기술 요약: PACE – 스마트 컨트랙트를 위한 상태 일관적 실행을 동반한 정책 결합형 다자간 승인 체계

1. 문제 정의

자산 전송, 권한 변경 등 민감한 작업을 관리하는 스마트 컨트랙트는 종종 다자간 승인을 필요로 한다. 그러나 기존의 메커니즘은 정책 업데이트, 요청 바인딩, 그리고 승인 라이프사이클 관리를 별개의 관심사로 취급하는 경우가 많다. 이러한 분리는 엔드 투 엔드(end-to-end) 승인 일관성 측면에서 치명적인 공백을 만든다.

구체적으로, 본 논문은 오프체인 승인과 온체인 실행 사이의 분리에서 발생하는 네 가지 연구 질문(RQ)을 식별한다:

1. 정책-결정 일관성 (RQ1): 실행 전 활성 정책이나 권한 구성(예: 필수 서명자 업데이트)이 변경되더라도 공동 승인이 유효하게 유지되도록 하는 방법은 무엇인가?
2. 결정-요청 바인딩 (RQ2): 컨트랙트에 제출된 요청이 권한자들에 의해 승인된 것과 동일함을 어떻게 보장할 것인가? 이는 요청자가 호출 파라미터나 대상 컨트랙트를 악의적으로 변경하는 것을 방지하기 위함이다.
3. 승인 라이프사이클 관리 (RQ3): 실행 시점에 만료되었거나, 이미 사용되었거나, 혹은 유효하지 않은 승인이 재사용되는 것을 어떻게 방지할 것인가?
4. 승인-실행 일관성 (RQ4): 승인의 소비(consumption)와 보호된 작업의 실행을 어떻게 원자적으로 결합하여, 작업 실패 시 승인이 "사용됨" 상태로 남지 않게 하거나, 성공적인 작업이 승인 소비 없이 진행되지 않도록 보장할 것인가?

SMACS(토큰 기반)나 X-LOCK(탈중앙화 속성 기반)과 같은 기존 솔루션들은 이러한 문제들의 일부를 해결하지만, 특정 호출에 대한 공동 승인을 네 가지 일관성 요구 사항 모두와 단일 라이프사이클 내에서 통합하는 데는 실패한다.

2. 방법론: PACE 프레임워크

저자들은 PACE를 제안하며, 이 프레임워크는 다자간 승인을 특정 정책 인스턴스에 결합하고 통합된 워크플로우를 통해 상태 일관성을 강제한다.

2.1 시스템 모델 및 워크플로우

시스템은 정책 소유자(PO), $n$개의 권한자($A$), 요청자($U$), 그리고 실행 게이트웨이 역할을 하는 스마트 컨트랙트(SC)로 구성된다.

1. 구성 설정: PO는 정책 $P$를 정의하고 권한자의 공개 키를 등록한다. 원자적 활성화 프로세스를 통해 정책을 현재의 검증 키 세트와 연결하는 에포크(epoch)별 구성을 생성한다.
2. 컨텍스트 결합형 공동 승인: 요청자는 오프체인에서 요청을 제출한다. 권한자들은 도메인, 정책 버전, 대상 컨트랙트, 연산, 호출 데이터, 세션 ID, 논스(nonce), 데드라인을 포함하는 정규 실행 컨텍스트($\mu_{SC}$)를 검토한다.
   • 권한자들은 공동 증거를 생성하기 위해 **격자 기반 2라운드 멀티 시그니처 스킴(DualMS)**을 사용한다.
   • 이 스킴은 지정된 모든 권한자가 승인하고 참여해야 하는 $n$-out-of-$n$ 모드로 작동한다.
3. 상태 일관적 실행: 요청자는 요청과 공동 서명을 SC에 제출한다. 게이트웨이는 다음을 수행한다:
   • 정책 검증: 서명이 서명 당시의 정책이 아닌, 현재 활성화된 정책 구성과 일치하는지 검증한다.
   • 컨텍스트 매칭: 제출된 요청이 서명된 컨텍스트와 정확히 일치하는지 확인한다.
   • 상태 체크: 신선도(논스, 데드라인)를 검증하고 세션 ID가 이미 사용되었는지 확인한다.
   • 원자적 실행: 모든 체크를 통과하면, 컨트랙트는 세션을 "사용됨"으로 표시하고 보호된 연산을 실행한다. 만약 연산이 실패하면, 소비 기록을 포함하여 트랜잭션이 되돌려진다(revert).

2.2 암호학적 기초

PACE는 2라운드 격자 기반 멀티 시그니처 구조인 DualMS(Chen 2023)를 활용한다. 이 선택은 양자 내성 보안 목표를 지원한다. 프로토콜은 다음 사항에 의존한다:

• 정규 인코딩(Canonical Encoding): 모든 컨텍스트 필드는 인코딩되어 메시지 $m$을 형성하기 위해 해싱된다.
• 거부 샘플링(Rejection Sampling): 비밀 키 유출을 방지하기 위해 서명 과정 중에 사용되며, 샘플이 특정 노름(norm) 범위를 벗어날 경우 재시도를 요구한다.
• 타겟 공개 키 보안 모델: 보안 분석은 구성 내의 오염되지 않은 타겟 권한자($A_1$)를 가정하며, 공격자는 다른 권한자들을 제어할 수 있다고 가정한다.

3. 주요 기여

본 논문의 주요 기여는 세 가지이다:

1. 일관성의 형식화: 저자들은 타겟 공개 키 실험 하에서 세 가지 보안 속성을 공식적으로 정의하고 분석한다:

   • 정책-결정 일관성: 실행은 승인을 관장하는 정책와 현재 활성 정책가 일치할 때만 발생함을 보장한다.
   • 결정-요청 바인딩: 실행된 요청이 서명된 컨텍스트와 일치함을 보장한다.
   • 승인-실행 일관성: 상태 전이(소비)가 특정 연산의 성공적인 실행과 불가분하게 연결되어 있음을 보장한다.
   • 분석 결과, 승인되지 않은 실행은 DualMS의 UF-CMA 보안을 깨뜨리는 공동 서명 위조 또는 컨텍스트 해시 함수의 충돌을 의미함을 입증한다.

2. PACE 구축: 이 프레임워크는 암호학적 인터페이스를 스마트 컨트랙트 시맨틱과 통합한다. 게이트웨이가 현재 컨트랙트 상태로부터 검증 키를 검색하는 메커니즘을 도입하여, 구버전의 구성에서 생성된 서명이 사용되는 것을 방지한다. 또한 "사용됨(Used)" 상태 업데이트를 보호된 호출과 결합하여 원자성을 강제한다.

3. 프로토타입 평가: 시스템을 평가하기 위해 Python/SageMath 프로토타입이 구현되었다.

   • 일관성 체크: 프로토타입은 오래된 정책, 수정된 요청, 그리고 재사용된 세션이 올바르게 거부됨을 검증하였다.
   • 의미론적 절제(Semantic Ablations): 프로토타입에서 특정 체크(예: 정책 매칭 또는 단일 사용 체크)를 제거했을 때 예상된 보안 실패가 발생하였으며, 이는 각 구성 요소의 필요성을 입증한다.
   • 성능: 시스템은 다양한 권한자 수($n=4$에서 $32$)와 호출 데이터 길이에 대해 평가되었다.

4. 결과

프로토타입 평가를 통해 다음과 같은 결과가 도출되었다:

• 연산 비용:

  • 지배적 요인: 협력적 서명(생성 및 집계)이 연산 비용의 대부분을 차지한다. 권한자 수($n$)가 증가함에 따라 집계 시간은 크게 증가한다 ($n=4$일 때 약 1.09초에서 $n=32$일 때 약 8.10초).
  • 안정적 검증: 컨트랙트 측 검증 시간은 $n$에 관계없이 상대적으로 안정적이다 (약 0.71–0.73초). 이는 개별 메시지가 아닌 하나의 집계된 서명을 검증하기 때문이다.
  • 컨텍스트 영향: 호출 데이터 길이(최대 12,800 비트)를 늘려도 암호 연산 시간에 미치는 영향은 미미하다. 이는 격자 차원이 고정되어 있고 컨텍스트가 고정 길이의 메시지로 해싱되기 때문이다.
  • 오버헤드: 핵심 DualMS 암호 연산 대비 PACE 프레임워크의 점진적 오버헤드는 작다 (예: $n=32$일 때 약 0.18초). 이는 정책 및 상태 체크가 격자 연산에 비해 계산 효율적임을 나타낸다.

• 통신 및 저장:

  • 통신: 총 통신량은 조정 트래픽(커밋먼트 및 응답 수집)으로 인해 권한자 수에 따라 선형적으로 증가하며, 약 30 MiB ($n=8$)에서 110 MiB ($n=32$) 사이의 범위를 갖는다. 집계된 서명 크기는 일정하게 유지된다.
  • 저장: 구성 저장소(권한자 상태 및 승인 상태)는 $n$에 따라 선형적으로 증가하며, $n=32$일 때 약 1.07 MB에 달한다.

• 재시도 동작:

  • 비밀 유출을 방지하기 위한 거부 샘플링 메커니즘은 재시도를 요구한다. 재시도 예산($R$)을 6에서 8로 설정했을 때 전체 암호 핵심의 성공 확률은 0.80을 초과하며, $R=10$일 때 0.90 근처에서 안정화된다.

5. 의의 및 주장

본 논문은 PACE가 승인된 호출에 대한 공동 승인을 활성 정책 체크 및 원자적 상태 전이와 결합함으로써, 기존 스마트 컨트랙트 시스템의 파편화된 승인 처리를 해결한다고 주장한다.

• 통합: 정책, 바인딩, 또는 라이프사이클을 각각 별도로 처리하는 기존 연구와 달리, PACE는 특정 호출에 대한 공동 승인을 활성 정책 검사와 원자적 상태 전이와 통합한다.
• 보안: 프레임워크는 명시된 가정(DualMS 보안 및 충돌 저항성) 하에서 승인되지 않은 실행이 계산적으로 불가능함을 공식적으로 보장하며, 특히 구버전 정책이나 변경된 요청 하에서의 실행을 방지한다.
• 양자 내성 준비: 격자 기반 암호학을 활용함으로써, 본 프레코더는 양자 내성 보안을 염두에 두고 설계되었다. 다만, 공식적 증명은 클래식 무작위 오라클 모델(classical random oracle model) 하에 머물러 있다.

저자들은 현재 구현이 $n$-out-of-$n$ 모델, 신뢰할 수 있는 구성 관리, 그리고 원자적 실행 시맨틱을 가정하고 있다는 점을 언급하며 신중한 입장을 유지한다. 또한 프로토타입은 시뮬레이션된 것이며 블록체인 특유의 지연 시간(latency)이나 가스 비용(gas costs)을 측정하지 않았음을 명시하며, 이를 향후 연구 과제로 남겨두었다.