技术摘要：账本认证器在量子随机预言模型中的披露前终局性

1. 问题陈述

当前的后量子账本认证主要被框架化为经典签名方案（如 ECDSA）向后量子替代方案（如 ML-DSA, SLH-DSA）的直接替换。这种方法将身份验证视为一种可移植的、局部的谓词，仅涉及公钥、消息和签名。然而，账本协议本质上暴露了额外的上下文：先前的交易、已达成的状态、时间戳和排序。

标准的不可伪造性游戏（EUF-CMA）无法捕捉基于账本授权的特定安全动态，因为它们忽略了：

• 公开待处理池： 诚实的凭证在被包含进账本之前对攻击者是可见的。
• 对抗性调度： 攻击者可以抑制诚实事件、重排交易并无限期地审查揭示过程。
• 终局性与包含性的区别： 缺乏对临时包含（provisional inclusion）与不可篡改终局（immutable finalization）之间的区分。
• 依赖于转录的验证： 验证通常依赖于已完成的转录（transcript），而非仅仅是一个静态公钥。
• 量子态持久性： 在量子随机预言模型（QROM）中，攻击者可以在多次授权以及跨越“终局切分”（finalization cut）的过程中保留量子态，而验证器对提交事件的评估会消耗查询预算。

核心问题在于：身份验证的难度中有多少部分源于私有凭证，又有多少部分源于已完成的历史？ 特别是对于那些在承诺之后才进行凭证揭示（可重绑定揭示）的协议，安全性要求：任何高效的调度器都无法在凭证披露后，构造出适用于不同动作的新证据。

2. 方法论与框架

2.1 账本认证器与 LA-EUF

作者引入了 账本认证器（Ledger Authenticators, LA），其为一个元组 $(Setup, Init, Authorize, Judge)$，其中 Judge 算法是一个读取已完成转录的确定性公开谓词。

• 反应式授权： Authorize 算法是一个反应式协议，它可能会发出事件、读取已完成的前缀，并在确定规范动作 $\tau$ 之前更新私有状态。
• LA-EUF 实验： 一个多用户不可伪造性游戏，攻击者控制提交、包含、排序和终局调用。如果攻击者在未受损账户 $a$ 上产生了一个有效的判断 $\tau$，且该 $\tau$ 在接受步骤之前并未由诚实进程请求，则攻击者获胜。
• 安全性与活性： 该模型将安全性（即使在无限期审查下也不会发生未经授权的重定向）与完备性（进展性）分离，并在显式的活性假设下进行分析。

2.2 结构边界

论文识别了决定账本认证器安全属性的两个条件资源边界：

1. 单事件前沿（The Single Event Frontier）： 通过发出一个其有效性仅取决于注册状态和固定公开上下文的单一事件来授权动作的协议，被证明等价于上下文一次性签名（contextual one-time signatures）。如果一个协议满足特定的“单事件”条件（隔离发射、局部完备性以及能够将被审查的事件嵌入到已完成的扩展中），它就会退化为标准的一次性签名方案。
2. 可重绑定揭示的资格闭合（Eligibility Closure for Rebindable Reveals）： 对于凭证在承诺后才揭示（例如哈希原像）的协议，安全性要求具备计算性的披露后不可容许性（post-disclosure non-admissibility）。如果凭证 $s$ 被披露，构造出的用于不同动作 $\tau'$ 的新证据不应是可容许的。如果准入政策仅依赖于公开计算和账本调度，这通过在凭证披露之前在已完成状态中闭合合格证据集来实现。

2.3 账本 QROM 执行模型

作者定义了一个联合执行模型，其中：

• 量子攻击者与经典账本接口（内存池、终局化、损坏）交互。
• 账本和诚实方评估一个共同的随机预言 $H$。
• 查询计数： 模型区分了直接量子查询 ($Q_{adv}$)、验证器介导的评估 ($Q_{med}$) 和诚实方评估 ($Q_{hon}$)。至关重要的是，对攻击者输入的验证器介导评估也会计入查询预算，因为它们提供了依赖于预言的经典测试。
• 自适应完成切分（Adaptive Finalized Cuts）： 模型引入了一个“封闭的已完成切分”，其中可接受的目标集变为不可变的。量子态跨越此切分持续存在；它不是一个重置过程。

2.4 终局目标搜索引理

一个关键的技术结果是 终局目标搜索引理（Finalized Target Search Lemma）。对于大小至多为 $K$ 的目标集 $C$ 的封闭已完成切分，成功的全新目标搜索概率界限为：
$$\Pr[W] \le 3\beta_{cut}^2 + \frac{3 c_{co} K Q^2}{2^\lambda} + \frac{6\ell}{2^\lambda}$$
其中：

• $\beta_{cut}$ 解释了“坏”振幅（切分时已存在的全新开启）。
• $Q$ 是切分后的总查询预算。
• $\ell$ 是保留的已检查点数。
• $c_{co}$ 是一个通用常数。

该引理证明，如果合格目标集在披露之前是固定的（封闭的），那么攻击者的成功概率随查询量呈平方关系 ($Q^2$) 增长，并随目标集大小 ($K$) 呈线性关系增长，而不是允许通用的碰撞攻击。

3. 主要贡献

1. 定义了账本认证器与 LA-EUF： 为反应式授权协议提供了一个正式的不可伪造性实验，该实验整合了公开待处理池、对抗性调度、审查以及依赖于转录的验证。该模型表明，普通的后量子签名可以嵌入此框架，而满足单事件条件的协议则产生上下文一次性签名。
2. 隔离了闭合条件： 论文证明，对于可重绑定揭示协议，安全性要求在凭证披露之前，合格证据集必须在已完成状态中闭合。如果这种闭合没有发生，攻击者可以通过审查诚实的揭示过程，并将披露的凭证绑定到新的动作，从而实现伪造。
3. 账本 QROM 与安全界限： 规定了账本 QROM 执行模型，并提供了终局目标搜索规则的证明。该规则考虑了持久量子态并对验证器评估进行计费。它为一个 承诺-关闭-揭示 (Commit, Close, Reveal, CCR) 认证器提供了多用户生命周期安全界限。

4. 结果与实例化

作者使用一个受 Guy Fawkes 认证和 Fawkescoin 启发的哈希构造——承诺-关闭-揭示 (CCR) 认证器来实例化该框架。

• 构造： 该协议涉及对一个动作和后续头（successor head）进行承诺，等待一个“关闭”（即一个合格承诺集被冻结的已完成窗口），然后揭示秘密。
• 安全性： CCR 方案满足资格闭合条件。作者证明了 CCR 的多用户生命周期 QROM 界限：
  $$\text{Adv} \le \Delta_{PRF} + \epsilon_{fin} + \epsilon_{can} + \epsilon_{state} + \frac{c_h N_{life}(Q_{head}+1)^2}{2^{\min(\lambda_s, \lambda_h)}} + \frac{c_c K_{life} Q_1^2}{2^{\lambda_c}} + \frac{6\ell_{life}}{2^{\lambda_c}}$$
  该界限表明，只要目标集在披露前是封闭的，即使诚实的揭示被审查，安全性也能得到维持。

5. 意义与主张

本文声称为理解账本如何提供超越单纯传输层面的密码学安全提供了正式基础。

• 重构身份验证： 它认为账本认证不仅仅是签名替换，而是一种独特的原语，其中“已完成的历史”充当了一种密码学资源。
• 安全性与可移植性： 框架强调了一个权衡：账本认证器以可移植性（无需上下文即可验证）换取了由共识和终局性带来的安全性。
• 闭合的必要性： 论文指出，对于可重绑定揭示，“披露前完成终局资格闭合” 是实现安全性的必要条件。如果没有这一点，账本无法防止将披露的凭证绑定到未经授权的动作。
• QROM 现实性： 通过模拟跨越终局切分的量子态持久性并对验证器评估进行计费，本文比应用在孤立签名上的标准 QROM 模型提供了更准确的后量子账本协议安全分析。

作者明确表示，他们并不声称是第一个提出时间性补救措施的人（引用了 Guy Fawkes, Fawkescoin 等），而是致力于为完整的执行过程形式化不可伪造性游戏，证明可重绑定揭示的必要闭合定理，并提供一个考虑了账本调度和审查特有动态的生命周期 QROM 分析。