암호화 키 길이가 중요한 이유

암호학에서 보안 매개변수 람다는 목표로 하는 보안 수준을 나타냅니다. 이는 암호 시스템 전반에 걸쳐 키 길이, 해시 출력 크기 및 기타 매개변수를 결정합니다. 람다 = 128인 시스템은 공격자가 해당 시스템을 무력화하기 위해 대략 2^128회 연산이 필요함을 의미합니다. 모든 매개변수는 일관성 있게 선택되어 가장 취약한 구성 요소도 최소한 이 수준의 보안을 제공하도록 합니다.

80비트 보안은 한때 민감하지 않은 애플리케이션에 충분하다고 간주되었습니다. 이를 해독하는 데 대략 2^80, 즉 약 10^24번의 연산이 필요합니다. 최신 GPU 클러스터와 최적화된 알고리즘을 사용하면 자금력이 풍부한 공격자들에게는 이는 실현 가능한 수준에 가까워지고 있습니다. NIST는 2010년에 80비트 보안을 폐기했으며, 더 이상 새로운 암호화 배포에는 권장되지 않습니다. 80비트 매개변수를 사용하는 레거시 시스템은 업그레이드되어야 합니다.

트리플 DES (3DES)가 제공하는 112비트 보안은 적절한 수준의 보호를 제공하며, DES가 사용 중단된 후 NIST의 대칭키 암호화에 대한 최소 권장 사항이었습니다. 3DES는 서로 다른 키로 DES를 세 번 적용하는데, 이는 168비트 키를 사용함에도 불구하고 사실상 112비트 보안 수준을 제공합니다. 컴퓨팅 성능이 계속 증가하고 AES가 3DES를 완전히 대체함에 따라, NIST는 2024년까지 연방 기관에서 3DES 사용을 금지할 계획입니다.

AES-128은 128비트 보안 수준을 제공하며, 대칭키 암호화의 현재 표준입니다. 고전 컴퓨터로는 AES-128에 대한 실용적인 공격은 존재하지 않습니다. NIST는 적어도 2030년까지는 128비트 보안이 장기적인 보호에 충분하다고 간주합니다. TLS 1.3, WireGuard, Signal을 포함한 대부분의 암호화 프로토콜은 기본적으로 128비트 또는 그 이상의 대칭키를 사용합니다.

AES-256은 고전적인 공격에 대해 256비트 보안을 제공하며, 그로버 양자 알고리즘에 대해서는 128비트의 유효 보안을 제공합니다. 256비트 대칭키를 사용하면 대규모 양자 컴퓨터가 상용화되더라도 암호화가 128비트 강도로 안전하게 유지됩니다. 이러한 이유로 장기적인 데이터 보호가 필요한 정부 및 군사 애플리케이션은 현재 256비트 대칭 암호화로 전환하고 있습니다.

RSA 보안은 큰 정수를 인수분해하는 것의 어려움에 기반을 둡니다. 인수분해는 대칭키를 무차별 대입하는 것보다 수학적으로 더 쉬운 문제입니다. 따라서 RSA는 동등한 보안 수준을 달성하기 위해 훨씬 더 긴 키를 필요로 합니다. 2048비트 RSA 키는 약 112비트의 보안 강도만을 제공합니다. 3072비트 RSA 키는 약 128비트의 보안 강도를 제공합니다. AES-256과 동일한 보안 강도를 얻으려면 약 15,360비트의 RSA 키가 필요합니다.

타원 곡선 암호(ECC)는 타원 곡선 이산 로그 문제의 수학적 난해성을 활용하여, RSA와 동일한 수준의 보안을 훨씬 더 짧은 키 길이로 제공합니다. 256비트 ECC 키(P-256 또는 Curve25519와 같은)는 약 128비트의 보안 강도를 제공하며, 이는 3072비트 RSA 키와 동일한 수준입니다. 키 길이가 짧다는 것은 계산 속도가 더 빠르고 TLS 핸드셰이크 메시지가 더 작다는 것을 의미하며, 따라서 ECC는 성능에 민감한 애플리케이션에 더 적합합니다.

NIST Special Publication 800-57은 암호화 키 관리를 위한 권위 있는 지침서입니다. 이 문서는 각 보안 수준에서 승인되는 알고리즘과 키 길이, 로테이션 전 키 사용 기간, 그리고 키 저장 및 파기에 대한 요구사항을 명시합니다. SP 800-57을 따르면 암호화 방식이 연방 표준에 부합하고 규정 준수 감사에서 방어 가능하도록 보장합니다.

가장 흔한 비교는 다음과 같습니다: 128비트 대칭키 (AES-128)는 3072비트 RSA 또는 256비트 ECC와 대략적으로 동등한 보안 수준을 제공합니다. 이는 대칭키가 무차별 대입 공격(brute force)에 대해 지수적인 비용(exponential cost)으로 보호되는 반면, 비대칭키는 수학적 알고리즘에 대해 준지수적인 비용(sub-exponential cost)으로 보호되기 때문입니다. 키 크기의 비대칭성(asymmetry)은 근본적인 수학적 문제들의 난이도 차이를 반영합니다.

비트 보안은 단순히 키 크기보다 더 많은 정보를 제공합니다. 시스템이 128비트 보안을 갖는다는 것은 알고리즘에 관계없이 이를 해독하는 데 대략 2^128번의 연산이 필요하다는 것을 의미합니다. 2048비트 RSA 키는 112비트 보안을 가집니다. 128비트 AES 키는 128비트 보안을 가집니다. 비트 보안을 고려하지 않고 여러 알고리즘의 키 크기를 비교하는 것은 상대적인 강도에 대해 잘못된 결론으로 이어집니다.

오늘날 암호화된 데이터는 전체 기밀 유지 기간 동안 안전하게 보호되어야 합니다. 기밀 정부 문서는 수십 년 동안 기밀을 유지해야 할 수도 있습니다. 현재의 컴퓨팅 능력만을 기준으로 키 길이를 선택하는 것은 불충분하며, 키는 미래의 하드웨어 발전과 잠재적인 양자 컴퓨터의 공격에 대비할 수 있도록 설정되어야 합니다. 키 길이를 넉넉하게 설정하는 것은 비용이 거의 들지 않지만, 미래에 대한 상당한 대비책이 됩니다.

어떤 키 크기가 AES-128과 거의 동일한 보안 강도를 제공할까요?

보안 파라미터 람다는 목표 보안 수준을 비트 단위로 측정합니다. 80비트는 더 이상 사용되지 않으며, 112비트가 최소이고, 128비트가 표준입니다. 256비트는 양자 내성 암호에 대비한 여유를 제공합니다. RSA는 동등한 보안 수준을 위해 대칭형 알고리즘보다 훨씬 더 큰 키를 필요로 합니다. 예를 들어, 3072비트 RSA는 AES-128과 동일한 보안 수준을 가집니다. ECC는 RSA와 동일한 보안 수준을 훨씬 더 작은 키로 달성할 수 있습니다. 알고리즘을 비교할 때는 단순 키 길이보다 비트 보안 강도가 더 의미 있습니다.