者らは、1,000のドメインを持つ企業の場合、これにより年間8,000回の更新の管理が不要になり、その数をゼロにまで下げられると計算しました。

落とし穴：安全な電話書が必要である

論文は、重要な現実的な確認事項で締めくくられています。DITは素晴らしい新しいエンジンですが、それが走るためには特定の種類の道路が必要です。それは、インターネットの電話帳（DNS）がDNSSECによって保護されていることを要求します。現在、ウェブのわずかな部分しかこのセキュリティを使用していません。もし電話帳自体が安全でなければ、DITシステム全体が崩壊します。

さらに、システムはブラウザやウェブサイトがこれらの新しい標準を採用することを前提としています。著者らは、段階的な展開を提案しています。まずブラウザ拡張機能として、次に組み込み機能として、そして最終的にはウェブの標準的な方法として導入するというステップです。

要約すると、DITは、単一の中央権威を信頼する必要がなく、将来の量子コンピュータからも秘密が守られ、ウェブサイトがIDを絶えず更新する必要のないウェブを構築する方法を提供しています。しかし、それは魔法の杖ではありません。インターネットの基礎となるインフラストラクチャが追いつく必要があり、また、失った鍵を復旧する際の「古典的」な弱点がまだ残っています。著者らは、それが可能であることを示しましたが、それが新しい常識となるまでの道のりは始まったばかりです。