Loading...
이 글은 프라이버시 보존 연산을 다루는 독립 출판물인 Proof Street에 게재된 내용을 미러링한 것입니다: ZK, FHE, MPC, TEE, 그리고 탈중앙화 신원. 원문은 2026년 8월 12일 "기밀성 비교: 네 가지 프라이버시 아키텍처가 약속하는 것"이라는 제목으로 처음 출판되었습니다. Zcash Community Grant #339의 일환으로 저자의 허가를 받아 미러링했습니다. Stephen Webber 작성.
7월 말, Zama는 9월 공개 출시를 앞둔 비공개 베타 형태로 Ethereum 메인넷에서 기밀 스왑 장을 가동했습니다. 이를 통해 트레이더는 수량, 슬리피지 허용 범위, 거래 방향을 숨긴 암호화된 의도를 제출할 수 있습니다.
이를 위해서는 약간의 정교한 설계가 필요합니다. 트레이더는 두 건의 기밀 전송을 예치하는데, 하나는 실제 자산을 담고 다른 하나는 반대편 레그에 0 수량을 담습니다. 따라서 관찰자는 숨겨진 규모의 양방향 이동만 보게 되며 매수인지 매도인지 구분할 수 없습니다. 화이트리스트에 오른 마켓 메이커들은 의도를 복호화해 규모는 보지만 방향은 보지 못한 채 양쪽 가격을 제시합니다. 봉인 입찰 경매는 온체인에서 결제되고, 승리한 메이커만 거래가 어느 방향으로 움직였는지 알게 됩니다. 결과적으로 공개 체인 위에서 대규모 스왑이 실행되지만, 거래 외부의 어느 단일 당사자도 전체 그림을 완성해서 볼 수는 없습니다.
Zama는 이 제품을 종단 간 기밀성이라고 설명하지만, 그 기밀성이 실제로 무엇을 뜻할까요? 여기서 기밀성은 일련의 전체 행동 사슬에 걸친 기밀성을 요구합니다. 즉, 대중은 한 가지를 보고, 패배한 입찰자들은 견적을 내기 위해 거래 규모를 복호화했으므로 더 많은 것을 보며, 승리한 입찰자는 그보다 더 많이 봅니다. 간단히 말해, 이 순서의 각 단계가 그런 모습인 이유는 누가 무엇을 언제 알아야 하는지에 대해 누군가가 내린 결정 때문입니다. 기밀성을 "아무도 아무것도 보지 못한다"라고 요약할 수 있다면 좋겠지만, 실제로는 아무것도 작동하지 않을 것입니다. 기밀성은 구조화되어야 하고, 순서를 따라야 합니다.
흥미로운 점은, 그 출시보다 거의 10년 앞서 Zcash가 공개 블록체인 위에서 최초의 기밀 결제 계층을 도입했다는 것입니다. Zcash는 영지식 증명을 사용해 거래의 발신자, 수신자, 수량을 숨기면서도 거래가 유효하다는 사실은 모두에게 증명했습니다. 그 후 10년 동안 "기밀"은 적어도 네 가지 서로 다른 기술 계열을 가리키는 형용사가 되었습니다. 차폐 거래, 완전동형암호, 다자간 연산, 신뢰 실행 환경입니다. 이 네 계열의 제품들은 이제 모두 프로덕션에서 돌아가고 있으며, 그중 몇몇은 같은 체인 위에서 함께 실행됩니다. 그렇다면 실제 내용물은 무엇일까요?
이 네 계열은 서로 다른 네 가지 문제에 대해 각기 다르고 때로는 겹치는 답을 제공합니다. 그리고 이제 모든 답이 제품 형태로 포장되어 도착하므로, 진짜 과제는 당신이 실제로 어떤 문제를 갖고 있는지 파악하는 일입니다.
어떤 기밀성 주장도 껍질을 벗겨 보면 네 가지 질문에 답해야 합니다. 무엇이 숨겨지는가? 누구로부터 숨겨지는가? 데이터 생애의 어느 단계에서 숨겨지는가? 그리고 그 보장이 유지되기 위해 무엇을 신뢰해야 하는가?
예를 들어 이 스왑 장을 보겠습니다. 이 장은 수량, 방향, 슬리피지를 숨겨야 합니다. 그렇다면 왜 자산 쌍은 숨기지 않을까요? Zama는 향후 버전에서 그것도 숨길 것이라고 말합니다. 누구로부터 숨기는가: 대중과 프런트러닝 봇에게는 완전히, 견적을 내는 마켓 메이커에게는 부분적으로, 승리한 메이커에게는 가장 적게 숨깁니다. 어느 단계 동안 숨기는가: 견적과 경매 과정 동안 유지되며, 결제 시점에는 의도된 공개가 있습니다. 그리고 누구를 신뢰해야 하는가: 이 보장은 FHE 자체, 스마트 계약, 그리고 운영자들이 임계값을 넘겨 공모하지 않아야 하는 임계값 키 관리 시스템에 기반합니다. litepaper에 따르면 단일 당사자는 절대 복호화 키에 접근할 수 없습니다.
이것은 전략을 방송하지 않고 규모를 실행하기 위한 설계입니다. 마켓 메이커는 견적을 가격화하려면 규모를 알아야 하므로 규모를 봅니다. 승자는 결제를 위해 방향을 알아야 합니다.
이 예시가 보여주는 것은, 무언가가 기밀이거나 아니거나 하는 이분법처럼 들리는 주장도 실제로는 배제의 일정표로 분해된다는 점입니다. 겉으로는 같은 소리로 들리는 주장에 도달하는 방식은 매우 다를 수 있습니다.
차폐된 Zcash 거래는 발신자, 수신자, 수량을 숨깁니다. 공개로 남는 것은 증명입니다. 즉, 노드를 실행하는 누구나 검증할 수 있는 영지식 논증으로, 숨겨진 거래가 규칙을 따른다는 사실을 보여줍니다. 차폐된 자금은 암호화된 노트로 존재하며, 각 노트는 수량과 소유자에 대한 비공개 기록으로서 체인 위에는 암호학적 커밋먼트 형태로만 나타납니다. 노트를 사용할 때는 nullifier가 공개되는데, 이것은 어떤 노트였는지는 드러내지 않으면서도 같은 노트가 두 번 소비되는 일을 막는 값입니다. 이는 네트워크가 어떤 자금이 이동했는지를 전혀 알지 못한 채 이중 지출을 거부할 수 있음을 뜻하며, 따라서 지출은 한 거래와 다른 거래를 연결하는 흔적을 남기지 않습니다. 증명의 역할은 지출자가 해당 노트를 소유했음을, 거래의 값들이 균형을 이룸을, 그리고 어떤 ZEC도 생성되거나 소멸되지 않았음을, 관련 수량을 전혀 공개하지 않고 확립하는 것입니다.
이 설계의 구별되는 성질은 무엇을 신뢰해야 하는지 생각할 때 가장 분명하게 드러납니다. 차폐 거래를 복호화할 수 있는 위원회는 없고, 공모 임계값이 중요한 운영자 집합도 없으며, 인증을 믿어야 하는 하드웨어 벤더도 없습니다. 신뢰 기반에 남는 것은 수학과 규칙을 부호화한 회로의 정확성입니다. 위협 모델에 인프라 자체, 압박받을 수 있는 운영자, 침해될 수 있는 벤더가 포함되는 사람에게는, 이 짧은 목록 자체가 곧 제품입니다.
실제로 그 신뢰 기반은 최근 프로덕션에서 시험대에 올랐습니다. 5월 29일, Shielded Labs의 감사를 수행하던 보안 연구자 Taylor Hornby는 Orchard 풀의 증명 회로에서 건전성 결함을 발견했습니다. 이 결함은 풀이 2022년에 출시된 이후 존재해 왔으며, Shielded Labs의 공개에 따르면 온체인 흔적 없이 Orchard 내부에서 무제한의 위조 ZEC가 발행될 수 있게 했을 가능성이 있었습니다.
긴급 수정은 5일 만에 배포되었습니다. Orchard는 6월 2일 일시 중지되었고, 6월 3일 수정된 회로와 함께 복구되었습니다. ZODL의 대응 게시물은 영향을 Shielded Labs보다 더 좁게 그렸으며, 위조 공급이 아니라 풀 내부의 이중 지출 위험으로 설명했고, 사용자 프라이버시와 총 공급 상한은 영향을 받지 않았다고 보고했습니다.
검증 가능성을 재구축하는 작업은 그 이후에 배포되었습니다. Ironwood는 7월 28일 NU6.3으로 활성화되었고, Orchard 풀을 영구적으로 봉인하며 수정된 회로 위에 새로운 풀을 열었습니다. 이 풀은 독립 감사와 형식 검증 작업에 의해 뒷받침되며, 모든 출금 자금을 검증 가능하게 유입된 양으로 제한하는 turnstile을 통해 라우팅함으로써, 누구의 거래도 보지 않고도 모든 사용자가 유통 공급량을 독립적으로 확인할 수 있는 능력을 회복시켰습니다. 이 사건은 신뢰 기반 원장이 실제로 작동하는 모습을 보여줍니다. 회로의 정확성이 실패했을 때, 해결책은 위원회의 재량이 아니라 수학과 마이그레이션이었고, 피해 범위는 아키텍처가 수년 전부터 풀 경계에 내장해 둔 감사 가능성에 의해 제한되었습니다.
이처럼 최소한의 신뢰 기반으로 차폐가 얻는 것은 의도적으로 좁습니다. 숨겨진 상태는 하나의 결제, 즉 한 당사자에서 다른 당사자로 이동하는 가치입니다. 여러 당사자가 함께 연산하는 공유 암호화 상태도 없고, 기밀 계약 로직도 없으며, 암호화된 오더북도 없습니다.
FHE는 암호문 위에서 연산이 실행되도록 합니다. 현재 Ethereum에서 가동 중인 Zama의 프로토콜에서는 잔액과 전송 수량이 초안 ERC-7984 standard 아래 온체인에 암호화된 핸들로 존재하고, 코프로세서가 오프체인에서 암호화된 산술 연산을 수행하며, 복호화에는 메인넷 출시 시점 기준 13개 조직으로 구성된 독립 키 관리 운영자들의 쿼럼이 필요합니다. 이들은 평판과 운영상의 이해관계를 기준으로 선정되며, 따라서 어떤 단일 당사자도 데이터를 읽을 수 없습니다. 이것이 바로 암호화된 오더북이나 기밀 대출 풀이 아예 가능해지는 이유입니다. 여러 당사자의 숨겨진 상태가 공유 계약 로직 안에서 함께 구성되기 때문입니다.
하지만 키 관리 위원회는 어떨까요? 누군가는 복호화할 수 있어야 합니다. 그렇지 않으면 데이터는 사용할 수 없습니다. 이 설계의 답은 그 "누군가"를 단일 수탁인이 아니라 독립 운영자들의 임계값으로 만들고, 계약 자체에 작성된 접근 제어를 통해 누가 어떤 값을 복호화할 수 있는지 통제하는 것입니다. 이는 감사인 같은 지정 당사자에게까지 확장될 수 있으며, 그 위임 메커니즘의 컴플라이언스 함의는 이 시리즈의 다음 글에서 다뤄질 부분입니다. 솔루션을 평가하는 사람에게 중요한 질문은 위원회의 구성, 인센티브, 임계값이 자신의 위협 모델과 맞는지 여부입니다.
다자간 연산은 데이터를 독립 노드들에 분산된 지분으로 나누고, 어떤 노드도 입력값을 재구성하지 않은 채 공동으로 결과를 계산하게 합니다. COTI 네트워크에서 암호화된 값 위에서 EVM 호환 계약 로직을 프로덕션에서 실행하는 가블드 회로 가상 머신을 만든 Soda Labs의 공동 창업자이자 CEO인 Avishay Yanai는, 프로덕션에서 좋은 MPC 설계란 관찰자든, 연산을 실행하는 노드든, 벤더든 어느 단일 당사자도 평문 입력이나 중간 상태를 절대 보지 못하게 하고, 모두가 공개 정책이 허용하는 것만 보게 만드는 것이라고 설명합니다. 이 보장은 오직 비공모에만 의존하며, 그것은 예를 들어 서로 다른 관할권, 서로 다른 클라우드, 독립 감사 아래 운영자를 두고 공모 시 법적 책임을 지우는 방식으로 공학적으로 설계하고 계약으로 보완할 수 있는 가정입니다. 여기서 암호학의 역할은 그가 말하듯 신뢰를 없애는 것이 아니라 엄청나게 줄이는 것이며, 기관들이 청산 기관에 두는 신뢰와 동등한 수준에 도달하는 것입니다. 임계값을 넘는 공모는 프라이버시를 깨뜨리지만 정확성은 깨뜨리지 않습니다. 공개 감사 가능성을 갖춘 설계에서는 외부 검증자들이 연산에 참여하지 않고도 보고된 결과가 맞는지 여전히 확인할 수 있기 때문입니다.
다만 주의할 점은, 그러한 관찰자는 거래가 발생했다는 사실, 언제 발생했는지, 어떤 계약을 상대로 했는지, 누가 제출했는지, 그리고 배치 크기와 수수료는 볼 수 있다는 것입니다. 참여 노드는 어떤 함수가 실행되었는지와 그 처리량 패턴을 알 수 있습니다. 활동 수준은 수량이 드러나지 않더라도 누출될 수 있으므로 타이밍 상관관계도 또 다른 고려 사항입니다. 그리고 애플리케이션이 평문으로 출력하는 모든 것은, 그것을 눈여겨보는 당사자에게 반복적인 소규모 공개가 잠재적 패턴으로 자라날 수 있습니다. 그는 이것이 "약속의 경계"라고 분명히 하며, 따라서 평가자는 벤더에게 그 경계를 명시적으로 그리라고 요구해야 한다고 말합니다. 어떤 연산 모델도 예를 들어 손상된 클라이언트가 평문을 제출하는 문제를 고쳐주지는 않습니다. 프로토콜은 주어진 것에 대해 충실하게 계산할 뿐입니다. 누가 누구와 통신하는가는 전송의 문제이고, 컴플라이언스는 메커니즘이 아니라 정책입니다. "어떤 암호학도 그 판단을 대신 내려주지 않습니다."
가블드 회로 설계는 입력이 존재하기 전에 무거운 암호학적 재료를 미리 계산해 두고 고정된 라운드 수로 실행됩니다. 이것이 바로, 비밀 분산 프로토콜이 연산마다 네트워크 왕복 비용을 치르는 환경에서 거래 속도급 워크로드를 가능하게 만드는 이유입니다. 또한 Yanai에 따르면 일부 MPC 계열은 값은 보호하지만 연산이 있었다는 사실 자체는 숨기지 못하는 반면, 가블드 회로 설계는 상대방 주소와 자산 유형까지 은폐 범위를 확장할 수 있습니다. 하지만 이 비교에서 이 계열의 가장 중요한 성질은, MPC가 그 자체로 하나의 아키텍처이기도 하고 다른 계열 내부의 재료이기도 하다는 점입니다. FHE 배포 아래 있는 임계값 키 위원회 자체가 곧 다자간 연산입니다. Yanai의 틀에서 평가자의 질문은 "내 위원회는 무엇을 하는가, 그리고 그 위에 무엇을 더 지불하는가?"입니다. 어느 쪽이든 위원회가 존재한다면, 연산 자체를 MPC로 실행함으로써 값비싼 외층 하나를 제거할 수 있습니다.
여기서 같은 약어로 전혀 다른 두 제품이 논의된다는 점을 분명히 할 가치가 있습니다. 커스터디 MPC는 서명 키를 여러 당사자에 걸쳐 분할해 어떤 단일 당사자도 혼자 서명할 수 없게 합니다. 그것은 하나의 비밀을 보호하며, 관련된 공동 연산은 서명을 만들어내는 하나의 고정된 연산입니다. 반면 컴퓨트 MPC는 데이터가 전 과정에서 숨겨진 채로 일반적인 프로그램 로직을 실행하며, 여러 당사자의 입력, 임의의 계약 로직, 지속적인 운영을 수반합니다. 두 가지가 공통으로 갖는 것은 수학입니다. 하지만 운영 측면에서는, 하나는 키 관리를 위해 사용되고 다른 하나는 기밀 실행 환경입니다.
TEE는 프로세서 안의 하드웨어 격리 영역으로, 메모리 속 데이터를 암호화된 상태로 유지하고 운영 체제, 하이퍼바이저, 머신 운영자로부터 차폐하며, 원격 인증을 통해 외부 당사자가 내부에서 어떤 코드가 실행 중인지 검증할 수 있게 합니다. 이 설계는 암호학 계열이 큰 비용을 치르고 얻는 두 가지, 즉 범용성과 속도를 제공합니다. 엔클레이브는 거의 일반적인 비용으로 일반 프로그램을 실행하므로, 주요 클라우드의 대부분의 기밀 연산 서비스와 점점 늘어나는 체인 인프라가 TEE를 기반으로 삼는 것입니다.
여기서 신뢰 기반은 곧 대가입니다. 보장은 하드웨어 벤더의 설계와 공급망, 인증 인프라, 그리고 오랫동안 공개된 역사를 가진 공격 범주인 사이드채널 추출에 대한 엔클레이브의 저항성만큼만 강하기 때문입니다. TEE 설계자들은 이 원장을 비판자들보다 더 잘 알고 있습니다. 이 아키텍처를 선택한다는 것은 하드웨어 신뢰와 인증이 실제 워크로드를 실제 속도로 실행하기 위해 치를 만한 올바른 값이라고 숙고 끝에 판단하는 것이며, 많은 배포에서는 실제로 그렇습니다.
차폐된 Zcash가 기밀 거래 장의 사용 사례를 담당할 수 있을까요? 아닙니다. 하지만 그것은 부족함이 아닙니다. RFQ 장은 계약 로직 아래의 공유 암호화 상태이며, 여러 당사자의 숨겨진 의도가 그 자체로 블라인드하게 실행되는 경매 안에서 함께 구성됩니다. 이는 오더북이나 상계 사이클처럼 빈번한 상호작용 아래 공유 비공개 상태를 갖는 MPC 같은 것에 더 적합합니다. 차폐에는 그런 기반이 없습니다. 그 숨겨진 상태는 두 당사자 간의 결제입니다. 장 자체는 FHE 또는 MPC에 적합하며, Zama가 그것을 만들었을 때 제공한 기밀성은 화이트리스트에 오른 식별된 마켓 메이커들에게 단계적으로 공개되는 일정표라는 점을 주목할 가치가 있습니다. 이것은 기관 거래에 필요합니다. 하지만 그것은 차폐 거래가 제공하는 것과는 다른 제품입니다. 차폐 거래가 제공하는 것은 화이트리스트도, 결국 당신의 방향을 알게 되는 당사자도 없는 기밀성입니다.
그렇다면 기업 결제와 급여는 어떨까요? 이것은 이제 모든 FHE 및 MPC 벤더가 공략하는 시장이며, 바로 차폐가 구축된 문제이기도 합니다. 수량은 숨겨지고, 상대방은 숨겨지며, 유효성은 공개됩니다. 원칙적으로 차폐 체인은 사용 가능한 해답 중 가장 강한 신뢰 기반을 제공합니다. 위원회도 없고, 벤더도 없고, 운영자 집합도 없습니다. 실제로는 기업 결제 시장이 레일, ERC-20 통합, 기존 수탁인, 기존 컴플라이언스 도구, 스테이블코인 표시 단위 위에서 승부가 나고 있으며, 차폐된 Zcash는 다른 체인 위의 다른 자산을 제공합니다. 하지만 문제의 형태라는 수준에서는 아주 잘 맞으며, 단지 통합을 기다리고 있을 뿐입니다. 암호학은 그것을 해낼 수 있으므로, 실제적인 관심사는 주변 스택이 무엇과 연결되는가에 달려 있습니다.
또한 다른 세 계열이 제공하지만 차폐는 제공하지 않는 것이 무엇인지 살펴볼 가치가 있습니다. 바로 강제로 응답하게 만들 수 있는 당사자입니다. 임계값 위원회는 법원 명령을 받을 수 있고, 엔클레이브 벤더는 서명 키에 대해 소환장을 받을 수 있으며, 운영자 집합은 관할권을 가집니다. 컴플라이언스 경로가 필요한 기관은 그 위원회 자체를 제품으로 볼 수 있습니다. 그리고 다른 자리에서 보면, 그것이 곧 취약점이기도 합니다.
위에서 살펴본 사례들을 다시 보면, 서로 겹치는 그림이 보입니다. 대부분의 FHE 배포는 복호화 계층 아래에 임계값 MPC를 두고 있습니다. 영지식 증명은 FHE가 소비하기 전에 암호화된 입력을 인증하고, 가블드 회로 시스템에서는 사후에도 이를 인증하여 사용자에게 네트워크 가용성에 의존하지 않는 강제 종료 수단을 제공합니다. 이는 롤업 아키텍처에서 차용된 관행입니다. TEE는 방어 심층화 차원에서 MPC 노드 내부에 등장하고, Zama의 키 관리 노드들은 하드웨어 엔클레이브 안에서 계산 지분을 실행하며, TEE는 점점 더 최종 보장이 암호학적인 시스템들의 증명기와 빌더를 호스팅하고 있습니다. 5년 뒤에 쓰인 비교 글에서는 이 경계들을 찾기 어려울지도 모릅니다. 하지만 조합은 한 방향으로만 작동합니다.
그래서 평가자의 질문이 오래 남는 형태는 사실 "어떤 기술인가"에 관한 것이 전혀 아닙니다. 찾아야 할 것은 기밀성이 어떻게 순서화되어 있는지, 무엇이 배제되는지, 그리고 그 배제를 무엇이 강제하는지입니다. 그것이 수학과 회로의 정확성이든, 위원회의 비공모든, 정직한 노드들의 임계값이든, 벤더의 실리콘이든 말입니다. 어떤 기밀성 주장도 무엇이 숨겨지는지, 누구로부터 숨겨지는지, 언제까지 숨겨지는지, 누구의 말을 믿어야 하는지를 물으며 읽어보면, 그때 비로소 알게 될 것입니다.
공개: 이 글은 Zcash Community Grant의 지원을 받았습니다. ZCG는 이 글이 출판되기 전에 검토하거나 승인하지 않았습니다. Proof Street의 자금 조달 약정은 자금 조달 페이지에 나열되어 있습니다.
관련 페이지: 차폐 풀 (Using_Zcash) · Viewing Keys · Start_Here의 "누가 무엇을 볼 수 있는가" 페이지 — 정확한 위키 경로로 교체