새로운 Bitcoin 업그레이드, 숨겨진 키 유출 감지 및 해결책 제시

비트코인 개선 제안 BIP461은 지갑 비밀을 유출하는 숨겨진 경로를 더 쉽게 감지할 수 있게 만들 수 있습니다. 이 초안은 기존 비트코인 서명 방식인 ECDSA에 대한 공통 서명 절차를 정의합니다.

독립적인 규준 서명자는 동일한 비밀 키와 메시지 해시에 대해 동일한 서명을 생성해야 하며, 이는 키 유출을 숨길 수 있는 이탈을 감지하기 위한 벤치마크를 생성합니다.

Liam Gilligan이 작성한 이 제안은 9월 16일에 BIP 저장소에 병합되었으며 초안 상태로 남아 있습니다. 이 서명은 기존 비트코인 합의 규칙에 따라 작동하므로, 이 서명 절차를 구현하는 데 합의 변경이 필요하지 않습니다.

편차 확인을 위한 서명 비교

ECDSA는 서명 시 사용되는 임시 값인 논스(nonce)를 포함하여 유효한 서명을 생성하는 동안 서명자가 선택할 수 있는 사항을 허용합니다. 악성 펌웨어는 이러한 자유를 악용하여 검증을 통과하는 서명 내에 키 자료를 숨길 수 있으며, BIP461은 지정된 결정론적 절차를 통해 이러한 선택 사항을 고정합니다.

서명에 대한 비트코인의 수락은 해당 서명 생성이 키를 안전하게 유지했음을 입증할 수 없습니다. 공통 사양은 서명자의 동작을 확인할 수 있는 예상 출력값을 제공합니다.

비교를 위해서는 다른 독립적인 서명자의 비밀 키에 대한 접근을 포함하여 동일한 입력과 정확히 동일한 표준이 필요합니다. 이러한 추가적인 노출은 서명을 재현하는 데 따르는 실질적인 비용입니다. 동일한 키와 메시지 해시에 대해 다른 결과가 나온다면 최소한 한 명의 서명자가 BIP461을 따르지 않고 있음을 보여줍니다.

다른 유효한 ECDSA 절차를 사용하는 정직한 구현도 일치하지 않을 수 있습니다. 불일치는 규준 준수에 대한 조사가 필요함을 의미하지만, 그 원인은 해결되지 않은 상태로 남습니다. 비교만으로는 악성 장치를 식별하거나 도난을 증명할 수 없습니다.

규정된 알고리즘은 비트코인의 1바이트 sighash 플래그를 제외하고 표준 DER 인코딩에서 서명을 최대 70바이트로 유지합니다.

Dark Skippy 공개에서는 손상된 펌웨어가 트랜잭션 서명에 시드 자료를 삽입할 수 있다고 지적했습니다. 원래의 공개 내용에서 연구원들은 실제 환경에서 이 기술이 사용되는 것을 본 적이 없다고 말했습니다.

Dark Skippy의 원래 시연은 Schnorr 서명을 사용하는 반면, BIP461은 ECDSA를 지정합니다. Taproot은 별도의 BIP340 Schnorr 방식을 사용하므로, 이 초안은 해당 시연에 대한 구제책을 직접 표준화하지 않습니다.

연구원들의 완화 논의에서는 악성 서명자가 선택된 트랜잭션에서만 유출할 수 있으므로, 장치가 테스트에서는 규준을 준수하는 서명을 생성하고 다른 트랜잭션에서 유출할 수 있다고 경고했습니다.

9월 병합 당시 검토자는 BIP461이 완료(Complete) 단계로 나아가기 위해 테스트 벡터와 참조 구현이 필요하다고 말했습니다.

지갑 사용자들에게 이 기술의 잠재적 가치는 편차를 가시화할 수 있는 공유된 벤치마크입니다. 이러한 가치를 제공하는 것은 여전히 감지 한계와 비밀 처리 위험을 모두 고려한 규준 준수 구현 및 비교에 달려 있습니다.