Hyperledger Frabric(Key Concepts Part 2) - NomadJin/Blockchain-Study GitHub Wiki

Hyperledger Fabric Network

Fabric Network란?

Fabric 허가 블록체인 네트워크는 어플리케이션 소비자와 관리자에게 원장 서비스를 제공하는 인프라 기술이다. 대부분의 경우, 여러 조직이 네트워크를 구성하기 위해 컨소시엄으로 모이고, 이들의 권한은 네트워크가 처음 구성되었을 때 컨소시엄이 합의한 정책에 의해 결정된다. 또한 네트워크 정책도 그렇다.

컨소시엄에서 조직들의 합의는 시간 경과에 따라 변경 될 수 있다.

이 문서는 조직에서 Hyperledger Fabric 네트워크를 구성 및 배포하고, 네트워크 내에서 거래가 가능한 채널을 구성하며, 네트워크 수명 내에 이러한 결정들을 반영하는 방법을 설명한다. 또한 이러한 결정이 어떻게 Hyperledger Fabric의 아키텍쳐와 구성 요소에 어떻게 포함되는지 배우게 된다.

누가 읽어야 할까?

이번 주제에서 우리는 네트워크의 주요 구성 요소, 존재하는 이유 및 사용 시기에 대해 중점적으로 다룬다. 블록체인 설계자 및 블록체인 네트워크 관리자가 대상이다. 블록체인 어플리케이션 개발자 또한 관심을 가질수 있다. 이 문서는 개념 문서를 위한 것이므로, 기술적인 세부 정보를 자세히 살펴보려면 이 사이트에서 사용가능한 기술 문서를 검토하는 것이 좋다.

블록체인 네트워크의 비즈니스 요구사항의 예

RA, RB, RC, RD라는 조직은 Fabric 블록체인 네트워크에 공동으로 투자하기로 결정했다. 조직 RA는 3개의 피어와 RA가 사용할 블록체인 네트워크 서비스의 클라이언트 어플리케이션 2개를 기여한다. 조직 RB는 4개의 피어를 기여하고 1 개의 클라이언트 어플리케이션을 가진다. 조직 RC는 3개의 피어를 기여하고 2개의 클라이언트 어플리케이션을 가진다. 조직 RD는 4개의 orderer를 기여한다. 조직 RA와 RB는 둘 간의 별도 응용 채널을 이용한 컨소시엄을 구성하기로 결정했다. 조직 RB와 RC는 다른 컨소시엄을 구성하고 두 컨소시엄 간 어플리케이션 채널을 별도로 활용하기로 했다. 각 어플리케이션 채널에는 고유한 정책이 있다.

네트워크 구성요소

네트워크는 다음으로 구성된다.

• Ledger(채널당 1개 - 블록체인과 state database로 구성)
• Smart contract(s)(chaincode)
• Peer nodes
• Ordering service(s)
• Channel(s)
• Fabric Certificate Authorities

네트워크 서비스 소비자

• 조직이 소유한 클라이언트 어플리케이션
• 블록체인 네트워크 관리자 어플리케이션

네트워크 정책 및 ID

Fabric CA(인증기관) 조직이 네트워크에 인증할 인증서를 발행한다. 네트워크에 하나 이상의 CA가 있을 수 있으며, 조직은 자체 CA를 사용하도록 선택할 수 있다. 또한, 컨소시엄에 속해 있는 조직의 클라이언트 어플리케이션은 인증서를 사용하여 트랜잭션 제안을 인증하고, 이것이 유효한 경우 피어들은 제안을 승인하고 트랜잭션을 커밋한다.

다이어그램에 대한 설명은 다음과 같다. 네트워크 정책 NP1 및 ordering 서비스 O의 Fabric 네트워크 N이 있다. 채널 C1은 채널 정책 CP1에 의해 관리된다. 채널 C1은 컨소시엄 RARB에 의해 수립되었다. 채널 C1은 ordering 서비스 O 및 피어 P1 및 P2에 의해 관리되고 클라이언트 어플리케이션 A1 및 A2에는 C1에 대한 트랜잭션 권한이 부여된다. 클라이언트 어플리케이션 A1은 조직 RA가 소유한다.인증 기관 CA1은 조직 RA를 제공한다. 피어 P2는 채널 C1과 연결된 원장 L1 및 채널 C2와 연결된 원장 L2를 유지 관리한다. 피어 P2는 체인코드 S4 및 S5를 사용한다. Ordering 서비스 O의 orderer 노드는 조직 RD가 소유한다.

네트워크 생성하기

네트워크는 클라이언트, 피어, 채널 및 ordering 서비스를 포함한 컨소시엄 정의로 만들어진다. Ordering 서비스는 네트워크 내 채널에 대한 구성을 포함하기 때문에 네트워크 관리 지점이다. 각 채널의 구성에는 채널에 대한 정책과 각 채널 멤버의 정보(이 예에서는 X509루트 인증서)가 포함된다.

컨소시엄 정의

컨소시엄은 두개 이상의 조직으로 구성된다. 컨소시엄은 서로 비즈니스 거래가 필요한 조직에 의해 정의되며, 네트워크 관리 정책에 동의해야한다.

컨소시엄을 위한 채널만들기

채널은 네트워크의 구성 요소 및 또는 멤버 클라이언트 어플리케이션을 연결하는데 사용되는 통신 수단이다. 채널은 채널 구성의 유효성을 평가하는 ordering 서비스에서 구성 블록 생성으로 만들어진다. 채널은 데이터 격리 및 기밀성을 보장하므로 유용하다. 조직은 채널과 상호작용을 위해선 채널에 대한 인증을 받아야 한다. 채널은 구성된 정책에 의해 관리된다.

피어 및 채널

피어는 채널을 소유한 조직에 의해 채널에 연결되며 네트워크 내 채널에 여러 피어 노드가 있을 수 있다. 피어는 다음과 같은 여러 역할을 수행할 수 있다.

• 승인 피어 : 모의로 스마트 컨트랙트 트랜잭션을 실행하고 클라이언트 어플리케이션 제안 응답(승인)을 반환하는 특정 노드로 정책에 의해 정의된다.
• 커밋 피어 : 주문된 트랜잭션 블록의 유효성을 검사하고 해당 블록을 관리하는 원장 사본에 커밋한다.

모든 피어는 연결된 모든 채널의 원장 사본을 유지하기 때문에 모든 피어들은 피어들을 커밋한다(?). 그러나 스마트 컨트랙트의 승인 정책에 의해 명시된 피어들만이 다른 피어를 승인할 수 있다. 피어는 아래 역할로 추가 정의된다.

• 앵커 피어 : 채널 구성에 정의되어 있고 같이 연결된 채널의 다른 조직에 의해 네트워크에서 발견되는 첫번째 피어.
• 리딩 피어 : 여러 피어가 있는 조직을 대신해 ordering 서비스와 통신하기 위해 네트워크에 존재한다.

어플리케이션과 스마트 컨트랙트

클라이언트 어플리케이션이 스마트 컨트랙트를 호출 하려면 스마트 컨트랙트 체인코드를 피어에 설치하고 인스턴스화 해야한다. 클라이언트 어플리케이션은 트랜잭션 제안이 생성되는 네트워크 외부의 유일한 장소이다. 클라이언트 어플리케이션에 의해 트랜잭션이 제안될 때, 스마트 컨트랙트는 원장 사본에 대해 스마트 컨트랙트의 실행을 시뮬레이션하고 제안 응답(승인)을 클라이언트 어플리케이션을 보내는 승인 피어들을 통해 호출된다. 클라이언트 어플리케이션은 이러한 응답을 트랜잭션으로 모아 ordering 서비스에 전파한다.

네트워크 확장

네트워크 규모에 대한 이론적 한계는 없지만, 네트워크 확장에 따른 네트워크 처리량, 안정성 및 복원력을 최적화하는 데 도움이되는 설계를 고려하는 것이 중요하다. 네트워크 정책 평가와 가십 프로토콜 구현은 많은 수의 피어 노드를 수용하기 위해 잠재적 고려 사항이다.

시각적 표현의 단순화

아래의 다이어그램에서 두개의 피어 노드에 연결된 두개의 클라이언트 어플리케이션과 한 채널의 ordering 서비스를 확인할 수 있다. 단 하나의 채널이 있기 때문에 이 예제에서는 하나의 논리적 원장이 있다. 이런 단일 채널의 경우 P1과 P2는 동일한 원장(L1) 및 스마트 컨트랙트(일명 체인코드(S4))를 가지게 된다.

다른 컨소시엄 정의 추가

컨소시엄이 정의되어 기존 채널에 추가되면 채널 구성 수정 트랜잭션을 전송하여 채널 구성을 변경해야한다. 트랜잭션이 유효하면 ordering 서비스에서 새 구성 블록을 생성한다. 그런 다음 피어는 ordering 서비스에 의해 생성된 새 채널 구성 블록을 검증하고 새로운 블록이 유효하면 채널 구성을 변경한다. 채널 구성 변경 트랜잭션은 블록체인 네트워크 관리자가 호출한 시스템 체인코드에 의해 처리되며, 클라이언트 어플리케이션 트랜잭션 제안에 의한 호출이 아니라는 점에 유의.

새로운 채널 추가

조직은 채널을 구성하고 가입하며, 채널 구성을 변경하여 네트워크가 확장됨에 따라 조직을 추가할 수 있다. 네트워크에 새 채널을 추가할 때 채널 정책은 같은 네트워크에 구성된 다른 채널과 별로도 관리된다.

다른 피어 추가

이 예에서는 조직 3이 소유한 피어3(P3)이 채널2(C2)에 추가되었다. 네트워크에 여러 개의 ordering 서비스가 있을 수 있지만 여러 채널을 관리하는 단인 ordering 서비스도 있을 수 있다. 이 예에서 C2의 채널 정책은 C1의 정책과 분리된다. 피어3(P3)도 C2에서만 인증되므로 C1과 분리된다.

피어를 여러 채널에 연결

이 예에서는 피어2(P2)는 채널2(C2)에 연결되어있다. P2는 채널 C1과 C2 및 관련 트랜잭션이 비공개로 분리되어있다. 또한 클라이언트 어플리케이션 A3도 C1과 분리되어 있다. ordering 서비스는 모든 채널에 구성된 모든 노드의 정책 및 디지털 서명을 평가하여 네트워크 거번넌스 및 채널 분리를 유지한다.

완전히 형성된 네트워크

이번 네트워크는 여러 클라이언트 어플리케이션과 피어 및 단일 ordering 서비스에 연결된 채널을 포함하도록 개발되었다. 피어2(P2)는 채널 C1과 C2에 연결된 유일한 피어 노드로, 서로 분리되어 있고 각 데이터는 비공개로 관리된다. 여기엔 두 개의 논리적 원장이 있고, 하나는 C1 다른 하나는 C2 용이다.

간단한 표현

더 나은 배치

신원

신원이란?

블록체인 네트워크에는 피어, 오더러, 클라이언트 어플리케이션, 관리자 등이 포함된 서로 다른 관계자들이 있다. 이러한 서비스를 사용할 수 있는 네트워크 내부 또는 외부 활성 요소인 관계자들은 X.509 디지털 인증서에 캡슐화된 디지털 ID를 가지고 있다. 이러한 ID는 블록체인 네트워크에서 관계자들이 가지고 있는 정보에 대한 정확한 사용 권한과 접근 권한을 결정하기 때문에 중요하다.

디지털 ID에는 Fabric에서 사용 권한을 결정하는데 사용하는 몇 가지 추가 속성이 있으며, ID 및 관련 속성의 조합에 특수한 이름(principal)이 부여된다. Principal은 사용자 ID 또는 그룹 ID와 같지만, 관계자의 조직, 조직 단위, 역할 또는 관계자의 특정 ID와 같이 관계자의 신원에 대한 광범위한 속성을 포함할 수 있기 때문에 조금 더 유연하다. principals에 대해서 이야할 때, principal은 그들의 권한을 결정하는 속성이다.

신원을 확인하기 위해서는 신뢰할 수 있는 기관을 통해야한다. MSP(멤버십 서비스 공급자)는 Fabric에서 이를 수행하는 방법이다. 보다 구체적으로 MSP는 조직의 유효한 ID를 관리하는 규칙을 정하는 구성 요소이다. Fabric의 기본 MSP 구현은 X.509 인증서를 ID로 사용하여 전통적인 PKI(Public Key Infrastructure) 계층 모델을 채택한다.(PKI에 대해서는 나중에 자세히 설명)

신원 사용을 설명하는 간단한 시나리오

식료품을 사기 위해 슈퍼마켓을 방문한다고 상상해보라. 계산대에는 비자, 마스터카드 및 AMEX 카드만 허용된다는 표시가 있다. 다른 카드로 지불할 경우, 그 카드를 "ImagineCard" 부르자, 카드가 진짜고 당신의 계좌에 충분한 자금이 있다 하더라도 이 카드는 계산이 불가하다.

유효한 신용 카드를 소지한 것만으로는 부족하며, 반드시 상점에서 이를 수락해야 한다. PKI와 MSP는 동일한 방식으로 작동한다. PKI는 ID 목록을 제공하고 MSP는 이들 중 네트워크에 어느 것이 참여하는 참여하는 특정 조직의 구성원인지 말한다.

PKI 인증서 권한 및 MSP는 유사한 기능 조합을 제공한다. PKI 카드 제공 업체와 같아서 다양한 유형의 검증 가능한 ID를 제공한다. 반면에 MSP는 상점에서 승인된 카드 공급자 목록과 같으며 어떤 ID가 상점 결제 네트워크의 신뢰할 수 있는 회원(관계자)인지를 결정한다. MSP는 검증 가능한 ID를 블록체인 네트워크의 멤버로 변환한다.

이러한 개념을 좀 더 자세히 살펴보자.

PKI란?

PKI(Public Key Infrastructure)는 네트워크에서 보안 통신을 제공하는 인터넷 기술 모음이다. HTTPS에 S를 넣는 PKI 이며, 웹 브라우저에서 이 문서를 읽는 경우 아마 PKI를 사용하여 검증된 소스에서 가져온 것인지 확인할 수 있다.

PKI의 요소. PKI는 디지털 인증서를 당사자(서비스 사용자, 서비스 제공자)에게 발행한 인증 기관으로 구성되며, 당사자는 이를 사용하여 환경과 교환하는 메시지에서 자신을 인증한다(?). CA의 인증서 해지 목록(CRL)은 더 이상 유효하지 않은 인증서에 대한 참조를 구성한다. 인증서 해지는 여러가지 이유로 발생할 수 있다. 예를 들어 인증서와 관련된 개인 자료가 노출 되었기 때문에 인증서가 해지될 수 있다.

블록체인 네트워크는 통신 네트워크 그 이상이지만 다양한 네트워크 참여자 간의 안정한 통신을 보장하고 블록체인에 게시된 메시지가 올바르게 인증되도록 하기 위해 PKI 표준을 사용한다. 따라서 PKI의 기본을 이해하고 MSP가 중요한 이유를 이해하는 것이 중요하다.

PKI에는 네가지 핵심요소가 있다.

• 디지털 인증서
• 공개키 개인키
• 인증기관
• 인증서 해지 목록

디지털 인증서

디지털 인증서는 인증서 보유자와 관련된 속성들을 보유하고 있는 문서이다. 가장 일반적인 유형의 인증서는 X.509 표준을 준수하는 인증서로서, 당사자의 식별 세부 정보를 해당 구조로 인코딩 할 수 있다.

예를 들어, 미시간 주 티트로이트의 Mitchell Cars 제조부서의 Mary Morris는 C=US, ST=Michigan, L=Detroit, O=Mitchell Cars, OU=Manufacturing, CN=Mary Morris /UID=123456 구성의 SUBJECT로 미시건의 디지털 인증서를 가지고 있을 수 있다. Mary의 인증서는 Mary에 대한 주요 사실을 증명할 수 있는 정보를 제공하는 것에서 정부에서 발행된 신분증과 유사하다. X.509 인증서에는 다른 많은 속성이 있지만 지금은 이것들에 집중하겠다.

Mary Morris라는 당사자를 표현하는 인증서. Mary는 인증서의 SUBJECT이고, 강조된 SUBJECT 텍스트는 Mary에 대한 주요 사실을 보여준다. 또한 인증서에는 더 많은 정보가 포함되어 있는데, 가장 중요한 것은 Mary의 공개키가 인증서 내에 배포되어 있는 반면 개인 서명키는 배포되지 않았다는 것이다. 이 서명키는 비공개로 보관되어야 한다.

중요한 것은 Marry의 모든 속성을 암호화라는 수학 기법을 사용하여 기록했기 때문에 인증서 변조는 이 인증서를 무효하게 한다. 다른 당사자가 인증 기관(CA)으로 알려진 인증서 발급자를 신뢰하는 한 Mary는 암호화를 통해 자신의 인증서를 타인에게 제시할 수 있다. CA가 특정 암호화 정보(즉, 개인 서명키)를 안전하게 보관하는 한, 인증서를 읽는 모든 사람은 Mary에 대한 정보가 변조되지 않았다는 것을 확신할 수 있다. Mary의 X.509 인증서는 변경할 수 없는 디지털 ID 카드로 생각하라.

인증, 공개키 및 개인키

인증과 메시지 무결성은 보안 통신에서 중요한 개념이다. 인증을 위해서는 메시지를 교환하는 당사자가 특정 메시지를 생성한 신원을 확인해야 한다. 메시지가 '무결성'을 가진다는 것은 메시지를 전송하는 동안 수정될 수 없다는 것을 의미한다. 예를 들어 Mary를 가장한 사람이 아닌 진짜 Mary와 통신하고 있는지 확인하고 싶을 것이다. 또는 Mary가 메시지를 보낸 경우, 전송 중에 다른 누군가에 의해 변조되지 않았다는 것을 확인하고 싶을 것이다.

기존의 인증 메커니즘은 이름에서도 알 수 있듯이 메시지에 디지털 서명을 할 수 있는 디지털 서명에 의존한다. 디지털 서명은 서명된 메시지의 무결성에 대한 보증도 제공한다.

기술적으로 말하자면, 디지털 서명 메커니즘은 각 당사자가 두 개의 암호화된 키를 보유할 것을 요구한다. 공개키는 널리 사용가능하며 인증 앵커 역할을 하고 개인키는 메시지에 디지털 서명을 생성하는데 사용된다. 디지털 서명된 메시지의 수신인은 수신된 메시지가 예상 발신인의 공개키에서 유효한지 확인하여 출처와 무결성을 확인할 수 있다.

개인키와 공개키의 고유한 관계는 보안 통신을 가능하게 하는 암호화의 마법이다. 키 간의 고유한 수학적 관계는 개인키는 해당 공개키만 일치하고 동일한 메시지에서만 메시지 서명을 만드는데 사용할 수 있다.

위의 예에서는, Mary는 개인키를 사용하여 메시지에 서명한다. 서명은 공캐 키를 사용하여 서명된 메시지를 보는 모든 사람이 확인할 수 있다.

인증 기관

루트 CA, 중간 CA 및 트러스트 체인

CA에는 루트 CA와 중간 CA 두 가지가 있다. 루트 CA는 수억개의 인증서를 인터넷 사용자에게 안전하게 배포해야 한기 때문에 중간 CA 라고 불리는 것에 이 프로세스를 분산시키는 것이 좋다. 이러한 중간 CA는 루트 CA 또는 다른 중간 기관에서 발급한 인증서를 가지고 있으므로,

중간 CA는 여러 조직에 걸쳐 인증서를 발급할 때 상당한 유연성을 제공하며, 이는 허가된 블록체인 시스템(Fabric과 같은)에서 매우 유용하다. 예를 들어, 여러 조직에서 서로 다른 루트 CA를 사용하거나 서로 다른 중간 CA가 있는 동일한 루트 CA를 사용할 수 있음을 알 수 있다. 실제로 네트워크의 필요에 따라 달라진다.

Fabric CA

CA가 매우 중요하기 때문에 Fabric은 사용자가 형성하는 블록체인 네트워크에서 CA를 생성할 수 있도록 내장 CA 구성 요소를 제공한다. Fabric CA로 알려진 이 구성 요소는 X.509 인증서 형식의 Fabric 참여자의 디지털 ID를 관리할 수 있는 private root CA 제공자이다. Fabric CA는 Fabric의 루트 CA 요구 사항을 대상으로 하는 사용자 지정 CA이므로 기본적으로 브라우저에서 일반/자동 사용을 위한 SSL 인증서를 제공할 수 없다. 그러나 일부 CA는 테스트 환경에서도 ID를 관리하는데 사용되어야 하므로 Fabric CA를 사용하여 인증서를 제공하고 관리할 수 있다. 또한 공용/상용 루트 또는 중간 CA를 사용하여 식별 정보를 제공하는 것이 가능하고 완전 적합하다.

인증서 해지 목록

CRL(Certificate Revocation List)은 이해하기 쉽다. 일종의 이유로 해지되어야 한다고 CA가 알고 있는 인증서에 대한 참조 목록일 뿐이다. 상점 시나리오를 상기 해보면 CRL은 도난당한 신용 카드 목록과 같을 것이다.

제 3자가 다른 사람의 신원을 확인하려는 경우, 먼저 발급된 CA의 CRL을 검사하여 인증서가 취소되지 않았는지 확인한다.검증자는 CRL을 확인할 필요가 없지만, CRL을 검사하지 않을 경우 손상된 ID를 수락할 위험이 있다.

CRL을 사용하여 인증서가 아직 유효한지 확인한다. 만약 침임자가 손상된 디지털 인증서를 검증된 당사자에게 전달하려고 시도하면 발급된 CA의 CRL에서 검사하여 더이상 목록에 유효하지 않은 것으로 먼저 확인할 수 있다.

해지된 인증서는 만료된 인증서와 매우 다르다. 해지된 인증서는 만료되지 않았으며 다른 모든 점에서 완전히 유효한 인증서이다. CRL에 대한 자세한 내용은 여기를 클릭.

이제 PKI가 트러스트 체인을 통해 검증 가능한 ID를 제공하는 방법을 배웠으니, 다음 단계는 이러한 ID를 사용하여 블록체인 네트워크의 신뢰할 수 있는 멤버를 나타내는 방법을 확인하는 것이다. 여기에 블록체인 네트워크의 특정 조직의 멤버인 당사자를 식별하는 Membership Service Provider(MSP)가 나온다.