영지식 증명

영지식 증명, 어렵지 않아요 비밀은 숨기고 '참'만 증명하는 기술 이야기

1. 영지식 증명이 뭔가요?

영지식 증명(Zero-Knowledge Proof, ZKP)은 어떤 사실이 참이라는 걸 상대에게 납득시키되, 그 사실이 참이라는 것 말고는 아무 정보도 알려 주지 않는 암호학 방법이에요. 여기서 증명하는 쪽을 증명자(prover), 확인하는 쪽을 검증자(verifier)라고 불러요. 핵심은 이거예요. 내가 어떤 비밀 값을 알고 있다는 사실만 보여 주고, 정작 그 비밀 값 자체는 공개하지 않는다는 거죠. 이 아이디어는 1980년대에 이론으로 처음 제시됐어요.

쉽게 말하면 이래요. 색을 구분하지 못하는 사람에게 '이 두 공은 색이 서로 다르다'는 걸 알려 주고 싶다고 해 봐요. 색 이름을 말해 주지 않고도, 실험을 여러 번 반복해서 보여 주면 상대는 '아, 두 색이 다르구나'라고 결론을 받아들이게 돼요. 하지만 실제 색이 무엇인지는 끝까지 몰라요. 영지식 증명도 이렇게 '참이다·거짓이다'라는 결론만 넘겨주고, 그 근거가 되는 비밀은 감춰요.

이런 성질 덕분에 영지식 증명은 개인키나 전자서명 같은 기존 암호 기술과 함께 써서 '내가 이 사람이 맞다', '이건 내 것이 맞다'를 증명하는 데 쓰여요. 블록체인에서는 특히 두 가지 역할을 동시에 받쳐 주는 기반 기술이에요. 하나는 개인정보를 지키는 프라이버시 보호, 다른 하나는 처리량을 늘리는 확장이에요.

이렇게 보면 쉬워요 · 답만 알려 주고 풀이 과정은 절대 안 보여 주는 시험지 같은 거예요.

2. 영지식 증명이 되려면 뭘 만족해야 하나요?

어떤 절차가 진짜 영지식 증명으로 인정받으려면, 다음 세 가지 성질을 모두 갖춰야 해요.

첫째, 완전성(completeness)이에요. 명제가 실제로 참이라면, 정직한 증명자는 정직한 검증자에게 그 사실을 반드시 납득시킬 수 있어야 해요. 즉 진짜인 건 확실히 통과돼야 한다는 뜻이에요.

둘째, 건전성(soundness)이에요. 명제가 거짓이라면, 어떤 부정직한 증명자가 아무리 애를 써도 정직한 검증자를 속여서 '참이다'라고 믿게 만들 수 없어야 해요. 즉 가짜는 절대 통과되면 안 된다는 뜻이에요.

셋째, 영지식성(zero-knowledgeness)이에요. 명제가 참일 때, 검증자는 '참이냐 거짓이냐'라는 결론 말고는 어떤 정보도 얻지 못해야 해요.

이 중에서 완전성과 건전성은 사실 어떤 증명 절차든 기본으로 요구되는 보편적인 성질이에요. 영지식성만이 영지식 증명에서 추가로 더 요구되는 조건이죠. 참고로, 절차를 마음대로 바꿔서 상대를 속이려는 쪽을 '부정직(dishonest)하다'고 하고, 그러지 않는 쪽을 '정직하다'고 불러요.

이렇게 보면 쉬워요 · 진짜는 꼭 붙고, 가짜는 절대 못 붙고, 그러면서 정답 내용은 안 새어 나가야 하는 세 조건이에요.

3. 어떻게 시작됐나요?

영지식 증명이라는 개념은 1985년에 골드바서(Goldwasser), 미칼리(Micali), 래코프(Rackoff) 세 사람이 발표한 논문으로 정식으로 정리됐어요. 이 성과를 비롯한 계산 복잡도 이론 분야의 공로를 인정받아, 골드바서와 미칼리는 2012년에 튜링상을 받았어요. 튜링상은 컴퓨터 과학 분야의 가장 권위 있는 상이에요.

이해를 돕는 유명한 비유로 장자크 키스케다(Jean-Jacques Quisquater)가 소개한 '동굴 실험'이 있어요. 고리 모양의 동굴 한가운데에 비밀 문이 있고, 증명자 페기(Peggy)가 그 열쇠를 가지고 있다는 걸 검증자 빅터(Victor)에게 알리고 싶어 해요. 페기가 두 갈래 통로 중 한쪽으로 먼저 들어가고, 그다음 빅터가 무작위로 '이쪽으로 나와 봐'라고 지정한 통로로 페기가 나오는 과정을 반복해요.

만약 페기에게 열쇠가 없다면 매번 절반의 확률로 실패하게 돼요. 그래서 20번만 반복해도, 열쇠 없이 순전히 운으로 매번 통과할 확률은 100만분의 1 이하로 떨어져요. 그러면 빅터는 '아, 진짜 열쇠가 있구나'라고 믿게 되죠. 그런데 재미있는 건, 이 장면을 옆에서 지켜본 제3자에게는 두 사람이 미리 각본을 짜고 연기했을 가능성이 남아서 아무 증명도 되지 않는다는 점이에요. 바로 이 부분이 영지식성을 잘 보여줘요.

2010년대에 들어서면서 이 이론은 실제로 쓸 수 있는 기술로 발전했어요. 2012년경에는 짧은 증명값 하나만으로 검증이 끝나는 zk-SNARK 계열 방식이 제안됐고, 2016년에는 이걸 실제로 적용한 프라이버시 암호화폐 지캐시(Zcash)가 나왔어요. 2018년에는 미리 준비하는 신뢰 설정이 필요 없는 zk-STARK 방식이 공개되면서, 구현 기술의 갈래가 더 넓어졌어요.

이렇게 보면 쉬워요 · 20번 연속 운으로 맞히긴 사실상 불가능하니, 반복만으로도 '진짜 안다'가 증명돼요.

4. 어떻게 작동하나요? 대화형과 비대화형

영지식 증명은 증명자와 검증자가 서로 얼마나 주고받느냐에 따라 크게 두 갈래로 나뉘어요.

하나는 대화형(interactive)이에요. 증명자와 검증자가 여러 번 질문과 대답을 주고받으면서 조금씩 확신을 쌓아 가는 방식이에요. 앞서 본 동굴 실험처럼, 검증자가 매번 새로운 도전(challenge, 상대에게 던지는 무작위 문제)을 내고 증명자가 거기에 답하는 구조죠.

다른 하나는 비대화형(non-interactive)이에요. 증명자가 딱 한 번 만들어 낸 증명값을 보내기만 하면, 누구든 그걸로 검증할 수 있어요. 여러 번 주고받을 필요가 없죠.

블록체인에서는 검증자가 아주 많고 실시간으로 일일이 주고받기가 어렵기 때문에, 주로 비대화형 방식을 써요. 대표적으로 피아트–샤미르(Fiat–Shamir) 방식이 있어요. 대화형에서 검증자가 던지던 도전 값을 해시 함수의 출력으로 대신 채워서, 대화형을 비대화형으로 바꾸는 방법이에요. 이렇게 만든 증명은 머클 트리 같은 구조와 함께 원장(장부)에 기록되고, 그러면 여러 검증자가 각자 알아서 독립적으로 확인할 수 있어요.

이렇게 보면 쉬워요 · 대화형은 실시간 문답, 비대화형은 한 번 써낸 답안지를 여러 사람이 돌려 보는 거예요.

5. 주요 구현 기술: zk-SNARK와 zk-STARK는 뭐가 다른가요?

영지식 증명을 실제로 구현하는 대표적인 방식으로 zk-SNARK와 zk-STARK가 있어요.

zk-SNARK는 증명 크기가 아주 작고 검증이 빠르다는 장점이 있어요. 대신 미리 공통 파라미터(모두가 함께 쓸 기준 값)를 만들어 두는 신뢰 설정(trusted setup) 과정이 필요해요. 문제는 이 초기 설정에 쓰인 비밀 정보를 제대로 폐기하지 않고 누군가 갖고 있으면, 그 사람이 거짓 증명을 만들어 낼 수 있다는 점이에요. 그래서 이 설정 단계를 얼마나 믿을 수 있게 처리하느냐가 아주 중요한 전제가 돼요.

zk-STARK는 이런 신뢰 설정이 아예 필요 없어요. 그리고 해시 기반 구조에 의존하기 때문에, 미래의 양자 컴퓨터 공격에도 상대적으로 잘 버틴다고 평가돼요. 다만 증명 크기가 zk-SNARK보다는 큰 편이에요.

이 두 가지 말고도, 증명을 또 다른 증명 안에 다시 담아서 전체 상태를 작은 크기로 압축하는 재귀적(recursive) 증명 기법이 있어요. 미나는 이 방식을 활용해서, 블록체인 전체 상태를 항상 고정된 작은 크기의 증명으로 유지하는 걸 목표로 삼고 있어요.

이렇게 보면 쉬워요 · zk-SNARK는 작고 빠르지만 준비물(신뢰 설정)이 필요하고, zk-STARK는 준비물 없이 튼튼한 대신 좀 무거워요.

6. 활용 (1): 개인정보는 어떻게 지키나요?

영지식 증명은 누가 거래했는지, 얼마를 주고받았는지 같은 정보를 드러내지 않고도 '이 거래는 유효하다'는 사실만 증명할 수 있어요. 그래서 익명성을 중요하게 여기는 암호화폐에서 링 서명 같은 기술과 함께 쓰여요. 대표적인 사례가 2016년에 나온 지캐시(Zcash)예요. 보유자끼리 개인정보를 드러내지 않으면서 코인을 주고받을 수 있게 설계됐어요. 이건 초기 전자화폐 실험인 이캐시에서 이어져 온, 프라이버시를 중시하는 흐름의 연장선에 있어요.

신원 인증에서도 유용해요. 예를 들어 '나이가 일정 기준 이상이다'라는 사실만 증명하고, 정작 생년월일 자체는 공개하지 않는 식이에요. 이렇게 꼭 필요한 사실만 골라서 증명할 수 있죠. 이런 방식은 개인정보를 지나치게 많이 모아서 문제가 되곤 하는 고객확인제도 절차를 개선하는 방법으로도 논의되고 있어요. 최근에는 데이터 프라이버시를 다루는 아르키움 같은 프로젝트가 영지식 증명과 다른 프라이버시 기법을 함께 연구하고 있어요.

이렇게 보면 쉬워요 · 신분증 전체를 보여 주는 대신 '성인 맞음' 도장 하나만 보여 주는 거예요.

7. 활용 (2): 처리 속도는 어떻게 높이나요? ZK-롤업

처리량을 늘리는 쪽에서 가장 널리 알려진 응용이 ZK-롤업이에요. ZK-롤업은 수많은 거래를 일단 체인 밖(오프체인)에서 몰아서 처리한 다음, 그 처리 결과가 올바르다는 사실만 영지식 증명으로 작게 압축해서 메인 체인에 기록해요. 메인 체인은 개별 거래를 하나하나 다시 실행해 볼 필요 없이, 증명 하나만 검증하면 돼요. 그래서 이더리움 같은 레이어 1 네트워크의 보안성을 그대로 물려받으면서도, 처리할 수 있는 거래량은 크게 늘릴 수 있어요.

이 방식은 레이어 2 확장 솔루션의 한 축을 이뤄요. 레이어 2는 메인 체인 위에 얹어서 부담을 나눠 지는 보조 계층이에요. 이더리움 가상머신과 호환되는 zkEVM 롤업인 리네아, 자산 거래에 특화된 이뮤터블엑스 같은 것들이 영지식 증명을 활용한 롤업의 사례예요. 이런 레이어 2 덕분에 탈중앙화 거래소나 탈중앙화 금융 애플리케이션이 낮은 수수료로 돌아갈 수 있어요.

이렇게 보면 쉬워요 · 영수증 수백 장을 하나하나 확인하는 대신, '전부 계산 맞음' 확인서 한 장만 검토하는 거예요.

8. 영지식 머신러닝(zkML)은 뭔가요?

영지식 머신러닝(zkML)은 인공지능 모델이 어떤 결과를 내놨을 때, 그게 정말로 특정 모델과 특정 입력으로 제대로 계산된 결과라는 걸 증명하려는 분야예요. 이때 모델의 가중치(모델 내부의 학습된 값)나 입력 데이터 자체는 공개하지 않아요. 이렇게 하면 남에게 공개하지 않은 비공개 모델의 결과라도 믿고 검증할 수 있고, 민감한 입력 데이터는 보호하면서도 '계산이 제대로 됐다'는 정당성은 증명할 수 있어요.

큰 규모의 연산에 대한 증명을 대신 만들어 주는 프로젝트들도 있어요. 라그랑주나 브레비스 같은 이른바 ZK 코프로세서 프로젝트들이 그 예예요. 이들은 온체인(체인 위)과 오프체인(체인 밖)의 데이터, 그리고 연산 결과를 영지식 증명으로 연결해 주는 인프라를 제공해요. zkML은 이렇게 '검증 가능한 연산'을 응용하는 여러 방향 중 하나로 주목받고 있어요.

이렇게 보면 쉬워요 · AI에게 '네가 그 답을 정직하게 냈다는 증거만 내놔, 비법은 안 봐도 돼'라고 요구하는 거예요.

9. 어떤 생태계와 인프라가 있나요?

영지식 증명은 특정 서비스 하나에만 갇혀 있지 않고, 증명을 만들고 확인해 주는 공용 인프라 형태로도 퍼져 나가고 있어요.

먼저 증명 시장과 인프라가 있어요. 바운드리스처럼, 증명을 만드는 작업을 여러 참여자에게 나눠 맡겨서 처리량을 늘리고 비용을 줄이려는 증명 마켓플레이스가 등장했어요.

다음으로 스토리지 증명이 있어요. 파일코인은 저장 사업자가 데이터를 실제로 보관하고 있다는 걸 zk-SNARK 기반 증명으로 입증하는 데 영지식 기법을 써요.

또 경량 블록체인도 있어요. 앞에서 언급한 미나는 재귀적 증명을 써서 체인 전체를 작은 크기로 유지해요.

한 가지 덧붙이면, 증명을 만드는 회로가 정말 의도한 대로 동작하는지 확인하려면 정형 검증 같은 별도의 보증 수단도 함께 필요해요. 정형 검증은 프로그램이 규칙대로 작동하는지 수학적으로 따져 보는 방법이에요.

이렇게 보면 쉬워요 · 증명을 각 서비스가 알아서 만드는 대신, 증명을 만들어 파는 '공용 발전소'가 생기는 셈이에요.

10. 어떤 한계와 숙제가 남아 있나요?

영지식 증명은 강력한 성질을 주는 대신, 현실적으로 풀어야 할 과제도 몇 가지 안고 있어요.

첫째, 증명을 만드는 비용이에요. 검증(확인)은 빠르지만, 정작 증명을 만들어 내는 연산은 무겁고 시간도 오래 걸려요. 그래서 전용 하드웨어를 쓰거나 여러 곳에 나눠서 처리하는 식으로 이 부담을 줄이려는 시도가 계속되고 있어요.

둘째, 신뢰 설정의 위험이에요. zk-SNARK 계열이 요구하는 초기 신뢰 설정은 잘못 관리하면 위조 가능성으로 이어질 수 있어요. 그래서 여러 참여자가 함께 파라미터를 만들어서 위험을 나누는 절차를 쓰거나, 아예 신뢰 설정이 필요 없는 zk-STARK 방식을 대안으로 제시하기도 해요.

셋째, 구현이 복잡하고 표준이 아직 부족한 점이에요. 증명 회로를 설계하고 검증하는 일 자체가 까다로워서 실수가 생길 여지가 있어요. 또 서로 다른 구현끼리 잘 맞물려 돌아가게 하는 상호운용성과 공통 표준을 세우는 일도 아직 숙제로 남아 있어요.

이런 한계에도 불구하고, 영지식 증명은 프라이버시 보호와 확장성이라는 두 마리 토끼를 동시에 잡을 수 있는 드문 기술로 평가받아요. 그래서 블록체인을 넘어 신원 인증, 그리고 검증 가능한 연산 전반으로 쓰임새를 점점 넓혀 가고 있어요.

이렇게 보면 쉬워요 · 확인은 순식간이지만 증명서를 만드는 데는 품이 많이 드는, 아직 손이 가는 기술이에요.