팔콘-1024, 비트코인 격자서명 후보로 거론

비트코인(BTC)의 양자내성 전환 논의에서 격자 기반 서명체계 팔콘-1024(Falcon-1024)가 유력 후보로 거론됐다. 기존 슈노르 서명보다 크지만 딜리시움(Dilithium) 계열보다 온체인 부담이 작고 검증 속도도 빠르다는 평가다.

비트코인 인프라 개발사 블록스트림(Blockstream)은 공개 연구 글과 국제암호학회 ePrint 보고서에서 딜리시움, 팔콘, 호크(Hawk) 세 서명체계를 비교했다. 블록스트림은 "오늘 비트코인에 격자 기반 서명체계를 골라야 한다면 팔콘-1024를 선택하겠다"고 밝혔다. 평가 기준은 △온체인 용량 부담 △검증 속도 △구현 난도 △하드웨어 지갑 적용성 △지갑 키 파생 가능성이다.

핵심은 서명 크기다. 비트코인 거래에는 사용자가 해당 코인을 움직일 권한이 있음을 증명하는 서명이 들어간다. 현재 쓰이는 슈노르 서명은 공개키 32바이트, 서명 64바이트로 합산 96바이트다. 팔콘-1024는 공개키 1793바이트, 서명 1280바이트로 합산 3073바이트다.

딜리시움은 구현이 비교적 쉽다는 장점이 있다. 정수 연산 중심이라 부동소수점 처리나 정교한 가우시안 샘플링 부담이 작고, 세 후보 중 비트코인 지갑의 계층적 결정성 키 구조와 가장 가까운 파생 경로를 제시했다. 그러나 블록스트림은 NIST 보안 카테고리 3 기준 딜리시움-3의 공개키와 서명 합산 크기가 5261바이트로 커 온체인 사용에는 부담이 크다고 봤다.

팔콘은 크기와 검증 속도에서 우위를 보였다. 팔콘-512는 공개키와 서명을 합쳐 1563바이트, 팔콘-1024는 3073바이트다. 블록스트림은 팔콘-1024가 더 큰 보안 여유를 제공하면서도 딜리시움-3보다 작다고 설명했다. 검증 과정이 정수 기반으로 이뤄져 전체 노드가 반복 검증해야 하는 비트코인 구조에도 맞는다는 평가다.

단점도 분명하다. 팔콘 서명 과정은 부동소수점 연산을 사용한다. 처리 환경에 따라 결과가 달라질 수 있고, 잘못 구현하면 보안 문제가 생길 수 있다. 블록스트림은 하드웨어 부동소수점 대신 정수 에뮬레이션을 쓰는 결정적 구현으로 이를 완화할 수 있다고 밝혔다. 이 경우 서명은 약 15배, 키 생성은 약 2배 느려지지만 검증 과정은 영향을 받지 않는다.

호크는 후보군에서 밀려났다. 블록스트림은 호크가 작은 서명과 낮은 메모리 요구량을 장점으로 내세웠지만, 관련 공격이 제기된 뒤 NIST 표준화 절차에서 철회됐다고 밝혔다. 이번 비교는 해시 기반 양자내성 서명 생성 시험에 이어 비트코인 보관·검증 인프라의 장기 전환 비용을 따지는 논의로 이어진다.

보고서는 팔콘을 즉시 적용 가능한 결론으로 단정하지 않았다. 팔콘에는 아직 비트코인 지갑에서 널리 쓰이는 BIP 32 방식의 공개키 파생을 실용적으로 지원하는 방법이 없다. 블록스트림은 공개된 팔콘 키 파생 방식이 온체인 서명 크기를 약 23.7킬로바이트까지 키우는 문제가 있다고 지적했다.

표준화도 남은 절차다. 팔콘은 NIST에서 FN-DSA로 표준화 대상으로 선정됐지만 최종 표준은 아직 공개되지 않았다. 표준이 확정돼야 감사된 구현, 테스트 벡터, 하드웨어 지원이 뒤따를 수 있다는 설명이다.

비트코인에 새 서명체계를 넣으려면 합의 규칙 변경이 필요하다. 지갑 업데이트만으로 끝나는 일이 아니라 노드 검증, 블록 용량, 수수료 구조에 영향을 준다. 블록스트림은 팔콘-1024를 격자 기반 후보 중 가장 균형 잡힌 선택지로 보면서도, 단기 보수적 선택지는 해시 기반 서명체계라는 기존 입장을 유지했다. 앞서 공개된 비트코인용 양자내성 서명체계 초안도 메인넷 적용을 전제로 한 완성 규격은 아닌 단계로 소개됐다.