Loading...
この記事は、ZK、FHE、MPC、TEE、分散型アイデンティティといったプライバシー保護計算を扱う独立系出版物 Proof Street から転載したものです。元記事は、2026年8月12日に "Confidentiality compared: what four privacy architectures promise" として公開されました。Zcash Community Grant #339 の一環として、著者の許可を得て転載しています。著者は Stephen Webber。
7月下旬、Zama は Ethereum メインネット上で 機密スワップの取引基盤 を稼働させました。9月の一般公開に先立つプライベートベータ段階にあり、トレーダーは数量、許容スリッページ、取引方向を隠したまま、暗号化されたインテントを送信できます。
これを実現するために、小さな振り付けのような仕組みに依存しています。トレーダーは2つの confidential transfer を入金します。ひとつは実際の資産を運び、もうひとつは反対側のレッグについて数量をゼロにしたものです。これにより観測者には、隠された数量の双方向の動きが見えるだけで、買いか売りかを判別できません。ホワイトリスト登録されたマーケットメーカーはインテントを復号し、数量は見えるが方向は見えない状態で、両サイドの価格を提示します。封印入札オークションがオンチェーンで決済され、勝ったメーカーだけが取引がどちら向きに動いたかを知ります。最終的な結果は、公開チェーン上で大口のスワップが実行されながら、取引の外側にいる単一の当事者は誰一人として全体像を組み立てられない、というものです。
Zama はこの製品をエンドツーエンドで機密性があると説明していますが、その機密性とは実際には何を意味するのでしょうか。ここでの機密性には、一連の行為全体にわたる機密性が必要です。つまり、公開にはひとつの見え方があり、落札しなかった入札者たちはそれより多くを見ます。なぜなら見積もりのために取引数量を復号しているからです。そして勝った入札者はさらに多くを見ます。単純化して言えば、この一連の各段階がそのようになっているのは、誰が何をいつ知る必要があるかについて、誰かが決定を下したからです。機密性を「誰も何も見ない」と要約できれば都合がよいのですが、実際には何も機能しません。機密性は構造化されていなければならず、順序に従わなければなりません。
興味深いのは、そのローンチのおよそ10年前、Zcash が公開ブロックチェーン上で最初の機密決済レイヤーを実現していたことです。ゼロ知識証明を用いて、取引が有効であることを全員に証明しながら、送信者、受信者、金額を隠しました。その後の10年で、「機密」という形容詞は少なくとも4つの異なる技術ファミリーを指すようになりました。shielded transactions、fully homomorphic encryption、multi-party computation、trusted execution environments です。今ではこの4つすべてのファミリーの製品が本番環境で動いており、そのうちいくつかは同じチェーン上でも稼働しています。では、その中身は何なのでしょうか。
この4つのファミリーは、4つの異なる問題に対してそれぞれ異なる、時には重なり合う答えを提供します。そして今や、どの答えも製品としてパッケージ化されて届くので、本当の課題は、自分が実際にどの問題を抱えているのかを見極めることです。
機密性に関するどんな主張も、飾りを取り払ってしまえば、4つの問いに答えなければなりません。何のデータが隠されるのか。誰から隠されるのか。そのデータのライフサイクルのどの段階で隠されるのか。そして、その保証を維持するために何を信頼しなければならないのか。
例として、このスワップ取引基盤を考えてみましょう。数量、方向、スリッページを隠さなければなりません。では、なぜ資産ペアは隠さないのでしょうか。Zama によれば、将来版ではそれも秘匿する予定です。誰から隠すのかについては、公開とフロントランニング bot からは完全に、価格提示を行うマーケットメーカーからは部分的に、そして勝ったメーカーからは最も少なく隠します。どの段階でかというと、価格提示とオークションの間は隠され、決済時には意図された開示が行われます。そして、誰を信頼する必要があるのかについては、その保証は FHE 自体、スマートコントラクト、そしてしきい値型の鍵管理システムに依拠しています。このシステムの運用者は、しきい値を超えて共謀してはなりません。litepaper によれば、単一の当事者が復号鍵にアクセスすることは決してありません。
これは、戦略を放送せずに大口取引を実行するための設計です。マーケットメーカーが数量を見るのは、それなしでは見積価格を付けられないからです。勝者が方向を知るのは、まあ、決済にそれが必要だからです。
この例が示しているのは、何かが機密であるかないかの二値に聞こえる主張が、実際には「何を除外するか」のスケジュールに分解されるということです。同じように聞こえる主張に到達する道筋は、大きく異なり得ます。
shielded な Zcash トランザクションは、送信者、受信者、金額を隠します。公開されたまま残るのは証明です。これはゼロ知識証明であり、ノードを動かしている誰でも検証でき、その隠された取引がルールに従っていることを示します。shielded な資金は暗号化されたノートとして存在し、それぞれが金額とその所有者についてのプライベートな記録であり、チェーン上には暗号学的コミットメントとしてのみ現れます。ノートを使う際には nullifier が公開されます。これは、どのノートであったかを明かさずに、同じノートが二重に使われることを防ぐ値です。これはつまり、ネットワークがどの資金が動いたのかを知ることなく二重支出を拒否できることを意味し、その結果、支出はある取引と別の取引を結びつける痕跡を残しません。証明の役割は、支出者がそのノートを所有していたこと、取引の値が釣り合っていること、そして ZEC が新たに作られたり失われたりしていないことを、関係する数量を一切開示せずに確立することです。
この設計の際立った特性は、何を信頼しなければならないかを考えたときに最も明確に現れます。shielded トランザクションを復号できる委員会は存在せず、共謀のしきい値が問題になる運用者集合もなく、証明書を信じなければならないハードウェアベンダーもいません。信頼基盤に残るのは、数学と、ルールをエンコードした回路の正しさです。脅威モデルにインフラ自体、圧力をかけられ得る運用者、侵害され得るベンダーが含まれる人にとっては、この短い一覧そのものが製品です。
実際、この信頼基盤はつい最近、本番環境で試されました。5月29日、Shielded Labs の監査を行っていたセキュリティ研究者 Taylor Hornby が、Orchard プールの証明回路に健全性の欠陥を発見しました。この欠陥は2022年のプール立ち上げ以来存在しており、Shielded Labs の開示によれば、オンチェーン上に痕跡を残すことなく Orchard 内で無制限の偽造 ZEC を発行できた可能性がありました。
緊急修正は5日で出荷されました。Orchard は6月2日に停止し、その後6月3日に修正済み回路で復旧しました。ZODL の remediation post では、影響を Shielded Labs よりも限定的に描写し、偽造供給ではなくプール内での二重支出のリスクとして説明し、ユーザーのプライバシーと総供給上限には影響がなかったと報告しました。
検証可能性の再構築はその後に出荷されました。Ironwood は 7月28日に NU6.3 として有効化され、Orchard プールを恒久的に封印し、修正済み回路上に新しいプールを開設しました。これは独立監査と形式検証作業に支えられており、さらに、検証可能に流入した 金額を上限として出金を制限する turnstile を通じて、退出するすべての資金をルーティングします。これにより、誰の取引も見ずに、すべてのユーザーが流通供給量を独立して確認する能力を回復しました。この一件は、信頼基盤の台帳が実際に機能していることを示しています。回路の正しさが失敗したとき、救済は委員会の裁量ではなく、数学と移行でした。そして影響範囲は、そのアーキテクチャが何年も前にプール境界に組み込んでいた監査可能性によって限定されました。
この最小限の信頼基盤によって shielding が得るものは、意図的に狭く定められています。隠された状態は、ある当事者から別の当事者へと移動する価値、つまり支払いです。複数当事者がその上で計算する共有暗号化状態はなく、機密コントラクトロジックも、暗号化されたオーダーブックもありません。
FHE は ciphertext 上で計算を実行できます。Zama のプロトコル、つまり現在 Ethereum 上で稼働しているバージョンでは、残高と送金額はドラフトの ERC-7984 standard のもとで暗号化ハンドルとしてチェーン上に存在し、coprocessor がオフチェーンで暗号化された算術を実行し、復号には独立した鍵管理運用者の定足数が必要です。メインネット立ち上げ時には13組織で、評判と運用上の利害を基準に選ばれており、単一の当事者がデータを読めないようになっています。これによって初めて、暗号化オーダーブックや機密レンディングプールが可能になります。つまり、多数の当事者の隠された状態が、共有コントラクトロジックの内部で合成されるのです。
では、鍵管理委員会についてはどうでしょうか。誰かが復号できなければ、データは使えません。この設計の答えは、その「誰か」を単独のカストディアンではなく、独立運用者のしきい値にすることです。そして、どの値を誰が復号できるかを、コントラクト自体に書き込まれたアクセス制御によって統治します。これは監査人のような指定当事者にも拡張可能であり、その委任メカニズムがコンプライアンスに持つ含意は、この連載の次回で扱うべき話題です。ソリューションを評価する人にとっての問いは、その委員会の構成、インセンティブ、しきい値が、自分の脅威モデルに合っているかどうかです。
multi-party computation は、独立したノードに分散された share にデータを分割し、どのノードも入力を復元することなく共同で結果を計算します。COTI ネットワーク上の本番環境で、暗号化された値に対して EVM 互換のコントラクトロジックを実行する garbled-circuit virtual machine を提供する Soda Labs の共同創業者兼 CEO、Avishay Yanai は、本番環境における優れた MPC 設計とは、観測者、計算を実行するノード、ベンダーのいずれであっても、単一の当事者が平文入力や中間状態を見ることが決してなく、誰もが開示ポリシーによって許されたものだけを見るようにすることだと説明しています。その保証は非共謀のみに依存し、これはたとえば運用者を別々の法域、別々のクラウド、独立した監査のもとに置き、共謀には法的責任を伴わせるなど、エンジニアリングや契約によって対応できる前提です。ここでの暗号技術の役割は、彼の言葉を借りれば、信頼を完全に取り除くことではなく、クリアリングハウスに対して機関が置く信頼と同等の水準に到達するための「劇的な信頼削減」です。しきい値を超えた共謀はプライバシーを破りますが、正しさは破りません。というのも、公開監査可能性を備えた設計では、外部バリデータが計算に参加しなくても、報告された結果が正しいことを検証できるからです。
注意点は、そうした観測者であっても、トランザクションが起こったこと、いつ起こったか、どのコントラクトに対してだったか、誰が送信したか、さらにバッチサイズや手数料は分かる、ということです。参加するノードは、どの関数が実行されたかや、そのスループットのパターンを知り得ます。タイミング相関も別の考慮事項であり、金額が漏れなくても活動レベルが漏れる可能性があります。そして、アプリケーションが平文で出力するものは何であれ、小さな開示が繰り返されれば、それを探している当事者にとって潜在的なパターンへと育つ可能性があります。彼はこれを「約束の境界」だと明確にし、評価者はベンダーにその境界を明示させるべきだと言います。たとえば侵害されたクライアントが平文を送信してしまうことは、どんな計算モデルでも修復できません。プロトコルは与えられたものに対して忠実に計算するだけです。誰が誰と通信するかはトランスポートの問題であり、コンプライアンスはメカニズムではなくポリシーです。「その判断をあなたに代わって行う暗号技術はありません」。
garbled-circuit 設計は一定ラウンド数で動作し、重い暗号学的素材は入力が存在する前に事前計算されます。これが、各演算ごとにネットワーク往復を要する secret-sharing プロトコルに比べて、トランザクションレートの高いワークロードを実現可能にしている理由です。また Yanai によれば、ある種の MPC ファミリーが値は保護しても計算の事実までは保護しないのに対し、garbled-circuit 設計は相手方アドレスや資産タイプにまでカバーを広げられます。ただし、この比較においてこのファミリーの最も重要な性質は、MPC がそれ自体でひとつのアーキテクチャであると同時に、他のファミリーの内部にも成分として存在することです。FHE 展開におけるしきい値鍵委員会そのものが multi-party computation なのです。Yanai の枠組みで言えば、評価者の問いは「私の委員会は何をしていて、その上に私は何のコストを払っているのか」です。どのみち委員会が必要なら、計算そのものを MPC で行うことで、高価な外側のレイヤーを取り除けるかもしれません。
同じ略語で語られる、非常に異なる2種類の製品があることは明確にしておく価値があります。Custody MPC は署名鍵を複数の当事者に分割し、そのうちの誰も単独では署名できないようにします。保護する秘密は1つであり、関与する共同計算は単一の固定操作、つまり署名生成です。Compute MPC は、全体を通して隠されたままのデータに対して一般的なプログラムロジックを実行し、複数当事者の入力、任意のコントラクトロジック、継続的な運用を含みます。両者に共通しているのは数学です。しかし運用面では、ひとつは鍵管理に使われ、もうひとつは機密実行環境として使われます。
TEE はプロセッサのハードウェア隔離領域であり、メモリ内のデータを暗号化されたまま保ち、オペレーティングシステム、ハイパーバイザー、マシンの運用者から保護します。さらに remote attestation によって、外部の当事者がその内部でどのコードが動いているかを検証できます。この設計が手に入れるのは、暗号学的ファミリーが大きなコストを払って得る2つのもの、すなわち汎用性と速度です。enclave は通常のプログラムを、ほぼ通常のコストで実行します。これが、主要クラウドの機密計算サービスの多くと、増え続けるチェーンインフラの基盤が TEE である理由です。
信頼基盤こそがトレードオフです。というのも、その保証はハードウェアベンダーの設計とサプライチェーン、attestation インフラ、そして enclave がサイドチャネル抽出にどれだけ耐えられるかにしか依存できないからです。サイドチャネル抽出は、長年にわたる公開された攻撃史を持つ攻撃クラスです。TEE の設計者たちは、この台帳を批判者以上によく理解しています。このアーキテクチャを選ぶということは、ハードウェアへの信頼と attestation が、現実のワークロードを現実の速度で動かすための適切な代償だと熟慮のうえで賭けることを意味します。そして多くのデプロイメントにとって、それは実際に妥当なのです。
shielded Zcash は、この機密取引基盤のユースケースに使えるでしょうか。いいえ。しかしそれは欠点ではありません。RFQ 取引基盤とは、コントラクトロジックの下にある共有暗号化状態であり、複数当事者の隠されたインテントが、盲目的に実行されるオークションの中で合成されるものです。これは、共有プライベート状態が頻繁な相互作用のもとにあるもの、たとえばオーダーブックやネッティングサイクルのようなものに対して、MPC のほうがより適しています。shielding にはそのための基盤がありません。その隠された状態は2者間の支払いです。取引基盤そのものには FHE または MPC が適しており、また Zama がそれを構築したとき、そこで提供される機密性が、ホワイトリスト化され特定されたマーケットメーカーに対する開示スケジュールであることに注目する価値があります。これは機関投資家取引には必要なことです。しかしそれは、shielded transaction が提供するもの、すなわちホワイトリストもなく、最終的にあなたの方向を知る当事者もいない機密性とは別の製品です。
では、企業間支払いや給与支払いはどうでしょうか。これは今やあらゆる FHE と MPC ベンダーが狙っている市場であり、まさに shielding が構築された問題です。金額は隠され、相手方は隠され、有効性は公開されます。原理的には、shielded chain は利用可能な中で最も強い信頼基盤の答えです。委員会も、ベンダーも、運用者集合もありません。実務上は、企業向け支払い市場はレール、ERC-20 統合、既存のカストディアン、既存のコンプライアンスツール、stablecoin 建てによって勝敗が決まりつつあり、shielded Zcash は別のチェーン上の別の資産を提供しています。しかし問題の形という観点では非常に適合しており、あとは統合を待っているだけです。暗号技術としては実現可能なので、実際上の懸念は周辺スタックが何と接続するかにあります。
また、他の3つのファミリーが提供し、shielding が提供しないものにも目を向ける価値があります。それは、強制に服し得る当事者です。しきい値委員会は裁判所命令を受け取り得ますし、enclave ベンダーはその署名鍵について召喚され得ますし、運用者集合には法域があります。コンプライアンスへの経路を必要とする機関にとっては、その委員会こそが製品かもしれません。しかし別の立場から見れば、それは脆弱性でもあります。
ここまで見てきた事例を改めて眺めると、重なり合う景色が見えてきます。ほとんどの FHE デプロイメントは、その下層に復号レイヤーとしてしきい値 MPC を持っています。ゼロ知識証明は、FHE が消費する前に暗号化入力を認証し、また garbled-circuit システムでは事後にもそれを認証できるため、ユーザーに強制退出手段を与えられます。これはネットワークの可用性に依存せず、rollup アーキテクチャから借用された実践です。TEE は多層防御として MPC ノード内部に現れ、Zama の鍵管理ノードは計算の持ち分をハードウェア enclave 内で実行しており、TEE はその最終保証が暗号学的であるシステムの prover や builder をますますホストするようになっています。5年後に書かれる比較では、その継ぎ目を見つけるのが難しくなっているかもしれません。しかし、構成は一方向にしか進みません。
だからこそ、評価者の問いの持続的な形は、そもそも「どの技術か」ではありません。見るべきなのは、その機密性がどのような順序で構成されているか、何が除外されているか、そしてその除外を何が強制しているかです。それが数学と回路の正しさなのか、委員会の非共謀なのか、誠実なノードのしきい値なのか、あるいはベンダーのシリコンなのか。どんな機密性の主張でも、何が、誰から、いつまで、そして誰の言葉に基づいて隠されるのかを問うて読めば、見えてきます。
開示: この記事は Zcash Community Grant の支援を受けています。ZCG は公開前にこの記事を査読または承認していません。Proof Street の資金提供に関するコミットメントは funding page に掲載されています。
関連ページ: Shielded Pools (Using_Zcash) · Viewing Keys · Start_Here の「誰が何を見られるか」ページ — 正確な wiki パスに差し替え予定