-
@ 필레몬
2025-06-15 09:38:50M of N 분산
이번 5월 BSL 컨퍼런스와 비트코인 서울 2025 컨퍼런스에서 펜락(Penlock) 프로젝트에 참여하고 있는 한 분을 만났다. 아마 이 분을 만난 한국인 분들이 더 있을 텐데, 현재는 익명을 원하시므로 프라이버시 보호를 위해 실명을 언급하는 것은 주의하는 것이 좋겠다.
키를 M of N으로 분산하는 방식 중 내가 알고 있는 건 멀티시그와 샤미르 분산이다.
멀티시그는 각자가 키를 생성하지만,
1. 스크립트 길이가 길어지고, 스크립트를 해시로 감싼다고 해도 일반 주소보다 길다.
2. 일반적인 P2MS는 공개키가 드러나므로 프라이버시 보장이 안 되고, P2SH로 감싸도 서명할 때 각자의 공개키가 드러난다(리딤 스크립트가 드러나므로).
이런 특징을 갖고 있다.
샤미르 분산은 하나의 키를 분산하는 방식이므로,
1. 키를 복원했을 때는 결국 하나의 키가 생성되므로 키가 복원되었을 때 보안에 매우 주의해야 한다.
2. 하지만 외부에서 볼 때는 어떤 방식으로 분할이 되었는지 알 수가 없으므로 프라이버시에 좋다.
이런 특징을 갖고 있다.
M of N은 회사에서의 권한 분산, 상속, 위험 지점 분산, 신뢰 지점 분산 등에 사용할 수 있을 것이다. 하지만 나는 멀티시그와 샤미르 분산이 둘 다 M of N을 구현하지만 그 특성이 약간 다르기 때문에 적합한 용처도 다르다고 생각한다. 만약 한 기업이 여러 이사진의 의사결정 과정에서 권한을 분산해야 한다면 멀티시그 방식이 훨씬 나을 것이다. 이사 각각이 서명하면 되기 때문이다. 여기다가 샤미르 분산을 쓴다면 이사 몇 명이 모여 키 하나를 생성했을 때 쪼개기 전의 원래 하나의 키가 생기므로 권한 분산에 차질이 생길 수 있다. 그 키를 갖는 사람이 갑자기 모든 권한을 가질 수 있게 되기 때문이다. 거꾸로 한 개인이 키를 백업하고자 하는데 키를 분실하거나 화재나 기타 재난 등의 이유로 파괴될 것에 대비하여 여러 장소에 분산하여 보관하고 싶다면 샤미르 분산이 더 적합할 것이다. 키 조각들을 합쳐서 원래 키가 생겼을 때 그 키는 어차피 한 개인이 쓰는 것이므로 권한 구조가 갑자기 한 곳으로 몰리는 것에 대해 걱정할 필요가 없기 때문이다.
그런데 샤미르 분산은 멀티시그보다 직관적이진 않은 것 같다. 멀티시그는 스크립트 구조를 보면 바로 어떤 구조인지 알 수 있다. 손으로 따라 쓸 수도 있는 수준이다. 하지만 트레저가 도입한 샤미르 분산인 SLIP-0039 같은 형식은 직관적이지가 않다. 일단 샤미르 분산이 다항함수를 통한 비밀 분산을 쓰는 원리라는 걸 이해해야 하고(키 조각이 부족하면 부정방정식이 되어서 복구 불가), 그걸 통해 복구하는 과정에서 사용하는 라그랑주 보간법이 인간이 손으로 계산하기에는 너무 어렵다. 키를 분할하고 복구하는 과정이 수학적인 함수 공간에서 정의되고, 사용자는 키 조각들만 보게 되므로 내부 구조에 대해 직관적으로 이해하기가 어렵다.
오프라인 손 계산과 직관적 이해
조금 다른 주제로 넘어가보자. 나는 기술의 사용자들이 그 기술을 '직관'적으로 이해할 수 있는 지가 매우 중요하다고 생각한다. 비트코인 경험에는 특히 '검증'이 중요한데 어떤 기술을 직관적으로 이해할 수 없다면 검증은 전문가들만의 전유물이 되기 때문이다.
예를 들어보자. 앨리스, 밥, 캐롤이 각각 니모닉을 만들었다.
1. 앨리스는 기계가 생성해준 니모닉을 사용한다. 기계는 SE칩 내부에 있는 전자의 브라운 운동 등을 엔트로피로 이용해 랜덤한 엔트로피를 생성했다. 하지만 앨리스는 이 사실을 모르고, 따라서 기계를 신뢰해야 한다. 앨리스는 기계가 생성해 준 엔트로피가 충분히 랜덤하고 안전하다고 "믿고 있다." 사실이 그런지 아닌지와는 별개로 말이다.
2. 밥은 주사위를 던져서 만든 니모닉을 사용한다. 하지만 주사위를 던졌을 때 나온 값이 어떻게 니모닉으로 변환되는지는 모른다. 기계는 주사위를 던져 나온 숫자를 유니코드 문자열로 인식하여 SHA256을 한 번 돌린 뒤, 그 해시값을 엔트로피로 사용한다. 밥은 자신이 직접 주사위를 던졌으므로 엔트로피가 랜덤하게 생성되었다는 것은 직관적으로 알지만, 그 숫자가 어떻게 니모닉으로 계산된 건지는 모른다.
3. 캐롤은 직접 동전을 던져 0, 1을 기록하고 자신이 직접 니모닉 표를 보며 니모닉을 대응시켰다. 따라서 캐롤은 자신이 사용하는 니모닉이 랜덤하다는 것도 이해하고 있으며, 랜덤한 엔트로피를 어떻게 니모닉에 대응시키는지도 알고 있다.
세 가지 경우 중 누가 니모닉에 대해 가장 잘 직관적으로 이해하고 있겠는가? 당연히 3번 캐롤이다. 이렇듯 오프라인에서 동전을 던져 직접 엔트로피를 생성하고, 표를 보며 손으로 직접 니모닉에 대응시키는 과정은 니모닉을 직관적으로 이해하는 데 매우 중요하다.
솔직히 3번의 경우도 완전히 신뢰 지점이 없진 않다. 왜냐하면... 니모닉의 체크썸을 계산하는 과정에서 해싱을 해야 하기 때문이다. 손으로 SHA256 함수를 계산할 수 있는 게 아니라면... 캐롤은 어떤 기계에게 체크섬 생성을 맡길 수밖에 없다. 그러면 적어도 그 과정에 대한 이해의 폭은 제한될 수밖에 없다.
오프라인에서 계산하는 경험들이 왜 직관적인 이해에 더 도움이 될까? 그 과정들을 자신이 온전히 통제하기 때문이다. 기계에 맡겨야 하는 순간에는 그 기계 안에서 무엇이 일어나는지 알 수 없으며 따라서 자신의 통제 밖에 있다.
펜락 프로젝트
서론이 길었다! 다시 샤미르 분산 이야기로 돌아오겠다. 샤미르 분산을 '손으로 계산'해 키 조각을 만들고, 키 조각들을 모아 다시 오프라인에서 '손으로 계산'해 하나로 만들 수 있을까? 거의 불가능에 가까울 것이다!
그런데 이번에 BSL 컨퍼런스에서 펜락 프로젝트에 참여하고 있는 한 분을 우연히 만나 인사를 나눴고, 며칠 뒤 있는 비트코인 서울 컨퍼런스에서 그 분이 나한테 선물을 주셨다. 바로... 아래 사진의 회전판이다. 직접 가위로 자르고 핀을 꽂는 것까지 봤다(컨퍼런스 강연 중에 뒷자리에서 가위로 자르고 있어서 웃음을 참을 수가 없었다ㅋㅋㅋ). 나는 이 귀엽고 조악한 회전판을 처음 봤을 때 이 위력에 대해 알지 못했다...
이 펜락 프로젝트 회전판은... 샤미르 분산처럼 하나의 키를 키 조각으로 나누고, 그 키 조각들을 오프라인에서 원래 키로 복구할 수 있게 만들어준다. 이게 작동하는 걸 처음 봤을 때 나는 정말 정말 x21 엄청나게 놀랐다.
사용 방법을 간단히 말해보자면, 메인 키(니모닉)가 있으면 니모닉 한 단어의 앞 4개 문자만 적는다(이유는 다들 아실 거라 생각... 니모닉은 앞 4글자가 겹치는 경우가 없기 때문). 그 다음에 두 숫자를 뽑는다. 1–32까지의 숫자 한 장, 그리고 1–32까지의 숫자인데 흰 동그라미/검은 동그라미 나눠져있는 걸로 한 장(그러면 총 64가지 경우일 것이다). 그러면 32*64 = 2,048가지 경우가 나온다. 그리고 체크섬을 표에서 찾아 적는데, 솔직히 추가 체크썸이 왜 필요한 건지는 아직 이해를 못했다. 진짜로 이 오프라인 과정을 해보며 생길 수 있는 오류를 잡기 위한 체크썸인 것으로 이해된다.
어쨌든 하이라이트는 지금부터인데... 자, 니모닉에서 'F'라는 단어가 있다고 해보자. 그러면 아래 사진처럼 눈금을 F에다 둔다. 그 다음 랜덤한 숫자를 뽑는다. 그렇게 뽑은 숫자가 22이라고 해보자. 그러면 회전판 내부에서 22, 23, 24에 있는 문자를 각각 아래에 적는다. 이게 키 조각이다... F가 ① V, ② P, ③ J 이렇게 세 가지 조각으로 분할 된 거다.
이제 세 개의 키 조각 ① V, ② P, ③ J로 키를 복구하는 상황을 생각해보자. 만약 ③번 키 조각인 J가 화재로 날아가버렸다. 2 of 3이니 그래도 키 조각이 두 개만 있어도 복구할 수 있다. ①번 키 조각인 V와, ②번 키 조각인 P를 조합해 키를 복구해보겠다. 그러면 회전판을 움직여... P가 V를 바라보게 하면 된다. 사진에서 빨간 박스로 표시한 부분이다. 그러면 큰 눈금이 원래 키인 F를 가리키게 된다. 정말 미쳤다! 만약, ②번 키 조각 P와, ③번 키 조각 J가 있다면 J가 P를 바라보게 하면 된다. 만약 ③번 키 조각 J와, ①번 키 조각 V로 키 복구를 시도한다면 J가 V를 바라보게 하고, 대신 ③번이 ①번을 바라보게 하는 것처럼 순환하는 상황에는 큰 눈금이 아니라 내부 1번 네모칸을 읽어야 한다.
펜락 회전판의 뒷면을 보면 이걸 어떻게 구현했는지 대강 알 수가 있다. 펜락 프로젝트는 반지름을 조금씩 다르게 하고, 회전 각도를 서로소인 두 숫자를 이용해 글자들이 겹치지 않도록 구현한 걸로 보인다. 말로 설명했지만, 직접 해봐야 "미쳤다!" 소리가 저절로 나온다. 이거 직접 해보면 ~비속어가 나올 정도로~ 놀란다. 정말로.
펜락 프로젝트는 오픈 소스라고 하고, 최고 개발자는 ganrama이다(사이트는 아직 베타라서 내용들이 채워지고 있는 걸로 보인다ㅎㅎ).
https://github.com/ganrama
https://beta.penlock.io/
나는 비트코인에서 나오는 프로젝트들을 일단 의심부터 하고 보는 편이다. 그런데 펜락은 직관적으로 다 이해가 되기 때문에 현재는 우려할만한 점이 생각나지 않는다. 비트코인 프로젝트들 중에는 편리함, 보안, 프라이버시 중 무언가를 희생시키고 그걸 교묘히 감추려고 하거나 비즈니스 모델을 만들다가 초기의 정신을 잊는 경우가 많다. 그런데 이 프로젝트는 그에 해당할 만한 게 없는 것 같아서 일단 의심의 눈초리를 거두고 응원한다. 내가 오프라인에서 직접 키를 분할해보고, 조합해본 경험이 너무 강렬하게 작용했기 때문인 것 같다. 펜락 대표 개발자가 올해 하반기에 기회가 된다면 한국에서도 소개하고 싶다고 하니 계속 관심을 갖고 지켜보려고 한다.