Compact and Selective Disclosure for Verifiable Credentials

논문 요약: CSD-JWT (Verifiable Credentials 를 위한 컴팩트하고 선택적 공개 메커니즘)

1. 문제 정의 (Problem Definition)

• 배경: 자기주권 신원 (SSI) 과 검증 가능한 자격증명 (VC) 이 확산되면서, 사용자는 자신의 데이터 중 필요한 부분만 선택적으로 공개 (Selective Disclosure) 할 수 있어야 합니다. 현재 표준인 **SD-JWT (Selective Disclosure for JWTs)**는 소금 (salt) 이 추가된 해시 값을 사용하여 선택적 공개를 지원합니다.
• 한계점:
  1. 저장 공간 및 네트워크 오버헤드: SD-JWT 는 자격증명 내의 모든 클레임 (Claim) 에 대해 별도의 해시 값과 소금 (salt) 을 저장해야 하므로, 클레임 수가 증가함에 따라 자격증명 크기가 선형적으로 증가합니다. 이는 제한된 저장 공간을 가진 IoT 기기나 하드웨어 월렛에 부적합합니다.
  2. 개인정보 유출 (추론 공격): SD-JWT 는 공개되지 않은 클레임의 수를 정확히 드러냅니다. 예를 들어, 자격증명에 포함된 해시 값의 개수를 통해 숨겨진 정보의 양을 추론할 수 있어, 민감한 정보 (예: 건강 상태, 금융 내역 등) 가 유출될 위험이 있습니다. 이를 방지하기 위해 더미 (decoy) 값을 추가해야 하지만, 이는 다시 크기를 증가시킵니다.

2. 제안된 방법론: CSD-JWT (Methodology)

이 논문은 **CSD-JWT (Compact and Selective Disclosure for JWTs)**라는 새로운 프로토콜을 제안합니다. 이는 암호학적 애커뮬레이터 (Cryptographic Accumulator) 를 활용하여 SD-JWT 의 단점을 해결합니다.

• 핵심 원리:

  • 애커뮬레이터 활용: 모든 클레임 (Claims) 을 단일한 고정 길이의 값 (애커뮬레이터 값, $a$) 으로 압축합니다.
  • 증명 (Witness): 각 클레임이 이 애커뮬레이터에 포함되었음을 증명하기 위해 '증명자 (Witness)'를 발급받습니다.
  • 작동 방식:
    1. 발급 (Issuance): 발급자 (Issuer) 는 모든 클레임을 해시하여 애커뮬레이터 값 $a$를 생성하고, 각 클레임에 대한 증명자 $w$를 계산하여 사용자에게 전달합니다.
    2. 선택적 공개 (Presentation): 사용자 (Holder) 는 특정 클레임과 해당 증명자, 그리고 애커뮬레이터 값 $a$를 포함하는 검증 가능한 프레젠테이션 (VP) 을 생성하여 검증자에게 보냅니다.
    3. 검증 (Verification): 검증자는 제공된 클레임과 증명자가 $a$에 포함되었는지 확인하고, 사용자의 서명을 검증합니다.

• 주요 특징:

  • 고정 길이: 자격증명 자체의 크기는 클레임 수와 무관하게 일정합니다 (애커뮬레이터 값 하나만 저장).
  • 클레임 수 은닉: 검증자는 공개된 클레임만 확인할 수 있으며, 전체 클레임의 총 개수를 알 수 없습니다 (추론 공격 방지).
  • Trapdoor 기반: 발급자만이 증명자를 생성할 수 있는 트랩도어 (Trapdoor) 를 가지므로, 위조가 불가능합니다.

3. 주요 기여 (Key Contributions)

1. CSD-JWT 프로토콜 제안: VC 내 클레임의 컴팩트하고 선택적인 공개를 가능하게 하는 새로운 메커니즘을 제안했습니다.
2. 개인정보 보호 강화: 모든 클레임을 고정 길이의 값으로 매핑하여 VC 내 클레임의 총 개수를 숨김으로써, 추론 공격에 대한 저항성을 높였습니다.
3. 자원 효율성: 저장 공간과 네트워크 오버헤드를 획기적으로 줄여 하드웨어 월렛 및 IoT 기기 같은 제한된 환경에 적합하도록 설계했습니다.
4. 오픈소스 구현 및 평가: 프로토타입을 구현하고 SD-JWT 와 비교 평가하여 성능을 입증했습니다.

4. 실험 결과 (Evaluation Results)

연구진은 RFC7228 Class-2 제한된 장치 (Nordic nRF52840) 와 고성능 서버를 사용하여 CSD-JWT 와 SD-JWT 를 비교 평가했습니다.

• 저장 공간 (Storage):
  • CSD-JWT 는 SD-JWT 대비 최대 46% 의 메모리 절감 효과를 보였습니다.
  • 클레임 수가 100 개일 때, SD-JWT 는 모든 클레임의 해시와 소금을 저장해야 하지만, CSD-JWT 는 단일 애커뮬레이터 값과 필요한 클레임의 증명자만 저장하면 됩니다.
• 네트워크 오버헤드 (Network Overhead - VP 크기):
  • 최대 프라이버시 (1 개 클레임 공개): 100 개 중 1 개만 공개할 경우, CSD-JWT 의 VP 크기는 SD-JWT 대비 93% 감소했습니다.
  • 전체 공개 (모든 클레임 공개): 모든 클레임을 공개하는 경우에도 27% 의 크기 감소를 달성했습니다.
• 성능 (Performance):
  • 발급 시간: 발급자 측에서의 계산 오버헤드는 SD-JWT 보다 약간 높았으나 (수 ms 수준), 발급자는 일반적으로 고성능 장치를 사용하므로 실용적 문제가 없습니다.
  • 생성 및 검증 시간: 제한된 장치에서의 VP 생성 시간은 SD-JWT 와 유사하거나 약간 더 빨랐으며, 검증 시간도 수 ms 수준으로 RAIL 모델 요구사항을 충족했습니다.

5. 의의 및 결론 (Significance & Conclusion)

• 제한된 환경 최적화: 하드웨어 월렛, IoT 기기 등 저장 공간과 계산 능력이 제한된 환경에서 SSI 와 VC 를 효율적으로 활용할 수 있는 솔루션을 제공합니다.
• 개인정보 보호 강화: 단순히 데이터 크기를 줄이는 것을 넘어, 메타데이터 (클레임 개수) 를 숨겨 사용자의 프라이버시를 더 강력하게 보호합니다.
• 실용성: EUDI (유럽 디지털 신원) 규정 등 2026 년까지 전 세계적으로 확대될 디지털 신원 시스템에서, 사용자가 여러 개의 VC 를 관리해야 하는 시나리오에 있어 CSD-JWT 의 효율성은 더욱 중요해질 것입니다.

이 논문은 암호학적 애커뮬레이터를 JWT 기반의 선택적 공개에 성공적으로 적용하여, 기존 표준의 한계를 극복하고 차세대 SSI 시스템의 확장성과 보안성을 동시에 확보한 중요한 연구로 평가됩니다.