LayerZeroは、ポスト量子暗号スキーム「Akita」をa16z cryptoのJoltプローバーに組み込み、ゼロ知識証明のサイズを最小65キロバイトまで圧縮した。
主なポイント
- Akitaは、ゼロ知識証明システム向けとしては初の本番運用レベルの格子ベース・コミットメント方式。
- a16z cryptoはJolt仮想マシンをAkita前提で作り直し、新実装を「Lattice Jolt」として公開。
- これにより証明生成は2〜3倍高速化し、プローバーのメモリ使用量も約半分に削減。
Akitaでポスト量子証明をスリム化
インターオペラビリティを手がけるLayerZeroは9月9日付のブログでAkitaを発表し、カーネギーメロン大学と南カリフォルニア大学の研究者と共同開発した「初の本番投入可能な」原始的プリミティブだと位置付けた。
Akitaが担う役割は、証明システム内部で「ある計算の履歴にコミットし、その記録が正しいことを第三者に証明する」という一点に特化している。この1要素を量子耐性のある方式に差し替えることで、スタック全体の安全性を量子対応に引き上げられる設計だ。残りの構成要素は既存の安全性前提で十分とされている。
Jolt側のその他のコンポーネントは基本的に据え置かれた。
a16z cryptoは、オープンソースのゼロ知識VMであるJoltにAkitaを組み込み、従来利用していた楕円曲線ベースの「Dory」を置き換えた新バージョンを「Lattice Jolt」として公開した。これにより、証明サイズは200キロバイト以上が一般的だったハッシュベースのポスト量子方式と比べて65〜80キロバイトに縮小し、2〜8分の1まで圧縮された格好だ。
Lattice Joltのコードはオープンソースで公開されており、Jolt自体はLayerZeroがメインネット稼働を目指して開発しているブロックチェーン「Zero」の基盤技術として採用されている。
関連記事: イーサリアム、ETF資金流入2.16億ドルで2,800ドルに供給の壁
a16z cryptoが「格子数学」を選んだ理由
ベンチャー企業a16z cryptoのJustin Thaler氏ら4人の研究者は、寄稿の中で、格子ベースの前提は速度とサイズの両面でハッシュベース設計を上回り、ハッシュ方式も見えにくい前提条件を抱えていると指摘した。Akitaの安全性は、すでにNISTがポスト量子署名・鍵交換の標準として採用したModule-SIS問題に依拠している。
楕円曲線方式を採用していた従来のJoltは256ビット幅の有限体上で動作する必要があった。一方、格子暗号では同等の安全性を約半分のビット幅で確保できるため、乗算を繰り返す証明計算の多くを軽量化できる。
この切り替えにより、Lattice Joltは一般的なノートPC環境で1秒あたり約200万サイクルを処理できるようになった。従来の約100万サイクルから倍増した計算性能だ。AppleのGPUアクセラレーションを有効化すると、処理能力は1,000万サイクル超に達する。
メモリ効率も改善し、サイクル当たりのメモリ消費は約300バイトから200バイトへと3分の2に縮小した。
もっとも、現行のLattice Joltは「完全なゼロ知識性」をまだ満たしておらず、トランザクション秘匿などプライバシー用途で求められる要件の一部は今後の課題として残る。
暗号業界が追う「2029年量子デッドライン」
Ethereum (ETH)の開発者コミュニティは今月、2029年12月までに量子耐性を備えたベースレイヤーを整備するという目標を正式に掲げた。これは、すでにGoogle、Cloudflare、Microsoftといった大手テック企業が打ち出している移行タイムラインに歩調を合わせたものだ。
同じ週には、Coinbaseがスタンフォード大学に開発者、カストディ事業者、ハードウェアウォレットの専門家らを招集し、Bitcoin (BTC)向けの署名方式の選択肢を議論した。が、このクローズドセッションは、どの方式を軸に据えるかについてコンセンサスを得ないまま終了している。ビットコイン側には依然として正式な移行ロードマップが存在せず、その間に証明システムやインフラ層が先行して量子対応を進めている格好だ。
