비트코인 양자내성 서명 초안, 트레저는 기록 없는 방식 검토

비트코인(BTC) 거래용 양자내성 서명 초안 슈링크스(SHRINCS)는 서명 데이터를 줄이는 대신 지갑이 사용한 서명 위치를 기록하도록 설계됐다. 복구 시드로 지갑을 재구성한 뒤 안전하게 서명하는 절차와 여러 기기에서 상태 재사용을 막는 설계가 지갑 제조사의 과제로 남았다.

토마시 수샨카(Tomáš Sušánka) 트레저 CTO는 “상태 추적은 사용자의 일이 돼서는 안 된다”고 말했다. 디크립트(Decrypt)는 12일(현지시간) 수샨카 CTO와의 인터뷰를 보도했다.

◇ 작은 서명은 지갑 기록을 요구한다

슈링크스 초안은 상태형과 비상태형 해시 기반 서명을 결합한다. 상태형은 지갑이 이미 사용한 서명 위치를 기억하며, 서명 크기는 548~4619바이트다. 비상태형은 기록 없이 서명할 수 있지만 크기가 5777바이트다. 본지는 앞서 슈링크스 초안의 서명 크기와 상태 복구 구조를 다뤘다.

초안은 상태형 지갑이 같은 카운터를 서로 다른 거래에 재사용하면 두 서명을 본 제3자가 새 서명을 위조할 수 있다고 경고한다. 카운터는 한 번 사용한 서명 위치를 다시 쓰지 않도록 관리하는 기록이다.

이에 따라 제안서는 카운터를 백업에서 복원하거나 다른 소프트웨어로 옮기지 말고, 동시 서명을 막도록 했다. 복구 뒤 카운터를 신뢰할 수 없다면 상태형 서명을 중단하고 비상태형 경로만 사용하도록 규정했다.

같은 복구 시드를 여러 기기에 입력했을 때 상태를 공유하는 방법도 과제다. 기기마다 서명 기록이 어긋나면 같은 위치를 재사용할 위험이 있어, 복구 절차와 기기 간 동기화를 함께 설계해야 한다.

수샨카 CTO는 상태를 추적하지 않는 비상태형 서명을 기본값으로 두고, 크기가 작은 상태형 서명은 고급 설정에 배치하는 방안을 검토한다고 밝혔다. 상태 기록 관리를 사용자에게 맡기지 않도록 제품의 기본 설정을 정하겠다는 취지다.

앙투안 리아르(Antoine Riard)는 9월 1일 비트코인 개발자 메일링리스트에서 라이트닝 등 오프체인 거래를 여러 곳에 복제할 때 상태 동기화를 피하려면 비상태형 서명이 필요할 수 있다고 봤다. 그는 5777바이트 서명의 운영 부담을 어떻게 평가할지 질문했다.

제안서 작성자는 서명 크기만으로 실제 거래 수수료 증가폭을 곧바로 계산할 수는 없다고 답했다. 서명 데이터 크기와 최종 수수료 변화는 같은 수치로 볼 수 없다는 설명이다.

◇ 알고리즘 초안과 기기 보안은 별개

미국 국립표준기술연구소(NIST)는 2024년 비상태형 해시 기반 서명 알고리즘 SLH-DSA를 FIPS 205로 표준화했다. 슈링크스의 비상태형 구성요소도 SLH-DSA를 활용하지만, 지정한 매개변수는 표준에 포함된 것과 다르다.

슈링크스 문서는 아직 초안이며 BIP 번호가 배정되지 않았다. 보안 증명과 포괄적인 테스트 벡터, 최적화 구현이 마무리되지 않았고, 문서는 예시 구현을 실제 운영에 사용하지 말라고 경고한다.

트레저는 자사 설명에서 Safe 7의 부팅 과정에 SLH-DSA-128을 적용해 부트로더를 확인한다고 밝혔다. 기기 인증서에는 ML-DSA-44를 사용하며, 이 기능은 펌웨어와 Trezor Suite에 완전히 통합되면 추가 보안 층을 제공한다는 설명이다.

이런 기기 보안은 부팅 과정과 기기 진위 확인에 관한 것이다. 기기에 양자내성 알고리즘을 적용해도 비트코인 네트워크가 검증하는 거래 서명까지 자동으로 양자내성을 갖는 것은 아니다.

비트코인 거래 서명을 바꾸려면 지갑 구현과 별도로 네트워크가 새 서명 규칙을 채택하는 절차가 필요하다. 본지는 앞서 주요 7개국이 정부와 기업에 포스트양자 암호 전환을 촉구한 배경을 전했다. 슈링크스 초안에는 비트코인 네트워크에 적용할 합의 규칙이나 채택 일정이 담기지 않았다.