検証可能ランダム関数（VRF）

分散台帳で「公平な乱数」が難しい理由

分散台帳（distributed ledger）では、次にブロックを提案するのは誰か、どのバリデータが委員会に選ばれるか、といった判断に乱数が要ります。ところがパブリックチェーンには信頼できる乱数の発生源がありません。誰かが乱数を握れば、自分が有利になる値を選んだり（操作）、当選者を先読みして狙い撃ちしたり（予測）できてしまいます。合意の安全性（/blockchain/consensus-pow-pos/）を守るには、乱数そのものが操作耐性と予測不能性を備えていなければなりません。

同時に、ブロックチェーンでは「正しく引いた」ことを誰もが後から検証できる必要があります。当選者が「自分は正当に選ばれた」と主張しても、他ノードがそれを鵜呑みにはできません。乱数の秘密性（予測させない）と検証可能性（後から監査できる）は一見矛盾します。この緊張を1つの道具で解くのが**検証可能ランダム関数（Verifiable Random Function, VRF）**です。Micali・Rabin・Vadhan（1999）が定式化しました。

VRFの3つの性質

VRFは3つの性質を同時に満たします。この組み合わせが操作耐性の土台です。

要点は一意性です。ハッシュ関数なら誰でも同じ出力を再現できますが、それでは秘密鍵の保持者だけが引ける乱数になりません。逆に、鍵所有者が入力ごとに出力を自由に選べては、自分に都合のよい値を作れてしまいます。VRFは「秘密鍵ごと・入力ごとに出力が決定的に一意」で、しかも鍵所有者自身にも選択の余地がない点が鍵です。この一意性のおかげで、後述のリーダー選出において当選者は事前に運命づけられ、恣意的な操作が入り込めません。

VRFの操作は3つのアルゴリズムで表せます。

KeyGen()            -> (sk, pk)          # 秘密鍵と公開鍵の対を生成
Prove(sk, x)        -> (y, pi)           # 入力 x から出力 y と証明 pi を計算
Verify(pk, x, y, pi) -> true / false     # y が x から正しく導かれたか検証

Prove は秘密鍵 sk を持つ者しか実行できません。一方 Verify は公開情報だけで動くので、ネットワーク上の誰もが当選の正しさを独立に確かめられます。この非対称性が、秘密性と検証可能性の両立を成り立たせています。

ECVRFの内部：署名を乱数源に変える

実用的なVRFは楕円曲線上で構成されます（ECVRF、IRTF が RFC 9381 として標準化）。骨格は決定的な楕円曲線署名に近く、署名・鍵管理で扱うECDSA/EdDSAと同じ数学の上に立ちます。生成点 G、位数 n、秘密鍵 x（1 以上 n 未満）、公開鍵 Y = xG を前提に、入力メッセージ alpha を次のように処理します。

Prove(x, alpha):
  H = hash_to_curve(alpha)      # 入力を曲線上の点へ写す（出力を選べない核心）
  Gamma = x * H                 # 秘密鍵倍した点。これが乱数の種
  # 「Gamma = x*H かつ Y = x*G の x が同一」であることの
  # 非対話ゼロ知識証明（NIZK, Fiat-Shamir変換）
  k = 決定的に導いた乱数
  c = Hash(H, Gamma, k*G, k*H)  # チャレンジ
  s = k + c*x  (mod n)          # レスポンス
  pi = (Gamma, c, s)            # 証明
  y = Hash(Gamma)              # 最終的な乱数出力（一意）
  return (y, pi)

Verify(Y, alpha, y, pi=(Gamma, c, s)):
  H = hash_to_curve(alpha)
  U = s*G - c*Y                 # = k*G を復元
  V = s*H - c*Gamma             # = k*H を復元
  c' = Hash(H, Gamma, U, V)     # Prove と同じ入力で再計算
  有効 <=> c' == c かつ y == Hash(Gamma)

一意性が成り立つ理由は Gamma = x*H にあります。公開鍵 Y = xG が固定である以上、離散対数問題が難しい前提の下では、検証を通る Gamma は入力 alpha（ひいては H）ごとにただ1点に定まります。鍵所有者が別の Gamma を選んでも、Y と整合するゼロ知識証明を作れません。ここが「鍵所有者ですら出力を選び直せない」という操作耐性の源泉です。

PoSのリーダー選出と暗号くじ（sortition）

VRFの代表的な用途が、Proof of Stake（/blockchain/consensus-pow-pos/）でのブロック提案者や委員会の選出です。素朴に「ステーク量に比例して当選確率を割り当てる」だけなら公開情報でできますが、それでは次の当選者が全員に事前に分かってしまい、標的DoSや検閲の的になります。VRFを使うと、各バリデータが自分の鍵で秘密裏にくじを引き、当たったときだけ証明付きで名乗り出られます。

暗号くじ（cryptographic sortition）の骨子は次の通りです。共通のシード（前ラウンドの乱数など）とラウンド番号を入力にして、各自がVRFを評価します。

seed = 直近の確定した乱数（全員が同じ値を参照）
(y, pi) = VRF.Prove(sk_i, seed || round || role)
# 出力 y を [0,1) に正規化し、自分のステーク比率に応じた閾値と比較
当選 <=> normalize(y) < 自分のステーク配分に基づく閾値
if 当選:
    ブロック（や投票）に (y, pi) を添えて放送

受け取った側は VRF.Verify(pk_i, seed||round||role, y, pi) で当選の正しさを検証し、複数の当選者がいれば y の値で優先順位（最小の y を提案者にする等）を決めます。Algorand はこの方式で提案者と投票委員会を毎ラウンド秘密に選び、当選者は自分が話す直前まで匿名でいられます。**Cardano（Ouroboros Praos）**もスロットリーダー選出にVRFを用います。

正当な提案が確定へ進む過程はファイナリティとフォーク選択の規則に従い、当選者が担うのはあくまで「提案する権利」です。二重提案などの違反は、トークンとインセンティブ設計で扱うスラッシングで経済的に罰せられます。

操作耐性：ブロックハッシュ乱数との違い

「ブロックハッシュを乱数に使えばよい」という素朴案がなぜ危ういかを見ると、VRFの操作耐性が際立ちます。ブロック提案者は、自分が作るブロックの中身（トランザクションの取捨・並べ替え・ノンス）を少しずつ変えれば、結果のハッシュを何通りも試せます。当選や配当が自分に有利になるハッシュを選んで採用する——これがgrinding攻撃です。乱数の生成者が結果を試行錯誤で選べる限り、その乱数は操作されうると考えるべきです。

VRFはこの穴を一意性でふさぎます。入力（シード）を固定すれば、各バリデータの出力は鍵ごとにただ1つに決まり、試し引きの余地がありません。出力を変えたければ入力を変えるしかありませんが、シードは過去の確定値なので単独では動かせません。「引き直し」を原理的に封じている点が、ハッシュ流用との本質的な差です。

commit-reveal（RANDAO）方式との比較

VRF以前から使われる乱数生成がcommit-revealです。各参加者がまず秘密値 r_i のハッシュ commit_i = Hash(r_i) を提出（commit）し、全員のcommitが出そろってから r_i を公開（reveal）、公開された値のXORやハッシュを最終乱数とします。commit段階で値を隠すので、他人の値を見てから自分の値を合わせる操作は防げます。EthereumのRANDAOがこの系統です。

commit-revealの弱点はlast-revealer攻撃です。最後にrevealする者は、他全員の値を見た上で最終乱数を計算でき、結果が気に入らなければ自分のrevealを**わざと出さない（棄権する）ことで乱数を1つ捨てられます。棄権にペナルティがあっても、当選利得がそれを上回れば偏らせる誘因が残ります。RANDAOは各エポックで多数のバリデータの寄与を積み重ねてこの影響を薄めますが、最後の数ブロックの提案者によるわずかなバイアス（一定ビットの操作余地）**は原理的に残ります。

まとめ

• VRFは秘密鍵の保持者だけが計算でき、入力ごとに出力が一意に決まる擬似乱数関数。出力に証明を添え、公開鍵で第三者が正しさを検証できる。
• 満たす性質は一意性・擬似ランダム性・証明可能性の3つ。ECVRFは入力をhash_to_curveで曲線上の点に写し、秘密鍵倍した点から出力を作る。実体はNIZK付きの決定的署名。
• 一意性が操作耐性の核心で、鍵所有者ですら出力を選び直せない。ブロックハッシュ流用のような**grinding（引き直し）**を原理的に封じる。
• PoSの**リーダー選出・暗号くじ（sortition）**で、当選者を事前に予測させず後から公開監査できる。Algorand・Cardano Praosが代表例。
• commit-reveal（RANDAO）は分散生成だがlast-revealer攻撃に弱い。実際のチェーンはVRFやVDFと組み合わせ、grindingと棄権の双方を抑える。