링 서명 (Ring Signature)

링 서명(Ring Signature)은 여러 공개 키의 묶음(링) 가운데 누군가 한 명이 서명했다는 사실만 증명하고, 그게 누구인지는 숨기는 전자서명입니다. 2001년 로널드 리베스트, 아디 샤미르, 야엘 타우만(Yael Tauman)이 논문 「How to Leak a Secret」에서 제안했으며, Monero 트랜잭션에서 송신자를 감추는 핵심 기술로 쓰입니다.

자세히 알아보기

그룹 서명과 달리 링 서명에는 관리자도, 사전 등록 절차도 없습니다. 서명자는 자기 공개 키와 다른 사람들의 공개 키를 임의로 골라 링을 구성하고, 자기 개인 키 하나만으로 서명을 만듭니다. 검증자는 링의 공개 키 중 하나의 개인 키로 만든 서명이라는 것은 확인할 수 있지만, 어느 키인지는 구별할 수 없습니다. 링에 포함된 다른 사람들은 동의하지도, 알지도 못해도 됩니다.

암호화폐에 쓰려면 이중 지불을 막아야 합니다. 그래서 같은 키로 두 번 서명하면 그 사실이 드러나는 '연결 가능한 링 서명(linkable ring signature)'을 사용합니다. 서명마다 개인 키에서 결정적으로 유도한 '키 이미지'를 붙이고, 네트워크는 이미 쓰인 키 이미지가 다시 나타나면 트랜잭션을 거부합니다. 키 이미지로는 어떤 출력이 쓰였는지 알 수 없습니다.

링 서명의 익명성은 링 크기와 미끼(decoy) 선택 방식에 크게 좌우됩니다. 미끼가 실제 사용 패턴과 다르게 선택되면 통계 분석으로 실제 입력을 추정할 수 있다는 연구가 여러 차례 나왔습니다. 링 서명 크기는 링 크기에 비례해 커지는 것도 한계입니다.

블록체인·암호화폐에서는

Monero는 CryptoNote 프로토콜의 링 서명에서 시작해, 금액 은닉(RingCT)과 결합한 MLSAG를 거쳐 2020년 10월부터 더 작은 CLSAG를 사용하고 있습니다. 2022년 8월 하드포크로 링 크기는 11에서 16으로 커졌습니다. 즉 Monero 입력 하나는 실제 출력 1개와 미끼 15개 중 무엇인지 외부에서 구별하기 어렵습니다. 개발자들은 링 대신 체인 전체를 익명 집합으로 쓰는 FCMP++ 방식으로의 전환을 추진하고 있습니다. 이런 프라이버시 코인은 USDT처럼 송신자 주소가 공개된 토큰과 달리 블록 탐색기로 자금 흐름을 추적하기 어렵습니다.

쉽게 말하면

열여섯 명이 함께 서명란에 이름을 올린 편지에 실제로는 한 사람만 서명했는데, 누가 서명했는지는 아무도 알 수 없는 구조입니다.

예시

Monero 입력 하나에는 실제로 쓰는 출력 1개와 블록체인에서 고른 미끼 출력 15개, 그리고 키 이미지가 들어갑니다. 같은 키 이미지가 다른 트랜잭션에 다시 나타나면 노드는 이중 지불로 판단해 그 트랜잭션을 거부합니다.