프린스턴 대학교, 스탠포드 대학교, 뉴욕 시립대학교의 연구자들이 비트코인 지갑 보안을 위해 특별히 적합한 새로운 ECDSA 임계 서명 체계를 발표했습니다.
임계 서명은 “스텔스 다중 서명”으로 생각할 수 있습니다. 새로운 비트코인 보안 체계는 “새로운 DSA/ECDSA 임계 서명 체계를 통한 비트코인 지갑 보안”이라는 제목의 연구 논문에 자세히 설명되어 있습니다.
이 발표는 프린스턴의 정보 기술 정책 센터에서 호스팅하는 Freedom to Tinker 블로그에 스티븐 골드페더가 작성한 세 개의 이전 게시물에 이어 이루어졌습니다. 골드페더는 암호학, 보안, 개인 정보 보호 및 분산 디지털 통화에 관심이 있는 프린스턴 대학교 컴퓨터 과학과 2학년 박사 과정 학생입니다.
비트코인 지갑은 점점 더 정교해지는 사이버 도둑들의 공격을 받습니다. 비트코인 거래의 불가역성과 결합되어, 이는 사용자 신뢰를 감소시키고 강력하고 간단한 해결책이 발견되지 않으면 디지털 통화가 주류로 나아가는 것을 방해하는 중요한 보안 문제를 제기합니다.
연구자들은 비트코인 생태계가 보안에서의 돌파구가 필요하다고 언급합니다.
은행은 사용자 비밀번호 – 해커에 의해 손상되었을 수 있는 – 만으로는 거래를 시작할 수 없도록 두 가지 또는 다중 인증 체계를 사용합니다. 사용자는 이메일에 응답하거나 스마트폰 인증 앱 또는 동등한 독립형 장치를 사용하여 최소한 하나의 추가 인증을 제공해야 합니다. 오늘날, Circle 및 Bitstamp와 같은 평판 좋은 비트코인 서비스는 보안을 제공하기 위해 이중 인증을 사용하지만, 사용자는 익명성을 포기하고 신원 증명을 제공해야 합니다.
생체 인식을 포함한 더욱 안전한 삼중 인증 방법이 등장하고 있습니다.
DIY 정신과 개인 정보 보호를 중시하는 비트코인 사용자는 자신의 지갑을 운영하고 “자신의 은행이 될” 수 있지만, 지갑 운영은 너무 많은 보안 위험을 초래하는 것으로 입증되었습니다. 해커가 지갑에 접근하면 즉시 그리고 불가역적으로 돈을 가져갈 수 있습니다.
콜드 스토리지 – 메인 비트코인 지갑을 인터넷에 연결되지 않은 장치에 보관하고, 일상적인 지출에 필요한 자금만 온라인 스토리지로 이동하는 것 – 는 종종 너무 번거로운 것으로 여겨집니다.
따라서 대부분의 보안에 민감한 비트코인 사용자는 익명성과 비트코인의 “DIY 정신”을 타협하는 대가로 외부 서비스에 의존합니다.
다중 서명(multisig) 지갑은 해결책을 제공합니다. 예를 들어 2-of-3 거래는 필요한 수의 승인된 서명자의 동의를 요구하며, 이 경우 세 명 중 두 명의 동의가 필요합니다. 그러나 논문에서는 다중 서명 거래가 상당한 사용성 문제와 심각한 익명성 및 기밀성 단점을 가지고 있다고 보여줍니다.
“비트코인은 현재 현대 기업이 사기를 방지하기 위해 배치한 정교한 내부 통제 시스템을 지원하지 않습니다,”라고 논문의 저자들은 말합니다. “이 문제를 해결하기 위해 우리는 비트코인의 ECDSA 서명과 호환되는 첫 번째 임계 서명 체계를 제시하고, 이 원시를 사용하여 분산 비트코인 지갑을 구축하는 방법을 보여줍니다.”
임계 서명 체계에서는 서명을 구성하는 능력이 서로 다른 장치(예: 컴퓨터와 스마트폰) 간에 분산되며, 각 장치는 개인 서명 키의 일부를 받습니다. 개인의 경우, 임계 서명은 두 가지 보안을 허용하거나 서명을 두 장치 간에 분할하여 하나의 손상된 장치가 돈을 위험에 빠뜨리지 않도록 합니다. 기업의 경우, 임계 서명은 내부자와 외부자가 기업 자금을 훔치는 것을 방지하는 접근 제어 정책을 실현할 수 있게 합니다.
연구자들은 이중 인증 보안 지갑의 프로토타입 구현을 구축하고, 데스크탑 클라이언트와 안드로이드 앱을 개발하여 Github에 오픈 소스 코드를 공개했습니다. 비디오에서는 시스템 작동 방식을 보여줍니다: 사용자가 컴퓨터에서 거래를 시작하면, 컴퓨터는 전화와 함께 임계 서명 프로토콜을 시작합니다. 전화는 사용자에게 거래 세부 정보를 보여주고, 사용자의 명시적인 승인 없이는 거래를 진행하지 않습니다. 컴퓨터와 전화는 QR 코드를 사용하여 처음에 연결하고, 이후 모든 세션에서는 로컬 Wifi 네트워크를 통해 통신합니다.
임계 서명 체계가 일반화된다면, 개인 비트코인 지갑은 주요 지갑 제공업체가 제공하는 동일한 다중 인증을 지원하면서도 높은 수준의 익명성을 계속 제공할 것입니다.
