임계값 서명 체계: 개념

기존 디지털 서명은 한 당사자가 보유한 단일 개인 키를 사용합니다. 해당 키가 손상되거나 도난당하거나 분실되면 그 키로 만든 모든 서명이 위조될 수 있고 키를 복구할 수도 없습니다. 운영 체제의 코드 서명, 인증 기관 키 행사, 암호화폐 지갑 관리와 같은 고가치 서명 작업에는 어느 한 당사자만으로 제공할 수 있는 수준보다 강력한 보호가 필요합니다.

1979년에 고안된 Shamir의 비밀 분산(SSS)은 비밀 s를 n개의 분할 조각으로 나누어 t개의 조각이 있으면 s를 복원할 수 있지만 t개보다 적은 조각으로는 아무것도 알아낼 수 없도록 합니다. 이 방식은 유한체에서 다항식 보간을 사용합니다. s는 무작위 (t-1)차 다항식의 상수항이고, 분할 조각은 서로 다른 점에서 이 다항식을 평가한 값입니다. SSS는 정보 이론적으로 안전합니다.

임계값 서명을 구현하는 순진한 방법은 SSS로 개인 키를 나누고, t명의 당사자가 키를 복원한 다음 서명하도록 하는 것입니다. 이는 목적에 어긋납니다. 개인 키를 복원하면 키가 한 곳에 존재하게 되어 취약해지기 때문입니다. 진정한 임계값 서명을 사용하면 t명의 당사자가 어떤 당사자도 전체 개인 키를 알아내거나 조합하지 않은 상태에서 협력하여 서명을 만들 수 있습니다. 키는 절대로 복원되지 않습니다.

(t, n) 임계값 서명 방식에서는 n명의 당사자가 각각 개인 키의 일부를 보유합니다. t명의 당사자가 대화형 프로토콜을 통해 함께 작업하면 서명을 생성할 수 있습니다. 생성된 서명은 일반 서명과 동일하며 그룹 공개 키로 검증할 수 있습니다. 공격자가 최대 t-1개의 분할 조각을 알아내더라도 개인 키에 대한 어떤 정보도 얻을 수 없습니다.

대화형 임계값 서명에서는 서명에 참여하는 당사자 사이에 여러 차례의 통신이 필요합니다. 당사자들은 커밋 값, 증명, 부분 서명을 교환한 다음 이를 결합합니다. 비대화형 변형에서는 당사자들이 특정 값을 미리 계산하므로 온라인 서명에 필요한 통신 라운드를 하나의 메시지로 줄일 수 있습니다. 지연 시간이 중요한 하드웨어 지갑과 같은 응용 분야에서는 라운드 수를 최소화하는 것이 중요합니다.

표준 SSS에는 분할 조각 보유자가 자신의 조각이 올바른지 검증할 방법이 없습니다. 악의적인 분배자가 일관되지 않은 조각을 배포할 수 있기 때문입니다. 검증 가능한 비밀 분산(VSS)은 다항식 계수에 대한 커밋 값을 추가하여, 각 분할 조각 보유자가 다른 조각을 알지 못한 채 자신의 조각이 공개 커밋 값과 일치하는지 검증할 수 있도록 합니다. Feldman VSS와 Pedersen VSS가 표준 구성입니다.

임계값 서명에는 어느 한 당사자도 전체 개인 키를 알지 못한 상태에서 공유 키를 설정하기 위한 분산 키 생성(DKG) 프로토콜이 필요합니다. DKG가 없으면 신뢰하는 분배자가 키를 생성하고 나누게 되므로, 키를 알고 있는 신뢰 당사자가 생깁니다. DKG는 이러한 신뢰하는 분배자에 대한 요구 사항을 없애며, 블록체인 자산 수탁과 같은 무신뢰 응용 분야에 매우 중요합니다.

기관의 암호화폐 수탁은 오늘날 임계값 서명이 활용되는 분야 중 가장 가치가 높습니다. Coinbase, Fireblocks 및 Anchorage는 임계값 ECDSA를 기반으로 하는 다자간 계산(MPC) 지갑을 사용하여 수십억 달러 규모의 자산을 보호합니다. 한 개의 하드웨어 보안 모듈(HSM)이 개인 키를 보유하는 대신, 키를 지리적으로 분산된 여러 서버에 나눠 보관합니다. 단 한 번의 침해로는 자금 전체가 손상되지 않습니다.

DNSSEC 루트 영역 키 서명 키(KSK) 행사는 HSM 클러스터와 신뢰할 수 있는 커뮤니티 구성원의 정족수를 활용하는 비밀 분산의 한 변형을 사용합니다. 이 행사에서 루트 영역에 서명하려면 물리적 정족수, 즉 전 세계 암호 담당관 14명 중 7명이 필요합니다. 핵 지휘 승인 시스템에서도 여러 승인된 당사자가 협력해야 민감한 작업을 승인할 수 있도록 유사한 분할 키 원칙을 사용합니다.

블록체인 플랫폼은 온체인 다중 서명을 지원합니다. 지정된 n개의 공개 키 중 t개의 키에서 서명을 받아야 하며, 모든 서명은 온체인에서 검증됩니다. 이 방식은 투명하고 단순하며 안전하지만 다중 서명 구조가 드러나고 여러 온체인 작업이 필요합니다. 임계값 ECDSA는 외부에서 하나의 공개 키로 보이는 단일 키에서 하나의 서명만 생성하므로 임계값 구조를 완전히 숨기고 온체인 작업 하나만 사용합니다.

임계값 서명의 보안성은 최대 t-1명의 당사자를 손상시킬 수 있는 정적 또는 적응형 공격자를 대상으로 분석합니다. 정적 공격자는 프로토콜이 시작되기 전에 손상시킬 당사자를 선택하고, 적응형 공격자는 관찰한 메시지를 바탕으로 선택합니다. 적응형 보안을 달성하기는 더 어렵고 더 복잡한 프로토콜이 필요합니다. 배포된 대부분의 임계값 ECDSA 프로토콜은 정적 공격자에 대한 보안성을 증명합니다.

임계 서명을 사용하면 t-of-n 참여자가 개인 키를 복원하지 않고도 서명할 수 있습니다. Shamir 비밀 공유만으로는 충분하지 않습니다. 키를 복원해야 하기 때문입니다. 진정한 임계 서명 방식은 키를 한 번도 조립하지 않는 다자간 계산을 사용합니다. 응용 분야로는 기관용 암호화폐 수탁(Coinbase, Fireblocks), DNSSEC 키 생성 행사, 핵심 인프라가 있습니다. 임계 ECDSA는 표준 단일 서명을 생성하므로, 임계 구조가 드러나는 온체인 다중 서명과 다릅니다.