DES의 교훈: 우리가 배운 것

DES의 56비트 키는 1977년의 컴퓨팅 성능을 기준으로 설계되었습니다. 설계자들은 이 키가 최소 10~15년 동안 안전할 것으로 예상했습니다. 그러나 1997년에는 설계 후 20년 만에 몇 달 만에 해독할 수 있었고, 1999년에는 몇 시간 만에 해독할 수 있었습니다.

여기서 얻는 교훈은 암호 키 길이를 정할 때 앞으로의 컴퓨팅 발전을 고려해야 한다는 것입니다. NIST는 이제 2030년까지 안전을 유지하려면 시스템에 최소 112비트의 보안 여유를 두고, 장기적인 보안을 위해서는 128비트 이상의 보안 여유를 둘 것을 권고합니다.

오귀스트 케르크호프는 1883년에 키를 제외한 시스템의 모든 사항이 공개되어 있어도 암호는 안전해야 한다고 주장했습니다. DES는 이 원칙을 명시적으로 고려해 설계된 최초의 정부 표준 암호였습니다.

DES의 전체 명세를 공개함으로써 암호학계는 20년 동안 DES의 약점을 분석할 수 있었습니다. 이 암호는 알고리즘의 비밀성에 의존한 대안보다 공개적인 검증 아래에서 더 강한 회복력을 보였습니다.

DES가 처음 공개되었을 때 치환 상자의 설계 기준은 NSA에 의해 비밀로 유지되었습니다. 이로 인해 백도어에 대한 음모론이 확산되었습니다. 1990년대에 설계 기준이 공개되었고, 치환 상자가 차분 암호 해석을 견디도록 특별히 설계되었다는 사실이 밝혀졌습니다.

이러한 투명성에 대한 교훈은 현대 암호 공모전에서 전체 설계 근거를 공개하도록 요구하는 계기가 되었습니다. 에이이에스 후보들은 완전한 설계 기준과 보안 근거를 공개하여 철저한 공개 분석을 가능하게 했습니다.

NSA가 DES의 키 길이를 128비트에서 56비트로 줄이고 치환 상자를 수정하는 데 관여한 일은 암호 표준에 대한 정부 개입에 관해 조직 차원의 지속적인 불신을 만들었습니다.

이러한 불신은 2013년 듀얼 이씨 디알비지 백도어 사건으로 더욱 커졌습니다. 이 사건에서 NSA가 NIST의 난수 생성기 표준을 의도적으로 약화한 사실이 밝혀졌습니다. DES를 둘러싼 경험은 정부의 암호 개입에 대해 건전한 회의론을 갖는 관행을 확립했습니다.

DES에서 얻은 교훈 중 하나는 알고리즘 민첩성의 중요성입니다. 시스템은 암호 알고리즘이 더 이상 사용되지 않게 되었을 때 쉽게 교체할 수 있도록 설계해야 합니다. DES에 맞춰 알고리즘을 고정한 시스템은 비용이 많이 드는 전면 교체 방식의 이행이 필요했습니다.

TLS와 같은 현대 암호 프로토콜은 각 연결을 시작할 때 알고리즘 선택을 협상하여 양측이 모두 지원하는 가장 강력한 알고리즘에 합의할 수 있도록 합니다. 따라서 이전 버전과의 호환성을 깨뜨리지 않고도 새로운 알고리즘을 배포할 수 있습니다.

NIST는 DES를 통해 폐쇄적인 정부 절차가 불신을 낳고 잠재적으로 약한 알고리즘을 만들 수 있다는 사실을 배웠습니다. 에이이에스 공모전(1997~2001년)은 완전히 공개된 방식으로 진행되어 전 세계의 모든 조직이 후보를 제출할 수 있었습니다.

US, 유럽 및 기타 지역의 팀에서 15개 알고리즘을 제출했습니다. 최종 후보 5개는 3년 동안 공개적으로 분석되었습니다. 벨기에 암호학자들이 개발한 리인달이 기술적 우수성을 인정받아 선정되었습니다. 이러한 공개 절차는 에이이에스에 대한 폭넓은 신뢰를 만들어 냈습니다.

에이이에스 공모전에는 DES에서 얻은 교훈이 직접 적용되었습니다. 큰 키 선택지(128비트, 192비트, 256비트), 생일 공격 우려를 해결하는 128비트 블록 크기, 전체 공개 설계 기준, 수년에 걸친 공개 암호 분석이 그 예입니다.

에이이에스는 20년 넘게 공개 암호 분석을 견뎌 왔으며 실용적인 공격은 발견되지 않았습니다. 에이이에스에 대해 알려진 최선의 공격도 전수 대입보다 약간 나은 수준에 불과하므로, 공개 공모전 절차가 강력한 암호를 만들어 냈다는 사실을 확인할 수 있습니다.

현금 자동 입출금기, 결제 단말기, 위성 복호기 및 산업 제어 시스템에는 수백만 개의 DES 하드웨어 구현이 존재합니다. 하드웨어를 교체하는 일은 소프트웨어를 업데이트하는 것보다 훨씬 많은 비용과 시간이 듭니다.

여기서 얻는 교훈은 하드웨어 암호 구현이 처음부터 알고리즘 교체를 고려해야 한다는 것입니다. 최신 하드웨어 보안 모듈과 스마트카드 칩은 여러 알고리즘을 지원하도록 설계되며, 펌웨어를 통해 업데이트하여 새로운 표준을 추가할 수 있습니다.

DES 이후 NIST의 표준화 절차는 더욱 투명하고 포괄적으로 바뀌었습니다. 공개 의견 수렴 기간이 연장되었고, 표준화 전에 알고리즘 설계가 완전히 공개되었으며, 국제적인 참여가 적극적으로 장려되었습니다.

NIST의 양자 이후 암호 표준화(2016~2024년)는 이러한 교훈을 모두 적용했습니다. 공개 국제 공모전, 여러 차례의 공개 암호 분석, 투명한 선정 기준, 다양성을 위한 여러 알고리즘의 동시 표준화가 그 예입니다.

현대 암호학은 키 길이 문제를 해결했습니다. 에이이에스-256은 보안 여유가 매우 커서 예측 가능한 미래에는 전수 대입 공격이 불가능합니다. 이제 남은 과제는 키 관리입니다.

키 생성(진정한 난수 생성), 키 저장(무단 접근으로부터 보호), 키 배포(올바른 당사자들과 안전하게 공유), 키 교체(서비스를 중단하지 않고 키 변경), 키 폐기(손상된 키 폐기)는 아직 해결되지 않은 문제이며, 실제 암호화 실패의 대부분을 일으킵니다.

양자 내성 암호 전환(PQC)은 현대판 DES에서 에이이에스로의 전환입니다. 양자 컴퓨터는 RSA와 ECC를 위협하며, 이는 기하급수적인 하드웨어 성능 향상이 DES를 위협했던 상황과 같습니다.

NIST는 2024년에 최초의 PQC 표준을 확정했습니다. 키 캡슐화에는 CRYSTALS-카이버(현재는 엠엘-KEM)를, 서명에는 CRYSTALS-딜리시움(현재는 엠엘-DSA)을 사용합니다. 공개 공모전과 알고리즘 민첩성을 비롯한 DES의 교훈은 PQC 표준화 절차에 직접 적용되었습니다.

DES는 키 길이를 정할 때 무어의 법칙을 고려해야 하며, 공개적인 검증이 암호를 더 강하게 만들고, 치환 상자 설계 기준을 공개해야 하며, 표준에 대한 정부 개입에는 투명성이 필요하다는 사실을 가르쳐 주었습니다.

알고리즘 민첩성, 공개 공모전(에이이에스, PQC), 알고리즘 교체를 고려해 설계된 하드웨어는 모두 DES의 유산에 대한 직접적인 대응입니다. 현대 암호학에서 가장 어려운 문제는 키 길이가 아니라 키 관리입니다.