💻 computer science

Finality Before Disclosure for Ledger Authenticators in the Quantum Random Oracle Model

Dit artikel introduceert het concept van ledger-authenticators en een bijbehorend onvervalsbaarheidsmodel ( $\LAEUF$ ) om reactieve autorisatieprotocollen in publieke ledgers te beveiligen, waarbij een multi-user kwantumbeveiligingsgrens wordt bewezen in het Quantum Random Oracle Model die rekening houdt met adversariële ordening, censuur en de cruciale vereiste om de geschiktheid van bewijslast te sluiten vóór de openbaarmaking van credentials.

Oorspronkelijke auteurs: Maja Lie, Benjamin Marsh

Gepubliceerd 2026-08-20

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Maja Lie, Benjamin Marsh

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

In de digitale wereld is een grootboek simpelweg een gedeeld verslag van wie wat bezit en wat er is gebeurd. Denk eraan als een openbaar schrift waarin elke transactie wordt opgeschreven, geverifieerd en aan de geschiedenis wordt toegevoegd. Decennialang rustte de beveiliging van deze schriften op één enkele, verplaatsbare sleutel: een digitale handtekening. Net zoals een fysieke handtekening op een cheque, bewees deze digitale markering dat de eigenaar een specifieke actie had geautoriseerd. Het systeem was zo ontworpen dat iedereen de handtekening kon verifiëren met behulp van een publieke sleutel, zonder de geschiedenis van de rekening of het tijdstip van de transactie te hoeven kennen. Dit werkte goed voor eenvoudige overboekingen, maar moderne digitale grootboeken zijn complexer geworden. Ze beheren nu statussen, ordenen gebeurtenissen en vertrouwen op de finaliteit van het verslag—het punt waarop een transactie als onveranderlijk en permanent wordt beschouwd. Het oude model van een op zichzelf staande handtekening begon ontoereikend te voelen voor deze nieuwe, reactieve systemen, waarbij de geldigheid van een actie kan afhangen van wat er vlak daarvoor is gebeurd of hoe het netwerk de volgorde van gebeurtenissen heeft vastgesteld.

Deze verschuiving creëerde een nieuwe uitdaging voor de beveiliging, vooral naarmate we kijken naar een toekomst waarin krachtige quantumcomputers de huidige encryptiemethoden zouden kunnen breken. Onderzoekers Maja Lie en Benjamin Marsh stelden een fundamentele vraag: wanneer een digitaal grootboek een wijziging autoriseert, hoeveel van die beveiliging komt dan voort uit de geheime sleutel die de gebruiker vasthoudt, en hoeveel komt voort uit de publieke geschiedenis van het grootboek zelf? In veel moderne systemen doet het grootboek meer dan alleen een handtekening dragen; het helpt beslissen of een actie geldig is door de tijdlijn, de volgorde van gebeurtenissen en de uiteindelijke status van de rekening te controleren. De auteurs realiseerden zich dat standaard beveiligingstests, die handtekeningen als geïsoleerde objecten behandelen, de unieke gevaren van deze omgeving misten. Zij identificeerden dat een aanvaller potentieel de tijd tussen het onthullen van een geheim en het officieel vastleggen ervan zou kunnen exploiteren, of de mogelijkheid zou kunnen gebruiken om transacties te vertragen en te herordenen om een vervalsing te creëren.

Om dit op te lossen, bouwden de onderzoekers een nieuw kader genaamd een "ledger authenticator" (grootboek-authenticator). Dit is een model dat het hele proces van autorisatie behandelt als een spel dat gespeeld wordt tegen de geschiedenis van het grootboek, in plaats van slechts een controle van een handtekening. Ze introduceerden een specifieke test, genaamd LA-EUF, die een scenario simuleert waarin een aanvaller elke eerlijke transactie kan observeren voordat deze wordt vastgelegd, de opname ervan kan vertragen en zelfs de sequentie van gebeurtenissen kan herordenen. Het doel van deze test is om te zien of de aanvaller het systeem kan misleiden om een nieuwe, ongeautoriseerde actie te accepteren met behulp van een geheim dat zojuist is onthuld. Het artikel bewijst dat voor bepaalde typen protocollen de beveiliging rust op een specifieke voorwaarde: het grootboek moet de lijst van mogelijke acties "sluiten" voordat het geheim wordt onthuld. Als het systeem nieuwe acties toestaat nadat het geheim bekend is gemaakt, is het grootboek kwetsbaar. Echter, als het systeem de lijst van geldige acties vastlegt op basis van de definitieve, onveranderlijke status van het grootboek voordat het geheim lekt, blijft het systeem veilig.

De onderzoekers demonstreerden dat deze aanpak werkt door een "commit, close, reveal" (vastleggen, sluiten, onthullen) proces te definiëren. In deze methode legt een gebruiker eerst een actie vast en wacht op het moment dat het grootboek een specifieke tijdsperiode finaliseert. Pas nadat dit venster is gesloten en de lijst met geldige toezeggingen is vastgelegd, onthult de gebruiker het geheim. Dit zorgt ervoor dat zelfs als een aanvaller het geheim ziet, hij geen nieuwe, geldige actie kan creëren omdat het grootboek de regels voor dat moment al heeft vastgelegd. De auteurs leverden een wiskundig bewijs dat deze methode veilig is, zelfs tegen quantumcomputers, mits het systeem deze strikte timing- en finaliteitsregels volgt. Ze toonden aan dat de beveiliging van het systeem niet alleen afhangt van de kracht van de geheime sleutel, maar van het precieze moment waarop het grootboek bepaalt wat is toegestaan.

De studie verduidelijkte ook de grenzen van deze aanpak. Het vond dat als een protocol rust op een enkele gebeurtenis die niet afhankelijk is van de geschiedenis van het grootboek, het in essentie terugvalt op een standaard handtekeningschema, waardoor de extra bescherming die het grootboek zou kunnen bieden, verloren gaat. Omgekeerd, als een protocol een geheim toestaat te hergebruiken of te koppelen aan een andere actie nadat het is onthuld, is het inherent onveilig, tenzij het grootboek de lijst van geldige acties al heeft bevroren. De onderzoekers bewezen dat door de veiligheid van het systeem te scheiden van de snelheid waarmee het transacties verwerkt, zij een robuuste verdediging konden creëren. Ze toonden aan dat veiligheid gegarandeerd kan worden, zelfs als het netwerk traag is of als een aanvaller probeert eerlijke transacties te censureren, zolang de definitieve status van het grootboek wordt gebruikt om de regels vast te leggen voordat geheimen worden blootgesteld.

Dit werk biedt een duidelijk pad vooruit voor het bouwen van veilige digitale grootboeken in een post-quantum wereld. Het gaat verder dan het idee van simpelweg oude handtekeningen vervangen door nieuwe, quantum-resistente handtekeningen. In plaats daarvan suggereert het dat het grootboek zelf een actieve deelnemer moet zijn aan het beveiligingsargument, door zijn publieke, gefinaliseerde geschiedenis te gebruiken om fraude te voorkomen. De bevindingen van de onderzoekers suggereren dat de meest veilige systemen diegene zullen zijn die zorgvuldig het beheer van de timing van wanneer geheimen worden onthuld en wanneer de regels van het spel definitief zijn vastgelegd. Door dit te doen, zorgen ze ervoor dat het grootboek een betrouwbaar verslag blijft, in staat om zelfs de meest geavanceerde aanvallen te weerstaan, zonder te vertrouwen op de hoop dat een geheim nooit geraden zal worden. Het resultaat is een veerkrachtigere manier om digitaal vertrouwen te beheren, waarbij de geschiedenis van het systeem even belangrijk is als de sleutel die het start.

Technisch Overzicht: Finaliteit vóór Openbaarmaking voor Ledger-authenticatoren in het Quantum Random Oracle Model

1. Probleemstelling

Huidige post-kwantum ledger-authenticatie wordt voornamelijk geframed als een directe substitutie van klassieke signatuurschema's (bijv. ECDSA) door post-kwantum alternatieven (bijv. ML-DSA, SLH-DSA). Deze benadering behandelt authenticatie als een draagbare, lokale predicaat die alleen een publieke sleutel, een bericht en een handtekening omvat. Echter, ledger-protocollen leggen inherent extra context bloot: eerdere transacties, gefinaliseerde staat, timing en ordening.

De standaard onvervalsbaarheidsspellen (EUF-CMA) falen in het vatten van de specifieke beveiligingsdynamiek van ledger-gebaseerde autorisatie omdat ze de volgende zaken weglaten:

Publieke Pending Pools: Eerlijke credentials worden zichtbaar voor de tegenstander voordat inclusie plaatsvindt.
Adversariële Scheduling: De tegenstander kan eerlijke gebeurtenissen onderdrukken, transacties herordenen en het onthullen (reveal) onbepaald censureren.
Finaliteit vs. Inclusie: Er ontbreekt een onderscheid tussen voorlopige inclusie en onveranderlijke finaliteit.
Transcript-afhankelijke Verificatie: Verificatie is vaak afhankelijk van een gefinaliseerd transcript in plaats van enkel een statische publieke sleutel.
Quantum State Persistentie: In het Quantum Random Oracle Model (QROM) kan een tegenstander een quantumtoestand behouden over meerdere autorisaties en over de "finalization cut" heen, terwijl verifier-evaluaties op ingediende gebeurtenissen het query-budget verbruiken.

De centrale vraag die wordt geadresseerd is: Welk deel van de authenticatie-hardheid vloeit voort uit een privaat credential, en welk deel uit de gefinaliseerde historie? Specifiek voor protocollen waar een credential wordt onthuld na een commitment (rebindable reveals), vereist veiligheid dat geen enkele efficiënte scheduler in staat is om nieuw geconstrueerd bewijs geschikt te maken voor een andere actie nadat het credential is onthuld.

2. Methodologie en Framework

2.1 Ledger Authenticators en LA-EUF

De auteurs introduceren Ledger Authenticators (LA), een tupel $(Setup, Init, Authorize, Judge)$, waarbij het Judge-algoritme een deterministische publieke predicaat is die een gefinaliseerd transcript leest.

Reactieve Autorisatie: Het Authorize-algoritme is een reactief protocol dat gebeurtenissen kan emitteren, gefinaliseerde prefixes kan lezen en een private staat kan bijwerken voordat een canonieke actie $\tau$ wordt vastgesteld.
LA-EUF Experiment: Een multi-user onvervalsbaarheidsspel waarbij de tegenstander de indiening, inclusie, ordening en finalisatie-oproepen controleert. De tegenstander wint als zij een geldige beoordeling produceren voor een actie $\tau$ op een niet-gecorrumpeerd account $a$ , waarbij $\tau$ niet door het eerlijke proces was aangevraagd vóór de acceptatiestap.
Safety vs. Liveness: Het model scheidt safety (geen ongeautoriseerde redirectie van autorisatie, zelfs niet onder onbepaalde censuur) van completeness (progress), wat wordt geanalyseerd onder expliciete liveness-aannames.

2.2 Structurele Grenzen

Het papier identificeert twee conditionele resource-grenzen die de beveiligingseigenschappen van een ledger-authenticator bepalen:

De Single Event Frontier: Protocollen die een actie autoriseren door een enkele gebeurtenis te emitteren waarvan de geldigheid enkel afhangt van de registratiestatus en een vaste publieke context, blijken equivalent te zijn aan contextuele one-time signatures. Als een protocol voldoet aan specifieke "single event"-condities (geïsoleerde emissie, lokale volledigheid en het vermogen om een gecensureerde gebeurtenis in te bedden in een gefinaliseerde extensie), vervalt het tot een standaard one-time signature schema.
Eligibility Closure voor Rebindable Reveals: Voor protocollen waarbij een credential wordt onthuld na een commitment (bijv. hash preimages), vereist safety computationele post-disclosure non-admissibility. Als een credential $s$ wordt onthuld, mag geen nieuw geconstrueerd bewijs voor een andere actie $\tau'$ toelaatbaar zijn. Als het toelatingsbeleid enkel rust op publieke computatie en ledger-scheduling, wordt dit afgedwongen door de set van in aanmerking komende bewijzen te sluiten in de gefinaliseerde staat voordat het credential wordt onthuld.

2.3 De Ledger QROM Execution Model

De auteurs definiëren een gezamenlijk executiemodel waarbij:

Een quantum-tegenstander interacteert met klassieke ledger-interfaces (mempool, finalization, corruptie).
De ledger en eerlijke partijen een gemeenschappelijke Random Oracle $H$ evalueren.
Query Accounting: Het model maakt onderscheid tussen directe quantum queries ( $Q_{adv}$ ), verifier-gemedieerde evaluaties ( $Q_{med}$ ) en eerlijke evaluaties ( $Q_{hon}$ ). Cruciaal is dat verifier-gemedieerde evaluaties op adversariële inputs worden gerekend aan het query-budget, aangezien zij een klassieke test vormen die afhankelijk is van de oracle.
Adaptive Finalized Cuts: Het model introduceert een "closed finalized cut" waarbij de set van toelaatbare targets onveranderlijk wordt. De quantumtoestand persisteert over deze cut; het is geen reset.

2.4 De Finalized Target Lemma

Een belangrijk technisch resultaat is de Finalized Target Search Lemma. Voor een closed finalized cut met een target set $C$ van grootte maximaal $K$ , is de kans op een succesvolle fresh target search begrensd door:
$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$
Waar:

$\beta_{cut}$ rekening houdt met "slechte" amplitude (fresh openings die al aanwezig waren bij de cut).
$Q$ is het totale query-budget na de cut.
$\ell$ is het aantal behouden gecontroleerde punten.
$c_{co}$ is een universele constante.

Dit lemma bewijst dat als de set van in aanmerking komende targets vaststaat (gesloten) vóór de onthulling, de succeskans van de tegenstander kwadratisch schaalt met queries ( $Q^2$ ) en lineair met de omvang van de target set ( $K$ ), in plaats van algemene collision attacks toe te staan.

3. Belangrijkste Bijdragen

Definitie van Ledger Authenticators en LA-EUF: Een formeel onvervalsbaarheids-experiment voor reactieve autorisatieprotocollen dat publieke pending pools, adversariële scheduling, censuur en transcript-afhankelijke verificatie incorporeert. Het model toont aan dat gewone post-kwantum signatures in dit framework ingebed kunnen worden, terwijl protocollen die voldoen aan single-event condities resulteren in contextuele one-time signatures.
Isolatie van de Closure Conditie: Het papier bewijst dat voor rebindable reveal protocollen, safety vereist dat de set van toelaatbare bewijzen gesloten wordt in de gefinaliseerde staat vóór de credential wordt onthuld. Als deze closure niet plaatsvindt, kan een tegenstander de eerlijke reveal censureren en het onthulde credential binden aan een nieuwe actie, wat resulteert in een vervalsing.
Ledger QROM en Security Bounds: Een specificatie van het Ledger QROM executiemodel en een bewijs van een finalized target search regel. Deze regel houdt rekening met persistente quantumtoestand en rekent verifier-evaluaties door. Dit levert een multi-user lifetime security bound op voor een Commit, Close, Reveal (CCR) authenticator.

4. Resultaten en Implementatie

De auteurs implementeren het framework met een Commit, Close, Reveal (CCR) authenticator, een hash-gebaseerde constructie geïnspireerd door Guy Fawkes authenticatie en Fawkescoin.

Constructie: Het protocol behelst het committen aan een actie en een successor head, het wachten op een "close" (een gefinaliseerde window waarin de set van in aanmerking komende commitments bevroren is), en vervolgens het onthullen van het geheim.
Beveiliging: Het CCR-schema voldoet aan de eligibility closure conditie. De auteurs bewijzen een multi-user lifetime QROM bound voor CCR:
$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$
Deze bound demonstreert dat safety behouden blijft, zelfs als de eerlijke reveal wordt gecensureerd, mits de target set gesloten is vóór de onthulling.

5. Betekenis en Claims

Het papier claimt een formeel fundament te bieden voor het begrijpen van hoe ledgers bijdragen aan cryptografische veiligheid voorbij louter transport.

Herformulering van Authenticatie: Het betoogt dat ledger-authenticatie niet louter een signature substitutie is, maar een distinctieve primitief waarbij de "gefinaliseerde historie" fungeert als een cryptografische resource.
Safety vs. Portability: Het framework belicht een trade-off: ledger-authenticatoren ruilen portabiliteit (verificatie zonder context) in voor safety afgeleid van consensus en finaliteit.
Noodzaak van Closure: Het papier stelt dat voor rebindable reveals, "finalized eligibility closure before disclosure" een noodzakelijke conditie is voor safety. Zonder dit kan de ledger de binding van een onthuld credential aan ongeautoriseerde acties niet voorkomen.
QROM Realisme: Door quantumtoestand-persistentie over finalization cuts te modelleren en verifier-evaluaties te verrekenen, biedt het papier een accuratere security analyse voor post-kwantum ledger-protocollen dan standaard QROM modellen toegepast op geïsoleerde signatures.

De auteurs stellen expliciet dat zij niet beweren de eersten te zijn die temporele remedies voorstellen (zij citeren Guy Fawkes, Fawkescoin, etc.), maar dat zij de onvervalsbaarheidsgame voor de volledige executie formaliseren, het noodzakelijke closure theorem voor rebindable reveals bewijzen, en een lifetime QROM analyse leveren die rekening houdt met de specifieke dynamiek van ledger-scheduling en censuur.