아이오타 컬 해시 취약점 논란

1.몇 분 만에 찾은 충돌#

해시 함수는 서로 다른 입력이 같은 출력을 내는 "충돌"을 찾기가 사실상 불가능해야 한다. 전자서명은 거래 내용 전체가 아니라 그 해시값에 서명하므로, 충돌을 쉽게 만들 수 있으면 한 거래에 받은 서명을 다른 거래에 갖다 붙일 수 있다. 아이오타는 널리 검증된 함수 대신 자체 설계한 컬을 거래 서명에 쓰고 있었다.

이선 헤일먼, 네하 나룰라, 새디어스 드라이자, 마다스 비르자는 보고서에서 길이가 같은 짧은 메시지끼리도 충돌을 빠르게 만들 수 있는 실용적 공격을 개발했다고 밝혔다. 연구진은 일반 장비로 몇 분이면 아이오타 결제의 서명을 위조할 수 있고, 이 서명으로 다른 이용자의 자금을 가로챌 수도 있다고 설명했다. 연구진이 아이오타 개발진에 보낸 예시에서는 앨리스가 이브에게 100 IOTA를 주는 결제에 한 서명이, 이브가 앨리스의 돈 1억 2,914만 263 IOTA를 받는 결제에도 통했다. 연구진은 위조 서명을 실제 네트워크에 보낸 적은 없으며 공개된 참조 구현으로 오프라인에서만 검증했다고 적었다.

2.공개 전에 이뤄진 교체#

연구진은 보고서를 내기 한 달여 전에 이 문제를 아이오타 개발진에 알렸다. 아이오타 개발진은 2017년 8월 7일 컬을 케차크(SHA-3)의 3진법 변형인 "케를(Kerl)"로 바꾸는 코드를 반영했다. 공동 창업자 다비드 쇤스테뵈는 비슷한 때 올린 글에서 몇 달 전 검토를 부탁한 암호학자 가운데 한 명이 취약점 가능성을 알려 왔다며, 실제 취약점인지는 더 따져 봐야 하지만 만일에 대비해 서명에 쓰는 컬을 케차크로 잠시 바꾼다고 설명했다.

보고서는 교체가 끝난 뒤인 2017년 9월 초 깃허브에 공개됐다. 연구진은 컬을 공개 검증을 거친 해시 함수로 바꾸라고 권고했고, 컬이 아이오타의 다른 부분에는 여전히 쓰이고 있다고 덧붙였다.

3."의도된 충돌"이라는 반박#

아이오타 측은 보고서가 나온 날 낸 입장문에서 알려 준 것은 고맙지만 보고서의 예시는 "아이오타에 대한 유효한 공격이 아니며" 학술적으로만 의미가 있다고 반박했다. IOTA 재단은 2018년 1월 네 편에 걸친 공식 답변을 내고, 컬-P는 암호학적 해시 함수가 아니고 그렇게 의도되지도 않았으며 실용적 충돌은 일부러 넣은 것이라고 주장했다. 재단은 연구진과 설계자 세르게이 이반체글로가 주고받은 이메일 가운데 자기 쪽 내용을 공개하고, 보고서가 동료 심사 없이 블로그와 깃허브로만 발표됐다고 비판했다.

영어 위키백과에 따르면 아이오타 재단은 이 일을 다룬 방식 때문에 상당한 반발을 샀다. FT 알파빌은 아이오타 창업자 한 명이 보고서에 관여한 보안 연구자에게 법적 대응을 내비쳤다고 보도했고, 유니버시티 칼리지 런던의 블록체인 기술 센터는 연구자에 대한 법적 위협을 이유로 재단과의 관계를 끊었다. 연구진은 보고서에서 충돌을 만드는 자세한 암호 분석은 뒤에 낼 논문에서 다루겠다고 밝혔다.

4.연표3건

1. 2017.08출시8월 7일 아이오타 개발진, 서명 과정의 컬을 케차크 기반 케를(Kerl)로 교체
2. 2017.09사건MIT 디지털 통화 이니셔티브·보스턴대 연구진, 컬 해시 충돌과 서명 위조 가능성을 담은 취약점 보고서 공개
3. 2018.01이정표1월 7일 IOTA 재단, 네 편의 공식 답변으로 "컬-P의 충돌은 의도된 것"이라고 반박