信頼とセキュリティ

Echoは、ネットワークをブートストラップするコーディネーターを含め、単一の当事者がシステムを一方的に制御できないよう設計されています。信頼は参加者間に分散され、重要な不変条件はCardanoバリデータによってオンチェーンで強制されます。

最小化されたコーディネーター信頼

コーディネーターは限定的な運用上の役割を果たします：新しいエポックをブートストラップし、参加者間のコミュニケーションを促進します。しかし、コーディネーターは以下のことができません：

• コンセンサス署名の偽造 — 有効な閾値署名を生成できるのは集団ネットワークのみ
• メンバーシップの変更 — すべてのメンバーシップ変更にはNFT所有のオンチェーン検証と暗号学的証明が必要
• 資金の窃取 — Echoの上に構築されたアプリケーション（Sailfishなど）は、コーディネーターとは独立して独自のオンチェーン安全メカニズムを強制

コーディネーターの署名鍵は、エポックの初期化などの管理アクションにのみ使用されます。実際のコンセンサス鍵は集団ネットワークに属し、メンバーシップが変更されるたびにローテーションされます。

閾値署名

Echoは、アクションが承認される前に最小数の参加者が独立して同意しなければならない閾値署名方式を使用します。単一の参加者も、閾値未満のサブセットも、有効な署名を生成できません。

これは、一部の参加者が侵害されたりオフラインになっても、閾値が満たされる限りネットワークが正しく動作し続けることを意味します。システムはビザンチン障害耐性を持っています：悪意のあるアクターが少数派である限り、その存在下でも正しい結果を生成します。

オンチェーン検証

Echoのすべてのステート遷移はCardanoのオンチェーンバリデータによって検証されます。メンバーシップが変更される際、バリデータは以下を確認します：

• 新しいメンバーがSmart Accountに必要なNFTを保有していること
• メンバーが参加を承認したことを暗号学的に証明したこと
• メンバーシップレジストリが正しく更新されたこと
• 前のコンセンサス鍵が新しい鍵への移行を承認したこと

アプリケーションがEcho証明を参照する際、バリデータは証明が有効なコンセンサス鍵によって署名されていること、メンバーシップ数が必要な閾値を満たしていること、状態が期限切れでないことを独立して確認します。オフチェーンの主張はそのまま受け入れられません。

エポックベースの有効期限

Echoのステートトークンには組み込みの有効期限があります。エポックが終了すると、そのコンセンサス鍵は新しい証明の生成に使用できなくなります。これにより、鍵が侵害された場合の被害期間が制限され、ネットワークが定期的に参加者セットを更新することが保証されます。

セーフティネット：セルフウィズドロワル

Echoの上に構築されたアプリケーションは、独自の安全メカニズムを実装できます。例えば、Echoコーディネーターやネットワークが利用不可になった場合、依存サービスのユーザーは資金からロックアウトされません。Sailfishのようなサービスには、タイムロック付きセルフウィズドロワルプロセスが含まれており、ユーザーはCardano上で直接資産を回収できます——いかなるオペレーターの協力も不要です。

この安全メカニズムはオンチェーンで強制されます。コーディネーターが消滅しEchoネットワークがオフラインになった場合、セルフウィズドロワルプロセスにより、ユーザーはCardano上で直接資産を回収できるよう設計されています。