기술 요약: HERMES

문제 정의

계정 모델 블록체인(예: 이더리움)은 영속적인 신원을 가변적인 잔액에 결합하며, 이로 인해 모든 전송 과정에서 송신자, 수신자, 그리고 거래 금액이 공개적으로 드러나게 된다. 이러한 투명성은 감사 가능성을 지원하지만, DeFi 사용자(프런트러닝), 스테이블코인 발행사(잔액 기밀성), 그리고 엔터프라이즈 컨소시엄(공급망 노출)에게 심각한 프라이버시 리스크를 초래한다.

계정 모델에서 프라이버시를 구현하는 것은 UTXO 모델(예: Zcash, Monero)보다 구조적으로 더 어렵다. 왜냐하면 단일 식별자가 모든 상호작용을 누적하기 때문이다. 이 환경에서 프라이버시를 달성하려면 다음의 세 가지 상호 제약적인 속성을 동시에 만족해야 한다:

1. 잔액 기밀성 (Balance Confidentiality): 관찰자가 현재 계정 잔액에 대해 아무것도 알 수 없어야 함.
2. 거래 금액 익명성 (Transaction-Amount Indistinguishability): 관찰자가 서로 다른 전송 금액을 구별할 수 없어야 함.
3. 송신자-수신자 연결 불가능성 (Sender-Receiver Unlinkability): 관찰자가 송신자와 수신자를 연결 지을 수 없어야 함.

기존 연구들은 하나의 공식적인 프레임워크 내에서 이 세 가지 속성을 모두 조화시키는 데 실패했다. UTXO 방식은 관계는 숨기지만 영속적인 잔액이 부족하며, 계정 모델 방식은 신원을 노출하거나, 신뢰할 수 있는 설정(trusted setup)을 요구하거나, 표준 가정에 대한 통합된 축약(reduction) 없이 부분적인 보안 논거만을 제공한다.

방법론

HERMES(Halo2-Enhanced Rollup Maze ElGamal Shield)는 신뢰할 수 있는 설정을 요구하지 않고 결정적 디피-헬먼(Decisional Diffie-Hellman, DDH) 가정으로의 축약을 통해 세 가지 프라이버시 보장을 확립하는 통합 게임 기반 프레임워크를 제안한다.

핵심 암호학적 프리미티브

• 이중 생성자 지수 ElGamal (Dual-Generator Exponential ElGamal): HERMES는 암호문이 $(g^r, p_k^r \cdot h^m)$ 형태인 ElGamal 암호화의 변형을 활용한다. 두 번째 구성 요소는 구조적으로 메시지 $m$에 대한 페더슨 약속(Pedersen commitment) 역할을 수행한다.
• 약속-일관적 암호화 (Commitment-Coherent Encryption, CCE): 본 논문은 CCE를 암호문 구성 요소가 또한 유효한 약속(commitment)이 되는 설계 원칙으로 정형화한다. 이를 통해 별도의 "브릿징(bridging)" $\Sigma$-프로토콜 없이 암호문에 직접 범위 증명(range proofs)을 구축할 수 있어 암호학적 오버헤드를 제거한다.
• 독립적 무작위화 (Independent Randomizers): 암호화 성분 간의 대수적 누설(암호문 성분의 비율이 평문의 차이를 드러내는 현상)을 방지하기 위해, HERMES는 모든 암호문에 고유하고 독립적인 무작위자 $r_k$를 할당한다. 본 논문은 이것이 DDH 가정 하에서 대수적 누설 표면을 폐쇄하기 위한 유일한 전략임을 증명한다.
• 삼중 키 분리 (Triple-Key Separation): 시스템은 세 가지 별도의 키 구성 요소를 사용한다:
  1. 금액 키 ($sk_a$): 잔액의 암호화 및 복호화를 위함.
  2. 뷰 키 ($sk_v$): 들어오는 전송을 스캔하기 위한 키 (복호 능력 없이 뷰 태그를 생성).
  3. 주소 (Address): 공개 키의 일방향 해시.
     이 아키텍처는 하나의 키(예: 뷰 키)가 탈취되더라도 다른 키들이 침해되지 않도록 보장한다.

시스템 아키텍처

• 온체인 종결 (On-Chain Closure): 수신자는 뷰 태그( $Y_1^{sk_v}$ 의 절단된 해시)를 사용하여 온체인에서 들어오는 트랜잭션을 필터링한다. 일치하는 태그가 발생하면 전체 Baby-Step Giant-Step (BSGS) 복호화가 트리거된다. 이는 비복호화 방식에서 요구되는 오프체인 알림의 필요성을 제거한다.
• 영지식 증명 (Zero-Knowledge Proofs): 시스템은 투명한 설정을 위해 Inner Product Argument (IPA) 백엔드를 갖춘 Halo2를 사용한다. 증명은 잔액 유효성, 거래 정확성, 범위 제약($0 \le t < 2^{32}$), 상태 멤버십, 그리고 $N$ 크기의 익명 집합 내에서의 One-out-of-Many 증명을 통한 송신자 익명성을 검증한다.
• 트랜잭션 흐름: 전송은 익명 집합을 선택하고, 송신자(차감)와 수신자(가산)의 델타에 대해 독립적인 암호문을 생성한 후, L1 컨트랙트에 단일 증명을 제출하는 과정을 거친다.

주요 기여

본 논문은 네 가지 구체적인 기여를 주장한다:

1. 통합 게임 기반 프레임워크: 세 가지 프라이버시 속성을 동시에 정의하고, 세 가지 모두에 대해 DDH 가정으로의 명시적이고 타이트한 축약을 제시한 최초의 공식 모델이다.
2. CCE 및 대수적 누설의 정형화: ElGamal 기반 방식의 대수적 누설 표면에 대한 완전한 분류 체계를 제공하며, 암호문당 독립적 무작위화가 DDH 하에서 완전한 누설 폐쇄를 위한 필요충분조건임을 증명한다.
3. 삼중 키 분리 아키텍처: 단일 키(금액, 뷰, 또는 주소)의 침해가 해당 키의 역할로 엄격히 제한되어 다른 구성 요소의 보안을 유지함을 입증하는 공식적인 "침해 반경(compromise-radius)" 분석을 제공한다.
4. 구체적 보안 및 성능: 구체적인 보안 경계(공격자 이득 $\le q \cdot 2^{-\lambda}$) 도출 및 BN254 상의 파라미터 선택. 이중 생성자 ElGamal 암호화는 서브 밀리초 성능($\approx 320 \mu s$)을 달축하여 실질적인 배포 가능성을 검증한다.

결과 및 평가

• 보안성: 세 가지 프라이버시 속성의 보안은 DDH의 어려움으로 축약된다.
  • 잔액 프라이버시: 타이트한 축약 (이득 $\le Adv_{DDH}$).
  • 금액 익명성: 근사 타이트한 축약 (이득 $\le 2 \cdot Adv_{DDH}$).
  • 연결 불가능성: $2N$ 인자(여기서 $N$은 익명 집합 크기)와 ZK 시뮬레이션 오버헤드를 포함한 축약. $N=8$일 때, BN254에서 약 96비트의 보안성을 유지한다.
• 성능 (암호학적 레이어):
  • 암호화: $\approx 320 \mu s$.
  • BSGS 복호화: $\approx 1.5 ms$ (금액 $< 2^{32}$로 제한됨).
  • 뷰 키 스캐닝: 암호문당 $\approx 0.6 ms$.
  • 동형 덧셈: $\approx 40 \mu s$.
• 성능 (증명 시스템):
  • 온체인 검증을 위한 KZG 백엔드를 갖춘 Halo2 사용 시: 증명 생성 $\approx 5.1 s$, 검증 $\approx 4 ms$, 증명 크기 $\approx 3.4 KB$ (at $N=8$).
  • 투명한 설정을 위한 IPA 백엔드를 갖춘 Halo2 사용 시: 증명 크기 $\approx 1.46 KB$.
  • 처리량: 기본 처리량은 단일 증명 기준 $\approx 0.2 txs/s$이며, 높은 처리량을 위해서는 시스템 레이어의 배치 집계(batch aggregation)가 필요하다.
• 비교: HERMES는 CCE(제로 브릿징), 익명 집합, 통합 DDH 축약, 그리고 투명한 설정을 결합한 유일하게 확인된 방식이다. Zcash Orchard 및 Aztec V5보다 빠른 검증 성능을 제공하지만, 증명 생성 속도는 Groth16 기반 시스템인 Penumbra보다 느리다.

의의 및 주장

본 논문은 HERMES를 특정 증명 시스템으로부터 계정 모델 원장의 프라이버시 의미론을 분리하는 솔루션으로 포지셔닝한다. CCE를 정형화하고 독립적 무작위화의 필요성을 증명함으로써, 향후 프라이버시 보존 계정 시스템을 위한 템플릿을 제공한다.

저자는 HERMES가 신뢰할 수 있는 설정 없이도 검증 가능한 프라이빗 계정이 실용적임을 보여준다고 주장한다. 이는 다음과 같이 달성된다:

• Halo2 IPA를 통한 신뢰할 수 있는 설정 요구 제거.
• 뷰 키 및 BSGS를 통한 완전한 온체인 잔액 발견 가능 (오프체인 알림에 대한 의존성 제거).
• Zether, PGC, cWETH와 같은 기존 연구가 남긴 공백을 메우는, 세 가지 핵심 프라이버시 차원을 모두 포괄하는 엄격하고 통합된 보안 모델 제공.

본 논문은 정적 공격자 모델(binomial 비용을 통해 적응형으로 격상됨), BSGS 제약으로 인한 제한된 거래 금액($2^{32}$), 그리고 라이브니스(liveness)를 위한 시퀀서(Sequencer)에 대한 의존성(단, 시퀀서는 잔액을 복호화하거나 당사자를 연결할 수 없음)을 포함한 한계점을 인정한다. 향후 과제로 포스트 퀀텀 마이그레이션 및 재귀적 증명 집계(recursive proof aggregation)를 제시한다.