# 임계값 서명 (Threshold Signature)

임계값 서명(Threshold Signature)은 n명의 참여자 중 정해진 수 t명 이상이 협력해야만 하나의 유효한 서명을 만들 수 있는 방식입니다. 개인 키 전체는 어느 한곳에도 존재하지 않고 각자 키 조각만 가지며, 결과물은 평범한 단일 서명과 똑같이 검증됩니다.

## 자세히 알아보기

동작은 보통 세 단계입니다. ① 분산 키 생성(DKG): 참여자들이 서로 통신해 공동 공개 키와 각자의 키 조각을 만들며, 누구도 전체 개인 키를 알지 못합니다. ② 서명: t명 이상이 각자의 조각으로 부분 서명을 계산합니다. ③ 결합: 부분 서명을 합쳐 공동 공개 키로 검증되는 하나의 서명을 만듭니다. t명 미만으로는 서명할 수 없고, t명 미만의 조각이 유출되어도 키는 안전합니다.

알고리즘마다 난이도가 다릅니다. 슈노르와 EdDSA는 서명이 선형이라 비교적 단순하며, 2024년 6월에는 IRTF CFRG가 정리한 2라운드 임계값 슈노르 프로토콜 FROST가 RFC 9591(정보성 문서)로 발행되었고, Ed25519·secp256k1 등의 암호 스위트를 정의합니다. BLS는 샤미르 비밀 분산을 그대로 적용할 수 있어 더 간단합니다. 반면 ECDSA는 서명 식에 난수의 역원(k⁻¹)이 들어가서 동형 암호, 영지식 증명 등을 동원한 복잡한 프로토콜(GG18, GG20, CGGMP 등)이 필요하고, 실제 구현 취약점도 여러 차례 발견되었습니다.

키 조각은 주기적으로 갱신(proactive refresh)할 수 있습니다. 공동 공개 키와 주소는 그대로 두고 조각만 새로 바꾸면, 과거에 일부 조각을 훔친 공격자도 그 조각을 새 조각과 합쳐 쓸 수 없습니다. 같은 원리로 참여자를 추가하거나 제외하는 재공유도 가능해, 주소를 바꾸지 않고 서명자 구성을 바꿀 수 있습니다.

## 블록체인·암호화폐에서는

멀티시그는 블록체인 스크립트나 스마트 컨트랙트가 여러 서명을 직접 확인하는 방식이라 체인마다 구현이 다르고, 서명자 구성과 수가 온체인에 드러나며 수수료도 늘어납니다. 임계값 서명은 블록체인에 서명 하나만 남기므로 Bitcoin, Ethereum, Tron 등 어떤 체인에서도 같은 방식으로 쓸 수 있고, 외부에서는 일반 지갑과 구별되지 않습니다. 그래서 거래소와 커스터디 업체의 MPC 지갑, 검증인 키 보호, 분산 난수 비콘(임계값 BLS) 등에 쓰입니다. Bitcoin에서는 Taproot 이후 FROST 기반 임계값 지갑 연구와 구현이 진행되고 있습니다.

## 쉽게 말하면

이사 5명 중 3명이 동의해야 회사 도장을 찍을 수 있는데, 도장은 처음부터 다섯 조각으로 나뉘어 있고 찍힌 결과는 보통 도장과 똑같아 보이는 구조입니다.

## 예시

2-of-3 구성: 사용자 휴대폰, 서비스 서버, 백업 기기가 각각 키 조각을 갖고, 이 중 둘만 있으면 출금 서명을 만들 수 있습니다. 하나를 잃어버려도 자산은 안전하게 이전할 수 있습니다.

---
출처: https://achivx.kr/glossary/threshold-signature-%EC%9E%84%EA%B3%84%EA%B0%92-%EC%84%9C%EB%AA%85/ · ACHIVX 용어 사전 · 수정일 2026-10-20