Midnight初のメインネットアプリ、次なるプライバシー課題は「非公開状態」の実用化

Midnight初のメインネットアプリケーションは、暗号技術だけにとどまらない試練に近づいている。プライバシー技術が避けようとしている公開データの痕跡を再現せずに、非公開ソフトウェアが理解しやすく、運用可能で、監査可能であることを証明しなければならない。

もはや問題は、取引で機密情報を隠せるかどうかだけではない。ユーザーが何が起きたのかを把握できるか、ウォレットが意味のあるアカウント活動を表示できるか、監査人がその背後にあるすべての証人データ、残高、関係性を見ずにアプリケーションのルールを検証できるかが問われている。

このプロダクトの境界線が、ローンチ後のMidnightの成否を左右することになる。

プライバシー重視のブロックチェーンエコシステムであるMidnightは、特定のデータを非公開に保ちながら、必要な場合にはユーザーが特定の事実を開示できるアプリケーションを支えるよう設計されている。ドキュメントでは、ゼロ知識証明とプログラム可能な開示を軸とするモデルが説明されている。実際には、結論に至るために使った情報をすべて明らかにせず、ユーザーが要件を満たしていることを証明できるという意味である。

しかし開発者にとって、プライバシーは難しいインターフェース上の問題をもたらす。公開型ブロックチェーンでは、透明な残高やコントラクト呼び出し、イベントログに頼れる場合が多い。ユーザーが細部をすべて理解していなくても、ブロックチェーンエクスプローラーやウォレットは通常、何が変わったのかを示すのに十分な活動を再構成できる。非公開アプリケーションは、プライバシー保証を弱めずに同じ情報を公開することはできない。

秘密性と使いやすさの間にある欠落した層

非公開の取引は、支払いが有効だったこと、権限が付与されたこと、あるいは条件が満たされたことを証明できる。しかし、その証明が一般ユーザーに読める形で結果を説明するとは限らない。

ウォレットは、身近な疑問に答える必要がある。何を送ったのか。何を受け取ったのか。どの資産や権利が移転したのか。コントラクトによって自分の権限は更新されたのか。取引は承認されたのか、拒否されたのか、それとも一部だけ完了したのか。

その答えを常に公開台帳に直接置けるとは限らない。一見無害なメタデータであっても、時間をかけて組み合わせれば、情報が明らかになる可能性がある。取引のタイミング、繰り返し取引する相手、コントラクトとのやり取り、開示された請求の規模などから、ビジネス上の関係や個人の行動が推測される恐れがある。

この状況は、アプリケーションのインターフェースに新たな役割をもたらす。チェーンを完全な公開履歴として扱うのではなく、ウォレットやダッシュボードは、ユーザーが閲覧を認められた情報に基づく検証済みの要約を表示する必要があるかもしれない。こうした要約は、サービス提供者が生成した非公式な説明ではなく、暗号学的な証拠と結び付いていなければならない。

この課題は、金融や機関向けのアプリケーションで特に重要になる。企業は、顧客がコンプライアンス審査に合格したこと、支払いが社内ルールに従っていたこと、あるいは財務口座が承認済みの上限内に保たれていたことを示す必要があるかもしれない。一方で、顧客の完全な身元、保有資産の総額、取引履歴全体を明らかにしたいとは限らない。

監視マップを構築せずに非公開状態をインデックス化する

エクスプローラーも同様の問題に直面する。公開型チェーンのエクスプローラーが機能するのは、取引、残高、イベントを全員向けにインデックス化できるからである。非公開アプリケーションには、より選択的なアプローチが必要になる。

エクスプローラーは、証明が承認されたこと、関連するアプリケーション、ユーザーが認めた結果を表示できるかもしれない。しかし、その基礎となる状態までは表示できない可能性がある。インデックスシステムが補助情報を収集しすぎれば、取引そのものが非公開のままでも、ユーザーとその活動の地図を再構築してしまう恐れがある。

そのためMidnightの開発者は、何をインデックス化し、誰がアクセスでき、どのくらいの期間保持するのかについて明確なルールを設ける必要がある。対象者ごとに異なる表示も必要になる可能性がある。ユーザーには自身の活動履歴を完全に見せる一方、取引相手には決済に必要な情報だけを表示できる。監査人には、関係のない記録への恒久的なアクセス権を与えずに、特定の事実を証明する期間限定の開示レシートを提供できる。

こうしたレシートは、インフラの重要な一部になる可能性がある。一定の時点で、定められたポリシーに基づき、指定された受領者に対して、ある主張が有効だったことを証明するための、アプリケーション間で持ち運べる手段となるからだ。このようなツールがなければ、選択的開示は中央集権型のダッシュボードや手作業の審査に過度に依存することになる。

リカバリーはプライバシー設計の一部

非公開状態は、アカウントのリカバリーも変える。重要な記録が暗号化されていたり、非公開の認証情報によって管理されていたりする場合、アクセスを失うことは、その記録を解釈したり開示したりする能力を失うことを意味し得る。従来型のバックアップは鍵を守れるかもしれないが、アプリケーションの状態に対するユーザーの理解や、そこに付随する権限まで復元できるとは限らない。

アプリケーションには、回復力と、万能な管理者を生み出すリスクのバランスを取ったリカバリーシステムが必要になる。ソーシャルリカバリー、委任認証、権限を慎重に限定したバックアップ認証情報は役立つ可能性があるが、それぞれ新たな信頼上の前提をもたらす。そうした前提は、ユーザーが平易な言葉で理解できる形で示されなければならない。

人間が読める取引確認も同じくらい重要になる。署名前にユーザーは、機密性の高い入力を公開せずに、操作の影響を理解できるべきである。実際の結果が権利の移転や支出権限の変更、第三者への開示であるなら、「コントラクト呼び出しを承認する」だけでは不十分だ。

Midnightの技術設計は非公開アプリケーションの基盤を提供するかもしれない。しかしエコシステムの次の課題はプロダクト設計である。信頼性の高い非公開状態のインデックス化、検証可能な開示レシート、理解しやすい署名フロー、堅牢なリカバリーを構築するチームが、ネットワークを実験的なユーザー以外にも広げられるかどうかを左右する可能性がある。

プログラム可能なプライバシーは、人々が自信を持って運用できるようになって初めて役立つ。Midnight初のメインネットアプリケーションは、プライバシーが見えなくなることを意味せず、透明性は全面的ではなく選択的になり得ることを示す必要がある。