블록스트림(Blockstream)이 미래 양자컴퓨터의 위협에 대비할 디지털 서명 기술로 ‘팔콘-1024(Falcon-1024)’를 제시했다. 연구팀은 딜리시움(Dilithium), 팔콘(Falcon), 호크(Hawk)를 비교해 비트코인 네트워크가 처리해야 할 데이터의 크기와 검증 속도, 암호 방식의 보안성을 살폈다. 연구 결과는 지난 8월 26일 공개됐다.

디지털 서명은 비트코인을 보내는 사람이 해당 자산을 사용할 권한이 있음을 증명하는 수단이다. 충분한 성능을 갖춘 양자컴퓨터가 등장하면 공개된 키에서 개인키를 역산해 거래 서명을 위조할 가능성이 생긴다.

블록스트림이 검토한 양자내성 서명은 이런 공격에 대비해 현재와 다른 수학적 문제를 바탕으로 거래를 승인하고 검증하는 방식이다.

연구팀이 팔콘-1024에 주목한 이유는 높은 보안 수준을 목표로 하면서도 공개키와 서명의 크기를 상대적으로 작게 유지할 수 있기 때문이다.

블록스트림의 비교표에서 팔콘-1024의 공개키는 1793바이트, 서명은 1280바이트로 합계 3073바이트였다.

같은 보안 범주인 딜리시움-5의 공개키와 서명 합계는 7219바이트였다. 현재 비트코인 탭루트에서 쓰는 슈노르(Schnorr) 방식의 공개키와 서명은 합계 96바이트다.

팔콘이 다른 양자내성 후보보다 작더라도, 현재 방식과 비교하면 네트워크가 처리할 서명 관련 데이터는 늘어난다.

검증 속도도 평가에 반영됐다. 블록스트림에 따르면 팔콘의 서명 검증은 정수 연산만으로 처리할 수 있으며, 비교한 후보 가운데 가장 빨랐다.

지갑이 거래에 서명하는 작업은 한 차례 이뤄지지만, 거래를 받은 여러 풀노드가 그 서명을 각자 검증한다.

지갑에서 서명을 만드는 데 시간이 더 걸리더라도 네트워크 전체의 검증 부담을 줄이는 설계가 비트코인에 적합할 수 있다는 게 연구팀의 판단이다.

하드웨어 지갑에서는 메모리가 변수다. 블록스트림은 팔콘-1024의 서명 과정에 약 90킬로바이트의 메모리가 필요하며 메모리 사용량을 약 16킬로바이트로 낮추는 구현도 가능하다고 설명했다. 이 경우 서명에 걸리는 시간은 약 두 배로 늘어난다.

비교 대상이었던 호크는 작은 서명 크기와 낮은 메모리 요구량이 장점이었으나 암호 구조의 약점이 발견된 뒤 개발팀이 미국 국립표준기술연구소(NIST)의 표준화 절차에서 후보를 철회했다.

블록스트림은 단기적으로는 해시 기반 서명을 검토하는 편이 더 신중한 접근이라고 봤다. 오래 연구된 해시 함수에 보안의 토대를 두는 방식이지만 서명 크기가 커질 수 있다.

보고서의 비교 사례인 스핑크스플러스(SPHINCS+)는 공개키와 서명을 합쳐 7888바이트였다. 연구팀은 장기적으로 서로 다른 암호학적 가정에 기반한 서명 방식을 조합하는 방안도 검토할 수 있다고 설명했다.

팔콘-1024는 연구팀의 기술 비교에서 제시된 후보다. 비트코인에서 실제로 사용하려면 새 서명을 검증하는 규칙과 지갑 지원 방식에 대한 논의가 필요하다.

새 서명 규칙이 추가되더라도 기존 방식으로 잠긴 비트코인이 자동으로 보호되는 것은 아니어서 이용자가 새 방식으로 자산을 옮길 수 있도록 이전 절차도 함께 설계해야 한다.