💻 computer science

Privacy-Preserving Compliance on Public Ledgers via Selective Disclosure Authorization Schemes

이 논문은 선택적 공개 권한 부여 스키마(Selective Disclosure Authorization Schemes, SDAS)와 그 이더리움 구현체인 ZK-Compliance를 소개하며, 영지식 증명을 특정 온체인 송신자에게 결합함으로써 프런트러닝 및 증명 재사용 위험을 완화하는 동시에 데이터 프라이버시를 보존하여 공공 원장에서 세밀하고 철회 가능한 규제 준수를 가능하게 한다.

원저자: Supriya Khadka, Sanchari Das

게시일 2026-06-23

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Supriya Khadka, Sanchari Das

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

공공 장부(블록체인과 같은)를 모든 거래를 누구나 볼 수 있는 거대하고 투명한 유리 벽이라고 상상해 보십시오. 이는 정직함을 보장하는 데는 훌륭하지만, 프라이버시 측면에서는 최악입니다. 만약 당신이 디지털 클럽에 입장하기 위해 18세 이상임을 증명해야 한다면, 현재의 방식은 당신의 실제 생년월일을 세상 모두에게 소리 높여 외치게 만듭니다. 비밀을 밝히거나, 아니면 아예 들어가지 못하거나 둘 중 하나를 선택해야 합니다.

이 논문은 **영지식 증명(Zero-Knowledge Proofs, ZKPs)**이라는 "마술"과, 당신의 마술을 훔치려는 도둑을 막기 위한 엄격한 보안 규칙을 결합하여 이 문제를 해결하는 새로운 방법을 제안합니다.

다음은 이들의 솔루션인 ZK-Compliance를 쉬운 비유를 통해 설명한 내용입니다.

1. 문제점: "유리 벽"과 "도둑"

투명성의 함정: 일반적인 블록체인에서 자격(예: "나는 18세 이상이다")을 증명하려면, 보통 자신의 실제 데이터를 벽 위에 게시해야 합니다. 일단 데이터가 그곳에 올라가면, 그것은 영구적이며 모든 이에게 노출됩니다.
도둑의 창문: 설령 당신이 생년월일을 보여주지 않고 18세 이상임을 증명하기 위해 "마술"(ZKP)을 사용하더라도, 지연 시간이 존재합니다. 당신은 자신의 컴퓨터에서 증명을 생성하지만, 이 증명은 기록되기 전까지 공공 대기실("mempool")을 통과해야 합니다.
공격 방식: 대기실에 서 있는 도둑은 당신의 유효한 증명을 보고, 그것을 가로채서 마치 자신이 증명을 생성한 것처럼 먼저 클럽 문 앞으로 달려가 행세할 수 있습니다. 이를 "프런트 러닝(front-running)"이라고 합니다.

2. 해결책: 당신에게만 맞는 "손목 밴드"

저자들은 SDAS(Selective Disclosure Authorization Scheme)라고 불리는 시스템을 만들었습니다. 이것은 디지털 클럽을 위한 스마트 손목 밴드 시스템과 같습니다.

마술 (증명): 당신은 출생 증명서를 보여주는 대신, 특수한 컴퓨터 프로그램("회로")을 사용하여 디지털 영수증을 생성합니다. 이 영수증은 "이 사람은 18세 이상이다"라는 사실을 증명하지만, 그 사람이 누구인지 또는 언제 태어났는지에 대한 정보는 전혀 포함하지 않습니다.
보안 접착제 (송신자 바인딩): 이것이 이 논문의 핵심 혁신입니다. 시스템은 그 디지털 영수증을 당신의 특정 디지털 지갑 주소(당신의 고유 ID)에 "접착"합니다.
- 비유: 영수증이 티켓이라고 상상해 보십시오. 기존 시스템에서는 누구나 떨어진 티켓을 주워 사용할 수 있었습니다. 하지만 이 새로운 시스템에서 티켓에는 "앨리스가 소지했을 때만 작동함"이라고 적힌 홀로그램이 인쇄되어 있습니다.
- 만약 도둑이 당신의 티켓을 낚아채서 자신의 ID로 사용하려 한다면, 홀로그램이 일치하지 않아 클럽 문지기(스마트 컨트랙트)가 즉시 거절합니다.

3. 실제 작동 방식 (The "Grant, Verify, Revoke" Cycle)

저자들은 이를 이더리움 테스트 버전(Sepolia)에서 테스트하였으며, 세 단계의 과정을 만들었습니다.

Grant (마술 쇼): 당신이 브라우저에서 실행하면, 작은 프로그램(200밀리초 미만으로 실행됨—눈 깜빡임보다 빠름)이 당신의 증명을 생성합니다. 이 프로그램은 출생 연도를 연령 제한과 대조하고, 추측을 방지하기 위한 특수한 "솔트(salt, 무작위 양념)"를 추가하며, 증명을 당신의 지갑에 바인딩합니다. 그런 다음 이를 클럽에 보냅니다.
Verify (문지기의 확인): 클럽의 스마트 컨트랙트는 두 가지를 확인합니다.
- 수학적 증명이 올바른가? (정말로 18세 이상임을 증명했는가?)
- 결정적으로: 증명이 들고 있는 사람과 일치하는가? (증명에 적힌 지갑 주소가 트랜지션을 보내는 사람의 주소와 동일한가?)
- 두 가지가 모두 일치하면 입장이 허용됩니다. 만약 도둑이 당신의 증명을 훔쳐서 사용하려 한다면, "접착제"가 일치하지 않기 때문에 검증에 실패합니다.
Revoke (차단): 만약 당신이 클럽을 떠나고 싶거나 dApp이 더 이상 접근하지 못하게 하고 싶다면, 버튼을 눌러 손목 밴드를 "자를" 수 있습니다. 시스템은 당신의 접근 기록을 삭제합니다. 클럽은 당신이 떠났다는 사실은 알지만, 여로 당신의 생년월일은 여전히 알 수 없습니다.

4. 결과: 빠르고 저렴함

저자들은 프로토타입을 구축하고 테스트했습니다. 결과는 다음과 같습니다.

속도: 일반 노트북에서 증명을 생성하는 데 200밀리초 미만이 걸립니다. 이는 일반적인 웹사이트를 이용하기에 충분히 빠릅니다.
비용: 블록체인에서 증명을 확인하는 데 약 240,000 "가스(gas)" 유닛(블록체인 트랜잭션에 사용되는 통화 단위)이 듭니다. 무료는 아니지만, 이는 실용성을 입증하는 고정되고 예측 가능한 비용입니다.
보안: 테스트 과정에서, 다른 지갑을 사용하여 증명을 훔친 도둑을 시뮬레이션했을 때 시스템이 매번 해당 트랜잭션을 성공적으로 차단했습니다.

요약

이 논문은 비밀을 드러내지 않으면서도 공공의 투명한 블록체인상에서 규칙을 준수하고 있음을(예: 나이가 충분한지) 증명하는 방법을 소개합니다. 핵심 혁신은 증명을 그것을 보내는 특정 사람에게 바인딩하는 것입니다. 따라서 도 thief가 줄을 서 있는 동안 증명을 훔치더라도, "잠금 장치"가 원래 소유자의 열쇠에만 맞도록 설계되어 있어 사용할 수 없습니다.

저자들은 이를 ZK-Compliance라고 부르며, 이것이 빠르고 안전하게 작동함을 보여줌으로써 "투명성의 함정"을 프라이버시를 보호하는 보안 시스템으로 바꾸어 놓았습니다.

기술 요약: 선택적 공개 권한 부여 체계를 통한 공공 원장의 프라이버시 보존 준수

문제 정의
이더리움과 같은 공공 분산 원장은 급진적 투명성을 통해 무결성을 강제하지만, 이는 규제 준수에 요구되는 데이터 최소화 원칙과 충돌한다. 영지식 증명(ZKP)은 이론적으로 사용자가 기저의 데이터를 공개하지 않고도 특정 진술(예: 연령 또는 거주지)을 증명할 수 있게 해주지만, 기존의 구성 방식은 스마트 컨트랙트 환경에서 치명적인 적대적 제약에 직면한다. 구체적으로, 블록체인 트랜잭션의 비동기적 특성은 취약점을 생성한다. 오프체인에서 생성된 증명은 온체인에 포함되기 전 공개 멤풀(mempool)에 제출된다. 이러한 지연으로 인해 공격자는 유효한 증명을 관찰하고 이를 다른 트랜잭션 문맥(예: 다른 송신자 주소 또는 다른 컨트랙트로의 전송)에서 프런트 러닝(front-run)하거나 재사용(replay)할 수 있다. 표준 ZKP는 증거(witness)의 지식은 보장하지만, 해당 증명을 특정 온체인 송신자에 본질적으로 결합시키지는 않으므로, 과도한 정보 공개나 증명 재사용이 프라이버시와 권한 무결성을 해칠 수 있는 "투명성 함정(transparency trap)"을 만든다.

방법론: 선택적 공개 권한 부여 체계 (SDAS)
이러한 격차를 해결하기 위해, 저자들은 기저의 증거를 드러내지 않으면서도 세밀하고 철회 가능한 준수 체크를 수행하도록 설계된 암호학적 프리미티브인 **선택적 공개 권한 부여 체계(Selective Disclosure Authorization Schemes, SDAS)**를 정형화한다. 이 프레임워크는 권한 부여를 상태가 없는 증명 제시가 아니라, 특정 실행 문맥에 결합된 검증 가능한 상태 전이로 취급한다.

정형 모델: SDAS 모델은 이더리움 가상 머신의 변수인 msg.sender, block.chainid, address(this)에 대응하는 실행 문맥 튜플 $\Gamma = (\chi_{addr}, \chi_{chain}, \chi_{contract})$ 를 정의한다. 유효한 권한 증명은 관계 $R(w, \Gamma)$ 를 입증해야 하며, 이를 통해 증명이 이 좌표 공간에 암호학적으로 결합되었음을 보장한다.
보안 정의: 본 논문은 두 가지 핵심 보안 속성을 도입한다.
- 원장 결합 속성 비연관성(Ledger-Bound Attribute Unlinkability): 온체인 권한 기록이 기저의 특정 증거(예: 출생 연도)에 대한 어떠한 정보도 드러내지 않음을 보장하며, 트랜잭션 연결성(주소)과 속성 연결성을 구분한다.
- 문맥 인식 송신자 결합(Context-Aware Sender Binding): 특정 문맥을 위해 생성된 증명이 다른 문맥에서 재사용되거나 다른 송신자에 의해 사용될 수 없음을 보장한다.
ZK-Compliance 프로토타입: 저자들은 SDAS를 사용자 제어 기반의 "부여, 검증, 철회(Grant, Verify, Revoke)" 라이프사이클을 구현하는 이더리움 기반 시스템인 ZK-Compliance로 구체화한다.
- 회로 설계: 시스템은 BN128 곡선 상의 Groth16 스킴을 기반으로 하는 14개 제약 조건의 Circom 회로(AgeCheck)를 사용한다. 이 회로는 공개 입력(현재 연도, 연령 임계값, 요청 주소)과 비공개 증거(출생 연도, 랜덤 솔트)를 입력으로 받는다. 결정적으로, 회로는 공개 주소 입력( $x_{addr}$ )을 제약하여 회로가 송신자의 주소를 소비하도록 함으로써, 만약 다른 msg.sender에 의해 제출될 경우 증명이 무효화되도록 한다.
- 실행 흐름: 클라이언트는 SnarkJS를 사용하여 로컬에서 증명을 생성하고, 공개 입력을 지갑 주소에 결합한 뒤 서명된 트랜잭션을 제출한다. 온체인 검증기는 먼저 결합된 주소가 msg.sender와 일치하는지 확인하며, 불일치 시 즉시 리버트(revert)한 후 암호학적 검증을 수행한다.

주요 기여

SDAS의 정형화: 본 논문은 권한 부여를 검증 가능한 상태 전이로 모델링하여, 속성의 유효성과 상태 기반 온체인 권한 부여를 분리하는 새로운 권한 부여 아키텍처를 도입한다.
문맥 인식 결합: 저자들은 멤풀 기반의 프런트 러닝 및 증명 재사용 공격을 무력화하기 위해, 제로 지식 증명을 실행 중인 msg.sender에 고정하는 문맥 인식 송신자 결합(Context-Aware Sender Binding) 메커니즘을 정의하고 구현하였다.
실용적 구현: 본 연구는 지속적인 신원 수탁자(custodian)에 의존하지 않고 "부여, 검증, 철회" 라이프사이클을 운영하는 브라우저 네이티브 이더리움 프로토타입인 ZK-Compliance를 제시한다.

실험 결과
저자들은 Sepolia 테스트 네트워크에서 ZK-Compliance를 평가하였다:

클라이언트 측 성능: 증명 생성(증거 생성 + 증명 구축)은 WebAssembly를 사용하여 소비자급 MacBook Air (M2, 16GB RAM)에서 200 ms 미만(구체적으로 184 ms) 내에 실행되었다.
온체인 비용: 검증 트랜잭션 비용은 송신자 앵커링, BN128 페어링 검증, 액세스 기록 저장을 포함하여 240,512 gas가 소요되었다.
보안 검증: 시뮬레이션 결과, 적대적 지갑이 캡처된 증명을 다른 주소에서 재사용하려고 시도했을 때, 계약이 송신자 불일치로 인해 트랜잭션을 거부함으로써 무단 액세스 전송을 성공적으로 차단함을 확인하였다.

의의 및 주장
본 논문은 ZK-Compliance가 공공 원장에서 송신자 결합형 선택적 공개 권한 부여의 실현 가능성을 입증한다고 주장한다. 권한 부여를 상태가 없는 증명이 아닌 문맥 결합형 상태 전이로 취급함으로써, 시스템은 민감한 사용자 데이터를 공공 원장에 노출하거나 멤풀 기반의 재사용 공격에 취약해지지 않으면서도 중앙 집중식 신원 저장소에 대한 의존도를 낮춘다. 저자들은 이 접근 방식이 감사 가능하고, 시간 제한적이며, 철회 가능한(예: 연령 확인) 규제 준수를 위한 실질적인 경로를 제공한다고 단언한다.

한계점
저자들은 현재 프로토타입이 주로 송신자 결합에 초점을 맞추고 있으며, 크로스 체인 및 크로스 컨트랙트 결합(block.chainid 및 address(this)에 대한 앵커링)은 향후 연구를 위한 확장 과제로 남아 있다고 언급하였다. 또한, 현재의 철회 메커니즘은 상태를 삭제할 뿐, 오래된 증명을 통한 권한 재활성화를 방지하기 위한 상태 기반 널리파이어(nullifier, 예: Poseidon 해시 사용)를 아직 구현하지 않았으며, 이는 실제 운영 배포를 위해 필요한 기능이다.

1. 문제점: "유리 벽"과 "도둑"

2. 해결책: 당신에게만 맞는 "손목 밴드"

3. 실제 작동 방식 (The "Grant, Verify, Revoke" Cycle)

4. 결과: 빠르고 저렴함

요약

유사한 논문