ヴィタリック、再帰STARK活用の「EIP8288」解説。イーサリアム量子耐性署名の低コスト化へ

ヴィタリック、EIP-8288の「I-star」導入に期待

イーサリアム（Ethereum）共同創設者のヴィタリック・ブテリン（Vitalik Buterin）氏が、量子耐性署名や暗号学的証明を効率的に処理するための改善提案「EIP-8288」について、自身のXアカウントで9月10日に解説した。ブテリン氏は同提案について、ヘゴタ（Hegotá）の次のフォークとなる「I-star」への導入を希望していると述べた。

EIP-8288は、ブテリン氏とトーマス・コラトガー（Thomas Coratger）氏が今年6月3日に作成したEIPで、現在はドラフト段階にある。同提案は、トランザクションごとに必要となる量子耐性署名やSTARKなどを個別に処理するのではなく、複数まとめて検証できるようにするものだ。

この仕組みに使われるのが「再帰STARK」だ。STARKは、ある計算が正しく行われたことを、その計算をすべてやり直さずに確認するための暗号学的証明技術だ。一方、再帰STARKでは、複数の署名やSTARKの正しさを1つのSTARKとしてまとめて証明できる。これにより、多数の署名や証明を個別に検証する必要がなくなる。

EIP-8288は、イーサリアムのトランザクションを複数の処理単位に分ける改善提案「フレームトランザクション（Frame Transaction：EIP-8141）」を拡張する提案だ。現在のイーサリアムでは、トランザクションの認証方法がその形式と強く結びついている。EIP-8141では、認証やガス支払い、実行などを「フレーム」と呼ばれる単位に分離する。これにより、認証部分に利用する仕組みを柔軟に変更できるようになる。

この設計によって、現在の署名方式だけに依存せず、新たな署名方式を利用しやすくなる。EIP-8141では、現在の楕円曲線暗号を利用した認証方式から、量子耐性を持つ方式への移行経路を提供することも目的の1つに挙げられている。

EIP-8141は、ヘゴタへの導入に向け「SFI（Scheduled for Inclusion）」に指定されている。またイーサリアム財団（Ethereum Foundation：EF）のプロトコル部門は、ヘゴタに向けたEIPの優先順位評価でEIP-8141を「Must ship（必ず実装すべき）」に位置付けている。ブテリン氏は今回、EIP-8288を「Framesの次のステップ」と説明し、その次のI-starへの導入を希望している。なおEIP-8288は現在もドラフト段階で、I-starへの導入は決定していない。

量子耐性化で課題となるコスト、再帰STARKで集約へ

イーサリアムでは、量子コンピュータの発展を見据えた量子耐性化に向けた研究が進められている。将来、十分な性能を持つ量子コンピュータが実現すると、現在トランザクションの認証に使われている楕円曲線ベースの署名方式が破られる可能性があるためだ。

今年6月には、EF研究者のニコラ・コンシニー（Nicolas Consigny）氏が、既存のEVMで検証できる量子耐性署名方式「スフィンクスマイナス（SPHINCS-）」を提案した。またブテリン氏は8月、イーサリアムL1の開発方針について量子安全性の優先順位が従来より高まったと説明した。具体的な取り組みとして、量子耐性署名方式「リーンスフィンクス（leanSPHINCS）」の集約などを挙げていた。

EFプロトコル部門は、2029年12月までにイーサリアムL1の実行、コンセンサス、データの3レイヤーすべてで量子耐性を確保することを目標としている。

一方、量子耐性を持つ署名やSTARKは、データ量と検証コストの大きさが課題となる。EIP-8288によると、ハッシュベースの量子耐性署名は約2〜3kBのデータを必要とし、検証には約150,000〜200,000ガスがかかる。またSTARKは128kBを超え、生成速度を重視した場合は512kB程度になり、オンチェーンでの検証には数百万ガスが必要になる。

EIP-8288は、こうした署名や証明を個々にオンチェーンで検証するのではなく、それらの正しさをブロックに取り込まれる前のメンプールで再帰STARKへ集約する。メンプールは、送信されたトランザクションがブロックに取り込まれるまで、ネットワーク上で一時的に保持される場所だ。

具体的には、トランザクションに署名やSTARKそのものを直接含める代わりに、「このメッセージが特定の公開鍵で署名されている」といった、成立に必要な条件を依存関係として記録する。実際の署名や証明はトランザクションとともにメンプールへ送られる。各ノードは、複数の依存関係が正しいことを示す再帰STARKを生成する。

ブロックビルダーは、実際にブロックへ含めるトランザクションの依存関係を対象に再帰STARKを生成し、ブロックヘッダーへ追加する。このため、個々の大容量な署名や証明をブロックへ直接含める必要がなくなる。ブテリン氏によると、オンチェーンで必要となる追加データは1つのSTARKと、証明する条件ごとに96バイトになる。

ブテリン氏は、この設計の核心について、記録管理に必要な「ビジネスロジック」以外の計算やデータをイーサリアムの実行における中核経路から外すことだと説明した。こうした処理をメンプール側へ移し、分散・並列化する考えだ。

量子耐性やプライバシーを低コスト化、RISC-Vにも言及

ブテリン氏はEIP-8288の用途として、量子耐性署名の低コスト化を挙げた。同氏はスフィンクスマイナスについて、約3kBの署名データをオンチェーンへ載せる必要がなくなることが、大幅なコスト削減につながると説明している。

ブテリン氏は、量子耐性を持つプライバシープロトコルへの活用も挙げた。同氏の試算では、プライベートトランザクションは現在、非常に効率的に設計した場合でも最低約300,000ガスが必要で、量子耐性を持たせると約1,000万ガスに達する。EIP-8288を利用すれば、これを数万ガス程度まで削減できるとのことだ。

さらにブテリン氏は、新たな署名方式や証明方式を利用するたびにEVMを変更する必要がなくなる可能性を挙げた。同氏はファルコン（Falcon）やML-DSAなどについても、その署名の検証が正しいことをクライアント側でSTARKによって証明すれば、EIP-8288の仕組みを通じて利用できると説明している。

このほかブテリン氏は、アカウントの認証ロジックなどを非公開にできる「プライベートなアカウント抽象化」への活用も挙げた。アカウントやDeFiポジションなど複数のオンチェーン状態の所有権を1つのトランザクションで変更しながら、どの対象を変更したかを公開しない仕組みを構築できるとのことだ。

ブテリン氏は、こうした構想を以前から「ザ・プルーフ・シンギュラリティ（The Proof Singularity：証明の特異点）」と呼んでいる。同氏は現在、実装に必要な要素が揃っていると説明した。一方、実現には再帰STARKが証明する内容を共通の形式で扱うためのISA（命令セットアーキテクチャ）を決める必要がある。

ISAは、コンピュータが扱う命令体系を定める共通ルールだ。ブテリン氏は現在の有力候補としてリスクファイブ（RISC-V）を挙げた。同氏はRISC-Vなどをイーサリアムの標準的なISAとして採用することについて、大きな決定であり慎重に判断すべきだと説明した。そのうえで、イーサリアムを前進させるために必要になるとの考えを示した。

 

参考：EIP 
画像：PIXTA

関連ニュース

参照元：ニュース – あたらしい経済

コメント

タイトルとURLをコピーしました