DuskのCitadelについては、正直なところ結構しばらく考えていました。

Citadelがやろうとしていることは、私はかなり良いと思っています。利用者が一度だけコンプライアンス確認を行い、証明書を受け取れば、その後は別のプラットフォームに行くときに「条件を満たしている」ことを示すだけで済みます。毎回、身分証や住所証明を繰り返し提出する必要がありません。毎回少しでも必要書類が減れば、漏えいのリスク面も一層減ります。利用者の立場からすると、確かにかなり楽になります。

Duskは2023年の告知でCitadelが「リリースされた」と述べています。さらに2024年8月にはv0.14.0が出ており、2025年にもv0.15.0の更新があります。コードが存在するという観点から見れば、確かにずっと反復・改善が続いています。

ただ、ずっと分からない点が1つあります。リリースから3年経つのに、実際にどれだけの人が使っているのでしょうか？コードがあるかどうかではなく、Citadelの証明書を持った本当の利用者が、どの実際の規制対象市場に入っているのかを知りたいのです。証明書の発行量、アクティブな検証機関、取り消し（リボケーション）記録といったデータは、公開資料の中では見つかりません。技術の提供と、ビジネスとしての採用は別物で、混ぜて語ることはできません。

もう1つ、気になってあまり安心できない点があります。ゼロ知識証明は、証明書が条件を満たしていることを証明できます。しかし、発行機関が誤った情報を入力していたり、証明書の取り消しが必要になったりした場合、利用者はどうやって異議申し立て（申請）するのでしょうか？ほかのプラットフォームは、その後も継続して受け入れるのでしょうか？証明書1枚で複数プラットフォームに使い回せるのは効率的ですが、発行機関側のミスがより多くの場所に拡大してしまう可能性もあります。この仕組みの許容範囲（フォールトトレランス）や、更新の手順について、現時点では包括的な説明を私は見ていません。

Citadelに価値がないと言いたいわけではありません。「条件を満たしていること」と「自分の全情報」を分けるのは、確かにコンプライアンスとプライバシーのために進むべき方向です。ただ、論文やSDKが揃っていることは、ツールがあることを示すだけで、信頼ネットワークがすでに形成されていることまでは証明しません。

Duskが最初の証明書発行者を公開し、利用可能なサービス、取り消しや異議申し立ての記録も出してくれるまで、私はそれが本当の防波堤（護城河）なのか、それとも走り切れていない別のプロトコルなのかを判断できません。その前に、ひとまず疑問符をつけておきます。#dusk $DUSK @Dusk