CardanoのCIP-0197がポスト量子ウォレット保護のレビューを開始

暫定的にCIP-0197のラベルが付けられた提案が、CardanoのCIPリポジトリでレビューに公開されている。Paweł Jakubas により提出されたもので、CIP-1852に基づくCardanoウォレット向けの任意選択のポスト量子保護レイヤーを概説している。

ユーザーを新たなウォレット形式へ移行させるのではなく、この設計は既存の鍵とアドレスを保持しつつ、署名者が公開鍵に結び付くシード由来の秘密を制御していることを示す証明を追加する。

CIP-0197はCardanoウォレットに新たな証明レイヤーを追加

CardanoのHDウォレットは、ルートシードからアカウント階層を生成するためにBIP32-Ed25519の導出を用いている。Ed25519は現行の計算機に対しては安全性を維持しているが、十分に強力な量子計算機であれば、Shorのアルゴリズムにより楕円曲線署名方式を理論上破る可能性がある。

Cardanoの既存の導出方式をポスト量子の代替手段に置き換えると、広範な互換性の問題が生じる。ウォレット、取引所、カストディアン、ハードウェアデバイス、マルチシグネチャアカウント、そしてガバナンス資格情報などが移行を必要とする可能性がある。

CIP-0197は、ウォレットのアカウントレベルのシードウィットネスに結び付いたゼロ知識証明を追加することを提案する。検証者は、シードそのものを知ることなく、署名者が必要な秘密を制御していることを確認できる。

この提案は、ePrint 2026/1508で記述されたZKPoSPの構成を出発点として用いる。信頼されたセットアップを必要とせず、既知の量子攻撃に耐性があると見なされる暗号学的仮定に基づいて設計された、トランスペアレントなSTARK技術を採用する方向性を優先している。

既存のCardanoアドレスは互換性を維持

アドレス互換性を維持できることが、この提案の主な実務上の利点だ。新たな署名方式への強制的な移行は、Cardanoのウォレットやサービスのインフラ全体での協調的な変更を要する。

CIP-0197は代わりに二段階の移行を説明している。

第1段階では、通常のEd25519署名はオンチェーンに残しつつ、追加の証明は台帳外で検証される。ウォレット提供者、取引所、カストディアン、インデクサーは、Cardanoのコンセンサス規則を変更せずに、システムを試験したり独自の証明要件を導入したりできる。

これにより実装に関するデータは得られるが、Cardanoの台帳がポスト量子に対して安全になるわけではない。ネットワークは依然として、有効なEd25519署名のみで承認されたトランザクションを受け入れる。

第2段階では、Cardanoノード内部でのネイティブな証明検証を導入できる。そうなれば、証明はネットワークにより強制されるトランザクションウィットネスの一部になり得る。その段階に到達するには、コンセンサスの変更、ネイティブ検証器、そしてはるかに小さな証明が必要となる。

証明サイズが依然として主な障害

基礎となる研究論文の参考値では、証明サイズは約219 KBとされている。検証には約9から10ミリ秒を要し、署名用の証明の生成には約12.5秒かかる。一度限りの導出処理にはおよそ156秒を要する。

これらの測定は、一般的なユーザーデバイスではなく、ハイエンドな16コアサーバーで記録されたものだ。また提案の著者は、専用のCardanoプロトタイプはまだ存在せず、ブラウザおよびWebAssemblyの性能も未検証であることを確認している。

証明サイズは、ネイティブな導入に対する最も明確な障壁となっている。219 KBの証明は、大幅な最適化や別の配布方法がなければ、Cardanoの現在のオンチェーンのサイズ制約内に収まらない。レビュアーは、ブロックへの影響、メモリ要件、ウォレットの性能、そしてブロック外での証明取り扱いに関する代替案について、さらなる根拠を求めている。

CIP-0197は、既存のウォレット基盤を維持しつつ将来のセキュリティ脅威に対して検証可能な具体的設計をCardanoにもたらす。しかし、現時点ではウォレットの機能を変更したり、実運用レベルのポスト量子保護を提供したりするものではない。進展は、リファレンス実装、再現可能なベンチマーク、そしてCardanoのトランザクションおよびブロックの制限内で動作可能な証明サイズに依存する。