技術概要：Falcon署名によるアルゴランド上での量子耐性トランザクション
- Akio Sashima
- 25 分前
- 読了時間: 20分
技術貢献者：Giulio Pizzini、Cosimo Bassi、Steve Ferrigno
序論
アルゴランドは、NIST（米国標準技術研究所）が選定したFalcon署名を用いて、メインネット上で世界初のポスト量子トランザクションを実行しました。このトランザクションは、量子耐性のある署名技術が、稼働中のパブリック・ブロックチェーン上の実際のデジタル資産を、今日から保護できることを実証しています。
1994年にピーター・ショアが量子アルゴリズムを発表して以来、スケーラブルな量子コンピューターがRSAや楕円曲線暗号を破ることは証明されており、議論の焦点は「もし」から「いつ」へと移っています。イーサリアムの共同創設者であるヴィタリック・ブテリン氏を含む一部の研究者は、2030年までに暗号関連の量子コンピューターが出現する確率を20%と予測しています。タイムラインは不確実ですが、古典的な公開鍵暗号に依存する全てのシステムは、量子攻撃が現実になる遥か前にポスト量子戦略を採用しなければならないという示唆は明確です。
最近、アルゴランドはポスト量子セキュリティがもはや理論ではないことを実証しました。アルゴランド財団のプロトコル・チームは、NIST選定の格子ベース署名スキームであるFalcon署名を用いて、アルゴランドのメインネット上で最初のポスト量子トランザクションを実行しました。このトランザクションは、量子耐性の署名技術が、稼働中のパブリック・ブロックチェーン上の実際のデジタル資産を保護できることを示しています。他の多くのチームがポスト量子ロードマップを練っている中、アルゴランドは、今日から実験をサポートする実動コード、稼働中インフラストラクチャ、開発者ツールをすでに展開しています。
ブロックチェーンに対する量子脅威は特に深刻です。全てのトランザクション、バリデータ・メッセージ、コンセンサス投票が、ショアのアルゴリズムによって破られる可能性のある公開鍵署名に依存しています。量子能力を持つ攻撃者は、ブロックを偽造し、資金を盗み、取引履歴を書き換えることができます。たとえ大規模な量子コンピューターがまだ数年先だとしても、「今収集し、後で解読する（Harvest now, decrypt later）」という問題があります。これは、今日、量子以前のスキームで署名されたデータは、量子コンピューターが出現した瞬間に危険に晒されることを意味します。数十年の安全な運用を目指すシステムにとって、今準備することはエンジニアリング上の必須要件であり、被害妄想ではありません。アルゴランドの台帳は、すでに Falcon-1024署名を使用して256ラウンドごとにステート証明（State Proofs）を生成しているため、量子セキュアですが、台帳自体はポスト量子対策の一部にすぎません。
実稼働環境でポスト量子暗号を実装するには、大きな技術的課題が伴います。Falcon署名は、Ed25519の64バイト署名よりも約10倍もサイズが大きいため、メッセージ伝播、ストレージ要件、検証コストに影響を与えます。アルゴランドのアプローチは、そのロジック署名機能（Logic Signature feature）を利用して、Falcon公開鍵をステートレスなスマートコントラクトに埋め込み、取引IDの署名を検証します。これらのコントラクトは標準的なアルゴランド・アドレスにコンパイルされるため、ユーザーは他のアカウントと同じように資金提供や操作が可能です。鍵生成、アドレス派生、トランザクション署名のためのコマンドライン・ツールと組み合わせることで、ポスト量子実験のための完全な開発者ワークフローが完成します。
この記事では、アルゴランドがどのようにして最初のポスト量子トランザクションを構築したか、それを可能にした技術アーキテクチャ、そして開発者がこれらのツールで今日何ができるかを検証します。私たちは、Falconの暗号設計、ロジック署名による検証の流れ、パフォーマンスに関する考察、そして量子コンピューティングの進展に伴うブロックチェーンセキュリティへの広範な影響を探ります。
Falconの概要：NIST選定のポスト量子署名
Falconの実装は、Craig Gentry（元アルゴランド財団リサーチフェロー）、Chris Peikert（アルゴランド・テクノロジーズ暗号部門責任者）、Vinod Vaikuntanathan（MIT教授、アルゴランド科学アドバイザー）による先駆的なGPV研究に基づいています。アルゴランドのDr. Zhenfei Zhangは、協力者と共に、最終的にNISTに承認されたデジタル署名アルゴリズムの一つとして選定されたFalconの提案に貢献しました。
Falconは、2022年にNISTによってFalcon-512およびFalcon-1024という名称で標準化のために選定された格子ベースのデジタル署名スキームです。これはNTRU格子の構造に依存しており、量子攻撃に対して強力な耐性を提供しつつ、署名サイズをコンパクトに保ち、検証を高速に実行します。Falconの設計目標は、RSA-3072やEd25519に匹敵するセキュリティを達成することですが、帯域幅（通信容量）と遅延に敏感な環境（ブロックチェーン・システムなど）への展開に適した、量子耐性の基盤を持たせることです。
設計上のトレードオフ
Falconの署名プロセスは、浮動小数点演算と高速フーリエ・サンプリングに依存しており、純粋な整数演算を使用するDilithiumなどのスキームと比較して、正しく実装するのがより複雑です。これらの数値精度要件のため、実装では、微妙なセキュリティ上の問題を避けるために、丸め処理やサンプリングを慎重に扱う必要があります。NISTのリファレンス実装やPQClean、liboqsのような最適化されたライブラリは、プラットフォーム間での再現性を確保するために、決定論的な丸め処理を伴う倍精度浮動小数点演算を使用しています。
実用的なパラメータでは、Falcon-1024署名は約1280バイト、公開鍵は約1793バイトです。ガウス・サンプリング・ステップのため、署名生成は計算負荷が高いですが、検証は整数演算のみを使用するため、非常に高速です（最新のCPUで通常100マイクロ秒未満）。この「複雑な署名」と「高速な検証」の非対称性は、検証が署名よりも頻繁に行われるブロックチェーン・プロトコルにFalconが特に適している理由です。コンパクトなサイズと相まって、これらの特性はFalconを、帯域幅と性能に敏感なアプリケーションにとって魅力的な選択肢として位置付けています。
標準化とセキュリティレベル
NISTは、ポスト量子暗号ラウンド3のプロセスの一環としてFalconを選定しました。Falcon-512$はAES-128$に、 Falcon-1024$はAES-192（NISTレベル5）にほぼ相当するセキュリティレベルを提供します。このアルゴリズムは、強固な数学的基盤と数年間にわたる暗号解析レビューに裏付けられています。現在のFalconエコシステムには、署名のための決定論的モードとランダム化モードの両方が含まれており、タイミング・サイドチャネル攻撃を軽減するためのコンスタント・タイム実装のガイダンスもあります。
NISTがFalconをDilithiumと共に採用した決定は、性能と実装のしやすさの間の意図的なバランスを反映しています。Dilithiumはよりシンプルな整数演算と統合の容易さを優先する一方で、Falconは帯域幅と検証コストを最小限に抑えます。実際には、このトレードオフにより、署名サイズと検証速度がプロトコルのスループットに直接影響するアルゴランドのステート証明やトランザクション検証などのアプリケーションにとって、Falconは特に魅力的です。
なぜFalconがアルゴランドの設計に適合するのか
アルゴランドのプロトコルは、署名検証に対して厳しい性能要件を課しています。各ブロックには複数の検証レイヤーが含まれ、ネットワーク全体で毎秒数千の署名が検証される可能性があります。Falconのコンパクトな署名サイズと高い検証速度は、これらの要件と密接に一致しています。ハッシュベースやコードベースのより大きなスキームとは異なり、Falconはブロックサイズを膨張させたり、コンセンサス時間の前提を崩したりすることなく、ポスト量子署名統合をアルゴランドに可能にします。
アルゴランドは、ステート証明メカニズム内ですでにFalconを使用しています。ステート証明では、コンパクトで集約可能な証明によって、外部チェーンが仲介者を信頼することなくアルゴランドの状態を検証できます。Falconをステート証明に有効たらしめている「署名が小さい」「検証が速い」「決定論的な演算」という同じ特性は、汎用トランザクション署名にとっても自然な選択肢となります。既存のFalcon統合をステート証明からトランザクションに拡張することで、アルゴランドは暗号実装と開発者ツールの両方で継続性を実現しています。ただし、Falconはポスト量子耐性に対する有望な暗号ソリューションですが、アカウントやコンセンサス層などの他のプロトコル要素を保護するために実装するには、まだ実験的であり、追加の課題が伴うことには注意が必要です。
アルゴランドにおけるFalconの実装
アルゴランドは、本番環境レベルのFalcon実装を、決定論的な署名モードとコンスタント・タイム（一定時間）のコーディング手法と共に提供しています。この実装は、コアCコードを提供したThomas Pornin、そして決定論的モードの設計と実装を手がけたDavid LazarとChris Peikertの功績に基づいています。このコードベースは、後の記事で詳述されるステート証明とポスト量子トランザクションのデモの両方を支えています。
目標と制約
この統合は、以下の3つの目標を対象としています。
コンセンサスへの影響を最小限に抑える: 検証を決定論的かつ制限された範囲内に保ち、ブロック時間と委員会選定が既存のタイミング予算内に収まるようにします。アルゴランドのノードは、すでに暗号処理を検証専用のプールに分割しており、新しいプリミティブ（基本要素）の追加を簡素化しています。
プロトコル互換性のある承認: ポスト量子（PQ）アカウントがネットワークの観点から通常のアカウントのように振る舞うように、アルゴランドのステートレスな承認パスを再利用します。ロジック署名の実行は、すでにトランザクション承認のための標準的なステートレスなゲート（関門）となっています。
運用上の実用性: 鍵生成、アドレス導出、署名、トランザクション提出のためのツールを提供し、サイズとコストがロジック署名の制限内に収まるようにします。
オンチェーン検証プリミティブ：falcon_verify
FALCONの検証機能は、ネイティブなオペコード（機械語）である falcon_verify としてアルゴランド仮想マシン（AVM）に公開されています。TEALまたはTEALにコンパイルされる上位言語では、このオペコードは (データ, 署名, 公開鍵) を受け取り、ブール値（真偽値）を返します。署名フォーマットは、圧縮されたFalconエンコーディングです。このオペコードは $AVM\ v12$ で利用可能であり、ステートレス・プログラムとステートフル・プログラムの両方で使用できます。
ロジック署名とスマートコントラクトは、明示的なオペコード予算の下で実行されます。ステートレス・プログラムには全体のコスト上限が設けられており、これはトランザクションに付随する暗号ワークロードを制約します。この予算モデルは、規模を拡大してもブロック検証の予測可能性を保つために重要です。
ロジック署名によるステートレスな承認
アルゴランドは、特定の署名スキームに依存することなくトランザクションを承認するためにロジック署名（Logic Signatures）を使用します。コンパイルされたロジック署名プログラムは、カノニカル（標準的）なアルゴランド・アドレス（コントラクト・アカウント・モード）に対応します。そのアドレスに資金を投入すると、それは使用可能なアカウントとなり、その使用（送金など）はプログラムを満たさなければなりません。これこそが、アルゴランドがFalcon公開鍵をホストし、トランザクションIDに対するFalcon署名を強制するメカニズムです。
検証時、ノードはロジック署名（プログラム）を評価します。プログラムがスタック上でゼロ以外の値で完了した場合、そのトランザクションは承認されます。これはステートレス・モードで一律に適用されるため、Falconによって保護された送金は、従来のトランザクションと同じパイプラインを通ります。
プログラムが検証すること
ロジック署名が検証するのは、トランザクションIDに対するFalcon署名です。アルゴランドでは、Hash(Tx)は、カノニカルな MsgPackを使用してエンコードされたトランザクション・フィールドの標準ハッシュです。ロジック署名はこのダイジェストを計算または受け取り、その後 falcon_verify(Hash(Tx), sig, pk) を呼び出して承認をゲート（制御）します。この結果は、送金を正確な、カノニカルなトランザクションエンコーディングに結びつける暗号チェックとなります。
アドレス導出と「オフカーブ」安全性
Ed25519アカウント・スペースとの意図しない重複を避けるため、ツールはロジック署名をコンパイルした後、決定論的に小さなカウンターを微調整し、プログラムのアドレスがオフカーブ（Off-curve point）となるようにFalcon制御アドレスを導出します。これにより、従来のパスを通じてそのアドレスでの送金を承認できる対応する古典的な秘密鍵が存在しないことが保証されます。その結果、標準的なアドレス・フォーマットを維持しつつ、ポスト量子アカウントと古典的アカウントの明確な分離が実現します。
パフォーマンスとコスト
Falconの検証は、高スループットのシステムに十分な速さで設計されています。オペコードのコスト値は実装によって定義されますが、ロジック署名の総予算により、falcon_verifyと標準チェックを使用するプログラムがトランザクションごとの制約内に収まることが保証されます。これにより、リレーやバリデーターにとってブロックのアセンブリ（組み立て）と検証の予測可能性が保たれます。比較のために、プラットフォームは $ed25519verify$ のような暗号オペコードの高いコストを文書化しており、すべての暗号チェックに対して同じ予算モデルを強制しています。
ステート証明での使用
アルゴランドは、ステート証明に署名するために既にFalconを使用しています。ステート証明は、ライト・クライアントや他のチェーンが仲介者を信頼することなくアルゴランドの状態を検証するための、簡潔で検証可能なコミットメントを提供します。そこでは、同じ決定論的なFalconコードと圧縮署名処理が適用されるため、開発者が学ぶべき可動部分の数が減ります。
セキュリティと相互運用性
スコープと制限: Falconで保護されたアカウントは、量子能力を持つ攻撃者による送金から保護されますが、コンセンサスをアップグレードするわけではありません。これは別の作業ストリームとして残ります。言い換えれば、量子コンピューターは今日、コンセンサスを攻撃し、混乱させることはできても、Falconで保護されたアカウントからの資金の送金（またはその他の種類のトランザクションの署名）のための有効な署名を生成することはできません。
証明可能な不正行為: Falcon公開鍵の下で検証される権限のない署名は、自己完結的で第三者が検証可能な証明（公開鍵、メッセージ、署名）を生み出します。決定論的な署名と固定されたソルト・バージョンがあれば、同じメッセージに対する競合する署名や許可されていないソルトでの署名は、署名者によるルール違反または鍵の漏洩の明確な証拠となります。これにより、フォレンジック（鑑識）や、その後のポリシー（アラートや鍵のローテーションなど）が容易になります。
Falcon署名CLIを使用したポスト量子トランザクションの作成
私たちのプロトコル・チームは、開発者がアルゴランド上でFalcon署名を試せるように、Falcon署名CLI (Command Line Interface)を構築しました。このツールチェーンは、鍵生成からオンチェーンでの送金までの完全なパスを提供し、メインネット、テストネット、およびベータネットのパブリック・エンドポイントに対して機能します。
大まかに言えば、CLIは、Falcon公開鍵を保持し、トランザクション IDに対するFalcon署名を検証するステートレスなロジック署名として、ポスト量子アカウントをモデル化します。あなたはFalcon鍵ペアを生成し、公開鍵から標準的なアルゴランド・アドレスを導出します。それを任意のウォレットでファンド（資金提供）した後、あなたのFalcon署名を使ってロジック署名が承認するトランザクションを送信します。これにより、ポスト量子署名が、アルゴランド上でエンドツーエンドで実行できる反復可能なワークフローになります。
CLIには、一般的な暗号ユーティリティと、アルゴランド特有のコマンドが含まれています。鍵の作成（24単語のBIP-39ニーモニックシードとオプションのパスフレーズによるランダム生成、ニーモニックなしの高エントロピーなランダム生成、またはシードパスフレーズからの決定論的な導出）、検査、メッセージへの署名、署名の検証が可能です。オンチェーンでの使用のために、falcon algorand addressがアドレスを導出し、falcon algorand sendがそのアドレスからのトランザクションを構築、署名、提出します。
以下のウォークスルーでは、CLIを使用してFalcon鍵を作成し、アルゴランド・アドレスを導出し、アドレスに資金を提供した後、最後にFalcon署名付きトランザクションをアルゴランドのテストネットに投稿します。
1. Falcon鍵の生成
falcon createコマンドは、いくつかの異なるオプションで新しいFalcon-1024鍵ペアを生成します。
256ビットのエントロピーを提供する、24単語のBIP-39ニーモニックシードをランダムに生成し、それから鍵ペアを導出する（デフォルト）。
384ビットのエントロピーを持つ、ニーモニックなしの新しい鍵ペアをランダムに生成する（--no-mnemonicを使用）。
シードパスフレーズから決定論的に鍵ペアを導出する（--seedを使用）。エントロピーはパスフレーズの強度に基づく。
このケースでは、デフォルトのオプションを使用します。
これにより、falcon\_keys.jsonファイルに新しいFalcon-1024鍵ペアが生成されます（以下は省略形式）。
2. アルゴランドアドレスの導出
falcon algorand addressコマンドは、Falcon公開鍵によって制御されるアルゴランド・アドレスを、オプションのニーモニック・パスフレーズと共に生成します。カウンター・リジェクション・ループにより、生成されたロジック署名アドレスが有効なEd25519鍵ではないことが保証され、従来の鍵ペアがそのアカウントの送金を承認できないようになります。
ここで、前のステップで生成した鍵ペアを使用してアドレスを導出します。
これにより、次のアドレスが生成されます。
3. アカウントへの資金提供
これでFalcon-1024鍵ペアから導出されたアドレスができたので、アカウントに資金を提供する必要があります。これは、Loraで利用可能なテストネット・ディスペンサーを使用して行います。
4. PQ Falcon制御アカウントからの送金
最後に、falcon algorand sendコマンドを使用して、Falcon制御アカウントからAlgoを送金します。
このコマンドは、以下の動作をトリガーします。
Falcon公開鍵からポスト量子ロジック署名アカウントを導出します。
鍵と1バイトのカウンターを、トランザクションIDに対してfalcon_verifyを呼び出すプリコンパイルされたTEALプログラムに埋め込みます。
支払いトランザクションを構築し、ロジック署名アドレスを送信者、受信者アドレス、金額、オプションのノート、そして空に設定された$close-toアドレスとして設定します。
成功した場合、falcon algorand sendコマンドはトランザクションIDを返します。
Lora$を使用すると、テストネットでのトランザクションの成功を確認し、コンパイルされたロジック署名を見ることができます。
このウォークスルーは、アルゴランド上のポスト量子暗号が、単なる願望的なポスト量子戦略における思考実験ではなく、現実世界の実装であることを示しています。開発者は、今日から量子セキュアなアカウントを作成し、取引を行うことができます。Falcon-1024$鍵ペアを生成し、ポスト量子署名によって制御されるアルゴランド・アドレスを導出し、オンチェーン・トランザクションを成功させることで、量子耐性アカウントの完全なライフサイクルが示されました。Falcon署名CLIは、NIST標準化された格子暗号を、開発者がすぐに使用し実験できる実用的なツールに統合する際の複雑さを抽象化しています。この実装は、コア・プロトコルを変更するのではなく、ロジック署名を量子セキュリティへの橋渡しとして使用していますが、ブロックチェーン・システムがコンセンサス・レベルの変更を待つことなく、今すぐにポスト量子セキュリティへの移行を開始できることを証明しています。
影響、限界、そして今後の道筋
アルゴランドによるFalcon署名の実装は、ブロックチェーンの量子耐性における重要なマイルストーンを築きましたが、現在の適用範囲、限界、そして将来の軌道を理解することは、即座に可能なことと長期的な可能性を評価するために極めて重要です。
現在の保護状況
今日のこの実装は、トランザクションIDに対するFalcon署名を検証するロジック署名を通じて、個々のユーザー・アカウントを保護し、プロトコルを変更することなく量子耐性アカウントの作成を可能にするものです。これは、ポスト量子アカウントを作成し使用するための究極のソリューションを意図したものではなく、開発者がアルゴランド上でポスト量子暗号を試すためのツールを提供することが目的です。さらに、アルゴランドのステート証明はFalcon署名を利用して、ブロックチェーンの状態に対する量子セキュアな証明を提供し、256ラウンド分のブロックヘッダーを証明書に圧縮することで、外部チェーンやライト・クライアントによるトラストレスな検証を可能にします。これにより、チェーンの履歴の整合性が将来の量子攻撃から守られます。
しかし、重要なコンポーネントは依然として量子的に脆弱です。コンセンサス・メカニズムは、ブロック提案と委員会投票に古典的なEd25519署名に依存しています。ソート選択に基づく委員会選定のための検証可能ランダム関数（VRFs）は、ショアのアルゴリズムに対して脆弱な量子以前の暗号を使用しています（具体的には、量子攻撃によって委員会のメンバーシップが事前に予測される可能性があります）。個々のアカウントと履歴の状態は量子セキュリティを達成しましたが、コンセンサス層そのものは、将来の量子脅威に対して脆弱なままです。
パフォーマンスのトレードオフ
ポスト量子暗号への移行は、無視できないコストを伴います。Falcon署名はEd25519署名よりも著しく大きいですが、署名するデータのサイズに関わらず、比較的一定のサイズ（1-2KB）を維持するという利点があります。Falconの検証は比較的速いままですが、ロジック署名におけるオペコード予算の制約により、複雑なマルチシグ・スキームのコストは高くなります。これらのトレードオフこそが、暗号の全面的な置き換えがすぐに実行不可能である理由であり、今回実証されたようなハイブリッドなアプローチが必要とされます。
近日中のアプリケーション
この基盤は、今日、実用的な量子セキュアなアプリケーションを可能にします。ウォレット開発者は、Falcon鍵の生成と署名を統合し、従来の（古典的な）アカウントと並行して量子耐性のあるアカウントをユーザーに提供できます。マルチシグ・スキームも、スマートコントラクト・ベースのマルチシグ・ソリューションを通じてFalcon署名を使用するように適合させ、量子セキュアな財務管理を実現できます。
プロトコル進化のロードマップ
コンセンサス層を保護するには、より深いプロトコルの変更が必要です。委員会選定のための量子耐性のあるVRF（検証可能ランダム関数）の開発は、ランダム性と効率性の両方を必要とする困難な研究課題を提示しています。ユーザー・アカウントとステート証明をまず確保するというプロトコル・チームの漸進的なアプローチは、最終的なコンセンサス層への移行に不可欠な運用経験を提供します。
エコシステムへの影響と標準化
アルゴランドがNIST標準化されたFalconを採用したことで、クロスチェーンのポスト量子相互運用性の最前線に位置づけられました。他のブロックチェーンが量子耐性を実装する際、Falconは安全なクロスチェーン通信のための共通基盤を提供します。ステート証明はすでにこの可能性を実証しており、外部チェーンが量子耐性を持ってアルゴランドの状態を検証することを可能にしています。
オープンソースのFalcon署名CLIは、実用的なツールであると同時に教育リソースとしても機能します。研究者は最初のポスト量子トランザクションを再現し、実装の詳細を研究し、変更を試すことができます。理論的な提案ではなく、動作するコードを提供することで、アルゴランドは実用的なポスト量子ブロックチェーンの展開に関する業界の理解を加速させます。
謝辞と貢献者
この成果は、アルゴランドの暗号およびエンジニアリング・チームによる長年の献身的な努力を反映しています。FalconのNIST提出に貢献したDr. Zhenfei Zhangとその協力者、Chris Peikert（アルゴランド・テクノロジーズ暗号部門責任者）、そして決定論的なFalconバリアントを実装したチームに特に感謝の意を表します。彼らの仕事は、ポスト量子セキュリティを学術的な理論から実稼働の現実へと変えました。さらに、Algorand TechnologiesとJohn JannottiがFalcon署名検証をアルゴランド仮想マシンで利用可能にした努力、そしてアルゴランド財団のプロトコル・チーム（Giulio Pizzini、Cosimo Bassi、Steve Ferrigno）が、開発者、暗号学者、研究者のためにこの非常に価値のあるツールを構築したことに感謝します。
次のステップ
Falcon公開鍵をトランザクションIDの署名を検証するステートレスなスマートコントラクトに埋め込むことで、アルゴランドはコア・プロトコル・コードを変更することなく、量子セキュアなアカウントを可能にします。このFalcon署名は、セキュリティ・モデルの根底にある格子ベースの数学にもかかわらず、ロジック署名のサイズ制限内に収まり、検証は200マイクロ秒未満で完了します。ステート証明は、すでにこの全く同じFalcon実装を使用して、256ブロックごとに量子耐性のあるチェーン状態の証明を作成しています。
これは、理論から実践への移行を示しています。研究者がRSA-2048を破る量子コンピューターが2030年に登場するか2040年に登場するかを議論している間も、アルゴランドは今、その脅威から保護するためのツールを提供しています。開発者は、オープンソースのCLIを使用してFalcon鍵ペアを生成し、量子セキュアなアドレスを導出し、トランザクションを実行できます。
詳細はこちら：
Algorand Specs：Falcon実装を含む、アルゴランド・プロトコルの詳細な解説。
Falcon Signatures CLI：アルゴランド上でFalcon署名をダウンロードして試す。
コメント