기술 요약: 레저 인증자를 위한 공개 전 확정성 (Finality Before Disclosure) - 양자 무작위 오라클 모델(QROM) 내에서

1. 문제 정의

현재의 포스트 양자 레저 인증은 주로 고전적 서명 방식(예: ECDSA)을 포스트 양자 대안(예: ML-DSA, SLH-DSA)으로 직접 교체하는 것으로 프레임화되어 있습니다. 이러한 접근 방식은 인증을 공개 키, 메시지, 서명만을 포함하는 이식 가능하고 국소적인 술어(predicate)로 취급합니다. 그러나 레저 프로토콜은 본질적으로 이전 트랜잭션, 확정된 상태, 타이밍, 순서와 같은 추가적인 컨텍스트를 노출합니다.

표준적인 unforgeability 게임(EUF-CMA)은 다음과 같은 요소들을 누락함으로써, 레저 기반 권한 부여의 특수한 보안 역학을 포착하는 데 실패합니다:

• 공개 대기 풀 (Public Pending Pools): 정직한 자격 증명이 포함되기 전에 적대자에게 노출됩니다.
• 적대적 스케줄링 (Adversarial Scheduling): 적대자는 정직한 이벤트를 억제하고, 트랜잭션을 재정렬하며, 공개(reveal) 과정을 무기한 검열할 수 있습니다.
• 포함과 확정의 구분 (Finality vs. Inclusion): 일시적 포함(provisional inclusion)과 불변적 확정(immutable finalization) 사이의 구분이 결여되어 있습니다.
• 트랜잭션 기록 의존적 검증 (Transcript-Dependent Verification): 검증은 단순히 정적인 공개 키가 아니라 확정된 트랜잭션 기록에 의존합니다.
• 양자 상태 지속성 (Quantum State Persistence): 양자 무작위 오라클 모델(QROM)에서, 적대자는 여러 번의 권한 부여와 "확정 컷(finalization cut)"을 가로질러 양자 상태를 유지할 수 있으며, 제출된 이벤트에 대한 검증인(verifier)의 평가는 쿼리 예산(query budget)을 소비합니다.

이 논문이 다루는 핵심 질문은 다음과 같습니다: 인증의 어려움 중 어느 부분이 개인 자격 증명에서 기인하며, 어느 부분이 확정된 이력(finalized history)에서 기인하는가? 특히, 커밋 후 자격 증명이 공개되는 프로토콜(rebindable reveals)의 경우, 안전성을 위해서는 새로 구축된 증거가 자격 증명이 공개된 후 다른 동작에 적합하게 만들어지지 않도록 하는 효율적인 스케줄러가 존재하지 않아야 합니다.

2. 방법론 및 프레임워크

2.1 레저 인증자 및 LA-EUF

저자들은 $(Setup, Init, Authorize, Judge)$ 튜플인 **레저 인증자 (Ledger Authenticators, LA)**를 도입합니다. 여기서 Judge 알고리즘은 확정된 트랜잭션 기록을 읽는 결정론적 공적 술어입니다.

• 반응형 권한 부여 (Reactive Authorization): Authorize 알고리즘은 이벤트를 방출하고, 확정된 접두사(prefix)를 읽으며, 정형 액션 $\tau$를 확정하기 전에 내부 상태를 업데이트하는 반응형 프로토콜입니다.
• LA-EUF 실험: 적대자가 제출, 포함, 순서 지정 및 확정 호출을 제어하는 다중 사용자 unforgeability 게임입니다. 적대자는 수락 단계 이전에 정직한 프로세스에 의해 요청되지 않은 계정 $a$에 대해 유효한 판단(judgment) $\tau$를 생성하면 승리합니다.
• 안전성 vs. 활성 (Safety vs. Liveness): 이 모델은 안전성(무기한 검열 하에서도 권한 부여의 부당한 리다이렉션이 없음)과 완결성(진전, completeness)을 분리하며, 이는 명시적인 liveness 가설 하에 분석됩니다.

2.2 구조적 경계

논문은 레저 인증자의 보안 특성을 결정하는 두 가지 조건부 자원 경계를 식별합니다:

1. 단일 이벤트 경계 (The Single Event Frontier): 등록 상태와 고정된 공적 컨텍스트에만 의존하는 단일 이벤트를 방출함으로써 동작을 권한 부여하는 프로토콜은 **컨텍스트적 일회용 서명(contextual one-time signatures)**과 동등함을 보입니다. 만약 프로토콜이 특정 "단일 이벤트" 조건(고립된 방출, 국소적 완결성, 그리고 검열된 이벤트를 확정된 확장 내에 삽입할 수 있는 능력)을 만족한다면, 이는 표준적인 일회용 서명 스키마로 축소됩니다.
2. 재결합 가능한 공개를 위한 적격성 폐쇄 (Eligibility Closure for Rebindable Reveals): 커밋 후 자격 증명이 공개되는 프로토콜(예: 해시 프리이미지)의 경우, 안전성을 위해서는 **계산적 공개 후 비적격성(computational post-disclosure non-admissibility)**이 필요합니다. 즉, 자격 증명 $s$가 공개되었을 때, 다른 액션 $\tau'$를 위해 새로 구축된 증거는 허용될 수 없어야 합니다. 만약 허용 정책이 공적 계산과 레저 스케줄링에만 의존한다면, 이는 자격 증식이 공개되기 전에 확정된 상태 내에서 **적격 증거의 집합을 폐쇄(closing)**함으로써 강제됩니다.

2.3 레저 QROM 실행 모델

저자들은 다음과 같은 공동 실행 모델을 정의합니다:

• 양자 적대자는 고전적 레저 인터페이스(mempool, finalization, corruption)와 상호작용합니다.
• 레저와 정직한 당사자들은 공통의 무작위 오라클 $H$를 평가합니다.
• 쿼리 계정 (Query Accounting): 모델은 직접적인 양자 쿼리($Q_{adv}$), 검증인 매개 평가($Q_{med}$), 정직한 평가($Q_{hon}$)를 구분합니다. 결정적으로, 적대자의 입력에 대한 검증인 매개 평가는 오라클에 의존하는 고전적 테스트를 제공하므로 쿼리 예산에 포함됩니다.
• 적응형 확정 컷 (Adaptive Finalized Cuts): 모델은 허용 가능한 대상의 집합이 불변이 되는 "폐쇄된 확정 컷(closed finalized cut)"을 도입합니다. 양자 상태는 이 컷을 가로질러 지속되며, 리셋되지 않습니다.

2.4 확정된 타겟 림마 (The Finalized Target Lemma)

핵심적인 기술적 결과는 확정된 타겟 탐색 림마입니다. 크기가 최대 $K$인 타겟 집합 $C$를 가진 폐쇄된 확정 컷에 대해, 성공적인 신규 타겟 탐색 확률은 다음과 같이 제한됩니다:
$$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$$
여기서:

• $\beta_{cut}$은 "나쁜" 진폭(컷에 이미 존재하는 신규 개방)을 계상합니다.
• $Q$는 컷 이후의 총 쿼리 예산입니다.
• $\ell$은 체크된 지점의 수입니다.
• $c_{co}$는 보편적 상수입니다.

이 림마는 만약 적격한 타겟 집합이 공개 전에 고정(closed)된다면, 적대자의 성공 확률이 일반적인 충돌 공격을 허용하기보다는 쿼리($Q^2$)에 제곱 비례하고 타겟 집합 크기($K$)에 선형 비례하여 스케일링됨을 증명합니다.

3. 주요 기여

1. 레저 인증자 및 LA-EUF의 정의: 공적 대기 풀, 적대적 스케줄링, 검열, 트랜잭션 기록 의존적 검증을 포함하는 반응형 권한 부여 프로토콜을 위한 공식적인 unforgeability 실험을 정의합니다. 이 모델은 일반적인 포스트 양자 서명이 이 프레임워크에 어떻게 임베딩되는지, 그리고 단일 이벤트 조건을 만족하는 프로토콜이 어떻게 컨텍스트적 일회용 서명을 생성하는지를 보여줍니다.
2. 폐쇄 조건의 격리 (Isolation of the Closure Condition): 재결합 가능한 공개 프로토콜의 경우, 안전성을 위해서는 자격 증식이 공개되기 전 확정된 상태 내에서 적격 증거가 폐쇄되어야 함을 증명합니다. 만약 이러한 폐쇄가 일어나지 않는다면, 적대자는 정직한 공개를 검열하고 공개된 자격 증명을 새로운 액션에 결합하여 위조를 수행할 수 있습니다.
3. 레저 QROM 및 보안 경계: 레저 QROM 실행 모델을 명세하고 확정된 타겟 탐색 규칙을 증명합니다. 이 규칙은 지속적인 양자 상태를 고려하고 검증인 평가를 비용으로 산정합니다. 이는 CCR (Commit, Close, Reveal) 인증자에 대한 다중 사용자 수명 보안 경계를 제공합니다.

4. 결과 및 구현

저자들은 Guy Fawkes 인증 및 Fawkescoin에서 영감을 받은 해시 기반 구조인 CCR (Commit, Close, Reveal) 인증자로 프레임워크를 구현합니다.

• 구조: 프로토콜은 액션과 후속 헤드(successor head)에 대한 커밋을 포함하며, "Close"(적격 커밋 집합이 동결되는 확정된 윈도우)를 기다린 후 비밀을 공개합니다.
• 보안: CCR 스키마는 적격성 폐쇄 조건을 만족합니다. 저자들은 CCR에 대한 다중 사용자 수명 QROM 경계를 증명합니다:
  $$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$$
  이 경계는 정직한 공개가 검열되더라도, 타겟 집합이 공개 전에 폐쇄된다면 안전성이 유지됨을 보여줍니다.

5. 의의 및 주장

본 논문은 레저가 단순한 전송 수단을 넘어 어떻게 암호학적 보안에 기여하는지에 대한 공식적인 토대를 제공한다고 주장합니다.

• 인증의 재정의: 레저 인증은 단순한 서명 교체가 아니라, "확정된 이력"이 암호학적 자원으로 작용하는 별개의 프리미티브임을 주장합니다.
• 안전성 vs. 이식성: 프레임워크는 이식성(컨텍스트 없는 검증)과 합의 및 확정성으로부터 파생되는 안전성 사이의 트레이드오프를 강조합니다.
• 폐쇄의 필요성: 재결합 가능한 공개의 경우, "공개 전 확정된 적격성 폐쇄"가 안전성을 위한 필수 조건임을 밝힙니다. 이것이 없다면 레저는 공개된 자격 증명을 승인되지 않은 액션에 결합하는 것을 방지할 수 없습니다.
• QROM의 현실성: 확정 컷을 가로지르는 양자 상태의 지속성을 모델링하고 검증인 평가를 비용으로 산정함으로써, 본 논문은 표준 QROM을 고립된 서명에 적용하는 것보다 더 정확한 포스트 양자 레저 프로토콜 보안 분석을 제공합니다.

저자들은 시간적 구제책(Guy Fawkes, Fawkescoin 등을 인용)을 최초로 제안한다고 주장하는 것이 아니라, 전체 실행에 대한 unforgeability 게임을 공식화하고, **필수 폐쇄 정리(necessary closure theorem)**를 증명하며, 레저 스케줄링 및 검열의 특수한 역학을 고려한 수명 QROM 분석을 제공하는 데 목적이 있음을 명시합니다.