포스트 양자 표준으로의 마이그레이션 계획

암호 인프라를 마이그레이션하는 일은 단기 프로젝트가 아닙니다. 대규모 조직이 모든 시스템을 완전히 업데이트하는 데는 10~15년이 걸립니다. NIST는 RSA-2048을 해독할 수 있는 양자 컴퓨터가 10~30년 이내에 등장할 수 있다고 추정합니다. 지금 수집하고 나중에 복호화하는 위협과 긴 마이그레이션 기간을 고려하면, 당장의 양자 위협이 멀게 느껴지더라도 조직은 오늘부터 계획을 시작해야 합니다.

암호 민첩성이란 전체 아키텍처를 다시 설계하지 않고도 암호 알고리즘을 교체할 수 있도록 시스템을 설계하는 것을 의미합니다. 암호 민첩성을 갖춘 시스템은 구성에서 알고리즘 선택을 중앙화하고, 추상 키 유형을 사용하며, 프로토콜 로직을 특정 암호 구현과 분리합니다. 프로토콜 로직에 RSA나 ECDH를 하드코딩한 시스템은 암호 민첩성을 갖춘 시스템보다 훨씬 더 많은 비용이 드는 마이그레이션이 필요합니다.

마이그레이션의 첫 단계는 시스템에 있는 모든 암호 기본 요소를 목록화하는 것입니다. 여기에는 RSA, ECDH, ECDSA 및 대칭 알고리즘이 어디에서 사용되는지, 어떤 맥락에서 사용되는지(TLS, 코드 서명, 저장 데이터 암호화, 인증 토큰), 그리고 데이터 수명이 어떻게 되는지가 포함됩니다. NIST IR 8547과 CISA 지침에서는 코드베이스와 구성에서 하드코딩된 키 및 알고리즘 식별자를 찾기 위해 자동 검색 도구를 사용할 것을 권장합니다.

TLS 1.3은 IETF 초안 draft-ietf-tls-hybrid-design에 명시된 X25519와 ML-KEM-768의 하이브리드 키 교환을 지원합니다. 하이브리드 NamedGroup인 X25519MLKEM768은 ClientHello에서 기존 방식과 PQC 방식의 키 공유 값을 모두 전송합니다. 공유 비밀은 두 출력값을 모두 해시한 결과입니다. 새 NamedGroup을 지원하는 서버에는 프로토콜 변경이 전혀 필요하지 않으며, 새 NamedGroup을 지원하지 않는 클라이언트와도 역호환됩니다.

NIST IR 8413(2022)은 양자 내성 암호로의 마이그레이션 지침을 제공합니다. 시스템을 세 가지 영역으로 분류합니다. 즉시 중요한 영역은 수명이 길고 지금 수집하고 나중에 복호화하는 위험에 노출된 비밀, 중기 영역은 5~10년 동안 민감한 데이터, 낮은 우선순위 영역은 일시적이거나 수명이 짧은 데이터입니다. NIST는 PKI와 인증서 인프라를 우선 처리할 것을 권장합니다. 루트 인증서를 변경하면 전체 신뢰 체인에 영향을 주기 때문입니다.

지금 수집하고 나중에 복호화하는(HNDL) 위협은 양자 컴퓨터가 존재하기 전이라도 양자 내성 암호화를 즉시 배포해야 하는 가장 긴급한 이유입니다. 공격자(국가 행위자)는 양자 컴퓨터를 사용할 수 있게 되면 복호화할 수 있으리라는 예상 아래 오늘날의 암호화된 트래픽을 기록합니다. 장기적으로 민감한 데이터(의료 기록, 국가 기밀, 수십 년 동안 중요성이 유지되는 금융 데이터)는 이 공격으로 인해 즉각적인 위험에 놓여 있습니다.

HNDL 위협을 고려할 때 양자 내성 마이그레이션에서 가장 높은 우선순위는 장기간 기밀성을 유지해야 하는 데이터를 보호하는 것입니다. TLS 임시 키 교환(ECDHE)은 즉시 하이브리드 X25519+ML-KEM으로 업그레이드해야 합니다. 장기간 사용하는 RSA 개인 키(인증서 서명이나 암호화된 데이터 저장에 사용)는 양자 내성 방식으로 다시 암호화해야 합니다. 스트리밍 동영상에 사용하는 임시 세션 키는 장기적인 가치가 없으므로 우선순위가 낮습니다.

PQC를 배포하기 전에 조직은 자체 작업 부하에서 발생하는 성능 영향을 측정해야 합니다. ML-KEM은 빠릅니다. 최신 하드웨어에서 키 생성과 캡슐화에 20마이크로초 미만이 걸립니다. 그러나 키와 암호문 크기가 증가하면(TLS 1.3에서 ML-KEM-768: 1184 + 1088바이트, X25519: 32 + 32바이트) TLS 핸드셰이크 크기도 커집니다. 초당 수백만 건의 연결을 처리하는 대규모 TLS 서버에서는 이 대역폭 증가량을 측정해야 합니다.

OQS 프로젝트는 모든 NIST 표준을 포함한 PQC 알고리즘을 구현하는 오픈 소스 라이브러리인 liboqs를 제공합니다. 또한 OQS는 PQC 지원을 추가한 OpenSSL 및 BoringSSL의 파생 버전과 test.openquantumsafe 서버를 제공합니다. 조직은 주 라이브러리에서 지원될 때까지 기다리지 않고 liboqs를 사용하여 운영 환경에 배포하기 전에 PQC 통합을 시제품으로 구현하고 검증할 수 있습니다.

US 연방 기관과 규제를 받는 산업에서는 FIPS 검증을 받은 암호 모듈을 사용해야 합니다. NIST FIPS 203, 204 및 205는 현재 발표되어 있지만, 검증된 구현(CMVP 인증서를 보유한 구현)이 등장하기까지는 추가 시간이 걸립니다. NIST는 PQC를 위한 신속 검증 프로그램을 운영하고 있습니다. 규제 환경에 있는 조직은 CMVP 검증 상태를 추적하고, 하이브리드 기존 방식+PQC 배포에서 FIPS 검증을 받은 기존 알고리즘과 검증된 PQC 구현을 함께 사용하는 기간을 계획해야 합니다.

PKI 마이그레이션은 특히 복잡합니다. 루트 인증서와 중간 인증 기관은 ML-DSA 또는 하이브리드 키를 사용하여 다시 발급해야 합니다. 인증서 체인의 크기도 커집니다(ML-DSA-65 인증서는 약 4KB로, RSA-2048의 1KB보다 큽니다). 웹 브라우저의 신뢰 저장소, 모바일 OS의 신뢰 저장소, 임베디드 장치의 신뢰 저장소를 모두 업데이트해야 합니다. 일부 조직은 전환 기간에 역호환성을 유지하기 위해 이중 알고리즘 인증서(하이브리드 PKI)를 검토하고 있습니다.

PQC 마이그레이션에는 암호 민첩성, 완전한 암호 기술 목록, 데이터 수명에 따른 우선순위 설정이 필요합니다. 지금 수집하고 나중에 복호화하는 위협 때문에 수명이 긴 비밀에는 하이브리드 TLS(X25519+ML-KEM-768)를 즉시 배포해야 합니다. 대부분의 작업 부하에서는 성능 오버헤드를 감당할 수 있습니다. liboqs를 사용하면 주 라이브러리에서 지원되기 전에 검증할 수 있습니다. FIPS 준수를 위해서는 PQC 구현의 CMVP 검증 상태를 추적해야 합니다.