Paperis 아티클

영지식 증명 — 정보를 공개하지 않고 참임을 증명하는 법

확인시켜 주려면 알려 줘야 한다는 전제를 깨는 암호 장치입니다. 시뮬레이터라는 발상에서 출발해, 무엇을 보장하고 무엇에 기대는지 따라갑니다.

기초AI 생성컴퓨터과학·AI · 2026년 10월 9일

내 분야 논문을 오디오로

관심 분야·저널을 고르면 Paperis가 핵심 논문을 요약하고 음성으로 변환해 드려요. 출퇴근길에 들어보세요.

Paperis 무료로 시작하기 →

영지식 증명 — 정보를 공개하지 않고 참임을 증명하는 법

확인시켜 주려면 알려 줘야 한다는 전제

로그인할 때 우리는 비밀번호를 서버로 보냅니다. 서버는 그것을 저장해 둔 값과 맞춰 보고 맞다고 판정합니다. 이 절차 밑에는 오래된 전제가 하나 깔려 있습니다. 확인시켜 주려면 알려 줘야 한다는 전제입니다.

이 전제는 일상 곳곳에 있습니다. 술을 사려면 신분증을 내밀어야 하고, 신분증에는 생년월일뿐 아니라 이름·주소·번호가 함께 적혀 있습니다. 대출 심사를 받으려면 소득 자료를 통째로 넘겨야 합니다. 상대가 알아야 할 것은 「이 사람이 19세 이상인가」, 「이 사람의 소득이 기준을 넘는가」 하나뿐입니다. 그런데 우리가 넘기는 것은 그 판단의 재료 전부입니다.

넘겨진 데이터는 판단이 끝나도 사라지지 않습니다. 저장되고, 복제되고, 유출됩니다. 비밀번호를 서버로 보내는 방식은 그 자체로 유출될 자리를 하나 만듭니다. 그래서 로그인하는 쪽과 확인하는 쪽이 정보를 직접 주고받지 않고도 인증을 끝내려는 시도가 나왔습니다. 한 제안은 계산 대부분을 사용자의 브라우저에서 하고, 비밀번호는 어느 시점에도 서버에 드러내지 않습니다 (arXiv:1911.09329 — 동료심사 전 프리프린트).

이런 인증에는 두 역할이 있습니다. 증명자(prover)는 비밀을 쥐고서 자기 주장이 참이라고 상대를 납득시키려는 쪽이고, 검증자(verifier)는 그 주장을 확인하려는 쪽입니다. 로그인에서는 사용자가 증명자, 서버가 검증자입니다.

이 발상을 일반화한 것이 영지식 증명입니다. 영지식 증명(zero-knowledge proof, ZKP)은 증명자가 어떤 비밀값을 안다는 사실을 검증자에게 납득시키되, 그 비밀 자체에 대해서는 아무것도 드러내지 않는 암호 장치입니다 (arXiv:2502.07063 — 동료심사 전 프리프린트). 「열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가」의 디지털 서명, 곧 개인키를 쥔 사람만 만들 수 있고 공개키만 있으면 누구나 확인할 수 있는 표식도 개인키를 보내지 않고 그 키를 쥐었음을 보여 준다는 점에서 닮은 데가 있습니다. 둘이 실제로 어떻게 이어지는지는 뒤의 Fiat–Shamir 변환에서 봅니다.

제목은 「마법」이라는 낱말을 썼지만, 영지식 증명은 확률과 계산 가정 위에 세워진 공학입니다. 계산 가정은 「이 계산 문제는 현실적인 시간 안에 풀리지 않는다」는 가정입니다. 검증에는 작지만 0이 아닌 실패 확률이 남습니다. 안전은 계산 가정에 기대고, 그 가정이 바뀌면 결론도 바뀝니다.

여기 인용한 연구는 대부분 프리프린트, 곧 동료심사를 거치기 전에 공개된 판입니다. 수치는 모두 그 논문이 그 시점에 그 조건에서 잰 값입니다.

큰 그림 — '증명'을 다시 정의하기

전통적으로 증명은 종이에 적힌 고정된 글입니다. 한 단계씩 따라가며 옳은지 확인합니다. 1980년대에 등장한 대화형 증명이 여기에 주고받기와 확률을 더했습니다. 대화형 증명(interactive proof)은 증명자와 검증자가 메시지를 주고받으며 검증자를 납득시키는 증명으로, 잘못된 증명이 검증을 통과할 작지만 0이 아닌 확률을 허용합니다. 종이에 다 써서 확인하는 대신, 대화로 서로를 납득시키는 수학자들의 방식을 흉내 낸 것입니다 (DOI: 10.1561/3300000030).

논증(argument)은 대화형 증명과 닮았지만, 거짓 명제의 '증명'이 존재하는 것까지 허용하되 그것을 찾으려면 감당할 수 없는 계산력이 들게 만든 장치입니다. 1980~90년대의 고전적 결과들은 놀랄 만큼 복잡한 명제도 원리적으로는 효율적으로 검증될 수 있음을 보였습니다. 그리고 원리적으로 어떤 논증이든 영지식으로 바꿀 수 있습니다. 증명이 자기가 유효하다는 사실 말고는 아무것도 드러내지 않게 만들 수 있다는 뜻입니다. 범용 영지식 논증은 그 서베이가 나온 2022년까지 10년 사이에 이론에서 실무로 넘어왔습니다 (DOI: 10.1561/3300000030).

이 확장의 밑에는 더 근본적인 관점 전환이 있습니다. 무작위성이든 증명이든 이상적인 실체로 보지 않고, 관찰자가 가진 능력에 상대적인 것으로 봅니다. 그래서 무작위로 나오는 결과의 모양, 곧 확률분포 두 개를 효율적인 절차로 구별할 수 없으면 둘을 같은 것으로 취급합니다. 효율적이라는 말은 현실적인 시간 안에 끝난다는 뜻입니다. 영지식 증명, 곧 「주장이 참이라는 사실 외에는 아무것도 내주지 않는 설득력 있는 논증」이라는 개념은 이 관점 위에서 성립합니다 (DOI: 10.1093/oso/9780198537748.003.0016). 구별할 수 없는 것은 같은 것으로 본다는 이 규칙이, 뒤에서 「아무것도 배우지 않았다」를 정의하는 열쇠가 됩니다.

'알리바바 동굴' 같은 비유는 직관을 줄 뿐 실제 프로토콜, 곧 양쪽이 주고받을 메시지와 그 순서를 정해 둔 절차는 아닙니다. 비유만 붙들면 정의를 놓칩니다.

교과서에서 가장 먼저 다루는 실제 예시는 그래프 동형 문제 위의 프로토콜입니다. 그래프는 점들을 선으로 이은 그림이고, 두 그래프가 동형이라는 말은 점의 이름만 바꿔 붙이면 두 그림이 똑같아진다는 뜻입니다. 한 입문 해설은 증명자·검증자, 뒤에 나올 시뮬레이터, 그리고 영지식이라는 낱말이 무엇을 뜻하는지를 이 구체적인 예시 하나로 익히게 합니다 (DOI: 10.59350/5bt3p-h4h88 — 학술지 논문이 아니라 입문 해설 글).

세 가지 조건

영지식 증명 프로토콜이 갖춰야 할 성질은 셋으로 정리됩니다 (DOI: 10.30837/rt.2025.3.222.05). 여기서 명제는 참이거나 거짓인 주장입니다.

완전성(completeness)은 명제가 참이고 증명자가 정직하면 검증자가 납득하는 성질입니다.
건전성(soundness)은 명제가 거짓이면 부정직한 증명자가 검증자를 속일 확률이 아주 작은 성질입니다.
영지식성(zero-knowledge)은 검증자가 「명제가 참이다」라는 사실 말고는 아무것도 얻지 못하는 성질입니다.

앞의 둘은 직관적으로 들어옵니다. 어려운 것은 셋째입니다. 「아무것도 얻지 못한다」를 수학의 말로 어떻게 적을지, 얻은 것이 없다는 사실을 어떻게 증명할지가 문제입니다.

시뮬레이터 — 비밀 없이 같은 기록을 만들 수 있다면

답은 간단한 대화 한 판을 끝까지 따라가면 보입니다. 증명자가 먼저 봉한 봉투 하나를 보냅니다. 검증자는 미리 정해 둔 두 질문 가운데 하나를 무작위로 골라 묻습니다. 증명자가 답하면, 검증자는 그 답이 봉투의 내용과 맞는지 확인합니다. 비밀을 아는 증명자는 어느 질문이 와도 맞는 답을 냅니다. 비밀을 모르는 사기꾼은 봉투를 보낼 때 한 질문에만 맞게 준비할 수 있습니다. 그 질문이 오면 통과하고, 다른 질문이 오면 걸립니다.

대화가 끝나면 검증자 손에는 봉투, 자기가 고른 질문, 받은 답이 남습니다. 이제 비밀을 전혀 모르는 제3자가 이 기록을 혼자 만들어 본다고 해 봅니다. 그는 순서를 바꿉니다. 질문을 먼저 무작위로 정해 두고, 그 질문에만 맞는 봉투와 답을 거꾸로 짜 맞춥니다. 사기꾼이 실제 대화에서 못 하던 일을 기록을 만드는 사람은 할 수 있습니다. 이렇게 만든 기록을 여러 번 모아 보면, 어떤 질문이 몇 번 나오고 봉투와 답이 어떻게 나오는지까지 진짜 대화의 기록들과 같은 분포를 이룹니다.

비밀 없이 만든 기록들과 진짜 기록들을 구별할 수 없다면, 검증자는 진짜 대화에서 새로 안 것이 없습니다. 자기가 이미 가진 재료로 재현되는 것에서는 아무것도 배울 수 없기 때문입니다. 앞에서 본 「구별할 수 없으면 같다」는 규칙이 여기서 쓰입니다.

두 판이 나란히 있다. 왼쪽 진짜 대화는 비밀을 아는 증명자와 검증자 사이에서 봉투, 무작위 질문, 답 순서로 흐른다. 오른쪽 거꾸로 짜 맞춘 기록은 비밀 없는 제3자, 곧 시뮬레이터가 질문을 먼저 무작위로 정하고 그 질문에만 맞는 봉투와 답을 짜 맞춘다. 두 판 모두 같은 모양의 기록(봉투·질문·답)을 남긴다. 그 기록을 여러 번 모은 두 더미 사이에 '같은 분포 — 구별할 수 없음'. 맨 아래: 자기 재료로 재현되는 것에서는 배울 것이 없으니 검증자는 새로 안 것이 없다. 각주: 이 방법은 검증자가 질문을 정말 무작위로 고를 때 통하고, 꾀를 부리는 검증자까지 다루려면 장치가 더 필요하다.

뷰(view)는 검증자가 프로토콜을 돌리며 본 것 전부, 곧 주고받은 메시지와 자기가 뽑은 난수를 합친 기록입니다. 시뮬레이터(simulator)는 비밀 없이 이 뷰를 혼자서 만들어 내는 가상의 제3자입니다. 앞 장면에서 순서를 바꿔 기록을 짠 사람이 시뮬레이터입니다.

영지식성은 이렇게 정의됩니다. 어떤 검증자에 대해서든 비밀 없이 그 뷰를 만들어 내는 효율적인 시뮬레이터가 있으면, 그 프로토콜은 영지식입니다. 검증자가 질문을 꾀를 부려 고르더라도 마찬가지여야 합니다. 앞 장면의 거꾸로 짜 맞추기는 검증자가 질문을 정말 무작위로 고를 때 통하는 방법이고, 악의적일 수 있는 검증자까지 다루려면 시뮬레이터에 장치가 더 필요합니다.

통계적 거리는 두 확률분포가 얼마나 다른지를 잰 값으로, 작을수록 둘을 구별하기 어렵습니다. 여러 컴퓨터가 나눠 맡는 분산 환경을 다룬 한 연구는, 참여한 컴퓨터마다 그 뷰가 무시할 만한 통계적 거리 안에서 시뮬레이션될 수 있어야 한다는 방식으로 '분산 통계적 영지식'을 정의합니다 (arXiv:2605.14015 — 동료심사 전 프리프린트). 증명의 몇 군데만 들여다보고 확률적으로 판정하는 확률적 검사 증명(PCP)에 영지식을 얹은 연구도, 증명의 정해진 몇 군데만 들여다보는 검증자라면 악의적이더라도 그 뷰가 작은 통계적 거리까지 효율적으로 시뮬레이션될 수 있다는 것을 보장 조건으로 삼습니다 (DOI: 10.3390/e24070970).

「통계적 거리 안에서」라는 단서에서 영지식성의 등급이 갈립니다 (DOI: 10.1155/2014/560484).

완전(perfect) 영지식은 시뮬레이터가 만든 뷰와 진짜 뷰가 완전히 같은 경우입니다.
통계적(statistical) 영지식은 둘이 통계적으로 구별되지 않는 경우입니다.
계산적(computational) 영지식은 효율적인 계산으로는 둘을 구별할 수 없는 경우입니다.

완전 쪽이 가장 강합니다. 논문에서 'zero-knowledge'라는 낱말을 만나면 어느 등급인지를 확인해야 보장의 강도를 알 수 있습니다.

시뮬레이션은 영지식의 정의와 보안 증명의 토대이고, 프로토콜이 메시지를 몇 번 주고받아야 하는가도 시뮬레이터를 어떻게 만들 수 있는가와 이어져 있습니다 (arXiv:2409.06317 — 동료심사 전 프리프린트). 갈림길은 시뮬레이터가 검증자를 블랙박스로만, 곧 프로그램의 속을 들여다보지 않고 질문을 받고 답을 넣고 필요하면 되감는 식으로만 다루는가입니다. 라운드는 메시지를 한 번 주고받는 차례입니다.

양자컴퓨터는 아주 작은 입자의 물리 법칙을 계산에 쓰는 새로운 종류의 컴퓨터입니다(「열쇠와 자물쇠」). 참여자와 통신이 모두 양자인 환경에서, 라운드 수가 정해진 몇 번에 그치는 블랙박스 시뮬레이션 영지식은 양자컴퓨터가 혼자서도 효율적으로 판정할 수 있는 문제에서만 가능합니다 (arXiv:2409.06317 — 동료심사 전 프리프린트). 증명 없이도 답이 나오는 경우에만 된다는 뜻이고, 그래서 이런 환경에는 블랙박스가 아닌 시뮬레이션 기법이나 완화된 보안 개념이 필요합니다.

도전과 응답, 그리고 반복

시뮬레이터 장면의 봉투·질문·답은 실제 프로토콜에서 정식 이름을 갖습니다. 가장 널리 쓰이는 대화형 구조는 3단계이고, 교과서적 예는 이산로그 문제 위에 세워진 Schnorr 프로토콜입니다. 이산로그 문제는 어떤 수를 몇 번 거듭제곱했는지를 결과만 보고 되찾는 문제입니다. 「열쇠와 자물쇠」의 일방향 계산, 곧 한쪽으로는 누구나 금방 하는데 거꾸로 되돌리는 쪽은 터무니없이 힘든 계산의 한 예입니다.

첫 단계에서 증명자는 커밋먼트를 보냅니다. 커밋먼트(commitment)는 값을 봉투에 넣어 봉하듯 미리 보내 두어, 나중에 바꿔치기할 수 없게 하는 장치입니다. 「블록체인이란 무엇인가 — 아무도 관리하지 않는 장부가 성립하는 이유」의 봉인처럼 바꿔치기하면 드러나고, 봉투처럼 열기 전에는 안이 보이지 않습니다. 둘째 단계에서 검증자가 무작위로 고른 질문, 곧 도전(challenge)을 보냅니다. 셋째 단계에서 증명자가 그 도전에 맞춘 응답(response)을 만듭니다. 검증자는 이 응답만으로 증명이 유효한지 확인하고, 그 과정에서 밑에 깔린 비밀은 알지 못합니다 (DOI: 10.54254/2753-8818/14/20240870). 이 3단계 구조에는 시그마(Σ) 프로토콜이라는 이름이 붙어 있습니다.

무작위 도전이 핵심입니다. 도전이 무작위라서 증명자는 답을 미리 준비해 둘 수 없습니다. 비밀을 모르는 사기꾼은 시뮬레이터 장면에서처럼 도전 하나만 골라 대비할 수 있고, 다른 도전이 오면 걸립니다. 한 번에는 요행이 통할 확률이 남지만, 같은 절차를 여러 번 되풀이하면 매번 통과할 확률은 급격히 작아집니다. 건전성은 속을 확률을 작게 묶어 두는 성질이고, 반복은 그 확률을 낮추는 손잡이입니다.

위 판: 증명자(비밀을 쥔 쪽)와 검증자(확인하려는 쪽) 사이에 화살표 세 개. ① 커밋먼트 — 봉한 봉투로, 보낸 뒤엔 바꿔치기할 수 없고 열기 전엔 안이 보이지 않는다. ② 도전 — 검증자가 무작위로 고른 질문. ③ 응답 — 그 도전에 맞춘 답. 검증자는 응답이 봉투와 맞는지 확인하고, 비밀은 증명자 쪽에 남는다. 아래 판: 비밀을 모르는 사기꾼은 봉투를 질문 A 하나에만 맞춰 준비해서 A가 오면 통과하고 B가 오면 걸린다. 되풀이하면 매 판을 통과해야 하므로 매번 통과할 확률은 급격히 작아진다.

반복에도 미묘한 자리가 있습니다. 오류를 줄이려고 여러 판을 동시에 한꺼번에 돌리면, 곧 병렬로 붙이면 영지식성이 함께 유지되지 않을 수 있습니다. 블랙박스 시뮬레이터를 가진 일부 프로토콜은 이런 병렬 합성으로 오류를 줄이면서 영지식성을 지키기 어렵다는 고전적 결과가 있고, 이 결과는 양자 시뮬레이터 설정으로도 일반화되어 있습니다 (arXiv:quant-ph/0607211 — 동료심사 전 프리프린트). 건전성과 영지식성은 공짜로 함께 가지 않습니다.

지식의 증명과 추출기

「명제가 참이다」를 보이는 것과 「나는 그 답을 안다」를 보이는 것은 다릅니다. 지식의 증명(proof of knowledge)은 증명자가 답을 실제로 알고 있다는 것까지 보이는 증명입니다. 정의는 시뮬레이터와 쌍둥이처럼 생겼습니다. 추출기(extractor)는 증명자를 되감아 같은 봉투에 서로 다른 도전을 던져 보며, 그 응답들에서 실제 비밀을 뽑아내는(extract) 절차입니다. 이런 추출기가 존재한다면 그 증명자는 정말로 비밀을 안다고 봐야 합니다.

추출기가 비밀을 뽑아내지 못하는데도 증명자가 검증을 통과할 여지를 지식 오류(knowledge error)라 부릅니다. 이 값을 작게 묶어 두는 분석은 추출기의 표집 방식에 따라 막히거나 손실이 불어날 수 있어서, 한 이론 연구는 새 기법을 들여와야 했다고 적습니다 (DOI: 10.1007/s00145-025-09569-y).

대화형에서 비대화형으로 — Fiat–Shamir

대화형 프로토콜에는 실무적 불편이 있습니다. 검증자가 그 자리에서 도전을 보내 줘야 합니다. 그래서 한 번 만들어 두면 아무나 나중에 검증해야 하는 자리에는 맞지 않습니다. 서명이 그렇고, 블록을 사슬로 엮어 여럿이 나눠 드는 장부인 블록체인(「블록체인이란 무엇인가」)이 그렇습니다.

여기서 Fiat–Shamir 변환이 나옵니다. Fiat–Shamir 변환(Fiat-Shamir transform)은 검증자가 보내야 할 무작위 도전을, 지금까지 주고받은 내용을 해시 함수에 넣어 얻은 값으로 바꿔 대화를 없애는 기법입니다. 해시는 아무리 긴 글이든 정해진 길이의 짧은 값 하나로 줄여 놓은 것이고, 글자 하나만 바뀌어도 다른 값이 나옵니다(「블록체인이란 무엇인가」). 증명자가 혼자 도전을 만들어 쓰지만 해시 결과는 마음대로 조종할 수 없으므로, 무작위 도전과 비슷한 효과가 납니다 (DOI: 10.54254/2753-8818/14/20240870). 이 변환은 신원 확인 방식을 서명 방식으로 바꾸는 기법으로 이름이 났습니다 (arXiv:1306.0315 — 동료심사 전 프리프린트). 글머리의 디지털 서명과 영지식 증명이 여기서 만납니다.

이 변환은 공개 동전 대화형 증명이면 어느 것이든 비대화형으로 바꿉니다. 공개 동전 대화형 증명은 검증자가 보내는 것이 숨은 계산 없이 던진 무작위 값뿐인 대화형 증명입니다. 바꾼 증명은 랜덤 오라클 모델 아래서 원래의 주요 보안 성질을 물려받습니다. 랜덤 오라클 모델은 해시 함수를, 물을 때마다 완전히 무작위인 답을 돌려주는 이상적인 상자로 가정하고 안전을 따지는 틀입니다 (DOI: 10.1007/s00145-023-09478-y).

이 변환은 원래 메시지가 3번 오가는 시그마 프로토콜을 위해 고안됐지만, 그 연구가 나온 2023년 무렵에는 여러 라운드를 주고받는 프로토콜에도 쓰이고 있었습니다. 여기서 대가가 생깁니다. 공격자가 해시 함수에 묻는 횟수를 Q라 하고 도전을 μ번 던지는 프로토콜, 곧 메시지가 (2μ+1)번 오가는 프로토콜을 생각합니다. 이런 프로토콜의 보안 손실은 일반적으로 대략 Q^μ 규모로 커집니다 (DOI: 10.1007/s00145-023-09478-y). 변환을 거치며 공격자가 속일 여지가 그만큼 불어난다는 뜻입니다.

다행히 special-sound라 불리는 넓은 부류에서는 이 손실이 Q에 선형으로만, 곧 Q에 비례해서만 커진다는 것이 증명되어 있습니다. special-sound는 같은 첫 메시지에 서로 다른 도전으로 받은 올바른 응답 몇 개만 모으면 비밀을 계산해 낼 수 있다는 성질입니다. 같은 연구는 부정적 결과도 함께 냅니다. 이 부류의 전형적인 프로토콜을 라운드 수 이상으로 병렬 반복하면, 손실이 다시 Q^μ에 비례하는 규모로 커지는 공격이 있습니다 (DOI: 10.1007/s00145-023-09478-y). 선형 손실 결과는 이후 더 넓은 special-sound 부류까지 확장되었습니다 (DOI: 10.1007/s00145-025-09569-y). 「Fiat–Shamir를 붙였다」는 문장 뒤에는 이런 조건들이 숨어 있습니다.

이렇게 얻는 것이 비대화형 영지식 증명입니다. 비대화형 영지식 증명(NIZK)은 증명자가 검증자에게 메시지 하나만 보내는 영지식 증명입니다. 주고받는 횟수가 적은 덕분에 각종 암호 프로토콜의 부품으로 널리 쓰입니다 (DOI: 10.1155/2014/560484).

무엇을 증명할 수 있고, 무엇에 기대고 있나

영지식 증명이 다룰 수 있는 주장은 넓습니다. 답이 주어지면 빨리 확인할 수 있는 문제들의 묶음을 NP라 부르는데, NP에 속하는 명제라면 원리적으로 다룰 수 있고 NP 문제에 대한 비대화형 영지식 증명도 오래 연구되어 왔습니다 (DOI: 10.1155/2014/560484). 1980년대에 나온 Goldreich–Micali–Wigderson 프로토콜은 이웃한 점끼리 색이 겹치지 않게 칠하는 그래프 색칠 문제 위에서 이 일반성을 보인 대표적 구성입니다. 한 프리프린트는 이 프로토콜을 일반화해 양자컴퓨터 이후를 겨냥한 서명 방식의 출발점으로 삼습니다 (arXiv:2602.02689 — 동료심사 전 프리프린트).

그 대신 NP 전반을 다루는 구성과 실무에 쓰이는 시스템은 계산 가정 위에 서 있습니다. 계산은 쉽지만 역산은 어려운 함수, 곧 일방향 함수가 존재한다는 가정이 현대 암호학의 토대이고, 영지식 대화형 증명도 그 위에 놓인 구조물입니다 (arXiv:cs/0111056 — 동료심사 전 프리프린트; arXiv:cs/0212055 — 동료심사 전 프리프린트). 실제 구현에 쓰이는 재료는 이산로그 증명, 동형 암호, 다항식 커밋먼트, 해시 함수, 타원곡선 등입니다 (DOI: 10.30837/rt.2025.3.222.05).

가정을 잘못 고르면 프로토콜도 무너집니다. 앞에서 개념 설명에 쓴 그래프 동형이 좋은 예입니다. 가르치기에는 이상적이지만, 그래프 동형 문제는 많은 유형의 그래프에서 쉽게 풀려 버려 실용적인 영지식 인증의 기반으로는 적절하지 않다는 분석이 있습니다 (DOI: 10.12794/metadc12076 — 학위논문). 개념을 보여 주는 예시와 실전에서 안전한 기반은 다릅니다.

간결성, 그리고 무엇을 맞바꾸는가

실무를 지배하는 성질은 간결성입니다. 간결성(succinctness)은 증명의 크기와 검증 시간이 증인(witness), 곧 주장을 뒷받침하는 원래 비밀 자료의 크기보다 훨씬 작은 성질입니다. 검증하는 쪽은 원래 계산을 다시 하지 않고 짧은 증명만 확인하면 됩니다. 이 성질 덕분에 계산 아웃소싱, 익명 자격증명, 서명 집계, 블록체인 프로토콜 같은 응용이 열렸습니다 (DOI: 10.20868/upm.thesis.91808 — 박사학위논문).

zk-SNARK, zk-STARK, Bulletproofs는 이런 비대화형 영지식 증명의 대표 계열 이름입니다. 이 계열들을 비교하는 축은 여럿입니다. 증명 크기, 증명자 시간, 검증자 시간, 메모리, 그리고 셋업 가정입니다 (arXiv:2408.00243 — 동료심사 전 프리프린트). 「무엇이 더 빠른가」 하나로 줄을 세우면 나머지 축이 가려집니다.

축들이 실제로 어긋나는 모습을 한 실측 비교가 보여 줍니다. 소비자용 ARM 컴퓨터에서 공개 참조 구현을 돌린 결과, zk-SNARK(Groth16)는 증명을 더 빠르게 만들고 증명 크기도 더 작았지만 검증은 더 느렸고 신뢰 셋업이 필요했습니다. zk-STARK는 증명이 크고 생성이 느렸지만 검증이 빨랐고, 셋업이 필요 없는 투명한 방식이며 양자후 보안을 지향합니다 (arXiv:2512.10020 — 동료심사 전 프리프린트). 만드는 쪽과 확인하는 쪽 가운데 누구의 비용을 줄일지, 셋업을 믿을지가 계열마다 갈립니다.

이런 결과는 일반적인 서열이 되지 못합니다. 2015년부터 2023년 4월까지 나온 41편을 체계적으로 검토한 연구에서, 같은 계열 프로토콜이라도 실세계 성능이 구현에 따라 최대 수 자릿수까지 차이 났습니다. 보안 분석 방법론도 제각각이라 결정적인 비교 자체가 불가능했고, 공통 벤치마크를 세우는 일은 저자들이 다음 과제로 적었습니다 (DOI: 10.1002/spy2.401). 이 분야에서 성능 수치는 프로토콜만이 아니라 구현과 실험 조건에도 크게 좌우됩니다. 논문에서 「우리 방식이 N% 빠르다」를 만나면, 그 N보다 실험 조건을 먼저 확인할 자리입니다.

신뢰 셋업이라는 갈림길

가장 효율이 좋은 zk-SNARK들은 흔히 일회성 신뢰 셋업에 기댑니다. 신뢰 셋업(trusted setup)은 시스템을 띄우기 전에 비밀값을 써서 공개 파라미터를 한 번 만들어 두는 절차로, 그 비밀값이 버려졌다고 믿는 데 기댑니다. 이 공개 파라미터를 흔히 'Powers of Tau' 문자열이라 부릅니다. 이때 쓰인 비밀값 τ가 유출되면 공격자가 거짓 증명을 만들어 낼 수 있고, 그 문자열 위에 세워진 모든 zk-SNARK 시스템의 건전성이 한꺼번에 무너집니다 (arXiv:2503.04549 — 동료심사 전 프리프린트).

그래서 여러 참여자가 무작위성을 나눠 보태는 탈중앙 세리머니가 고안되었고, 그 참여 비용을 낮추는 연구도 이어집니다. 한 연구는 장부 위에서 처리해야 하는 값비싼 암호 연산을 기여자 한 명당 정해진 몇 번으로 줄여, 기존 온체인 방식보다 약 16배 큰 파라미터까지 세리머니를 열 수 있게 했다고 보고합니다 (arXiv:2503.04549 — 동료심사 전 프리프린트).

대안은 셋업이 필요 없는 투명(transparent) 계열이고, 대가는 효율입니다. 투명 논증 시스템은 역사적으로 비효율적이었고, 신뢰 셋업 계열보다 증명 크기가 컸습니다. 그 논문이 나온 2025년에도 투명 계열의 증명을 줄이는 연구가 이어지고 있었습니다. 그 논문은 투명 설정에서 증명의 핵심 부품 하나를 군 원소, 곧 증명을 이루는 기본 조각 10개까지 줄여(약 85% 감소), 저자들이 아는 한 투명 설정에서 가장 짧은 구성을 만들었다고 보고합니다 (DOI: 10.62056/anudy76bm). 셋업 문제는 무엇을 내주고 무엇을 얻을지의 선택입니다.

어디에 쓰이나

블록체인 프라이버시: 암호화폐 Zcash의 프라이버시 보장은 zk-SNARK 구성에 전적으로 기댑니다 (arXiv:2008.00881 — 동료심사 전 프리프린트).
확장(zk-롤업): 거래를 원래의 블록체인, 곧 메인 체인 밖에서 처리하고 거래 데이터와 그 실행이 맞다는 증명을 메인 체인에 남기는 방식입니다 (arXiv:2410.12210 — 동료심사 전 프리프린트). 이런 시스템의 성능은 밑에 깔린 영지식 증명 메커니즘의 효율에 자주 묶입니다. Hardhat 개발 환경에서 만든 롤업 하나를 분석한 연구가 그 병목을 짚었습니다 (arXiv:2503.22709 — 동료심사 전 프리프린트).
신원·자격증명: 믿을 만한 발급자가 준 자격증명에 대해, 내용은 검증자에게 전혀 드러내지 않고 명제만 증명합니다 (arXiv:1907.09579 — 동료심사 전 프리프린트). zk-STARK로 「나이가 18세 이상」만 증명하는 프레임워크도 제안되었습니다 (arXiv:2510.09715 — 동료심사 전 프리프린트). 글머리의 신분증 문제에 대응합니다.
전자투표: 이사회 규모 선거용 투표 프로토콜에서, 무거운 집계 계산을 체인 밖으로 옮기고 그 정확성을 zk-SNARK로 검증하는 설계가 제안되었습니다. 확장성을 얻으면서도, 관리자가 집계를 속였는지 따로 이의를 거는 단계가 필요 없는 분쟁 없는 성질을 지킵니다 (arXiv:2203.03363 — 동료심사 전 프리프린트). 투표에서 무엇을 확인해야 하는지는 「블록체인으로 투표하면 조작할 수 없지 않나」로 이어집니다.
검증가능 머신러닝(ZKML): 학습·추론·테스트가 주장된 대로 수행되었음을, 데이터나 모델 파라미터를 드러내지 않고 증명하려는 시도입니다 (DOI: 10.1007/s10462-026-11557-y).
블록체인 바깥: 핵군축 검증에 커밋먼트와 zkSNARK를 결합해, 침습적인 물리 사찰 없이 조약 제약 준수를 확인하되 탄두의 민감 정보는 비밀로 두는 프로토콜이 제안되었습니다 (arXiv:2507.20074 — 동료심사 전 프리프린트).
카드 한 벌: 컴퓨터 없이 물리적 도구만으로 퍼즐의 해답을 안다는 것을 증명하는 프로토콜이 여럿 설계되어 있습니다 (DOI: 10.1007/s00354-024-00267-0; arXiv:2603.01393 — 동료심사 전 프리프린트). 영지식이 컴퓨터 없이도 성립하는 생각이라는 것을 보여 주는 예입니다.

블록체인 프라이버시와 롤업은 실제로 배포되어 돌아가는 시스템이 있습니다. 검증가능 머신러닝은 회로 표현력의 한계, 높은 증명 생성 비용, 배포 복잡성이 여전히 주된 병목으로 남은 발전 중인 영역입니다 (arXiv:2502.18535 — 동료심사 전 프리프린트). 핵군축 검증은 실제 조약 제약을 따른 구현까지 나왔고, 조약 운용에 쓰인 사례는 아닙니다.

흔한 오해 다섯 가지

첫째 오해는 「영지식이면 익명이다」입니다. 영지식 증명이 가리는 것은 증명 안에 담긴 내용이고, 그 증명을 누가 언제 어디서 제출했는지는 가려 주지 않습니다. 누구나 허락 없이 참여할 수 있는 퍼미션리스 블록체인의 프라이버시 위험을 정리한 연구는 거래 연결, 거래 메타데이터, 온체인 데이터 분석, RPC 문제처럼 증명의 내용과 무관한 경로들을 나열합니다. 그리고 영지식 증명·링서명·스텔스 주소를 그중 일부에 대한 해법으로 배치합니다 (arXiv:2305.01038 — 동료심사 전 프리프린트). 2018년의 한 문헌 검토는 블록체인 프라이버시가 믿고 맡길 수준이 되려면 갈 길이 멀다고 진단하면서, 이 분야가 매우 빠르게 발전하고 있다고 덧붙였습니다 (arXiv:1809.10642 — 동료심사 전 프리프린트).

익명성이 지나쳐도 문제가 됩니다. 완전 익명 계정 시스템에서는 인증 없이 계정을 여럿 만들어 활동을 흐릴 수 있습니다. 이 문제에서 출발한 한 연구는 영지식 증명과 연결 가능 링서명으로 계정과 실제 사람임을 보이는 자격증명을 일대일로 묶되, 그 대응 관계는 감추는 '신뢰할 수 있는 익명성'을 제안합니다 (arXiv:2301.02102 — 동료심사 전 프리프린트). 프라이버시와 책임성은 별개의 축이고, 영지식 증명은 그 사이를 설계하는 도구입니다.

둘째 오해는 「수학적으로 증명됐으니 안전하다」입니다. 많은 사람이 SNARK를 「그냥 수학」으로 여기고, 증명된 것은 실무에서도 옳다고 전제합니다. 실제 구현의 취약점 141건을 모아 분류한 연구는 그 전제를 정면으로 반박합니다 (arXiv:2402.15293 — 동료심사 전 프리프린트). 증명할 계산을 옮겨 적은 회로 쪽도 마찬가지입니다. 널리 쓰이는 라이브러리에 무작위 입력을 대량으로 넣는 퍼징을 붙이자 개발자가 확인한 신규 버그 10건이 나왔고 (arXiv:2504.14881 — 동료심사 전 프리프린트), 실제 배포된 zk-롤업에서는 거래 확정을 실패하게 하는 제로데이 버그 12건이 발견되어 수정되었습니다 (arXiv:2410.12210 — 동료심사 전 프리프린트).

이 틈은 구조에서 나옵니다. 40편 이상의 zk-SNARK 방식과 11개 범용 라이브러리를 함께 조사한 연구에 따르면, 학계의 관심은 증명 시스템에 쏠려 있고 산업 현장의 병목은 프로그램을 증명할 수 있는 수식 묶음으로 옮기는 제약 시스템(constraint system) 쪽에 있습니다 (arXiv:2502.02387 — 동료심사 전 프리프린트). 종이 위의 정리, 컴파일된 회로, 배포된 코드 사이에는 늘 틈이 있습니다.

셋째 오해는 「신뢰 셋업은 형식적 절차다」입니다. 앞에서 본 대로 셋업 비밀이 유출되면 가짜 증명이 가능해집니다 (arXiv:2503.04549 — 동료심사 전 프리프린트). 누가 셋업을 했고 그 비밀이 정말 폐기되었는가는 프로토콜 밖의 사회적 신뢰 문제입니다. 투명 계열은 바로 이 문제를 없애는 대신 효율을 내줍니다 (DOI: 10.62056/anudy76bm). 어떤 시스템을 평가할 때 「신뢰 셋업이 있는가」는 성능 표보다 먼저 확인할 항목입니다.

넷째 오해는 「증명이 짧으니 싸다」입니다. 검증이 싼 것과 증명이 싼 것은 다른 이야기입니다. 증명 생성은 여전히 비싸고, 다중 스칼라 곱셈(MSM)과 수론적 변환(NTT)이라는 두 종류의 큰 계산이 실행 시간을 지배합니다. 이 병목을 AI 가속기 위로 옮겨 수론적 변환 처리량을 비교 대상보다 최대 10배까지 끌어올린 연구도 나와 있습니다 (arXiv:2604.17808 — 동료심사 전 프리프린트). 애초에 증명자가 다항 시간, 곧 입력이 커져도 감당할 만큼만 늘어나는 시간 안에 돌 수 있는가는 따로 요구해야 하는 성질입니다. 증명자가 다항 시간이고 검증자가 입력 크기에 거의 비례하는 시간일 때에야 현실의 계산 주체가 대화형 증명의 이점을 실제로 누립니다 (DOI: 10.1561/0400000084). 검증가능 머신러닝에서 높은 증명 비용이 대표적 병목으로 꼽히는 것도 같은 이유입니다 (arXiv:2502.18535 — 동료심사 전 프리프린트).

다섯째 오해는 「양자컴퓨터 이야기는 다 같은 이야기다」입니다. 계열마다 다릅니다. 타원곡선·이산로그 가정에 기댄 계열과 해시 함수에 기댄 계열은 양자 위협 앞에서 처지가 다릅니다. 한 실측 비교도 zk-STARK를 투명하고 양자후 보안을 갖춘 쪽으로 분류합니다 (arXiv:2512.10020 — 동료심사 전 프리프린트). 양자 취약 가능성은 이 분야의 주요 과제 목록에 이미 올라 있습니다 (DOI: 10.30837/rt.2025.3.222.05). 암호 전반의 양자 위협은 「양자컴퓨터가 오면 암호는 정말 다 깨지나」가 따집니다.

「양자컴퓨터가 오면 다 깨진다」는 단순화도 맞지 않습니다. Fiat–Shamir 변환을 예로 들면, 2013년의 한 연구는 양자 랜덤 오라클 모델에서 이 변환의 보안 증명이 어려워 보인다고 했습니다. 밑에 깔린 신원 확인 방식이 대화에 직접 끼어드는 능동 공격자에게 안전하고 증명자의 첫 메시지가 비밀과 무관하다면, 블랙박스 추출기가 존재할 수 없음을 보였습니다. 같은 논문은 프로토콜을 먼저 손보면 그 결과를 되살릴 수 있는 사례도 함께 제시합니다 (arXiv:1306.0315 — 동료심사 전 프리프린트). 2019년의 후속 연구는 3라운드 시그마 프로토콜에 대해 일반적 환원을 제시해, 건전성과 지식증명 성질이 양자 공격 아래서도 보존됨을 보였고 문헌에 있던 일부 주장이 틀렸음을 함께 지적했습니다 (arXiv:1902.07556 — 동료심사 전 프리프린트). 모델과 가정이 바뀌면 결론도 바뀝니다. 「양자에 안전한가」에 답하려면 「어느 모델에서, 어떤 가정 아래」를 함께 물어야 합니다.

이 글이 근거로 삼은 문헌은 개념·서베이·구현 분석에 치우쳐 있습니다. 계산에 걸린 시간 같은 부수 신호로 비밀이 새는 사이드채널이나, 구현을 최적화하는 과정에서 새로 생기는 누출처럼, 이론 문헌이 잘 다루지 않는 위험이 실무에는 더 있습니다. 여기서 다룬 목록이 위험의 전부는 아닙니다.

더 깊이 가려면

여기까지가 이 분야의 논문을 펼치기 위한 최소 토대입니다. 세 문장으로 줄이면 이렇습니다. 첫째, 영지식 증명은 '증명'이라는 개념을 주고받기와 확률로 넓힌 결과물이고, 계산 가정 위에 선 공학입니다. 둘째, 그 핵심 정의는 시뮬레이터입니다 — 비밀 없이도 검증자의 뷰를 만들어 낼 수 있다면 검증자는 아무것도 새로 알지 못한 것입니다. 셋째, 실무의 선택은 셋업 가정·증명 크기·증명자 비용·보안 가정이라는 여러 축 사이의 맞바꿈입니다.

다음에 읽을 것을 갈래별로 남깁니다.

전체 지형: 대화형 증명부터 영지식 논증까지 다섯 갈래 접근법을 하나의 틀로 묶은 서베이 (DOI: 10.1561/3300000030). 개념의 출발점을 보려면 1990년의 고전 서베이 (DOI: 10.1093/oso/9780198537748.003.0016).
응용을 훑고 싶다면: 블록체인 안팎의 활용을 분류하고 비교표를 제공하는 서베이 (arXiv:2408.00243 — 동료심사 전 프리프린트). 비대화형 계열의 이론적 지형은 (DOI: 10.1155/2014/560484).
직접 만들어 보고 싶다면: 25개 범용 프레임워크를 실측 비교하고 실행 환경까지 공개한 조사 (arXiv:2502.07063 — 동료심사 전 프리프린트), 사전 지식 없이 zk-SNARK의 내부를 따라가는 해설 (arXiv:1906.07221 — 동료심사 전 프리프린트).
안전하게 쓰고 싶다면: 실제 취약점 141건의 분류 (arXiv:2402.15293 — 동료심사 전 프리프린트), 이론과 실무의 간극 정리 (arXiv:2502.02387 — 동료심사 전 프리프린트).
이론으로 더 들어가려면: 검증가능 계산의 이론적 기초를 128편으로 정리한 리포트 (arXiv:2308.15191 — 동료심사 전 프리프린트).

이 분야의 논문을 열었을 때 성능 표보다 먼저 확인할 전제는 다섯 가지입니다. ① 대화형인가 비대화형인가. ② 셋업은 신뢰형인가 투명형인가. ③ 영지식성은 완전인가 통계적인가 계산적인가. ④ 어떤 계산 가정 위에 서 있는가(이산로그·격자·해시). ⑤ 적대자는 고전인가 양자인가. 이 다섯 답을 확인하고 나면 뒤에 이어지는 정리와 실험이 무엇에 관한 주장인지 또렷해집니다. 숫자를 비교하기 전에 전제를 비교하는 것이 이 분야를 읽는 사람과 결론만 옮기는 사람을 가릅니다.

근거 논문

"Proofs, Arguments, and Zero-Knowledge," Foundations and Trends in Privacy and Security (2022) — DOI: 10.1561/3300000030 — 대화형 증명·논증의 개념적 확장(상호작용 + 0이 아닌 오류 확률), 어떤 논증이든 원리적으로 영지식으로 변환 가능. 다섯 접근법의 통합 서베이.
"Randomness, Interactive Proofs, and Zero-Knowledge - A Survey," The Universal Turing Machine: A Half-Century Survey (1990) — DOI: 10.1093/oso/9780198537748.003.0016 — 무작위성·증명을 관찰자의 능력에 상대적인 개념으로 재정의. 영지식 = 주장의 유효성 외에는 아무것도 내주지 않는 설득력 있는 논증.
"Zero Knowledge Proofs — A Primer" (2016) — DOI: 10.59350/5bt3p-h4h88 — 그래프 동형 문제로 증명자·검증자·시뮬레이터·영지식 용어를 익히는 입문 해설. 학술지 논문이 아닌 해설 글.
"Zero-knowledge proof protocols: theoretical foundations and applications in modern cryptography," Radiotekhnika (2025) — DOI: 10.30837/rt.2025.3.222.05 — 완전성·건전성·영지식성, 대화형/비대화형 분류, 수학적 재료(이산로그·다항식 커밋먼트·타원곡선), 과제(확장성·신뢰 셋업·양자).
"Distributed Statistical Zero-Knowledge Proofs via Sumcheck" (2026) — arXiv:2605.14015 — 각 노드의 뷰가 무시할 만한 통계적 거리 안에서 시뮬레이션 가능할 것을 요구하는 분산 통계적 영지식 정의. 동료심사 전 프리프린트.
"Shielding Probabilistically Checkable Proofs: Zero-Knowledge PCPs from Leakage Resilience," Entropy (2022) — DOI: 10.3390/e24070970 — 악의적 검증자의 뷰가 작은 통계적 거리까지 효율적으로 시뮬레이션 가능해야 한다는 ZK-PCP의 보장 조건.
"The Black-Box Simulation Barrier Persists in a Fully Quantum World" (2024) — arXiv:2409.06317 — 시뮬레이션이 영지식 정의·보안 증명의 토대. 완전 양자 환경의 상수 라운드 블랙박스 시뮬레이션 영지식 불가능성. 동료심사 전 프리프린트.
"Examining Schnorr's protocol in the context of zero-knowledge proofs," Theoretical and Natural Science (2023) — DOI: 10.54254/2753-8818/14/20240870 — 커밋먼트 → 무작위 도전 → 응답의 3단계 구조, 검증자가 비밀을 모른 채 유효성 확인, 해시 함수로 비대화형화.
"On parallel composition of zero-knowledge proofs with black-box quantum simulators" (2006) — arXiv:quant-ph/0607211 — 건전성 오류를 줄이려는 병렬 합성이 블랙박스 시뮬레이터 아래서 영지식성과 양립하기 어렵다는 결과. 동료심사 전 프리프린트.
"The Fiat–Shamir Transformation of Special-Sound Interactive Proofs," Journal of Cryptology (2026) — DOI: 10.1007/s00145-025-09569-y — 지식 오류(knowledge error)와 추출기 기반 분석. special-sound 부류에서 손실이 질의 수에 선형·라운드 수와 무관.
"Fiat–Shamir Transformation of Multi-Round Interactive Proofs (Extended Version)," Journal of Cryptology (2023) — DOI: 10.1007/s00145-023-09478-y — 공개 동전 대화형 증명의 비대화형화와 랜덤 오라클 모델. 다중 라운드의 Q^μ 보안 손실과 special-sound의 선형 손실.
"A Survey of Noninteractive Zero Knowledge Proof System and Its Applications," The Scientific World Journal (2014) — DOI: 10.1155/2014/560484 — NIZK = 메시지 한 개. NP 문제의 NIZK, 통계적·완전 영지식, zap과의 연결.
"Eidolon: A Post-Quantum Signature Scheme Based on k-Colorability" (2026) — arXiv:2602.02689 — Goldreich–Micali–Wigderson 영지식 프로토콜의 일반화 + Fiat–Shamir 변환 + Merkle 커밋먼트. 동료심사 전 프리프린트.
"Some Facets of Complexity Theory and Cryptography: A Five-Lectures Tutorial" (2001) — arXiv:cs/0111056 — 일방향 함수(계산은 쉽고 역산은 어렵다)와 영지식 프로토콜, 대화형 증명 시스템. 동료심사 전 프리프린트.
"Mathematical foundations of modern cryptography: computational complexity perspective" (2002) — arXiv:cs/0212055 — 암호화·의사난수·영지식 대화형 증명·다자간 프로토콜의 계산복잡도 기초. 동료심사 전 프리프린트.
"An investigation into graph isomorphism based zero-knowledge proofs" — DOI: 10.12794/metadc12076 — 그래프 동형은 많은 유형의 그래프에서 쉽게 풀려 실용적 ZKP 기반으로 적절하지 않다는 분석. 학위논문.
"Cryptography for a Verifiable World: Foundations and Applications of Succinct Proof Systems" — DOI: 10.20868/upm.thesis.91808 — 간결성(증명 크기·검증 시간이 witness보다 훨씬 작음)의 정의와 응용 지형. 박사학위논문.
"A Survey on the Applications of Zero-Knowledge Proofs" (2024) — arXiv:2408.00243 — 비교 기준(증명 크기·증명자/검증자 시간·메모리·셋업 가정), 블록체인 안팎 응용 분류. 동료심사 전 프리프린트.
"A Comparative Analysis of zk-SNARKs and zk-STARKs: Theory and Practice" (2025) — arXiv:2512.10020 — ARM 플랫폼 실측. SNARK는 증명 생성이 빠르고 크기가 작지만 검증이 느리고 신뢰 셋업 필요, STARK는 반대이며 투명·양자후 지향. 동료심사 전 프리프린트.
"Systematic review: Comparing zk-SNARK, zk-STARK, and bulletproof protocols for privacy-preserving authentication," Security and Privacy (2024) — DOI: 10.1002/spy2.401 — 41편 검토. 구현 간 실세계 성능이 최대 수 자릿수 차이, 보안 분석 방법론이 제각각이라 결정적 비교 불가.
"Lite-PoT: Practical Powers-of-Tau Setup Ceremony" (2025) — arXiv:2503.04549 — 신뢰 셋업 비밀 τ의 유출이 거짓 증명을 가능하게 하고 그 위의 모든 zk-SNARK 건전성을 훼손. 동료심사 전 프리프린트.
"Improved Constant-Sized Polynomial Commitment Schemes Without Trusted Setup," IACR Communications in Cryptology (2025) — DOI: 10.62056/anudy76bm — 최고 성능 argument는 신뢰 셋업 의존, 투명 계열은 역사적으로 비효율(증명 크기 열세).
"Demystifying the Role of zk-SNARKs in Zcash" (2020) — arXiv:2008.00881 — Zcash의 프라이버시 보장이 zk-SNARK 구성에 전적으로 의존. 동료심사 전 프리프린트.
"Analyzing Performance Bottlenecks in Zero-Knowledge Proof Based Rollups on Ethereum" (2025) — arXiv:2503.22709 — zk-롤업의 성능이 ZKP 메커니즘의 효율에 제약됨. 동료심사 전 프리프린트.
"ZKlaims: Privacy-preserving Attribute-based Credentials using Non-interactive Zero-knowledge Techniques" (2019) — arXiv:1907.09579 — SNARK 기반 자격증명. 내용을 드러내지 않고 명제만 증명, 비대화형 제시. 동료심사 전 프리프린트.
"A Scalable, Privacy-Preserving Decentralized Identity and Verifiable Data Sharing Framework based on Zero-Knowledge Proofs" (2025) — arXiv:2510.09715 — zk-STARK로 "나이가 18세 이상" 같은 조건만 증명. 증명 크기는 크지만 신뢰 셋업 없음·양자후 보안. 동료심사 전 프리프린트.
"Dispute-free Scalable Open Vote Network using zk-SNARKs" (2022) — arXiv:2203.03363 — 오프체인 집계 계산의 정확성을 zk-SNARK로 검증해 확장성과 분쟁 없는 성질을 함께. 동료심사 전 프리프린트.
"A survey of zero-knowledge proof based verifiable machine learning," Artificial Intelligence Review (2026) — DOI: 10.1007/s10462-026-11557-y — 검증가능 학습·추론·테스트 세 범주와 구현 과제, 상용화 동향.
"A Survey of Zero-Knowledge Proof Based Verifiable Machine Learning" (2025) — arXiv:2502.18535 — 회로 표현력 한계·높은 증명 비용·배포 복잡성이 주된 병목. 동료심사 전 프리프린트.
"Cryptographic Data Exchange for Nuclear Warheads" (2025) — arXiv:2507.20074 — 커밋먼트 + zkSNARK로 침습적 사찰 없이 조약 준수를 검증하되 탄두 정보는 기밀 유지. 동료심사 전 프리프린트.
"NP-Completeness and Physical Zero-Knowledge Proofs for Sumplete, a Puzzle Generated by ChatGPT," New Generation Computing (2024) — DOI: 10.1007/s00354-024-00267-0 — 물리 카드만으로 퍼즐 해답의 지식을 증명하는 프로토콜.
"NP-Completeness and Physical Zero-Knowledge Proof of Hotaru Beam" (2026) — arXiv:2603.01393 — 물리적 도구로 구현 가능한 영지식 증명. 동료심사 전 프리프린트.
"Exploring the Privacy Concerns in Permissionless Blockchain Networks and Potential Solutions" (2023) — arXiv:2305.01038 — 거래 연결·거래 메타데이터·온체인 분석 등 내용과 무관한 프라이버시 위험의 목록. 동료심사 전 프리프린트.
"Privacy in Blockchain Systems" (2018) — arXiv:1809.10642 — 블록체인 프라이버시는 아직 신뢰할 만한 수준에 이르지 못했다는 문헌 검토. 동료심사 전 프리프린트.
"Linking Souls to Humans: Blockchain Accounts with Credible Anonymity for Web 3.0 Decentralized Identity" (2023) — arXiv:2301.02102 — 완전 익명 계정 시스템에서 인증 없이 계정을 여럿 만들어 활동을 흐릴 수 있다는 문제. 동료심사 전 프리프린트.
"SoK: What don't we know? Understanding Security Vulnerabilities in SNARKs" (2024) — arXiv:2402.15293 — SNARK를 "그냥 수학"으로 보는 전제에 대한 반박. 실제 취약점 141건의 분류. 동료심사 전 프리프린트.
"Towards Fuzzing Zero-Knowledge Proof Circuits (Short Paper)" (2025) — arXiv:2504.14881 — 널리 쓰이는 ZKP 회로 라이브러리 퍼징으로 개발자 확인 신규 버그 10건. 동료심사 전 프리프린트.
"fAmulet: Finding Finalization Failure Bugs in Polygon zkRollup" (2024) — arXiv:2410.12210 — 배포된 zk-롤업에서 최종화 실패를 일으키는 제로데이 버그 12건 발견·수정. 동료심사 전 프리프린트.
"SoK: Understanding zk-SNARKs: The Gap Between Research and Practice" (2025) — arXiv:2502.02387 — 학계는 증명 시스템, 산업은 제약 시스템이 병목이라는 간극 진단. 동료심사 전 프리프린트.
"Enabling AI ASICs for Zero Knowledge Proof" (2026) — arXiv:2604.17808 — 증명 생성 비용은 여전히 크며 MSM·NTT가 실행 시간을 지배. 동료심사 전 프리프린트.
"On Doubly-Efficient Interactive Proof Systems," Foundations and Trends in Theoretical Computer Science (2018) — DOI: 10.1561/0400000084 — 증명자가 다항 시간, 검증자가 거의 선형 시간이어야 현실의 계산 주체가 대화형 증명의 이점을 누린다.
"The Fiat-Shamir Transformation in a Quantum World" (2013) — arXiv:1306.0315 — 양자 랜덤 오라클 모델에서 Fiat–Shamir의 보안 증명이 어려워 보이며 블랙박스 추출기가 존재할 수 없음. 동료심사 전 프리프린트.
"Security of the Fiat-Shamir Transformation in the Quantum Random-Oracle Model" (2019) — arXiv:1902.07556 — 일반적 환원으로 건전성·지식증명 성질이 양자 공격 아래서도 보존됨을 보이고 기존 문헌의 일부 주장을 반박. 동료심사 전 프리프린트.
"Zero-Knowledge Proof Frameworks: A Systematic Survey" (2025) — arXiv:2502.07063 — ZKP의 정의와 25개 범용 프레임워크의 사용성·성능 실측, 실행 환경 공개. 동료심사 전 프리프린트.
"Why and How zk-SNARK Works" (2019) — arXiv:1906.07221 — 사전 지식 없이 예제로 따라가는 zk-SNARK 내부 해설. 동료심사 전 프리프린트.
"State of the Art Report: Verified Computation" (2023) — arXiv:2308.15191 — 128편·4,000쪽 이상을 정리한 검증가능 계산의 이론적 기초와 실무. 동료심사 전 프리프린트.
"Zero Knowledge Proof based authentication protocol using graph isomorphism" (2019) — arXiv:1911.09329 — 청구자와 검증자 사이 직접적 정보 교환 없는 인증. 비밀번호를 서버에 드러내지 않는 구조. 동료심사 전 프리프린트.

이 글은 AI가 연구 논문을 바탕으로 작성한 교육·정보 제공용 콘텐츠이며, 전문가의 조언을 대체하지 않습니다. 오류를 발견하셨나요? 알려주세요

Paperis 아티클

영지식 증명 — 정보를 공개하지 않고 참임을 증명하는 법

확인시켜 주려면 알려 줘야 한다는 전제를 깨는 암호 장치입니다. 시뮬레이터라는 발상에서 출발해, 무엇을 보장하고 무엇에 기대는지 따라갑니다.

기초AI 생성컴퓨터과학·AI · 2026년 10월 9일

내 분야 논문을 오디오로

관심 분야·저널을 고르면 Paperis가 핵심 논문을 요약하고 음성으로 변환해 드려요. 출퇴근길에 들어보세요.

Paperis 무료로 시작하기 →

영지식 증명 — 정보를 공개하지 않고 참임을 증명하는 법

확인시켜 주려면 알려 줘야 한다는 전제

여기 인용한 연구는 대부분 프리프린트, 곧 동료심사를 거치기 전에 공개된 판입니다. 수치는 모두 그 논문이 그 시점에 그 조건에서 잰 값입니다.

큰 그림 — '증명'을 다시 정의하기

세 가지 조건

영지식 증명 프로토콜이 갖춰야 할 성질은 셋으로 정리됩니다 (DOI: 10.30837/rt.2025.3.222.05). 여기서 명제는 참이거나 거짓인 주장입니다.

완전성(completeness)은 명제가 참이고 증명자가 정직하면 검증자가 납득하는 성질입니다.
건전성(soundness)은 명제가 거짓이면 부정직한 증명자가 검증자를 속일 확률이 아주 작은 성질입니다.
영지식성(zero-knowledge)은 검증자가 「명제가 참이다」라는 사실 말고는 아무것도 얻지 못하는 성질입니다.

시뮬레이터 — 비밀 없이 같은 기록을 만들 수 있다면

「통계적 거리 안에서」라는 단서에서 영지식성의 등급이 갈립니다 (DOI: 10.1155/2014/560484).

완전(perfect) 영지식은 시뮬레이터가 만든 뷰와 진짜 뷰가 완전히 같은 경우입니다.
통계적(statistical) 영지식은 둘이 통계적으로 구별되지 않는 경우입니다.
계산적(computational) 영지식은 효율적인 계산으로는 둘을 구별할 수 없는 경우입니다.

완전 쪽이 가장 강합니다. 논문에서 'zero-knowledge'라는 낱말을 만나면 어느 등급인지를 확인해야 보장의 강도를 알 수 있습니다.

도전과 응답, 그리고 반복

지식의 증명과 추출기

대화형에서 비대화형으로 — Fiat–Shamir

무엇을 증명할 수 있고, 무엇에 기대고 있나

간결성, 그리고 무엇을 맞바꾸는가

신뢰 셋업이라는 갈림길

어디에 쓰이나

블록체인 프라이버시: 암호화폐 Zcash의 프라이버시 보장은 zk-SNARK 구성에 전적으로 기댑니다 (arXiv:2008.00881 — 동료심사 전 프리프린트).
확장(zk-롤업): 거래를 원래의 블록체인, 곧 메인 체인 밖에서 처리하고 거래 데이터와 그 실행이 맞다는 증명을 메인 체인에 남기는 방식입니다 (arXiv:2410.12210 — 동료심사 전 프리프린트). 이런 시스템의 성능은 밑에 깔린 영지식 증명 메커니즘의 효율에 자주 묶입니다. Hardhat 개발 환경에서 만든 롤업 하나를 분석한 연구가 그 병목을 짚었습니다 (arXiv:2503.22709 — 동료심사 전 프리프린트).
신원·자격증명: 믿을 만한 발급자가 준 자격증명에 대해, 내용은 검증자에게 전혀 드러내지 않고 명제만 증명합니다 (arXiv:1907.09579 — 동료심사 전 프리프린트). zk-STARK로 「나이가 18세 이상」만 증명하는 프레임워크도 제안되었습니다 (arXiv:2510.09715 — 동료심사 전 프리프린트). 글머리의 신분증 문제에 대응합니다.
전자투표: 이사회 규모 선거용 투표 프로토콜에서, 무거운 집계 계산을 체인 밖으로 옮기고 그 정확성을 zk-SNARK로 검증하는 설계가 제안되었습니다. 확장성을 얻으면서도, 관리자가 집계를 속였는지 따로 이의를 거는 단계가 필요 없는 분쟁 없는 성질을 지킵니다 (arXiv:2203.03363 — 동료심사 전 프리프린트). 투표에서 무엇을 확인해야 하는지는 「블록체인으로 투표하면 조작할 수 없지 않나」로 이어집니다.
검증가능 머신러닝(ZKML): 학습·추론·테스트가 주장된 대로 수행되었음을, 데이터나 모델 파라미터를 드러내지 않고 증명하려는 시도입니다 (DOI: 10.1007/s10462-026-11557-y).
블록체인 바깥: 핵군축 검증에 커밋먼트와 zkSNARK를 결합해, 침습적인 물리 사찰 없이 조약 제약 준수를 확인하되 탄두의 민감 정보는 비밀로 두는 프로토콜이 제안되었습니다 (arXiv:2507.20074 — 동료심사 전 프리프린트).
카드 한 벌: 컴퓨터 없이 물리적 도구만으로 퍼즐의 해답을 안다는 것을 증명하는 프로토콜이 여럿 설계되어 있습니다 (DOI: 10.1007/s00354-024-00267-0; arXiv:2603.01393 — 동료심사 전 프리프린트). 영지식이 컴퓨터 없이도 성립하는 생각이라는 것을 보여 주는 예입니다.

흔한 오해 다섯 가지

더 깊이 가려면

다음에 읽을 것을 갈래별로 남깁니다.

전체 지형: 대화형 증명부터 영지식 논증까지 다섯 갈래 접근법을 하나의 틀로 묶은 서베이 (DOI: 10.1561/3300000030). 개념의 출발점을 보려면 1990년의 고전 서베이 (DOI: 10.1093/oso/9780198537748.003.0016).
응용을 훑고 싶다면: 블록체인 안팎의 활용을 분류하고 비교표를 제공하는 서베이 (arXiv:2408.00243 — 동료심사 전 프리프린트). 비대화형 계열의 이론적 지형은 (DOI: 10.1155/2014/560484).
직접 만들어 보고 싶다면: 25개 범용 프레임워크를 실측 비교하고 실행 환경까지 공개한 조사 (arXiv:2502.07063 — 동료심사 전 프리프린트), 사전 지식 없이 zk-SNARK의 내부를 따라가는 해설 (arXiv:1906.07221 — 동료심사 전 프리프린트).
안전하게 쓰고 싶다면: 실제 취약점 141건의 분류 (arXiv:2402.15293 — 동료심사 전 프리프린트), 이론과 실무의 간극 정리 (arXiv:2502.02387 — 동료심사 전 프리프린트).
이론으로 더 들어가려면: 검증가능 계산의 이론적 기초를 128편으로 정리한 리포트 (arXiv:2308.15191 — 동료심사 전 프리프린트).

근거 논문

"Proofs, Arguments, and Zero-Knowledge," Foundations and Trends in Privacy and Security (2022) — DOI: 10.1561/3300000030 — 대화형 증명·논증의 개념적 확장(상호작용 + 0이 아닌 오류 확률), 어떤 논증이든 원리적으로 영지식으로 변환 가능. 다섯 접근법의 통합 서베이.
"Randomness, Interactive Proofs, and Zero-Knowledge - A Survey," The Universal Turing Machine: A Half-Century Survey (1990) — DOI: 10.1093/oso/9780198537748.003.0016 — 무작위성·증명을 관찰자의 능력에 상대적인 개념으로 재정의. 영지식 = 주장의 유효성 외에는 아무것도 내주지 않는 설득력 있는 논증.
"Zero Knowledge Proofs — A Primer" (2016) — DOI: 10.59350/5bt3p-h4h88 — 그래프 동형 문제로 증명자·검증자·시뮬레이터·영지식 용어를 익히는 입문 해설. 학술지 논문이 아닌 해설 글.
"Zero-knowledge proof protocols: theoretical foundations and applications in modern cryptography," Radiotekhnika (2025) — DOI: 10.30837/rt.2025.3.222.05 — 완전성·건전성·영지식성, 대화형/비대화형 분류, 수학적 재료(이산로그·다항식 커밋먼트·타원곡선), 과제(확장성·신뢰 셋업·양자).
"Distributed Statistical Zero-Knowledge Proofs via Sumcheck" (2026) — arXiv:2605.14015 — 각 노드의 뷰가 무시할 만한 통계적 거리 안에서 시뮬레이션 가능할 것을 요구하는 분산 통계적 영지식 정의. 동료심사 전 프리프린트.
"Shielding Probabilistically Checkable Proofs: Zero-Knowledge PCPs from Leakage Resilience," Entropy (2022) — DOI: 10.3390/e24070970 — 악의적 검증자의 뷰가 작은 통계적 거리까지 효율적으로 시뮬레이션 가능해야 한다는 ZK-PCP의 보장 조건.
"The Black-Box Simulation Barrier Persists in a Fully Quantum World" (2024) — arXiv:2409.06317 — 시뮬레이션이 영지식 정의·보안 증명의 토대. 완전 양자 환경의 상수 라운드 블랙박스 시뮬레이션 영지식 불가능성. 동료심사 전 프리프린트.
"Examining Schnorr's protocol in the context of zero-knowledge proofs," Theoretical and Natural Science (2023) — DOI: 10.54254/2753-8818/14/20240870 — 커밋먼트 → 무작위 도전 → 응답의 3단계 구조, 검증자가 비밀을 모른 채 유효성 확인, 해시 함수로 비대화형화.
"On parallel composition of zero-knowledge proofs with black-box quantum simulators" (2006) — arXiv:quant-ph/0607211 — 건전성 오류를 줄이려는 병렬 합성이 블랙박스 시뮬레이터 아래서 영지식성과 양립하기 어렵다는 결과. 동료심사 전 프리프린트.
"The Fiat–Shamir Transformation of Special-Sound Interactive Proofs," Journal of Cryptology (2026) — DOI: 10.1007/s00145-025-09569-y — 지식 오류(knowledge error)와 추출기 기반 분석. special-sound 부류에서 손실이 질의 수에 선형·라운드 수와 무관.
"Fiat–Shamir Transformation of Multi-Round Interactive Proofs (Extended Version)," Journal of Cryptology (2023) — DOI: 10.1007/s00145-023-09478-y — 공개 동전 대화형 증명의 비대화형화와 랜덤 오라클 모델. 다중 라운드의 Q^μ 보안 손실과 special-sound의 선형 손실.
"A Survey of Noninteractive Zero Knowledge Proof System and Its Applications," The Scientific World Journal (2014) — DOI: 10.1155/2014/560484 — NIZK = 메시지 한 개. NP 문제의 NIZK, 통계적·완전 영지식, zap과의 연결.
"Eidolon: A Post-Quantum Signature Scheme Based on k-Colorability" (2026) — arXiv:2602.02689 — Goldreich–Micali–Wigderson 영지식 프로토콜의 일반화 + Fiat–Shamir 변환 + Merkle 커밋먼트. 동료심사 전 프리프린트.
"Some Facets of Complexity Theory and Cryptography: A Five-Lectures Tutorial" (2001) — arXiv:cs/0111056 — 일방향 함수(계산은 쉽고 역산은 어렵다)와 영지식 프로토콜, 대화형 증명 시스템. 동료심사 전 프리프린트.
"Mathematical foundations of modern cryptography: computational complexity perspective" (2002) — arXiv:cs/0212055 — 암호화·의사난수·영지식 대화형 증명·다자간 프로토콜의 계산복잡도 기초. 동료심사 전 프리프린트.
"An investigation into graph isomorphism based zero-knowledge proofs" — DOI: 10.12794/metadc12076 — 그래프 동형은 많은 유형의 그래프에서 쉽게 풀려 실용적 ZKP 기반으로 적절하지 않다는 분석. 학위논문.
"Cryptography for a Verifiable World: Foundations and Applications of Succinct Proof Systems" — DOI: 10.20868/upm.thesis.91808 — 간결성(증명 크기·검증 시간이 witness보다 훨씬 작음)의 정의와 응용 지형. 박사학위논문.
"A Survey on the Applications of Zero-Knowledge Proofs" (2024) — arXiv:2408.00243 — 비교 기준(증명 크기·증명자/검증자 시간·메모리·셋업 가정), 블록체인 안팎 응용 분류. 동료심사 전 프리프린트.
"A Comparative Analysis of zk-SNARKs and zk-STARKs: Theory and Practice" (2025) — arXiv:2512.10020 — ARM 플랫폼 실측. SNARK는 증명 생성이 빠르고 크기가 작지만 검증이 느리고 신뢰 셋업 필요, STARK는 반대이며 투명·양자후 지향. 동료심사 전 프리프린트.
"Systematic review: Comparing zk-SNARK, zk-STARK, and bulletproof protocols for privacy-preserving authentication," Security and Privacy (2024) — DOI: 10.1002/spy2.401 — 41편 검토. 구현 간 실세계 성능이 최대 수 자릿수 차이, 보안 분석 방법론이 제각각이라 결정적 비교 불가.
"Lite-PoT: Practical Powers-of-Tau Setup Ceremony" (2025) — arXiv:2503.04549 — 신뢰 셋업 비밀 τ의 유출이 거짓 증명을 가능하게 하고 그 위의 모든 zk-SNARK 건전성을 훼손. 동료심사 전 프리프린트.
"Improved Constant-Sized Polynomial Commitment Schemes Without Trusted Setup," IACR Communications in Cryptology (2025) — DOI: 10.62056/anudy76bm — 최고 성능 argument는 신뢰 셋업 의존, 투명 계열은 역사적으로 비효율(증명 크기 열세).
"Demystifying the Role of zk-SNARKs in Zcash" (2020) — arXiv:2008.00881 — Zcash의 프라이버시 보장이 zk-SNARK 구성에 전적으로 의존. 동료심사 전 프리프린트.
"Analyzing Performance Bottlenecks in Zero-Knowledge Proof Based Rollups on Ethereum" (2025) — arXiv:2503.22709 — zk-롤업의 성능이 ZKP 메커니즘의 효율에 제약됨. 동료심사 전 프리프린트.
"ZKlaims: Privacy-preserving Attribute-based Credentials using Non-interactive Zero-knowledge Techniques" (2019) — arXiv:1907.09579 — SNARK 기반 자격증명. 내용을 드러내지 않고 명제만 증명, 비대화형 제시. 동료심사 전 프리프린트.
"A Scalable, Privacy-Preserving Decentralized Identity and Verifiable Data Sharing Framework based on Zero-Knowledge Proofs" (2025) — arXiv:2510.09715 — zk-STARK로 "나이가 18세 이상" 같은 조건만 증명. 증명 크기는 크지만 신뢰 셋업 없음·양자후 보안. 동료심사 전 프리프린트.
"Dispute-free Scalable Open Vote Network using zk-SNARKs" (2022) — arXiv:2203.03363 — 오프체인 집계 계산의 정확성을 zk-SNARK로 검증해 확장성과 분쟁 없는 성질을 함께. 동료심사 전 프리프린트.
"A survey of zero-knowledge proof based verifiable machine learning," Artificial Intelligence Review (2026) — DOI: 10.1007/s10462-026-11557-y — 검증가능 학습·추론·테스트 세 범주와 구현 과제, 상용화 동향.
"A Survey of Zero-Knowledge Proof Based Verifiable Machine Learning" (2025) — arXiv:2502.18535 — 회로 표현력 한계·높은 증명 비용·배포 복잡성이 주된 병목. 동료심사 전 프리프린트.
"Cryptographic Data Exchange for Nuclear Warheads" (2025) — arXiv:2507.20074 — 커밋먼트 + zkSNARK로 침습적 사찰 없이 조약 준수를 검증하되 탄두 정보는 기밀 유지. 동료심사 전 프리프린트.
"NP-Completeness and Physical Zero-Knowledge Proofs for Sumplete, a Puzzle Generated by ChatGPT," New Generation Computing (2024) — DOI: 10.1007/s00354-024-00267-0 — 물리 카드만으로 퍼즐 해답의 지식을 증명하는 프로토콜.
"NP-Completeness and Physical Zero-Knowledge Proof of Hotaru Beam" (2026) — arXiv:2603.01393 — 물리적 도구로 구현 가능한 영지식 증명. 동료심사 전 프리프린트.
"Exploring the Privacy Concerns in Permissionless Blockchain Networks and Potential Solutions" (2023) — arXiv:2305.01038 — 거래 연결·거래 메타데이터·온체인 분석 등 내용과 무관한 프라이버시 위험의 목록. 동료심사 전 프리프린트.
"Privacy in Blockchain Systems" (2018) — arXiv:1809.10642 — 블록체인 프라이버시는 아직 신뢰할 만한 수준에 이르지 못했다는 문헌 검토. 동료심사 전 프리프린트.
"Linking Souls to Humans: Blockchain Accounts with Credible Anonymity for Web 3.0 Decentralized Identity" (2023) — arXiv:2301.02102 — 완전 익명 계정 시스템에서 인증 없이 계정을 여럿 만들어 활동을 흐릴 수 있다는 문제. 동료심사 전 프리프린트.
"SoK: What don't we know? Understanding Security Vulnerabilities in SNARKs" (2024) — arXiv:2402.15293 — SNARK를 "그냥 수학"으로 보는 전제에 대한 반박. 실제 취약점 141건의 분류. 동료심사 전 프리프린트.
"Towards Fuzzing Zero-Knowledge Proof Circuits (Short Paper)" (2025) — arXiv:2504.14881 — 널리 쓰이는 ZKP 회로 라이브러리 퍼징으로 개발자 확인 신규 버그 10건. 동료심사 전 프리프린트.
"fAmulet: Finding Finalization Failure Bugs in Polygon zkRollup" (2024) — arXiv:2410.12210 — 배포된 zk-롤업에서 최종화 실패를 일으키는 제로데이 버그 12건 발견·수정. 동료심사 전 프리프린트.
"SoK: Understanding zk-SNARKs: The Gap Between Research and Practice" (2025) — arXiv:2502.02387 — 학계는 증명 시스템, 산업은 제약 시스템이 병목이라는 간극 진단. 동료심사 전 프리프린트.
"Enabling AI ASICs for Zero Knowledge Proof" (2026) — arXiv:2604.17808 — 증명 생성 비용은 여전히 크며 MSM·NTT가 실행 시간을 지배. 동료심사 전 프리프린트.
"On Doubly-Efficient Interactive Proof Systems," Foundations and Trends in Theoretical Computer Science (2018) — DOI: 10.1561/0400000084 — 증명자가 다항 시간, 검증자가 거의 선형 시간이어야 현실의 계산 주체가 대화형 증명의 이점을 누린다.
"The Fiat-Shamir Transformation in a Quantum World" (2013) — arXiv:1306.0315 — 양자 랜덤 오라클 모델에서 Fiat–Shamir의 보안 증명이 어려워 보이며 블랙박스 추출기가 존재할 수 없음. 동료심사 전 프리프린트.
"Security of the Fiat-Shamir Transformation in the Quantum Random-Oracle Model" (2019) — arXiv:1902.07556 — 일반적 환원으로 건전성·지식증명 성질이 양자 공격 아래서도 보존됨을 보이고 기존 문헌의 일부 주장을 반박. 동료심사 전 프리프린트.
"Zero-Knowledge Proof Frameworks: A Systematic Survey" (2025) — arXiv:2502.07063 — ZKP의 정의와 25개 범용 프레임워크의 사용성·성능 실측, 실행 환경 공개. 동료심사 전 프리프린트.
"Why and How zk-SNARK Works" (2019) — arXiv:1906.07221 — 사전 지식 없이 예제로 따라가는 zk-SNARK 내부 해설. 동료심사 전 프리프린트.
"State of the Art Report: Verified Computation" (2023) — arXiv:2308.15191 — 128편·4,000쪽 이상을 정리한 검증가능 계산의 이론적 기초와 실무. 동료심사 전 프리프린트.
"Zero Knowledge Proof based authentication protocol using graph isomorphism" (2019) — arXiv:1911.09329 — 청구자와 검증자 사이 직접적 정보 교환 없는 인증. 비밀번호를 서버에 드러내지 않는 구조. 동료심사 전 프리프린트.