Resumo Técnico: Finalidade Antes da Revelação para Autenticadores de Ledger no Modelo de Oráculo Aleatório Quântico

1. Declaração do Problema

A autenticação atual de ledgers pós-quânticos é predominantemente formulada como uma substituição direta de esquemas de assinatura clássicos (ex: ECDSA) por alternativas pós-quânticas (ex: ML-DSA, SLH-DSA). Esta abordagem trata a autenticação como um predicado portátil e local que envolve apenas uma chave pública, uma mensagem e uma assinatura. No entanto, os protocolos de ledger expõem inerentemente contexto adicional: transações anteriores, estado finalizado, tempo e ordenação.

Os jogos padrão de não-forjabilidade (EUF-CMA) falham em capturar a dinâmica de segurança específica de autorizações baseadas em ledger porque omitem:

• Pools Públicos Pendentes: Credenciais honestas tornam-se visíveis ao adversário antes da inclusão.
• Agendamento Adversarial: O adversário pode suprimir eventos honestos, reordenar transações e censurar revelações indefinidamente.
• Finalidade vs. Inclusão: Falta uma distinção entre inclusão provisória e finalização imutável.
• Verificação Dependente de Transcrição: A verificação frequentemente depende de uma transcrição finalizada em vez de apenas uma chave pública estática.
• Persistência de Estado Quântico: No Modelo de Oráculo Aleatório Quântico (QROM), um adversário pode reter estado quântico através de múltiplas autorizações e através do "corte de finalização", enquanto as avaliações do verificador sobre eventos submetidos consomem orçamentos de consulta.

A questão central abordada é: Qual parte da dureza da autenticação deriva de uma credencial privada e qual parte deriva do histórico finalizado? Especificamente, para protocolos onde uma credencial é revelada após um compromisso (revelações revinculáveis), a segurança exige que nenhum agendador eficiente torne evidências recém-construídas elegíveis para uma ação diferente após a credencial ser divulgada.

2. Metodologia e Estrutura

2.1 Autenticadores de Ledger e LA-EUF

Os autores introduzem Autenticadores de Ledger (LA), uma tupla $(Setup, Init, Authorize, Judge)$, onde o algoritmo Judge é um predicado público determinístico que lê uma transcrição finalizada.

• Autorização Reativa: O algoritmo Authorize é um protocolo reativo que pode emitir eventos, ler prefixos finalizados e atualizar o estado privado antes de fixar uma ação canônica $\tau$.
• Experimento LA-EUF: Um jogo de não-forjabilidade multiusuário onde o adversário controla a submissão, inclusão, ordenação e chamadas de finalização. O adversário vence se produzir um julgamento válido para uma ação $\tau$ em uma conta $a$ não corrompida, onde $\tau$ não foi solicitada pelo processo honesto antes da etapa de aceitação.
• Segurança vs. Vivacidade: O modelo separa segurança (não redirecionamento não autorizado de autorização, mesmo sob censura indefinida) de completude (progresso), que é analisada sob suposições explícitas de vivacidade.

2.2 Fronteiras Estruturais

O artigo identifica duas fronteiras de recursos condicionais que determinam as propriedades de segurança de um autenticador de ledger:

1. A Fronteira de Evento Único: Protocolos que autorizam uma ação emitindo um único evento cuja validade depende apenas do estado de registro e de um contexto público fixo são mostrados como equivalentes a assinaturas de uso único contextuais. Se um protocolo satisfaz condições específicas de "evento único" (emissão isolada, completude local e a capacidade de incorporar um evento censurado em uma extensão finalizada), ele colapsa para um esquema de assinatura de uso único padrão.
2. Fechamento de Elegibilidade para Revelações Revinculáveis: Para protocolos onde uma credencial é revelada após um compromisso (ex: pré-imagens de hash), a segurança exige não-admissibilidade computacional pós-divulgação. Se uma credencial $s$ é divulgada, nenhuma evidência recém-construída para uma ação diferente $\tau'$ deve ser admissível. Se a política de admissão depende apenas de computação pública e agendamento de ledger, isso é imposto pelo fechamento do conjunto de evidências elegíveis no estado finalizado antes da credencial ser divulgada.

2.3 O Modelo de Execução de Ledger QROM

Os autores definem um modelo de execução conjunta onde:

• Um adversário quântico interage com interfaces de ledger clássicas (mempool, finalização, corrupção).
• O ledger e as partes honestas avaliam um Oráculo Aleatório $H$ comum.
• Contabilização de Consultas: O modelo distingue entre consultas quânticas diretas ($Q_{adv}$), avaliações mediadas pelo verificador ($Q_{med}$) e avaliações honestas ($Q_{hon}$). Crucialmente, as avaliações mediadas pelo verificador sobre entradas adversariais são cobradas do orçamento de consulta, pois fornecem um teste clássico dependente do oráculo.
• Cortes Finalizados Adaptativos: O modelo introduz um "corte finalizado fechado" onde o conjunto de alvos admissíveis torna-se imutável. O estado quântico persiste através deste corte; não é um reset.

2.4 O Lema do Alvo Finalizado

Um resultado técnico fundamental é o Lema de Busca de Alvo Finalizado. Para um corte finalizado fechado com um conjunto de alvos $C$ de tamanho no máximo $K$, a probabilidade de uma busca de alvo novo bem-sucedida é limitada por:
$$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$$
Onde:

• $\beta_{cut}$ contabiliza a amplitude "ruim" (aberturas novas já presentes no corte).
• $Q$ é o orçamento total de consultas após o corte.
• $\ell$ é o número de pontos verificados retidos.
• $c_{co}$ é uma constante universal.

Este lema prova que, se o conjunto de alvos elegíveis é fixo (fechado) antes da divulgação, a probabilidade de sucesso do adversário escala quadraticamente com as consultas ($Q^2$) e linearmente com o tamanho do conjunto de alvos ($K$), em vez de permitir ataques de colisão genéricos.

3. Principais Contribuições

1. Definição de Autenticadores de Ledger e LA-EUF: Um experimento formal de não-forjabilidade para protocolos de autorização reativa que incorpora pools públicos pendentes, agendamento adversarial, censura e verificação dependente de transcrição. O modelo mostra que assinaturas pós-quânticas comuns se inserem neste framework, enquanto protocolos que satisfazem condições de evento único resultam em assinaturas de uso único contextuais.
2. Isolamento da Condição de Fechamento: O artigo prova que para protocolos de revelação revinculável, a segurança exige que o conjunto de evidências admissíveis seja fechado no estado finalizado antes que a credencial seja divulgada. Se este fechamento não ocorrer, um adversário pode censurar a revelação honesta e vincular a credencial divulgada a uma nova ação, resultando em uma falsificação.
3. Modelo de Execução e Limites de Segurança de Ledger QROM: Uma especificação do modelo de execução Ledger QROM e uma prova de uma regra de busca de alvo finalizado. Esta regra contabiliza a persistência de estado quântico e cobra as avaliações do verificador. Ela produz um limite de segurança de vida multiusuário para um autenticador Commit, Close, Reveal (CCR).

4. Resultados e Instanciação

Os autores instanciam o framework com um autenticador Commit, Close, Reveal (CCR), uma construção baseada em hash inspirada na autenticação Guy Fawkes e no Fawkescoin.

• Construção: O protocolo envolve o compromisso de uma ação e um sucessor, aguardando um "close" (uma janela finalizada onde o conjunto de compromissos elegíveis é congelado) e, em seguida, revelando o segredo.
• Segurança: O esquema CCR satisfaz a condição de fechamento de elegibilidade. Os autores provam um limite QROM de vida multiusuário para o CCR:
  $$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$$
  Este limite demonstra que a segurança é mantida mesmo se a revelação honesta for censurada, desde que o alvo seja fechado antes da divulgação.

5. Significância e Alegações

O artigo afirma fornecer uma base formal para entender como os ledgers contribuem para a segurança criptográfica além do mero transporte.

• Reenquadramento da Autenticação: Argumenta que a autenticação de ledger não é meramente a substituição de assinaturas, mas um primitivo distinto onde o "histórico finalizado" atua como um recurso criptográfico.
• Segurança vs. Portabilidade: O framework destaca um compromisso: os autenticadores de ledger trocam portabilidade (verificação sem contexto) por segurança derivada de consenso e finalidade.
• Necessidade de Fechamento: O artigo afirma que, para revelações revinculáveis, o "fechamento de elegibilidade finalizado antes da divulgação" é uma condição necessária para a segurança. Sem isso, o ledger não pode impedir o vínculo da credencial divulgada a ações não autorizadas.
• Realismo do QROM: Ao modelar a persistência de estado quântico através de cortes de finalização e cobrar avaliações do verificador, o artigo fornece uma análise de segurança mais precisa para protocolos de ledger pós-quânticos do que os modelos QROM padrão aplicados a assinaturas isoladas.

Os autores declaram explicitamente que não pretendem ser os primeiros a propor remédios temporais (citando Guy Fawkes, Fawkescoin, etc.), mas sim formalizar o jogo de não-forjabilidade para a execução completa, provar o teorema de fechamento necessário para revelações revinculáveis e fornecer uma análise de vida QROM que considere a dinâmica específica de agendamento e censura de ledgers.