Bitcoinのセキュリティに対処するための多くの非公式，あるいは臨時的な試みに続いて，エキサイティングな最新の研究がシステムの厳密な暗号解析の考案に焦点を当てている．
上位レベルでは，これらの研究は適切な実行モデルを記述することから始まる．
その中に，オリジナルのBitcoin プロトコルの抽象概念とセキュリティ目標の仕様を直感的な望ましい特性の観点から，あるいはシミュレーションベースの構成可能なフレームワークの既往の観点から記述する．
その研究では，彼らのBitcoin プロトコルの抽象概念が前提条件として提案された仕様を満たすことを証明する．
証明では，Bitcoinをマイニングするのに投資される計算能力の大部分がBitcoin プロトコルに基づいてマイニングするデバイスによるものであると仮定している．
正当な大多数の計算能力の前提（システムのセキュリティの基礎となる数年間はBitcoinコミュニティ内の民間伝承であった）は，プロトコルの結果を乱そうとしている中央の攻撃者によってコントロールされ，正当にマイニングしていない人々を考慮することで得られる．

一方で，Bitcoinは「経済的優位」である（すなわち，Bitcoinは国の通貨や商品と交換可能である）という動機によって，システムの合理的な分析に焦点を当てた多くの研究が行われている．
簡単にいうと，これらの作業はBitcoinを競合する合理的なマイナー（マイニングする人）間のゲームとして扱い，システムの自然なインセンティブ構造として想定される一連の有用性を最大限にしようとする．
このような分析の目的は，当事者のインセンティブ，あるいはコラボレーションレベルに関する前提が，ビットコインが安定した状態，すなわちゲーム理論的均衡を達成するかを調べること．
しかし，いくつかの啓発的な結論にも関わらず，そうした分析の予測はむしろ悲観的である．
これらの結果は，正当な計算能力の仮定（時には過半数を超えることもある）がない限り，誘発されたインセンティブはBitcoinのマイニングプロトコルへの攻撃の蓋然性をもたらし，ブロックチェーンのフォークやあるいはかなりの減速をもたらす．

我々の知る限り，合理的な攻撃に起因するフォークや大幅な原則はこれまでに観測されていない．
攻撃者の能力を考慮すると，原理的には，マイニングプールは共同攻撃を開始することができるが，Bitcoinネットワークは，その特性に従ってパフォーマンスを保っている．
ゲーム理論上の設定では，予測された行動と観察された行動との間のこの不一致は，既存の分析におけるマイナーの有用性に関する根本的な仮定がマイナーの根拠を正確に把握していないことを示すものとして，典型的に解釈される．
従って，2つの主な疑問が依然として残っており，Bitcoinの懐疑主義者からよく尋ねられる．
Q1. なぜそのような攻撃によってBitcoinは崩壊しないのか．言い換えると，なぜBitcoinは機能し，大多数の人々はBitcoinを壊すために共謀しないのか．
Q2. そのような攻撃の妥当性を考慮して，なぜ正当なマイナーはマイニングを続けるのか．

本研究では，上記の疑問に対処するために厳密な暗号理論を用いる．
簡単にいうと，我々は正当なマイナーとおそらく結託している不当なマイナーとの間の緊張の根底にある経済的な力を捉え，これらの力がマイナーの行動にどのように影響するかを説明する合理的な暗号の仕組みを考案する．
このモデルを使用して，Bitcoinの高い金銭的価値と組み合わされた自然なインセンティブ（マイナーの期待収益に左右される）が．Bitcoinが現実に攻撃されていないという事実を説明できる．
簡単にいうと，マイナーのインセンティブに関する自然な仮定を，正当な多数決による仮定で完全に，あるいは代替的な仮定で置き換えることを可能にする方法を示している．
これは，攻撃者の計算能力に関する仮定に頼らない合理的な記述を正式に証明した最初の研究である．
我々が考慮するインセンティブはマイニングのためのコストと報酬（すなわちマイニング（コインベース）と取引手数料）のみに依存していると主張．
特に，多数の連合を暗黙的にまたは明示的に制約することを仮定していない．

上記の疑問に対処するために，GarcoのRational Protocol Design (RPD)方式を使用して，Bitcoin プロトコルに対する調整されたインセンティブドリブン攻撃の特異性を密接に把握する安定性の概念を導出する．
我々のモデルがRPDを使って上記の問題に対処する方法をよりよく理解するために，フレームワークの背後にある基本的な考え方を用いる．

プロトコルの参加者（我々の場合はBitcoinのマイナー）を合理的なエージェントとみなす代わりに，RPDはアタックゲームと呼ばれるメタゲームを検討する．
その基本形態のアタックゲームは，長さ2の水平線，すなわち2つの連続した移動を有する完全な情報の2 agent zero-sum extensive game*1である．
これには与えられたマルチパーティーのタスクのための最良プロトコルを考えようとしているプロトコルデザイナーDと，プロトコルを最適に攻撃する多項式時間の戦略・敵を考えようとしている攻撃者Aという2人のプレイヤーが関係する．
ゲームは2ステップで進行する．
まず，正当なプレイヤーのためにプロトコルを選択することによってデザイナーDのみがプレイする．
攻撃者AはデザイナーDの動きを知らされ，次は攻撃者Aの行動を決める番となる．
攻撃者の戦略は，実際には，設計者が提案した「プロトコルを攻撃する暗号敵」．

攻撃者AとデザイナーDの両者のインセンティブはユーティリティ関数によって記述され，それぞれの動きはこれらのユーティリティを最大化することを目的として実行される．
簡単にいうと，攻撃者のユーティリティ関数は，意図された違反を引き起こした回数と重大度に応じて攻撃者に報酬を与える．
ゲームはゼロサムなので，設計者のユーティリティは攻撃者のユーティリティとは逆である．
これは暗号プロトコルの標準的な目標，すなわち可能な限り最善の方法で攻撃者を「飼いならす」という目標を捉えている．

上記のゲームに基づいて，攻撃者のユーティリティを最大化することを目的としたインセンティブドリブン攻撃に直面した時に，RPDフレームワークは特定の仕様に対するプロトコルΠのクオリティをキャプチャする，"アタックペイオフセキュリティ（attack-payoff security）"と呼ばれる以下の自然なセキュリティ概念を導入する．
非公式には，アタックペイオフセキュリティは，攻撃者がプロトコルΠを理想的な仕様から逸脱するような方法で攻撃しようとしないことを保証する．
言い換えると，プロトコルは，攻撃者のユーティリティを最大化する戦略のクラスに対して安全である．
このインセンティブドリブンの環境では，これは悪意のある敵対者に対するセキュリティの自然な類似点である．
アタックペイオフセキュリティが実現できない場合，RPDはアタックペイオフの最適性という概念を提案している．
これはプロトコルΠが最良の攻撃に対する最良の応答であることを保証する．

RPDの便利な機能は，全ての定義がCanettiのシミュレーションベースのフレームワーク（スタンドアローンフレームワークまたはUCフレームワークのいずれか）上に構築され，簡単にインスタンス化できること．
実際，Bitcoinなどすでに実行中の複雑なプロトコルを分析するRPDを，特に魅力的にするいくつかの理由が直感的で技術的なレベルの両方において存在する．
第一に，RPDは，心を変えたり攻撃するかを決めるマイニング戦略を現在実行している人々のシナリオをキャプチャする，適応型破損をサポートしている．*2
これは，すでに運用中のプロトコルに対するインサイダー攻撃の可能性に取り組むことを目指す場合に特に有用である．
同様の理由から，RPDは，侵害されたハードウェアやソフトウェア，あるいは賄賂によって誘発された攻撃を捕捉するのにも適している（ただしここでは賄賂については考慮しない）．
第二に，攻撃者の動きとして中央の攻撃者を使用することで，インセンティブドリブンの戦略に制限しているにも関わらず，詐欺の完全な共同作業が可能になる．
これにより，例えばプロトコルの仕様から逸脱していると判断されたマイニングプールを取得できる．

技術レベルでは，インセンティブを指定するためにアタックゲームを使用することは，「合理的な暗号」モデルの厄介な合併症の多くを取り除く．
例えば，実際の合理的エージェント，すなわちデザイナーDおよび攻撃者Aは計算上の境界が定められていないので，平衡の面倒な計算のバージョンを定義する必要がなくなる．
ただし彼らの行動だけがPPTマシンである必要がある．
さらに，シミュレーションベースのセキュリティに基づいて構築されているため，RPDには定期的な暗号サブルーチンの置換を可能にする構成定理が付属している．
後者は，我々がハイブリッドとそれに対応する暗号実装とを置き換えると，その品質や安定性が影響を受けるかどうかを心配する必要がなく，通常の暗号化で行うように，より単純なハイブリッド世界でプロトコルを分析できることを意味する．

Our Contributions

本研究では，インセンティブドリブン攻撃に対するBitcoinの品質を分析するRPD方法論を適用し，上述の存在に関する問題に取り組んでいる．
RPDはUCベースであるため，UCプロトコルとしてBitcoin抽象化を使用し，Bitcoinの目標・仕様をキャプチャするために*3の対応するBitcoin台帳機能を使用する．
*4で議論されているように，この機能は．*5や*6で提案されている全てのプロパティを取得する．

一方では，攻撃的なマイナーによってブロックチェーンに永久に挿入されたブロックのBitcoinの標準報酬メカニズム（すなわちブロック報酬と取引手数料）に従って彼に報酬を与えるユーティリティを指定する．
他方では，攻撃者が使用するリソース（例えばマイニング設備と電気の使用）に対してペナルティを課すユーティリティを指定する．
これらのユーティリティにより，攻撃者に自然なクラスのインセンティブを定義する．
通常，Bitcoinでの報酬の不一致と実質金銭的なコストを克服するため，Bitcoinなどの報酬単位を米ドルなどのマイニングコスト単位に変換するコンバージョン率CRという概念を導入する．
これにより，国内通貨で測定されたその価値に応じて，プロトコルの品質に関するステートメントを出すことができる．

次に，設計者にとっても同様のインセンティブ構造を考案する．
正当な当事者はブロックチェーンに永久に挿入されたブロックについてまとめて報酬を受けるが，使用するためのリソースを払う．
設計者と攻撃者のインセンティブの区別の分かれ目は，設計者がブロックチェーンの「健全性」を維持することに最大限関心を持ち，それをユーティリティの定義に反映させること．
我々の策定にはこの攻撃に金銭的利益がない限り，攻撃者はシステムの攻撃から報酬を得られないという前提が暗示されている．

興味深いことに，BitcoinにRPD手法を適用するには，RPDを非自明な方法で拡張する必要がある．
また，設計者と攻撃者のユーティリティが必ずしも反対ではないため，例えば非ゼロサムゲームをキャプチャする必要がある．
また，セキュリティと安定性のより強い概念を提供する必要がある．
具体的には，強力な攻撃ペイオフセキュリティという概念を導入する．
これは，攻撃者がパッシブ攻撃を実行すること，すなわちBitcoinに固執することを強制する．
しかし，ネットワーク内のメッセージを遅延させる敵の能力を乱用する可能性がある．
また，攻撃者とデザイナーの両者が当事者たちに所定のプロトコルを実行させるインセンティブ互換性（IC）という自然な概念も導入する．
インセンティブの互換性は，強いアタックペイオフセキュリティを暗黙に意味し，当事者が逸脱していない時にプロトコルが少なくとも正しいと仮定すると，後者は元のRPDフレームワークからの標準的なアタックペイオフセキュリティを意味する．
RPDに対するこれらの拡張は，その適用性を広げ，従って独立した関心ごとである可能性がある．
ここではBitcoinの分析に焦点を当てているが，開発された方法論は他のメインストリームの暗号通貨を分析するために適合させることができる．

モデルをレイアウトしたら，それを使ってBitcoinを分析する．
ユーティリティがブロックチェーンのブロックに含まれるメッセージ，すなわちトランザクションに依存しない，より簡単なケースで分析を開始する．
ブロックをブロックチェーンに永続的に挿入する場合，マイナーはただのブロック報酬値を報酬として与えられる．
これは*7で提案されたBitcoinバックボーン抽象化に対応するとみなすことができるが，ブロックのインセンティブが豊富になる．
以下に示すこの設定の結果の解釈は，必ずしも暗号化台帳として使用するつもりはないブロックチェーンに対処すること．
間違いなく，これはBitcoinの場合ではないが，この分析では，システムの品質を保証するために正当な大部分の計算能力に頼る必要がないという驚くべき側面がいくつか明らかになっている．
さらにこれらの結果は，より安全なケースで安定性を達成するために必要なものに直感を与え，取引手数料も組み込んでいる．
要約すると，ブロックの内容がプレーヤーの戦略に影響を及ぼさない，このバックボーンのような設定については次のような記述があることが証明されている（ただし報酬とコストは影響を与える）．

記述内容その1

Bitcoinは強力なアタックペイオフセキュアである．すなわち，調整された連合は，当事者の残り部分がプレイするならば，プロトコルから逸脱するインセンティブを持たない．
さらに，例えどんなに大きな連合であっても（すなわち，悪用するための計算能力がどれくらいの大きさであっても），変換率がどれほど高くても，このステートメントは保持される．
これは，このバックボーンのような設定では，正当な大多数の計算能力の仮定を上記の直感的な合理的仮定によって完全に置き換えることができることを意味する．

記述内容その2

ブロックをマイニングする報酬が十分に高く，マイニングが平均的に利益を上げる場合，Bitcoin プロトコルは，ローカル偏差に対してインセンティブに適合することさえある．
言い換えると，結託当事者（例えばマイニングプール）には逸脱するインセンティブがないだけでなく，正当なマイナーはマイニングを維持する明確なインセンティブを有する．
ここでも，オネストマジョリティの前提はない．
さらに，健全性チェックとして，マイナーがマイニングによって収入を失うと予想されるように転換率が低下するならば，これが真実でないことも証明する．
上記のことは，システムに価値が注がれる（すなわちCRが十分に大きくなる）最初のブートストラップフェーズの後に，変換レートとブロック報酬の組み合わせが十分に高い限り，そのような台帳はその仕様に従って作業を続けるという直感を確認する．

上記の理想化された設定での分析から直感を得て，ブロックコンテンツが関連する料金を持つメッセージであるBitcoinをより詳細に把握するような，より現実的な設定にする．
これらのメッセージはトランザクションと呼ばれ，Bitcoinの標準的な制限をトランザクション手数料に適用する．
トランザクションごとに最大の手数料があり，その手数料は最小単位の倍数になる．*8
全ての正式な分析でブロックチェーン上に位置するアプリケーション層をキャプチャして使用する明示的な環境によって入力として提供されるものとしてみなされる．
このように，環境はまた，取引手数料の選択およびマイナーへの取引の分配を担当することになる．
For most generality, we do not assume as in [12, 26] that all transactions are communicated by the environment to all parties via a broadcast-like mechanism, but rather that they are distributed (i.e., input) by the environment to the miners, individually, who might then forward them using the network (if they are honest) or not.*9
このより現実的なトランザクション提出メカニズムはすでに*10で明示されている．

このモデルは，マイニング報酬と取引手数料の両方を，報酬モデルとしてブロックのマイナーの報酬に組み込んだものである．
興味深いことに，このモデルでは，ブロックをマイニングする報酬が取引手数料（またはゼロ）よりもはるかに小さい Bitcoin時代についての予測も可能にする．

我々の研究におけるトランザクションは，BTCをあるマイナーから別のマイナーへ移転させる行為ではなく，明示的な手数料を伴うメッセージとして扱われることを我々は強調する．
これは関連する手数料以外に，アタックゲームにおいて取引内容がプレーヤーの戦略に影響を与えないことを意味する．
これは，台帳の保守を担当するマイナーが，例えば，暗号侵害価値の交換としてブロックの内容を翻訳し，アプリケーション・環境の一部であるユーザとは異なると仮定していることに対応する．
この仮定をマイナーとユーザの分離原則と呼ぶ．
この前提は，全ての既存の研究に明示されており，実際に使用するためのインセンティブとは別に，研究のハンデある台帳を維持するためのインセンティブを研究するための良い抽象を提供する．
これは十分に強力な（例えば3分の2以上の）攻撃者による「フォーク」を排除することもほとんど努力せずに抑止することもしないことに注意．
実際に，ある取引手数料が他の取引手数料よりはるかに高い場合，そのような攻撃者はこれらのこれらの高額取引を含む同じブロックで最高および2番目に最高のチェーンの両方を拡張することによってネットワークをフォークし，彼は両方のフォークから報酬を受け取る．

この完全報酬モデルでは，次のステートメントを証明する．

ステートメントその1

最悪の場合の環境，すなわち，「攻撃者が期待収益を最大にする」のを助ける環境をみる．
このモデルでは， Bitcoinは引き続きインセンティブに対応しているため，強力なアタックペイオフセキュアである．
事実，正当なマイナーと攻撃者に十分な取引があることを環境が確かめた場合には，最大の報酬値に正確に到達するブロックを構築するのに十分なほど高い料金がかかる（つまり，必ずしも同じ取引のセットを参加者に知らせる必要はない）．
例えば，多くのユーザが可能な限り重い手数料（いわゆるフル・フィー・トランザクション）でトランザクションを提出する限り，システムは正当な過半数のマイナーに頼ることなく動作することが保証されている．
ある意味では，ユーザは取引手数料によってシステムの安定性を制御できる．

ステートメントその2

任意の取引手数料分布について上記のことが当てはまるかどうかを調べる．
驚くべきことではないが，ここでの答えは否定的であり，プロトコルはアタックペイオフセキュアでさえない（すなわち，その仕様を達成することさえできない）．
このステートメントの証拠は，上述の二つに分岐するる議論を利用する．
ポジティブな面では，（無視できる確率を除いて）フォークが不可能な正当多数の設定において，攻撃者が標準プロトコルから逸脱するよう奨励される唯一の方法は，正当な当事者への手数料を失うことを避けるために，マイニングを行なっている取引を保留することである．

上記のステートメントを解釈することで，正当な過半数に十分なフル・フィー・トランザクションが十分に存在することを正当な過半数に要求することから Bitcoinのセキュリティに関する仮定を緩和することができる．

最後に，検証を待つトランザクションの典型的な大規模なプールが，ネットワークへの十分な供給がある，さらに，高い採択率を考えるとこのプールはあまりにも小さくなることはない，というこれらの現実的な仮定を正当化することを観察すると，分析を直接使用して， Bitcoinや他の暗号通貨がインセンティブとの互換性を保証し，長期的には完全報酬モデルにおける強力なアタックペイオフセキュリティを保証する可能性のある変更を提案できる．
そのアイデアは，各ブロックに許可される料金（または全体的な報酬）の正確な累積学を定義すること．
十分な高額取引がある場合，ブロックにはこの額に達するまで取引が満たされている．
単純なインセンティブ構造による最初の分析で示唆されているように，このキャップが非現象であることを確実にすることは，安定性について議論するのに十分であろう．
しかしながら，このような境界はより複雑でエコノミードリブン（経済主導型）のインセンティブ構造における需要と供給に基づいている可能性があり，興味深い将来の研究の方向性はセキュリティステートメントが基づいている（経済的な）仮定とともにそのような提案を正確に定義することである，ということが考えられる．
このようなルールの導入は通常，「ソフトフォーク」のみを誘導し，コンバージョン率と報酬限度の十分に高い組み合わせの場合，1ブロックあたりの報酬がゼロになり，報酬の主な源泉が取引手数料になる場合でもインセンティブの互換性が確保されることに注意．

ーーーーーーーーーーーーーーー

introduction和訳ここまで．

*1:対応訳が分からなかった．分かり次第追記予定．

*2:ちょっとよくわかんない

*3:Christian Badertscher, Ueli Maurer, Daniel Tschudi, and Vassilis Zikas. Bitcoin as a transaction ledger: A composable treatment. In Jonathan Katz and Hovav Shacham, editors, CRYPTO 2017, Part I, volume 10401 of LNCS, pages 324–356. Springer, Heidelberg, August 2017.

*4:Christian Badertscher, Ueli Maurer, Daniel Tschudi, and Vassilis Zikas. Bitcoin as a transaction ledger: A composable treatment. In Jonathan Katz and Hovav Shacham, editors, CRYPTO 2017, Part I, volume 10401 of LNCS, pages 324–356. Springer, Heidelberg, August 2017.

*5:JuanA.Garay,AggelosKiayias,andNikosLeonardos.Thebitcoinbackboneprotocol:Analysisandapplications. In Elisabeth Oswald and Marc Fischlin, editors, EUROCRYPT 2015, Part II, volume 9057 of LNCS, pages 281– 310. Springer, Heidelberg, April 2015.

*6:Rafael Pass, Lior Seeman, and Abhi Shelat. Analysis of the blockchain protocol in asynchronous networks. In
Jean-S ́ebastien Coron and Jesper Buus Nielsen, editors, EUROCRYPT 2017, Part II, volume 10211 of LNCS,
pages 643–673. Springer, Heidelberg, May 2017.

*7:JuanA.Garay,AggelosKiayias,andNikosLeonardos.Thebitcoinbackboneprotocol:Analysisandapplications. In Elisabeth Oswald and Marc Fischlin, editors, EUROCRYPT 2015, Part II, volume 9057 of LNCS, pages 281– 310. Springer, Heidelberg, April 2015.

*8: Bitcoinの場合，最小単位は 1satoshi = 10^(-8) BTCであり，通常は手数料の上限がある．

*9:よくわかんない．

*10:Christian Badertscher, Ueli Maurer, Daniel Tschudi, and Vassilis Zikas. Bitcoin as a transaction ledger: A composable treatment. In Jonathan Katz and Hovav Shacham, editors, CRYPTO 2017, Part I, volume 10401 of LNCS, pages 324–356. Springer, Heidelberg, August 2017.

2018-10-01

担当の先生と面談｜情報系卒論の進め方

研究の進め方

先生との面談でしたこと（順次追記）

論文タイトル・abstractで選別した結果残った興味があると思われる論文について先生がなんとなく説明．どんな感じの内容か，また，それに関する周辺知識をちらほら．(2018/09/27)

2018-10-01

研究テーマの決め方｜情報系卒論の進め方

研究の進め方

研究テーマを0から生み出すのはきつい！

そう，研究テーマを自分で生み出すのはとても難しい．

なにせその分野の知識がまだまだ乏しいから．

じゃあどうするか．

知識を仕入れる？

うーん．惜しい．

じゃあどうやって仕入れる？

本を読む？

うん，それも一つ．他には？

ネットで探す．

もう一声．．．

論文を読む！

そう，最近の論文を読んで，その論文で未解決なことなどを自分の研究テーマにすれば良い．

今回私はこの方向でテーマを探すことにした．

その分野の「良い」会議で受領された論文を読もう

最初にするのは最近の国際会議で受領された論文で気になるもの，自分の興味がありそうなものを選ぶということ．

まずはタイトルで選定．

タイトルである程度まで絞れたら論文の初めにあるabstract（要約）を読んでさらに絞る．

ちなみに私の研究分野は暗号・セキュリティ関連．

この辺りの分野で「良い」会議とされているのは以下（一例）

暗号系の論文はイントロダクションを読めばだいたいの内容がつかめる．

その先は技術に関すること．読むのに時間がかかる．

よって次にすることは，abstractで絞られた論文のイントロダクションを読むこと．

*1:2018/09/18 - 2018/09/27 はここまで．

*2:2018/09/27 - 2018/10/04 はここまで

ひびのあれこれ

ただいま実験ちう

移動平均線に関するあれこれ

移動平均線でわかること

移動平均線の使い方

移動平均線は傾きを見よう！

移動平均線はクロスが遅い！

移動平均線は並び方を見る！

まとめ

ドラムソロフレーズ vol.2｜気ままに更新！jazzドラムに関するあれこれ

フレーズはこちら

解説

注意点

ドラムソロフレーズ vol.1｜気ままに更新！jazzドラムに関するあれこれ

本日のフレーズはこちら

演奏の注意点

ブラシソロフレーズ｜気ままに更新！jazzドラムに関するあれこれ

【備忘録】論文の内容メモ（Introduction）｜情報系卒論の進め方

But Why Does it Work? A Rational Protocol Design Treatment of Bitcoin