Fiat Crypto

Fiat Cryptoとは？

Fiat Cryptoは、Fiat-CryptoまたはFiat Cryptographyとも表記されるオープンソースのシステムで、効率的かつ形式的に検証された暗号計算コードを生成します。

高水準の数学的記述を、機械検証可能な正当性証明を備えた低水準の実装に変換することを目的としています。

主に、楕円曲線暗号、デジタル署名、鍵交換、認証、その他の暗号システムで使用される算術演算を扱います。

ブロックチェーンのトランザクションはデジタル署名によって承認され、有限体上の数学的演算を用いて検証されるため、暗号資産ソフトウェアはこの種の算術演算に大きく依存しています。

Fiat Cryptoは、暗号資産、トークン、ブロックチェーン、ステーブルコイン、ウォレット、取引プラットフォーム、法定通貨担保型デジタル資産ではありません。

名称に含まれる「fiat」は、政府発行通貨という意味ではなく、仕様からソフトウェアを導出するというプログラミング言語上の意味で使われています。

公式のFiat-Cryptoリポジトリでは、暗号プリミティブ向けの正当性が構成段階で保証されたコードを合成するシステムとして説明されています。

このプロジェクトは、マサチューセッツ工科大学（MIT）のProgramming Languages and Verificationグループに関連する研究を通じて開発されました。

中心的な目標は、セキュリティ上重要な暗号ソフトウェアで、見つけにくい算術演算のミスが発生するリスクを低減することです。

暗号計算が難しい理由

多くの暗号アルゴリズムは数式で表すのは簡単ですが、実際のコンピュータプロセッサ上で効率的に実装するのは困難です。

数学的な仕様では、数百ビットの整数を扱うことがあります。

一般的なプロセッサは通常、32ビットや64ビットのマシンワードなど、より小さな固定サイズの値を処理します。

開発者は大きな数を複数の小さな部分に分割し、繰り上がり、借り、乗算結果、剰余演算を慎重に管理しなければなりません。

繰り上がり処理の誤りや剰余演算の抜けが1つあるだけで、誤った署名が生成されたり、有効なトランザクションが拒否されたり、無効な値が受け入れられたり、秘密情報が漏えいしたりする可能性があります。

最速の実装は、多くの場合、低水準の算術演算を長く連ねて記述されています。

こうした処理は、人間によるレビューや完全なテストが難しい場合があります。

従来のテストでは、選択した入力に対してコードが正しく動作することを確認できます。

しかし、考え得るすべての有効な入力に対して実装が機能することまでは証明できません。

Fiat Cryptoは、数学的仕様からコードを生成すると同時に、生成された算術演算が仕様に従っていることを示す機械検証可能な証拠を作成し、この課題に対処します。

構成による正しさとは？

構成による正しさとは、ソフトウェアを作成するプロセスに正しさを組み込むことです。

開発者は、目的の演算を数学的に記述するところから始めます。

システムは、その記述を、証明済みのコンパイルおよび最適化の手順を通じて変換します。

検証された各手順では、元の演算の意味が保たれます。

そのため、最終的な算術ルーチンは形式証明を通じて高水準の仕様と結び付けられています。

この方法は、最適化コードを手作業で記述してから正しさを証明しようとする方法とは異なります。

また、新しい素数剰余やプロセッサのワードサイズに対応する際に、反復的な証明作業を減らせる可能性があります。

研究論文Simple High-Level Code for Cryptographic Arithmeticでは、短い高水準プログラムと、機械検証可能な機能的正しさの証明を用いるプロジェクトの手法が説明されています。

形式検証とは？

形式検証では、数学的論理を用いて、ソフトウェアが明確に定義された性質を満たすことを証明します。

証明支援系は、信頼できる少数の論理規則に従って各証明を検査します。

Fiat Cryptoは、仕様、証明、コンパイラの構成要素、コード生成プロセスにCoq証明支援系を使用します。

Coqを使うと、開発者は数学的対象を定義し、プログラムを記述し、定理を述べ、システムが機械的に検査する証明を構築できます。

証明の成立は、テストケースを多数実行した結果だけに依存しません。

形式仕様と前提条件の対象となるすべての入力について、証明された性質が成り立つことを示します。

形式検証は、暗号資産アプリケーション全体について想定し得るすべての性質を証明するものではありません。

検証済みモデル内で開発者が定義した特定の命題を証明するものです。

Fiat Cryptoの仕組み

Fiat Cryptoは、モジュラー算術の高水準な記述から始まります。

開発者は、素数剰余、プロセッサのワードサイズ、リムの構成、実装戦略、生成対象の演算などの情報を指定します。

システムはCoq内で算術演算を表現します。

次に、式の簡約、安全な数値範囲の計算、不要な演算の除去、マシンワード算術への段階的な変換を行う、検証済みの変換を適用します。

変換後のプログラムは、直線的なC風の内部表現になります。

バックエンドがその表現を、対象のプログラミング言語または別の検証済み中間言語に変換します。

生成される関数には、加算、減算、乗算、平方、繰り上がり処理、条件付き選択、バイト変換などが含まれる場合があります。

生成されたコードは、適切なレビュー、統合、コンパイル、テストを経て、より大規模な暗号ライブラリに組み込むことができます。

モジュラー算術とは？

モジュラー算術では、剰余が同じ数を等価とみなして計算します。

簡単な例として時計が挙げられます。12時間表示の時計では、13:00と1:00は同じ位置を表します。

暗号で用いるモジュラー算術では、はるかに大きな剰余、しばしば大きな素数を使用します。

剰余を17とする計算を考えてみましょう。

20から17を引くと3になるため、20は3と等価です。

この計算は

と表せます。

楕円曲線システムでは、大きな素数を剰余とする加算、減算、乗算、平方、逆元計算が繰り返し行われます。

Fiat Cryptoは、選択された剰余に合わせてこれらの演算を特化させます。

有限体とは？

有限体とは、加算、減算、乗算、除算が明確に定義された有限個の値の集合です。

暗号システムでは、一般に大きな素数を剰余とする整数に基づく体が用いられます。

値は0から、その素数より1小さい値までの範囲です。

0以外のすべての値には、体内に乗法逆元があります。

楕円曲線の点は、有限体上で算術演算を行う座標を用いて定義されます。

そのため、デジタル署名や鍵合意のシステムは、正しい有限体演算に依存しています。

Fiat Cryptoは主に、この体演算を実行する低水準のルーチンの生成を支援します。

リムとは？

リムとは、大きな整数を構成するマシンサイズの部分のことです。

256ビットの体要素は、64ビットのリム4つで表現できます。

別の実装では、約51ビットのリムを5つ使う場合があります。

各リムに未使用ビットを残しておくと、繰り上がりや中間結果のための余地を確保できます。

最適なリム構成は、剰余、プロセッサ、乗算命令、剰余削減戦略、求める性能によって異なります。

範囲を誤って設定すると、中間結果がマシン型の範囲を超える可能性があります。

Fiat Cryptoは、生成されたルーチン内で算術値が処理される際の範囲を計算し、証明します。

剰余削減とは？

剰余削減とは、大きな中間数を、想定される剰余範囲内の等価な値に変換することです。

256ビットの値を2つ乗算すると、最大512ビットを要する中間値が生じることがあります。

実装では、その値を選択された素数で剰余削減する必要があります。

一般的な除算演算は低速になる場合があり、タイミング特性も適切でないことがあります。

そのため暗号実装では、剰余の構造に基づく専用の削減方法が用いられます。

Fiat Cryptoは、効率的な剰余削減コードを生成するための複数の実装戦略に対応しています。

対応する算術演算戦略

飽和Solinas算術

飽和表現では、リムが利用可能なマシンワードの範囲の大部分または全体を使用します。

Solinas方式の算術演算は、2のべき乗と少数の追加項で表現できる素数を活用します。

この構造により、一般的な除算よりも高速に剰余削減できる場合があります。

非飽和Solinas算術

非飽和表現では、各リムの上位部分に未使用ビットを残します。

この余裕により、完全な繰り上がり処理や剰余削減を行う前に、複数の算術演算を実行できます。

Curve25519の体演算では、64ビットマシン上で約51ビットのリムを5つ使うのが一般的です。

ワード単位のMontgomery算術

Montgomery算術では、剰余による通常の除算を行わずにモジュラー乗算できる特殊な領域で値を表現します。

ワード単位のMontgomery剰余削減では、結果をマシンサイズの部分ごとに処理します。

この方法は、都合のよいSolinas形式を持たない一般的な奇数剰余にも対応できます。

Dettman乗算

Dettman方式の乗算は、特定の素数体表現における効率的な算術演算に関連する実装技法です。

剰余とリムの構成を活用できるように、乗算と剰余削減を組み立てます。

Solinas剰余削減

Solinas剰余削減は、2のべき乗と選択された素数との特殊な関係を利用します。

その関係を使って、中間数の上位部分を下位の位置に折り返すことができます。

基数変換

基数変換では、体の値をリムに分割する方法を変更します。

暗号システムの2つの部分が異なる内部表現を使う場合に必要となることがあります。

現在のリポジトリでは、統一された

コード生成インターフェースを通じて、これらの戦略が文書化されています。

Fiat Cryptoで生成できる演算

Fiat Cryptoは、モジュラー加算および減算のルーチンを生成できます。

乗算および平方のルーチンも生成できます。

値を許容範囲に収めるための繰り上がり処理や剰余削減の関数も生成できます。

否定や、選択した定数との乗算も生成できます。

秘密値に依存する通常の分岐を避けるよう設計された条件付き選択関数も生成できます。

内部リムと標準化されたバイト列の間で変換する関数も生成できます。

利用できる関数は、選択した戦略やコマンドラインオプションによって異なります。

署名や鍵交換の完全な実装には、これらの体演算ルーチンに加えて、群演算、ハッシュ、ノンス生成、プロトコル検証、アプリケーションロジックが必要です。

Fiat Cryptoが対応する暗号用素数

Fiat Cryptoは、1つの固定曲線だけでなく、多くの素数剰余に対応する算術演算を生成するよう設計されています。

公式リポジトリには、Curve25519系の暗号で使われる素数

の生成例が含まれています。

NIST P-256の体に用いる素数の例も含まれています。

コードベースには、主要なブロックチェーン署名システムで使われるsecp256k1の体に関連するサポートと証明の作業も含まれています。

Bedrock2の生成例には、Poly1305認証で使われる素数

も含まれています。

ある体の素数に対応していても、その体を使うすべてのプロトコルが完全に実装されるわけではありません。

開発者は、生成された算術演算を、正しく実装された点演算、署名、ハッシュ、シリアライズ、検証、鍵管理と統合する必要があります。

secp256k1がFiat Cryptoに関連する理由

secp256k1は、複数の主要な暗号資産プロトコルで使われる楕円曲線です。

ウォレットはsecp256k1の秘密鍵を使って、ブロックチェーントランザクションを承認する署名を生成します。

ノードは、トランザクションを有効として受け入れる前に、その署名を検証します。

この曲線の座標計算は、特定の256ビット素数を剰余とする算術演算に依存しています。

この体演算に誤りがあると、点、署名、検証結果が正しくなくなる可能性があります。

secp256k1関連の算術演算をサポートするFiat Cryptoは、ブロックチェーン実装研究や高保証ウォレットソフトウェアにとって有用なプロジェクトです。

関連するCryptOpt研究プロジェクトでは、Fiat Cryptographyの検証済み中間コードを最適化されたアセンブリの生成につなげており、secp256k1の算術演算を含む取り組みも行われています。

Fiat Cryptoと楕円曲線暗号

楕円曲線暗号は、有限体上の代数方程式を満たす点を用います。

公開鍵は、曲線上の点に秘密スカラーを乗算して導出します。

署名の生成と検証では、点の加算、倍算、スカラー乗算、体演算を繰り返し行います。

Fiat Cryptoは、こうした高水準アルゴリズムの基盤となる算術演算の一部に、検証済みの土台を提供します。

リポジトリには、Edwards、Montgomery、Weierstrass形式の曲線に関する証明と定義も含まれています。

体演算が正しいだけでは、楕円曲線プロトコル全体の安全性は証明されません。

曲線、点の検証、スカラーの処理、ノンス生成、署名構成、周辺ソフトウェアも正しくなければなりません。

Fiat Cryptoが対応するプログラミング言語

現在のリポジトリでは、Cバックエンドが主要なものとして保守されています。

内部構文木とBedrock2の関係について、より強い証明範囲を持つBedrock2/Cの経路にも対応しています。

コミュニティまたは外部で保守されているバックエンドには、Go、Rust、Zigがあります。

JSONバックエンドは実験的なものとして説明されています。

Javaバックエンドは保守されておらず、問題があることが確認されていると、リポジトリに記載されています。

バックエンドの状況は変化する可能性があるため、生成コードを選ぶ前に、最新のバックエンド状況表を確認してください。

すべてのバックエンドに同じ品質保証を与えるものではないことが、プロジェクトで明示されています。

コンパイラの生成方法

検証済みの定義と変換はCoq内に記述されています。

Fiat Cryptoでは、実行可能なコンパイラコードをOCamlまたはHaskellに抽出できます。

生成されたコマンドラインプログラムは、算術演算の実装を表すパラメーターを受け取ります。

生成されたソースコードは標準出力に書き出されます。

この方法により、コード生成のたびに証明支援系全体を読み込まずに、コード生成を実行できます。

証明の開発では、実行可能なコンパイラが抽出される変換の性質を確立します。

リポジトリ全体をビルドする場合は、文書化されたCoq、OCaml、ビルドシステム、パッケージの依存関係が引き続き必要です。

Fiat Cryptoが証明すること

Fiat Cryptoは、形式仕様に照らした生成算術演算の機能的正しさを証明するよう設計されています。

機能的正しさとは、文書化された前提条件を満たす入力に対して、生成された演算が数学的に意図された結果を計算することです。

また、選択されたマシン整数サイズに中間値が収まるよう、数値範囲についても推論します。

検証済みの書き換え処理とコンパイル処理は、式の意味を保つことを目的としています。

エンドツーエンドの証明範囲は、バックエンドと統合経路によって異なります。

リポジトリによると、Bedrock2バックエンドには、Bedrock2の抽象構文木と内部抽象構文木を結び付ける証明が含まれています。

他の言語向け文字列化バックエンドは、現時点で同じ証明範囲を備えていません。

生成されたソースコードが完全に検証済みであるという主張を評価する際は、この違いが重要です。

Fiat Cryptoが証明しないこと

Fiat Cryptoは、周辺のウォレット、ブロックチェーンノード、スマートコントラクト、アプリケーションのすべてが安全であることを証明するものではありません。

あらゆる数学的攻撃に対する暗号プロトコルの安全性を自動的に証明するものでもありません。

秘密鍵が十分な乱数を用いて生成されたことも証明しません。

開発者が無効なパラメーターを渡したり、生成関数を誤って使用したりすることを防ぐものではありません。

すべてのコンパイラ、リンカー、オペレーティングシステム、プロセッサ、ハードウェアデバイスが、意図されたすべての性質を維持することを保証するものでもありません。

多くの出力バックエンドでは、内部表現から最終的なソースコードテキストへの変換が完全には証明されていません。

また、通常のCコンパイラにおける整数式の動作は、信頼対象または別途レビューすべき環境の一部であると、リポジトリは指摘しています。

したがって、形式検証は普遍的な保証ではなく、範囲が明確に定められた強力な保証として理解する必要があります。

Fiat Cryptoは定時間実行を保証するか

暗号コードでは、秘密値に依存する制御フローやメモリアクセスパターンを避ける必要があることがよくあります。

このプログラミング上の規律は、一般に定時間プログラミングと呼ばれます。

直線的な算術演算や条件付き選択プリミティブを生成することで、定時間実装を支援できます。

ただし、実際のタイミング動作は、生成されたバックエンド、コンパイラ、対象プロセッサ、周辺コード、マイクロアーキテクチャによって異なります。

機能的正しさの証明だけで、タイミング、キャッシュ、電力、電磁波、投機的実行、フォールトインジェクションのすべての攻撃に対する完全な証明が得られるわけではありません。

開発者は、選択したパイプラインが提供する保証を確認し、適切なサイドチャネルテストと分析を行う必要があります。

Fiat Cryptoと手書きの暗号コード

経験豊富な専門家が作成すれば、手書きの暗号コードは非常に高速になり得ます。

一方、通常のレビューでは見つけにくいミスが含まれる可能性もあります。

手動実装では、素数、ワードサイズ、プロセッサ、算術表現ごとに個別の作業が必要になることがよくあります。

Fiat Cryptoは、再利用可能な数学的枠組みを用いて、この特化作業の多くを自動化します。

前提条件や対象が変わった場合、生成コードを再生成しやすくなる可能性があります。

実際の対象プラットフォームで性能を測定する必要は変わりません。

特殊な環境によっては、慎重に記述されたアセンブリが通常の生成Cコードより高速な場合もあります。

CryptOptなどのプロジェクトでは、Fiat Cryptoの検証済み基盤を高度に最適化されたアセンブリへ拡張する方法が研究されています。

Fiat Cryptoと従来のテスト

テストでは、有限個の例について実際の出力と期待される出力を比較します。

形式検証では、定理の対象となる入力範囲全体について、定義された性質を証明します。

形式的な証明の範囲外にある統合、ビルド、プラットフォーム、シリアライズ、性能の問題を検出できるため、テストも引き続き重要です。

Fiat Cryptoリポジトリでは、確立された暗号テストスイートを使って生成されたCコードをテストしています。

Rust出力は、別の暗号ライブラリのテストスイートで検証されています。

そのため、形式証明と実用的なテストは互いに補完し合うものであり、置き換えるものではありません。

Fiat Cryptoと法定通貨

法定通貨とは、米ドル、ユーロ、円などの政府発行通貨です。

Fiat Cryptoは、ソフトウェアの検証とコード生成を行うプロジェクトです。

通貨を発行したり、トークンを各国通貨に連動させたりすることはありません。

銀行決済、カード決済、法定通貨の入金、暗号資産の購入にも対応していません。

「fiat crypto」で検索すると、政府発行通貨を暗号資産に交換する方法が表示されることがあります。

その金融上の意味は、Fiat-Cryptoソフトウェアプロジェクトとは関係ありません。

Fiat Cryptoと法定通貨から暗号資産への交換

法定通貨から暗号資産への交換とは、政府発行通貨を暗号資産またはデジタル資産に交換することです。

法定通貨から暗号資産へのオンランプでは、銀行振込、決済カード、本人確認、通貨交換、ブロックチェーンへの送付などが処理される場合があります。

一方、Fiat Cryptoは暗号計算の実装を生成します。

オンランプやオフランプを運営するものではありません。

名称が似ていても、暗号資産エコシステムのまったく異なる分野を指すため、この区別は重要です。

Fiat CryptoとFiat–Shamir変換

Fiat–Shamir変換は、特定の対話型証明プロトコルを非対話型証明または署名に変換します。

名称は暗号学者のAmos FiatとAdi Shamirに由来します。

Fiat Cryptoは、暗号計算コードを合成する別個の形式手法プロジェクトです。

どちらも暗号技術に関するものですが、解決する課題は異なります。

Fiat–Shamirはプロトコルの対話とチャレンジ生成を扱います。

Fiat Cryptoは、低水準の数学演算の検証済み実装を扱います。

Fiat Cryptoと暗号ライブラリ

完全な暗号ライブラリは、署名、暗号化、ハッシュ、鍵交換、証明書、その他のプロトコル向けに、すぐに使用できるAPIを提供します。

Fiat Cryptoは主に、算術演算の構成要素を生成し、証明するための枠組みです。

生成された出力は、より広範なライブラリに統合できます。

そのライブラリでは、プロトコルロジック、公開インターフェース、メモリ管理、乱数、入力検証、エラー処理、安全な鍵保管を引き続き担う必要があります。

生成された乗算ルーチン1つを、完全な署名実装とみなしてはいけません。

Fiat Cryptoと汎用コンパイラ

汎用コンパイラは、さまざまな種類の計算を行うプログラムを受け付けます。

Fiat Cryptoは、暗号計算に特化したシステムです。

この対象を絞った設計により、素数体、リム、繰り上がり、剰余削減に関する数学的知識を活用できます。

汎用コンパイラが通常のソースコードから推論できない詳細を使って、コードを特化できる場合があります。

生成されたCなどのソースコードは、その後、汎用コンパイラでコンパイルできます。

したがって、信頼対象となる処理経路にはFiat Cryptoの生成パイプラインだけでなく、その後のビルドツールチェーンも含まれます。

Fiat Cryptoがブロックチェーンのセキュリティに重要な理由

ブロックチェーンプロトコルでは、価値ある資産が暗号鍵によって管理されています。

ブロックチェーンの経済的ルールが正しくても、体演算の誤りがデジタル署名を損なう可能性があります。

ノードは、ネットワークから受け取った信頼できない公開鍵、署名、証明、トランザクションデータを処理することがあります。

そのため、暗号実装では、許可されたあらゆる境界ケースを正しく処理する必要があります。

形式手法は、膨大な入力空間を持つ算術ルーチンについて、通常のテストより強い証拠を提供できます。

Fiat Cryptoを使えば、異なるプロセッササイズや素数体向けに一貫した実装を生成しやすくなります。

これにより、慎重な算術コードを手作業で書き直せる少数の専門家への依存を減らせる可能性があります。

Fiat Cryptoが暗号資産ウォレットにもたらす可能性のある利点

ウォレットは暗号計算を用いて公開鍵と署名を生成します。

モバイルウォレットでは、32ビットまたは64ビットのプロセッサ上で安全かつ効率的なコードが必要になる場合があります。

ハードウェアウォレットでは、メモリ、タイミング、プロセッサに厳しい制約があることがあります。

生成された体演算ルーチンは、鍵や署名の処理に検証済みの基盤を提供できます。

それでもウォレット開発者は、公開鍵を検証し、秘密鍵を保護し、安全にノンスを生成し、サイドチャネル漏えいを防ぐ必要があります。

ユーザーインターフェースやトランザクション解析の誤りも、算術証明の範囲外です。

Fiat Cryptoがブロックチェーンノードにもたらす可能性のある利点

ブロックチェーンノードは、数千件の署名や暗号証明を検証することがあります。

検証が非効率だと、トランザクション処理能力が低下し、必要なハードウェアの要件が高まるため、性能が重要です。

すべてのノードが同じ有効性判定に到達する必要があるため、正しさも同様に重要です。

一部の実装がトランザクションを受け入れ、別の実装が拒否する場合、まれな算術演算の不一致がコンセンサス障害を引き起こす可能性があります。

検証済みの算術演算により、実装間の不一致の原因を1つ減らせます。

それでもノードには、コンセンサステスト、プロトコル仕様、ネットワークセキュリティ、データベースの安全性、実装全体のレビューが必要です。

ゼロ知識システムにもたらす可能性のある利点

ゼロ知識証明システムでは、大量の有限体演算を行います。

証明者と検証者が複数の素数体を使う場合があります。

体演算が誤っていると、無効な証明、誤った拒否、深刻なセキュリティ障害につながる可能性があります。

証明システムの剰余に合わせて算術演算を特化するコード生成器は、移植性と保証の向上に役立つ場合があります。

Fiat Cryptoが完全なゼロ知識証明システムを自動生成するわけではありません。

多項式コミットメント、トランスクリプト構成、証明方程式、回路ロジック、暗号学的前提には、別個の実装と証明が必要です。

Fiat Cryptoを安全に使う方法

開発者は公式リポジトリから始め、最新のビルドおよびバックエンドのドキュメントを読む必要があります。

剰余と対象アーキテクチャに適した、対応済みの算術戦略を選択してください。

生成コードは確認し、対応設定でコンパイルしたうえで、独立した既知解テストベクトルと照合してテストする必要があります。

プロジェクトの証明範囲とバックエンドの制限は、利用するアプリケーションのセキュリティレビューに記録してください。

不正な入力、境界値、最大繰り上がり、ゼロ値、非正規エンコーディングをテストしてください。

実際に使うコンパイラとハードウェアの組み合わせで、サイドチャネル動作を評価する必要があります。

生成器、証明支援系、コンパイラ、バックエンドを更新した場合は、再テストとレビューを行ってください。

本番環境のチームは、「形式検証済み」という言葉を、統合監査を省略する許可とみなしてはいけません。

Fiat Cryptoの利点

Fiat Cryptoは、重要な算術変換について、機械検証済みの機能的正しさの証明を提供します。

複数の素数剰余とマシンワードサイズに対応する実装を生成できます。

最適化された体演算を作成する際の反復的な手作業を減らします。

高水準の仕様は、何千もの手書きの低水準演算よりも推論しやすいものです。

このプロジェクトはオープンソースで、独立した調査が可能です。

由来が不確かな算術ファイルをコピーするだけでなく、再現可能なコード生成に対応しています。

生成されたルーチンは、広く利用されている暗号ソフトウェアや大規模なテストスイートと連携しています。

Fiat Cryptoの制限

Fiat Cryptoが対象とするのは、暗号ソフトウェアスタック全体の一部に限られます。

バックエンドごとに証明上の保証が異なります。

証明開発環境のビルドや変更には、Coq、形式手法、コンパイラ、暗号計算に関する専門知識が必要です。

生成されたソースコードは、通常のコンパイラやプラットフォームのツールチェーンを経由します。

機能的正しさだけでは、あらゆるサイドチャネルへの耐性が自動的に証明されるわけではありません。

性能はプロセッサやコンパイラによって異なる場合があります。

未対応のパラメーターや保守されていないバックエンドは、追加のリスクを生む可能性があります。

形式的に正しい実装であっても、安全でない暗号設計に基づくなら、安全ではありません。

Fiat Cryptoに関するよくある誤解

Fiat Cryptoは暗号資産ではありません。

政府発行の法定通貨とは関係ありません。

現金をデジタル資産に交換するものではありません。

Fiat–Shamir変換ではありません。

ブロックチェーンアプリケーション全体を自動生成するものではありません。

生成コードを使うすべてのプログラムが安全であると証明するものではありません。

テストやコードレビューが不要になるわけではありません。

対応するすべての言語バックエンドに、同じ証明保証を提供するものではありません。

脆弱な鍵、安全でないプロトコル、安全性に問題のあるウォレットインターフェースを安全にするものではありません。

よくある質問

Fiat Cryptoとは何ですか？

Fiat Cryptoは、高水準の仕様から、効率的な暗号計算コードと機械検証可能な正当性証明を生成するオープンソースプロジェクトです。

Fiat Cryptoは暗号資産ですか？

いいえ。デジタル資産ではなく、ソフトウェアの検証とコード生成を行うプロジェクトです。

Fiat Cryptoは法定通貨と関係がありますか？

いいえ。政府発行通貨の発行、処理、交換は行いません。

Fiat CryptoとFiat Cryptographyは同じものですか？

はい。Fiat-CryptoとFiat Cryptographyは、一般に同じプロジェクトおよび研究活動を指す名称です。

Fiat Cryptoを開発したのは誰ですか？

MITのProgramming Languages and Verificationグループに関連する形式検証と暗号実装の研究を起源とし、外部の貢献者も参加しています。

Fiat Cryptoが使う証明支援系は何ですか？

Coqを使って仕様を定義し、変換を実装し、正しさの証明を検査します。

Fiat Cryptoはどのようなコードを生成しますか？

主に、暗号用有限体の低水準なモジュラー算術ルーチンを生成します。

Fiat CryptoはCコードを生成しますか？

はい。Cは主要な保守対象の出力先の1つです。

Fiat CryptoはRustに対応していますか？

リポジトリには、外部で保守され、生成コードのテストを行うRustバックエンドが含まれています。

Fiat CryptoはGoに対応していますか？

はい。リポジトリには、外部で保守されているGoバックエンドが記載されています。

Fiat CryptoはZigに対応していますか？

はい。外部で保守され、生成コードがテストで使用されるバックエンドとしてZigが記載されています。

Javaバックエンドは推奨されますか？

現在のリポジトリでは、Javaバックエンドは保守されておらず、問題があることが確認されています。

有限体とは何ですか？

有限体とは、多くの暗号アルゴリズムで使われる演算を備えた有限個の値の集合です。

リムとは何ですか？

リムとは、大きな暗号用整数を構成するマシンサイズの部分です。

剰余削減とは何ですか？

剰余削減とは、算術演算の結果を選択された剰余に対して等価な値に変換することです。

Montgomery算術とは何ですか？

Montgomery算術は、剰余による通常の除算を行わずにモジュラー乗算を効率的に行うため、特殊な数値表現を使います。

Solinas算術とは何ですか？

Solinas算術は、2のべき乗と小さな定数を使った効率的な剰余削減が可能な形式を持つ素数剰余を活用します。

Fiat CryptoはCurve25519の算術演算に対応していますか？

はい。公式リポジトリには、Curve25519系の暗号で使われる素数の生成例が含まれています。

Fiat Cryptoはsecp256k1に対応していますか？

プロジェクトには、ブロックチェーン署名実装に関連するsecp256k1の体演算および楕円曲線の作業が含まれています。

Fiat Cryptoはデジタル署名を作成しますか？

署名実装で使用できる算術演算の構成要素を生成しますが、それだけで完全な署名アプリケーションになるわけではありません。

Fiat Cryptoは署名方式の安全性を証明しますか？

いいえ。算術演算の機能的正しさは、署名方式全体の数学的な安全性を証明することとは異なります。

Fiat Cryptoは算術演算のオーバーフローを防ぎますか？

検証済みパイプラインでは範囲を推論し、仕様の対象となる中間値を格納できるよう意図された整数サイズを選択します。

Fiat Cryptoは定時間コードを保証しますか？

設計上、制御フローを固定した暗号計算を支援しますが、サイドチャネルに対する完全な安全性は、バックエンド、コンパイラ、プロセッサ、周辺アプリケーションによって異なります。

Fiat Cryptoの証明をテストで置き換えられますか？

いいえ。テストと形式証明は異なる種類の保証を提供するものであり、併用すると最も効果的です。

形式検証でセキュリティ監査を置き換えられますか？

いいえ。監査では、プロトコルロジック、統合、乱数、メモリ安全性、鍵の取り扱い、サイドチャネル、アプリケーションの動作も確認する必要があります。

Fiat Cryptoのすべてのバックエンドは形式検証済みですか？

いいえ。出力バックエンドごとに、証明、保守、テストのレベルが異なることがリポジトリに記載されています。

最も強い保証が文書化されているバックエンド経路は何ですか？

Bedrock2バックエンドには、その抽象構文木とFiat Cryptoの内部表現を結び付ける追加の証明が含まれています。

Fiat Cryptoがブロックチェーンに役立つ理由は何ですか？

ブロックチェーンソフトウェアで使われる署名、鍵、証明、その他の暗号演算における算術実装の誤りを減らせる可能性があります。

Fiat Cryptoはウォレットで使えますか？

生成された算術演算をウォレットの暗号機能に組み込めますが、ウォレット全体には別途セキュリティ設計が必要です。

Fiat Cryptoは法定通貨から暗号資産への交換と同じですか？

いいえ。法定通貨から暗号資産への交換は、政府発行通貨でデジタル資産を購入する金融サービスです。

Fiat CryptoはFiat–Shamirと同じですか？

いいえ。Fiat–Shamirは対話型証明を変換し、Fiat Cryptoは検証済み算術実装を合成します。

Fiat Cryptoはオープンソースですか？

はい。リポジトリに記載された複数の寛容型オープンソースライセンスの下で、プロジェクトが公開されています。

まとめ

Fiat Cryptoは、効率的な暗号計算を生成する形式検証・コード生成システムです。

開発者はモジュラー演算を高水準で記述し、機械検証済みの変換を通じて低水準の実装を導出できます。

ブロックチェーンの署名、公開鍵、ウォレット、ノード、ゼロ知識システムが正確な有限体演算に依存するため、Fiat Cryptoは暗号資産分野で特に重要です。

Solinas算術やMontgomery算術などの実装戦略を使い、重要な素数体の演算を生成できます。

保守対象のCおよびBedrock2/C経路に加え、外部で保守されている言語バックエンドにも対応しています。

保証の範囲は、選択したバックエンドと形式証明の対象範囲によって異なります。

形式検証は算術演算の誤りのリスクを減らしますが、暗号アプリケーション全体のすべての性質を証明するものではありません。

開発者は、プロトコルの安全性、秘密鍵の取り扱い、乱数、シリアライズ、コンパイラとハードウェアの動作、サイドチャネル耐性を引き続き確認する必要があります。

したがってFiat Cryptoは、テスト、監査、安全なシステム設計を完全に置き換えるものではなく、高保証の暗号ソフトウェアを支える強力な基盤として理解する必要があります。