양자컴퓨터 시대 대비 비트코인, 데이터 10배 증가…노드 부담 가중

미래 양자컴퓨터의 공격으로부터 비트코인을 보호하기 위한 새로운 서명 방식이 네트워크 노드에 상당한 부담을 줄 수 있다는 분석이 나왔습니다. 특히, 복구 절차나 서명 서버 장애 시 적용되는 'SHRINCS(Stateless Hash-based Recursive INteractive Cryptosystem)' 초안은 현재보다 최대 10배 더 큰 데이터를 처리해야 할 가능성이 제기되어, 비트코인 네트워크의 효율성에 대한 우려를 낳고 있습니다.

코인베이스(Coinbase)의 브라이언 암스트롱 최고경영자(CEO)는 지난 10월 20일, 업계 전반에 걸쳐 양자컴퓨팅 대비를 위한 준비와 협력을 촉구하는 발언을 했습니다. 이는 10월 13일 샤샥 앙그라왈(Shashank Agrawal) 코인베이스 연구원의 기사에서 제기된 기술적 논의와 맥을 같이 합니다. 해당 기사는 새로운 서명 방식이 일반적인 지갑, 복구 절차, 독립적으로 운영되는 커스터디 서버와도 원활하게 작동해야 한다고 강조했습니다.

SHRINCS는 해시 기반 서명 방식의 일종으로, 이전 서명 기록에 대한 신뢰할 수 있는 기록을 요구하는 더 작은 서명과 해당 기록이 없을 때 작동하는 더 큰 대체 서명을 결합합니다. 현재 초안 규정 하에서는, 서명 상태(state)가 불확실한 상황에서의 복구 시 더 큰 규모의 대체 서명 경로를 사용해야 합니다. 이는 사용자가 비밀 키를 복구할 수 있다면 서명을 계속할 수 있는 경로를 유지해주지만, 더 작은 서명을 유지하기 위해서는 추가적인 운영상의 규율이 필요하다는 절충안을 의미합니다.

현재 SHRINCS의 구체적인 사양은 48바이트의 공개 키, 548바이트에서 4,619바이트 사이의 상태 기반 서명(stateful signature), 그리고 5,777바이트의 상태 비저장 서명(stateless signature)으로 명시되어 있습니다. 여기서 '상태'란 특정 키가 이미 사용한 일회용 서명 슬롯의 변경 기록을 의미합니다. SHRINCS의 압축된 구성 요소(XMSS)는 이러한 슬롯을 재사용하지 않는다는 점에 의존합니다. 동일한 슬롯을 다른 메시지에 재사용하면 관찰자가 서명을 위조할 수 있습니다.

백업을 통해 장기 비밀 키를 복구하는 것은 가능하지만, 백업 이후 생성된 모든 서명의 신뢰할 수 있는 기록을 복구하는 것은 별개의 문제입니다. 앙그라왈은 또한 서명과 상태 업데이트가 반드시 온체인 거래로 이어지지 않을 수도 있다고 설명했습니다. 올바른 상태 정보를 사용할 수 없을 때, 정적 백업으로부터 복원한 후를 포함하여, 구현 시 상태 기반 서명을 거부하고 상태 비저장 경로만 사용해야 합니다. 이 대체 경로는 SLH-DSA라는 해시 기반 서명 표준에서 파생되었지만, FIPS 205 표준에 명시된 매개변수 세트 외의 것을 사용합니다.

이러한 서명자의 규칙은 가변적인 카운터를 백업하고 복원하거나, 이를 다른 소프트웨어로 내보내고 가져오는 것을 금지합니다. 그러나 오래된 카운터를 단순히 압축 서명을 위한 안전한 시작점으로 취급할 수는 없습니다. 또한, 휴면 상태의 코인과 관련된 소유권 문제는 별도의 정책적 과제를 제시합니다.

거래소의 경우, 이러한 요구사항은 복구 화면을 넘어섭니다. 앙그라왈은 대규모 거래소들이 낮은 지연 시간과 높은 가용성을 제공하기 위해 서로 다른 구역에서 독립적으로 서명 서버를 운영하고 있다고 설명했습니다. 그의 평가에 따르면, 상태 기반 서명은 서명 생성 중에 키와 그 상태에 대한 배타적인 접근을 요구하며, 이는 독립적인 운영을 복잡하게 만들 수 있습니다. 서버가 서명을 생성하더라도, 해당 카운터 업데이트의 결과가...