포스트 양자 대응: 오늘 암호화되고, 양자 시대 이후에도 암호화된 채로
Celar의 이 문구는 의도적으로 정확하게 쓰였습니다. 포스트 양자 기밀성, 고전적 익명성 및 인증. 기밀성 계층은 격자 문제의 난해성에 기반하므로 양자 공격자에게도 견딥니다. 반면 신원, 스텔스, 실드 풀 계층은 고전적이어서 견디지 못합니다. 저희는 어느 쪽이 어디에 해당하는지를 정확히 공개하며, 사실이 아닐 「quantum-safe」라는 단서 없는 표시를 붙이지 않습니다.
계층별로 보기
| 계층 | 사용 기술 | 포스트 양자 상태 |
|---|---|---|
| 금액, 잔액, 컨트랙트 상태 | TFHE / CGGI (LWE / RLWE) | 안전 — 이미 격자 기반 |
| 임계 복호화 및 재암호화 | LWE 기반 임계 방식 | 안전 |
| 입력 증명 | (R)LWE ZKPoK | 안전 |
| 해싱 | Poseidon2, Keccak-256 | 안전 — 출력 길이에 2배 여유 |
| 신원 및 서명 | secp256k1 ECDSA | 쇼어 알고리즘으로 무너짐 → ML-DSA로 전환 |
| 스텔스 주소 | secp256k1 ECDH | 쇼어 알고리즘으로 무너짐 → 격자 기반 KEM |
| 재암호화 대상 | X25519 | 쇼어 알고리즘으로 무너짐 → 포스트 양자 KEM |
| 실드 풀 증명 | Groth16 / BLS12-381 | 쇼어 알고리즘으로 무너짐 → STARK / 격자 기반 SNARK |
지금 수집하고, 나중에 복호화한다
기밀성을 핵심으로 하는 체인에서 정말 중요한 위협은 오늘 체인 데이터를 기록해 두었다가 암호학적으로 유의미한 양자 컴퓨터(CRQC)가 등장하면 그것을 깨뜨리는 공격자입니다. 이 모델에서 각 계층의 운명은 크게 갈립니다.
- FHE 계층의 금액과 상태는 계속 숨겨집니다. 지금도 격자 기반 암호문이기 때문에 미래의 양자 컴퓨터도 이를 열지 못합니다. 오늘 기밀인 데이터는 영원히 기밀입니다.
- 실드 풀의 익명성은 살아남지 못합니다. BLS12-381의 이산로그가 무너지면, 기록된 풀 거래는 소급하여 익명성이 벗겨질 수 있습니다. 금액은 계속 숨겨지지만 거래 그래프는 그렇지 않습니다.
서명 전환은 성격이 다르고, 더 촉박한 시계입니다
「지금 수집하고 나중에 복호화」는 기밀성 에 관한 문제입니다. 지금 기록해 두고 나중에 여는 것이죠. 반면 서명이 뚫리는 문제는 그렇지 않습니다. 위조된 서명은 사후에는 가치가 없고 오직 현재에만 의미가 있기 때문입니다. 다만 한 가지 면에서는 오히려 더 급합니다. 신원 및 서명 계층은 전환을 CRQC가 등장하기 전에 끝내야 하며, 단지 공격자가 기록을 시작하기 전까지가 아닙니다. 인증에는 「수집」에 해당하는 유예 기간이 없습니다. 그 기계가 작동하는 날, 전환되지 않은 서명은 곧바로 위조 가능해집니다.
전환이 가능하도록 설계한 방법
신원·서명·ZK 계층의 전환은 NIST 포스트 양자 암호 표준의 성숙도에 따라 진행되는 계획된 하드포크 경로입니다. 출시 시점의 결과물이 아니며, 날짜를 지어낼 사안도 아닙니다. 암호 민첩성은 정말 필요한 곳에 설계되어 있습니다. 버전이 부여된 증명 포장 은 곡선을 되돌리지 않고도 포스트 양자 증명 체계를 받아들이며, 핸들 기반 프리컴파일 ABI 는 특정 방식에 의존하지 않으므로 기밀 백엔드가 컨트랙트를 깨뜨리지 않고 발전할 수 있습니다. 전환 조건을 포함한 계층별 전체 분석은 기술 명세 §15.1에 있으며, 데이터룸에서 NDA에 따라 검토자에게 제공됩니다.