임계값 기반 Web3 계정 복구 시스템을 위한 영지식 증명 기법 최적화 = Zero-Knowledge Proof Optimization for Threshold-Based Web3 Account Recovery

국문 초록 (Abstract)

블록체인 환경에서 사용자의 개인키를 잃어버리는 것은 곧 자산에 대한 접근 권한을 영구적으로 상실하는것과 같다. 개인키 분실 문제를 해결하고자 OpenID Connect(OIDC)를 활용한 계정 복구 기술이 시도되었으나, 해당 기술은 프라이버시 보호를 위해 중앙화된 솔트(Salt) 서버에 의존하거나, 복구에 필요한 임계값 k을 설정할 때 온체인 비용이 과도하게 발생하는 구조적 한계를 가진다. 본 연구는 별도의 백업 키나 중앙 서버에 대한 의존 없이, 오직 사용자의 Web2 신원 자격증명 조합만으로 작동하는 자기주권형 k-임계값 계정 복구 프레임워크를 설계한다.
이 프레임워크의 출발점은 JWT(JSON Web Token) 내에 포함된 iss (발급 주체)와 sub (사용자 식별자)이다. iss는 어느 Provider가 토큰을 발급했는지, sub는 해당 Provider가 부여한 고유 식별자를 나타낸다. 이 두 값을 유한체 원소로 변환하여 입력값으로 사용한다. 이후 방데르몽드 행렬(Vandermonde Matrix) 기반의 선형 변환을 적용하여 여러 자격증명을 하나의 공개 값인 앵커(Anchor)로 압축한다. 앵커를 저장하는 데 필요한 값의 수는 자격증명 개수 n에 비례하여 증가하므로, 공간 복잡도는 O(n)으로 유지된다. 또한, 공격자가 k-1개 이하의 자격증명만 확보했을 때 특정 계정과 앵커를 연결하기 어렵도록 k-임계값 비연결성(k-threshold unlinkability)을 수학적으로 충족하도록 앵커 구조를 구성한다.
프레임워크의 실질적인 사용성을 확보하고자 Groth16 기반의 영지식 증명 회로에 대한 최적화 작업도 함께 진행한다. SHA-256 오프로딩으로 제약 조건 수를 약 30.7% 감소시키는 효과를 얻는다. 그리고 회로 내부에서 수행되는 문자열 처리 비용을 낮추기 위해, 테이블 기반 Base64 디코딩과 기존 연구에서 쓰이는 필드 원소 패킹 기법을 활용했다. 성능 평가 결과, 동일한 k=2 설정에서 zkLogin 대비 증명 생성 시간이 약 35% 단축되었다. 또한 온체인 가스는 958,109에서 628,533으로 감소해 약 34% 절감 효과를 확인한다. 마지막으로 모바일 기기의 메모리 한계로 발생할 수 있는 OOM 상황을 염두에 두고 증명을 분할하여 생성하는 기법을 적용했다.

다국어 초록 (Multilingual Abstract)

In blockchain systems, losing a private key effectively results in the permanent loss of access to digital assets. To address this problem, prior account recovery mechanisms based on OpenID Connect (OIDC) have been proposed; however, they suffer from structural limitations, including reliance on centralized salt servers for privacy protection or excessive on-chain costs when configuring a recovery threshold k. This work presents a self-sovereign k-threshold account recovery framework that operates solely on combinations of a user’s Web2 identity credentials, without requiring backup keys or trusted centralized servers. The framework derives its inputs from the iss (issuer) and sub (subject) fields embedded in JSON Web Tokens (JWTs), where iss identifies the token issuer and sub denotes the issuer-assigned user identifier. These values are mapped to finite field elements and processed through a Vandermonde-matrix-based linear transformation to compress multiple credentials into a single public value, referred to as an anchor. Since the number of values required to store an anchor grows linearly with the number of credentials n, the framework achieves (O(n)) space complexity. Moreover, the anchor construction is designed to satisfy k-threshold unlinkability, ensuring that an adversary controlling at most k-1 credentials cannot reliably link a specific account to its anchor. To ensure practical usability, we further optimize a Groth16-based zero-knowledge proof circuit underlying the framework. By offloading SHA-256 computation, we reduce the number of constraints by approximately 30.7%. Additionally, we employ table-based Base64 decoding and field-element packing techniques from prior work to lower the cost of string processing inside the circuit. Experimental evaluation shows that, under the same (k=2) configuration, proof generation time is reduced by approximately 35% compared to zkLogin. On-chain gas consumption is also reduced by about 34%, from 958,109 to 628,533 gas. Finally, to address out-of-memory (OOM) risks on mobile devices, we adopt a proof-splitting strategy that enables memory-efficient proof generation.

목차 (Table of Contents)

• 1 서론 1
• 1.1 설계 직관 및 해결 과제 2
• 1.2 관련 연구 4
• 1.3 논문 구성 5
• 2 배경지식 5
• 2.1 표기법 5
• 2.2 블록체인 6
• 2.3 JSON Web Tokens 6
• 2.4 부분 지식 증명 7
• 2.5 방데르몽드 행렬 8
• 2.6 zk-SNARK 8
• 3 앵커 9
• 3.1 앵커 생성 9
• 3.2 앵커 검증 10
• 3.3 앵커의 보안 분석 11
• 4 제안하는 프레임워크 12
• 4.1 구성 개요 13
• 4.2 알고리즘 상세 13
• 4.3 보안 분석 15
• 4.3.1 완전성 16
• 4.3.2 k-임계값 인증성 16
• 4.3.3 프라이버시 및 비연결성 17
• 5 실험 18
• 5.1 회로 최적화 효율성 분석 19
• 5.2 System1에서의 성능 20
• 5.3 모바일 기기에서의 성능 및 트레이드오프 22
• 6 결론 24
• 참고 문헌 25
• 영문 요약 27