Schnorr와 MuSig2의 논스: 수학적 분석 및 메트릭

# Schnorr와 MuSig2의 숨겨진 논스 분석: 수학적 기반과 지표

현대 암호화 서명 방식인 Schnorr (BIP340)와 MuSig2 (BIP327)는 유효성 검사뿐만 아니라 구조적 특징에 대한 심층 분석이 필요합니다. 이 글에서는 서명을 아핀 제약 조건 집합으로 변환하여 논스의 숨겨진 패턴을 드러내는 방법을 탐구합니다. 이 접근법은 이진 검증에서 논스 패밀리의 기하학적 구조에 대한 정량적 평가로 전환되며, 부분 데이터 유출 사례에서 포렌식 분석에 핵심적입니다.

아핀 표현의 핵심 원리

핵심 아이디어는 서명 방정식을 아핀 제약으로 해석하는 것입니다. BIP340의 경우 방정식 s = k + e·d mod n이 숨겨진 논스 함수 k_i(d') = s_i - e_i·d' mod n을 구성하는 기반이 되며, 여기서 d'는 후보 비밀키입니다. d' = d가 올바르면 이 함수는 실제 표준 논스를 복구합니다. 잘못된 후보의 경우 실제 데이터와 통계적 특성이 뚜렷이 다른 의사난수 패밀리를 생성합니다.

BIP340 멤버십 브리지

점 R* = sG - eP 복구를 통한 정규화 전환은 서명을 다섯 가지 기준으로 엄격히 분류할 수 있게 합니다:

• 필드 내 r
• 유효 범위 내 s
• 0이 아닌 점 R*
• Y좌표의 홀짝성
• X좌표 일치

이 브리지는 지표 적용 전에 쓰레기 문자열을 필터링하여 분석에서 오탐을 제거합니다. 이 단계를 생략하면 후속 분석이 파싱 오류에 취약해집니다.

논스 패밀리의 기하학

압축 지표

단일 키에 대한 서명 집합 분석은 패밀리 K(d')의 압축 정도를 측정하는 데 기반합니다:

• 고유 논스: U_k(d') = |{k_i(d')}|
• 충돌: C_k(d') = m - U_k(d')
• 델타 분석:

- 고유 델타: U_Δ(d') = |{Δ_i(d')}|

- 반복 델타: C_Δ(d') = (m-1) - U_Δ(d')

• 비트 레벨 128/64/32/16에 대한 접두사 지표:

- U_pref_b(d') = |{Pref_b(k_i(d'))}|

이 지표들은 특징적 패턴을 드러냅니다:

• 논스 재사용 → 충돌 증가
• 사다리 생성 → 반복 델타
• 짧은 논스 → 높은 접두사에서 비정상적으로 낮은 엔트로피

연결성 모델

로컬 구조를 탐지하기 위해 이중 시트 시스템을 사용합니다:

K_plus = sorted([k_i(d') for i in range(m)])
K_minus = sorted([-k_i(d') % n for i in range(m)])

분석은 네 가지 이웃 모드(++/--/+-/-+)에서 수행되며, 다음을 계산합니다:

• 로컬 델타 지지도: Support_local(d') = max_mode max_δ count_mode(δ)
• 반복 질량: Mass_repeat(d') = Σ max(count(δ)-1, 0)
• 128/96/64/32/16 레벨에 대한 접두사 지지도

이 접근법은 전역 분석으로는 접근할 수 없는 숨겨진 클러스터와 로컬 대칭성을 드러냅니다.

MuSig2 특성

프로토콜 유효 선형화

MuSig2의 경우 최종 서명이 아닌 전체 세션 컨텍스트를 가진 부분 서명에 대해 분석합니다. 주요 구성 요소:

• 집합 키 Q
• 공유 논스 R
• 계수 b, e, a
• 홀짝 요인 g 및 gacc

키 홀짝성은 par_key = g·gacc mod n으로 결정되며, 짝수/홀수 Y좌표를 올바르게 처리합니다. 부분 서명은 세션 컨텍스트에서 원시 논스를 복구하여 아핀 형태로 환원됩니다.

BIP340와의 주요 차이점

• 직접 방정식 s = k + ed 없음
• 키 집합 고려 필요
• 세션별 매개변수 의존성
• 키 + 논스의 이중 홀짝 처리

이로 인해 모든 지표를 원시 데이터 대신 프로토콜 유효 구조에 맞게 수정해야 합니다.

주요 요약

• 멤버십 브리지 — 분석 전 필수 필터링 단계
• 압축 지표는 재사용 및 사다리 패턴을 효과적으로 탐지
• 연결성 분석은 이중 시트 모델을 통해 로컬 구조를 드러냄
• MuSig2는 세션 컨텍스트를 통한 별도 처리 필요
• 모든 결론은 휴리스틱이 아닌 측정 가능한 수학적 속성에 기반

실제 구현

이 시스템은 GitHub에서 인터랙티브 데모로 구현되었습니다. 주요 구성 요소:

• BIP340 멤버십 검증기
• 주어진 d'에 대한 아핀 패밀리 생성기
• 압축/연결성 지표 스위트
• 논스 기하학 시각화기

예시 접두사 지지도 계산:

def top_prefix_support(k_list, bits):
    prefix_mask = (1 << (256 - bits)) - 1
    prefixes = [k & prefix_mask for k in k_list]
    return max(Counter(prefixes).values())

프로젝트 결과물은 알려진 취약점이 있는 실제 데이터에서 지표 효과성을 확인합니다. 중요하게도, 이 시스템은 비밀키를 직접 복구하지 않고 추가 분석을 위한 측정 가능한 신호를 제공합니다.

이 접근법은 크립토애널리시스 도구를 확장하며, 추측에서 측정 가능한 수학적 속성으로 작업을 전환합니다. 개발자에게는 논스 생성 품질을 검증하고 구현의 숨겨진 취약점을 탐지하는 방법을 제공합니다.

— Editorial Team