[논문 리뷰] JugglingSwap: Scriptless Atomic Cross-Chain Swaps

Omer Shlomovits, Oded Leiba|arXiv (Cornell University)|2020. 07. 28.

Cryptography and Data Security참고 문헌 35인용 수 9

한 줄 요약

JugglingSwap는 서로 다른 서명 체계와 타원곡선 매개변수를 가진 블록체인 간에 신뢰 없이 자기 자산을 보관하는 방식으로 원자적 크로스체인 스왑을 가능하게 하는 스크립트 없는 원자적 크로스체인 스왑 프로토콜을 도입한다. 'Juggling'이라고 불리는 새로운 공개키 기반의 검증 가능 암호화 기법을 사용해 비밀 공유 분량을 점진적으로 공개함으로써, 기존의 스크립트 없는 프로토콜이 공통된 타원곡선 매개변수를 필요로 하는 것과는 달리, 상호 운용성을 향상시키며, 임계값 서명과 검증 가능한 비밀 공유 분할 기법을 통해 보안성과 공정성을 유지한다.

ABSTRACT

The blockchain space is changing constantly. New chains are being implemented frequently with different use cases in mind. As more and more types of crypto assets are getting real world value there is an increasing need for blockchain interoperability. Exchange services today are still dominated by central parties which require custody of funds. This trust imposes costs and security risks as frequent breaches testify. Atomic cross-chain swaps (ACCS) allow mutual distrusting parties to securely exchange crypto assets in a peer-to-peer manner while preserving self-custody. Fundamental ACCS protocols leveraged the scripting capabilities of blockchains to conditionalize the transfer of funds between trading parties. Recent work showed that such protocols can be realized in a scriptless setting. This has many benefits to blockchains throughput, efficiency of swap protocols and also to fungibility and privacy. The proposed protocols are limited to assets transferable by either Schnorr signatures or ECDSA that are assuming the same elliptic curve parameters. In this work we present JugglingSwap, a scriptless atomic cross-chain swap protocol with a higher degree of interoperability. We weaken the assumptions about blockchains that can be included in the ACCS protocol, and only require that (1) a threshold variant exists to the underlying digital signature scheme and (2) it is based on the elliptic curve discrete logarithm problem (ECDLP). The fair exchange is achieved by a gradual release of secrets. To achieve this we use a new building block we call Juggling: a public key verifiable encryption scheme to transfer segments of secret shares between parties, which can also be of separate interest. Juggling is then tailored to a specific private key management system design with threshold signatures security.

연구 동기 및 목표

• 기존의 스크립트 없는 원자적 크로스체인 스왑 프로토콜이 공통된 타원곡선 매개변수와 서명 체계(예: Schnorr 또는 ECDSA)를 요구하는 한계를 해결하기 위해.
• 다른 디지털 서명 체계나 타원곡선을 사용하는 블록체인 간에 원자적 스왑을 가능하게 하여 크로스체인 상호 운용성의 범위를 넓히기 위해.
• 신뢰할 수 있는 제3자나 온체인 스크립팅에 의존하지 않고도 상호 신뢰성 있는 교환 메커니즘을 설계하기 위해.
• 보안성, 검증 가능성, 점진적 전달이 가능한 새로운 암호 기반 원리인 'Juggling'을 개발하여, 이로써 안전하고 검증 가능한 비밀 공유 분량의 점진적 이전을 가능하게 하기 위해.

제안 방법

• 프로토콜은 비밀 공유 분량을 점진적이고 검증 가능한 방식으로 당사자 간에 안전하게 전달하기 위해 'Juggling'이라고 불리는 새로운 공개키 기반의 검증 가능 암호화 기법을 사용한다.
• 비밀 공유 분량은 디지털 로그 문제의 난이도가 높은 타원곡선 기반의 임계값 키 생성 프로토콜(예: {3,3}-Thresh-Key-Gen)을 통해 생성된다.
• 각 당사자는 공유 주소에 비밀 키의 일부를 기여하며, 모든 당사자가 협력할 경우에만 전체 키가 재구성된다.
• 프로토콜은 양 당사자가 비밀 공유 분량을 점진적으로 공개하도록 요구함으로써 공정성을 확보하며, 공개적으로 검증 가능한 암호화 기법을 통해 악성 행동을 탐지하고 증명할 수 있다.
• ECDSA, EdDSA 또는 기타 ECDLP 기반 서명 체계를 사용하는 블록체인 간에 상호 운용성을 지원하며, 조건부 서명 체계가 존재하는 한 가능하다.
• 암호 계층은 러스트를 사용하고, 통신은 자바스크립트를 사용하여, 확장성을 위해 곡선과 서명 체계를 추상화한다.

실험 결과

연구 질문

• RQ1 서로 다른 타원곡선 매개변수나 서명 체계를 가진 블록체인 간에도 공통된 타원곡선 매개변수나 서명 체계가 필요 없이 원자적 크로스체인 스왑을 달성할 수 있는가?
• RQ2 서명 메커니즘이 다른 블록체인 간에 스크립트 없는 환경에서 공정한 교환을 어떻게 달성할 수 있는가?
• RQ3 온체인 스크립팅을 대체할 수 있는 검증 가능하고 점진적인 비밀 공유 기반 메커니즘을 설계할 수 있는가? 이를 통해 다양한 블록체인 간 상호 운용성을 가능하게 할 수 있는가?
• RQ4 이질적인 블록체인 간에 분산되고 신뢰할 수 없는 스왑 프로토콜에서 보안성과 검증 가능성을 확보하기 위해 필요한 암호 기반 원리는 무엇인가?
• RQ5 임계값 서명과 검증 가능한 암호화를 어떻게 조합하여 신뢰할 수 없는 제3자 없이 안전하고 자기 자산을 보관하는 스왑을 가능하게 할 수 있는가?

주요 결과

• JugglingSwap는 서로 다른 타원곡선과 서명 체계를 사용하는 블록체인 간에 원자적 크로스체인 스왑을 가능하게 하며, 예를 들어 비트코인(ECDSA/Secp256k1)과 이더리움(ECDSA/Secp256k1), 또는 엔드라스 기반의 알고랜드와 테오즈와 같은 블록체인 간 스왑을 지원한다.
• 프로토콜은 공통된 타원곡선 매개변수나 서명 체계가 필요 없이 상호 운용성을 달성하여, 이전의 스크립트 없는 원자적 스왑 프로토콜이 겪는 핵심적인 제약 조건을 극복한다.
• Juggling 원리의 사용으로 비밀 공유 분량이 점진적이고 검증 가능한 방식으로 공개되어 공정성과 악성 행동 탐지 능력이 보장된다.
• 프로토콜은 블록체인당 두 개의 표준 트랜잭션만 요구하므로, 온체인 프로필이 작고 스크립트 기반 HTLC보다 효율성이 높다.
• 임계값 키 생성 및 검증 메커니즘이 올바르게 시행된다면, 한 명의 당사자나 제공자가 악성일 경우에도 보안이 유지된다.
• 구현 사례는 Secp256k1과 curve25519를 지원하며, ECDSA와 숄러 서명 모두를 지원하고, 다른 곡선과 서명 체계로도 확장 가능하다.