양자 컴퓨터 대응, 서명 방식이 관건

비트코인이 현재 사용하는 서명 체계는 양자 컴퓨터의 등장에 취약하다는 분석이 제기되었습니다. 양자 컴퓨터가 충분히 발전한다면, 기존 서명 체계의 보안이 무너질 위험이 있습니다. 양자 컴퓨터 개발 시점은 불확실하지만, 이러한 잠재적 위협에 대비하기 위한 선제적인 조치가 필요하다는 의견이 많습니다.

비트코인은 현재 두 가지 서명 방식을 사용하고 있습니다. 초기에 도입된 ECDSA 방식과 이후에 추가된 슈노어 서명 방식입니다. 이 서명 방식들은 공개키와 서명을 합쳐도 96바이트 수준으로 매우 작다는 특징을 가집니다.

양자 컴퓨터의 주요 위협 중 하나는 1994년에 개발된 쇼 알고리즘입니다. 이 알고리즘은 충분히 강력한 양자 컴퓨터가 있다면 타원곡선 이산로그 문제를 효율적으로 해결할 수 있습니다. 이는 비트코인 서명에 사용되는 공개키로부터 개인키를 되찾아내는 것을 가능하게 합니다.

양자 컴퓨터에 대응하기 위한 후양자 서명은 현재 서명 방식에 비해 공개키와 서명의 크기가 훨씬 크다는 공통적인 특징을 가집니다. 이는 블록체인 데이터량 증가로 이어질 수 있습니다. 현재 주요 후양자 서명 후보로는 해시 기반과 격자 기반 방식이 거론되고 있습니다.

연구진이 격자 기반 서명을 주목하는 이유는 세 가지입니다. 첫째, 후양자 서명 후보군 중 데이터 크기가 비교적 작아 1,600바이트 이하를 유지할 수 있습니다. 둘째, 수학적으로 오래 검증된 분야로, 보안 신뢰도가 높습니다. 셋째, 대수 구조를 활용해 다중 서명 등 다양한 기능을 확장하기 용이합니다.

서명 데이터 크기가 증가하면 단순히 개인의 저장 공간만 늘어나는 것이 아닙니다. 서명 1KB 증가는 전 세계 모든 풀노드가 해당 1KB를 다운로드하고 검증하며 보관해야 함을 의미합니다. 이는 비트코인 시스템 전체의 저장 공간, 통신량, 검증 부담을 가중시키며 효율성에 직접적인 영향을 미칩니다.

현재 표준으로 정해진 후양자 서명 방식들은 BIP32와 같은 계층적 결정적 지갑(HD 월렛) 기능을 기본적으로 지원하지 않습니다. 이는 주소 생성 및 관리 효율성 측면에서 큰 과제로 남아 있습니다. 이 기능의 부재는 후양자 서명 도입 시 가장 크게 해결해야 할 숙제로 지적됩니다.

비트코인은 수십 년간 잔액이 유지될 수 있는 자산의 특성을 가지고 있습니다. 따라서 시간 경과에 따른 공격 기법의 발전 가능성을 고려할 때, 최소 3등급 이상의 높은 보안 수준을 확보해야 합니다. 비트코인의 서명은 30년 뒤에도 제 기능을 해야 하는 돈을 지켜야 하기 때문입니다.

딜리시움은 양자 저항 서명 후보 중 하나로, 구현 위험은 낮지만 블록 공간 효율성 측면에서 한계를 가집니다. 3등급 딜리시움의 경우 공개키가 19,952바이트, 서명이 3,309바이트로, 둘을 합하면 총 5,261바이트에 달합니다. 이는 현재 슈노어 서명(96바이트)에 비해 약 55배 큰 크기입니다. 씨앗(Seed)에서 주소를 도출하는 파생 기능 구현 가능성은 높지만, 보안 증명 미비와 네트워크 합의 등 개념 증명 단계에 머물러 있습니다.

펠컨은 가장 유망한 격자 기반 서명 후보로 평가됩니다. 펠컨 512는 공개 키 897바이트, 서명 666바이트로 총 1,563바이트이며, 가장 안전한 5등급 펠컨 1024도 합쳐서 3,073바이트로 딜리시움보다 작고 안전합니다. 펠컨은 무작위 샘플링을 통해 개인키 정보가 서명에 누출되지 않도록 설계되었으며, 소수점 계산 문제를 정수 연산으로 변환하여 기기 간 호환성을 확보했습니다. 또한 하드웨어 메모리 부담을 줄이기 위한 최적화 방법도 존재합니다.

호크(HAWK)는 작은 크기와 단순한 정수 계산으로 초기 주목받았던 격자 기반 서명 후보였습니다. 그러나 논문 마무리 단계에서 앤스로픽 연구자들에 의해 설계 취약점이 발견되었습니다. 연구진의 예상보다 훨씬 작은 규모의 계산으로 열쇠를 복원할 수 있다는 사실이 드러나 니스트(NIST) 표준화 과정에서 제외되었습니다. 이는 양자 저항 암호 시스템 설계 시 충분한 여유를 두고 보수적인 보안 등급을 확보하는 것이 필수적임을 보여주는 사례입니다.

후양자 서명을 비트코인에 도입하기 위해서는 두 가지 주요 과제가 남아 있습니다. 첫째, 현재 씨앗(Seed)에서 주소를 효율적으로 뽑는 방법이 없으며, 이 방식은 서명 크기를 비효율적으로 키울 수 있습니다. 둘째, 니스트(NIST)가 펠컨을 FNDSA라는 이름으로 표준화하기로 정했지만, 관련 문서가 아직 나오지 않아 표준이 완성되지 않았습니다. 안전한 구현을 위해서는 이 문서가 확정되고 충분한 보안 감사가 이루어져야 합니다.

현재 시점에서는 해시 기반 서명이 가장 안전하고 오래 검증되어 최선의 선택으로 평가됩니다. 그러나 수십 년간 보존해야 할 자산에는 5등급 보안 수준인 펠컨 1024와 같은 격자 기반 서명 도입이 권장됩니다. 연구진은 해시와 격자 방식을 혼합하여 보완적으로 운용하는 방안도 제시하며, 미래의 양자 위협에 대한 단계적이고 유연한 대응 전략의 중요성을 강조합니다.