실행 레이어의 포스트 양자 이더리움
Ethereum Korea One: Genesis · Day 2 · 2026-09-29 · 31:55
양자 컴퓨터 시대에 이더리움 지갑의 서명은 어떻게 바뀌어야 할까요? Ethereum Korea One: Genesis에서 연세대학교 CNL의 이윤형 연구원이 실행 레이어의 포스트 양자 전환 경로를 짚었습니다.
연사
- Yoonhyung Lee, CNL Researcher, Yonsei University
세션 소개
EIP-7885의 공동 저자인 Yoonhyung Lee가 해시 기반 서명의 구조에서 출발해 NTT 프리컴파일, Ephemeral Keys, 그리고 멤풀 증명 어그리게이션으로 이어지는 실행 레이어 포스트 양자(PQ) 해법의 변화를 설명합니다. 표준 서명을 그대로 유지하면서 증명 비용만 낮출 수 있는지에 대한 본인의 연구 방향도 소개합니다.
핵심 요약
- PQ 전환은 알고리즘 하나를 고르는 문제가 아니라 시스템 설계의 문제라고 강조했습니다. 서명자는 키 생성과 백업, 네트워크는 공개키와 서명 크기에 따른 가십 전파와 대역폭, 검증자는 계산량과 가스 비용을 함께 봐야 합니다. Lattice 기반 Falcon의 서명은 666바이트, 해시 기반 SLH-DSA는 약 7.8KB입니다.
- XMSS 같은 stateful 서명은 백업 복원이나 여러 기기의 동시 서명으로 상태가 되돌아가면 같은 원타임 키(예: 42번 키)가 서로 다른 메시지에 쓰여 WOTS의 보안이 깨지고 서명 위조가 가능해집니다. 그래서 한 기기에서 계속 서명하는 컨센서스 레이어에는 XMSS가 적합하지만, 사용자 지갑이 있는 실행 레이어는 다른 방법이 필요하다고 설명했습니다.
- 이더리움 로드맵(Strawmap)의 실행 레이어 해법은 NTT 프리컴파일에서 Ephemeral Keys로, 다시 leanSPHINCS와 증명 어그리게이션으로 바뀌어 왔습니다. 본인이 공동 저자로 참여한 EIP-7885는 여러 Lattice 스킴이 공유할 수 있는 NTT 연산을 제공하며, 커스텀 OP Stack 테스트넷에서 Falcon 검증 가스를 1.8M에서 479K로 약 73% 줄이고 ML-DSA는 약 7.8M에서 5.7M 가스로 낮췄습니다.
- Ephemeral Keys는 계정 주소를 유지한 채 서명 키를 매번 교체하는 방식입니다. ECDSA는 트랜잭션이 멤풀에서 대기하는 동안 공개키가 양자 공격에 노출되어 few-time 서명인 FORS로 전환했지만, 서명자 커밋먼트를 계속 로테이션해야 하는 상태 부담과 FORS가 표준이 아니라는 한계가 남았습니다.
- 현재 방향은 Hegotá 포함이 확정된 Frame Transaction(EIP-8141) 위에서 동작하는 EIP-8288(인멤풀 서명 및 증명 어그리게이션)입니다. 검증 프레임이 스킴, 데이터, 검증 키를 디펜던시로 선언하면 멤풀에서 증명을 재귀적으로 묶고, 빌더가 블록 전체를 포괄하는 어그리게이트 프루프를 만들어 노드는 서명 하나하나 대신 이 증명 하나만 검증합니다.
- 해시 기반을 택하는 이유로 기본 계층이 의존하는 암호 프리미티브를 최소화하자는 Vitalik의 답변을 인용했습니다. 바이너리 필드 증명의 발전으로 SHA, BLAKE 같은 표준 해시의 증명 비용이 크게 낮아졌고(Flock은 논문상 Binius64보다 약 9배 빠르고, 골핑 챌린지에서는 논문보다 3~4배 더 개선), 다음 연구로 서명 크기가 가장 작은 SLH-DSA 파라미터셋을 수정 없이 배치 증명해 증명 시간, 메모리, 검증 시간, 증명 크기를 측정할 계획이라고 밝혔습니다.