양자 암호
더 많은 작업
- Quantum Cryptography
- 양자 역학의 원리를 적용해 수신자 외에는 그 누구도 해당 메시지를 읽을 수 없도록 암호화 하는 기술
- 양자 중첩 상태를 가지는 특징과, 양자 역학의 복제 불가 정리(no-cloning theorem) 및 측정하면 상태가 바뀌는 성질을 활용
좁은 뜻의 양자 암호는 광자 같은 양자 상태를 이용해 비밀 키를 나누는 양자 키 분배(QKD)를 가리킨다. 도청자가 양자 상태를 측정하면 상태가 흐트러져 흔적이 남으므로, 키를 나누는 과정에서 도청 여부를 알아낼 수 있다는 것이 핵심이다. 양자 난수 생성기(QRNG)도 양자 보안 기술에 함께 묶인다.
CISSP 출제 개요는 암호 방식(3.6)에 "양자(quantum)"를, PKI 항목에 "양자 키 분배"를 예로 든다. 시험과 실무에서 중요한 것은 두 가지를 구분하는 일이다. 하나는 양자 물리로 키를 나누는 양자 키 분배이고, 다른 하나는 양자 컴퓨터로도 풀기 어려운 수학 문제에 기반한 일반 소프트웨어 암호인 양자 내성 암호(PQC, Post-Quantum Cryptography)이다.
| 구분 | 양자 키 분배(QKD) | 양자 내성 암호(PQC) |
|---|---|---|
| 원리 | 양자 물리(측정 시 상태 교란, 복제 불가 정리) | 수학적 난제(격자, 해시, 부호 등) |
| 정체 | 키를 나누는 물리 계층 장치·통신 방식 | 기존 컴퓨터에서 돌아가는 공개키 암호 알고리즘 |
| 필요한 것 | 전용 광섬유나 자유 공간 광 링크, 단일 광자 송수신 장비 | 소프트웨어·펌웨어 교체(기존 네트워크 그대로) |
| 제공 기능 | 키 합의만 제공. 상대 인증은 하지 못한다 | 키 캡슐화(키 합의)와 전자서명 모두 제공 |
| 거리·규모 | 거리 제한이 있어 장거리는 신뢰 노드가 필요하다 | 인터넷 규모로 배포 가능 |
| 대표 예 | BB84 프로토콜 | ML-KEM, ML-DSA, SLH-DSA |
| 정부 기관 권고 | 영국 NCSC는 정부·군 용도로 지원하지 않으며 PQC를 최선의 대책으로 본다 | NIST·NCSC 등이 표준화하고 이행 일정을 제시 |
이름이 비슷해 "양자 암호 = 양자 컴퓨터 대비 암호"로 착각하기 쉽다. 양자 컴퓨터 위협에 대한 주된 대책은 QKD가 아니라 PQC이다.
| 알고리즘 | 영향받는 암호 | 효과 | 대책 |
|---|---|---|---|
| 쇼어(Shor) 알고리즘 | RSA, 디피-헬먼, 타원 곡선 암호(ECDH, ECDSA) 등 소인수분해·이산 로그 기반 공개키 | 충분히 큰 양자 컴퓨터가 있으면 다항 시간에 풀 수 있어 사실상 깨진다 | PQC로 교체 |
| 그로버(Grover) 알고리즘 | 대칭키 암호, 해시 함수 | 전수 탐색을 제곱근 수준으로 줄여 보안 강도가 낮아진다 | 더 긴 키(예: AES-256), 더 긴 해시 출력 |
NIST IR 8105(2016)는 이 분석을 바탕으로 공개키 암호는 교체가 필요하고 대칭키·해시는 길이를 늘리면 된다고 정리했다.
지금 수집하고 나중에 해독(HNDL, Harvest Now, Decrypt Later)은 공격자가 오늘 암호화된 통신을 가로채 저장해 두었다가, 쓸 만한 양자 컴퓨터가 나온 뒤 해독하는 위협이다. 양자 컴퓨터가 아직 없더라도 오래 기밀을 지켜야 하는 데이터(국가 기밀, 의료·유전 정보, 장기 계약)는 이미 위험하다. 미국 CISA도 양자 대비 자료에서 이 위험을 줄이기 위한 이행 일정을 강조한다. 그래서 키 교환부터 PQC로 바꾸는 것이 우선순위가 높다.
NIST는 2024년 8월 13일 첫 PQC 표준 세 개를 확정 발표했다.
| 표준 | 알고리즘 | 용도 | 기반 |
|---|---|---|---|
| FIPS 203 | ML-KEM(모듈 격자 기반 키 캡슐화, 옛 이름 CRYSTALS-Kyber) | 키 수립(키 캡슐화) | 격자 |
| FIPS 204 | ML-DSA(모듈 격자 기반 전자서명, 옛 이름 CRYSTALS-Dilithium) | 전자서명 | 격자 |
| FIPS 205 | SLH-DSA(상태 비저장 해시 기반 전자서명, 옛 이름 SPHINCS+) | 전자서명(예비용) | 해시 |
NIST는 2025년 3월 11일 ML-KEM과 다른 수학에 기반한 예비 키 캡슐화 알고리즘으로 HQC를 추가 선정했다. 또 NIST IR 8547 초안(2024년 11월)은 112비트 보안 강도의 RSA·ECDSA·디피-헬먼 등을 2030년 이후 비권고(deprecated), 2035년 이후 사용 금지(disallowed)로 바꾸는 이행안을 제시했다. 영국 NCSC도 2028년까지 목표와 대상 파악, 2031년까지 우선순위 높은 이행, 2035년까지 이행 완료라는 일정을 권고한다.
한국은 양자내성암호연구단이 주관한 양자내성암호 국가공모전(KpqC)으로 국산 알고리즘을 골랐다. 2025년 1월 16일 2라운드(최종) 결과로 4종이 선정되었다.
| 분류 | 선정 알고리즘 |
|---|---|
| 키 캡슐화(KEM) | NTRU+, SMAUG-T |
| 전자서명 | AIMer, HAETAE |
연구단은 2026년 4월 KEM 2종의 KS(한국산업표준) 제정 제안이 제출되었고, 서명 2종은 표준 제정 제안을 검토 중이라고 공지했다. 표준화 과정에서 세부 규격이 바뀔 수 있다.
- QKD와 PQC를 구분한다. QKD는 물리 장비로 키를 나누고 인증을 못 하며, PQC는 기존 컴퓨터에서 도는 알고리즘이다.
- 쇼어 알고리즘은 공개키(RSA, ECC, DH)를 깨고, 그로버 알고리즘은 대칭키·해시의 보안 강도를 비트 수 기준으로 절반 수준까지 낮춘다. 대칭키는 키 길이를 늘려 대응한다.
- "지금 수집하고 나중에 해독" 위협 때문에 장기 기밀 데이터는 지금부터 PQC 전환이 필요하다. 전환 첫 단계로는 암호 자산 목록 작성을 고른다.
- NIST PQC 표준: FIPS 203(ML-KEM, 키 캡슐화), FIPS 204(ML-DSA, 서명), FIPS 205(SLH-DSA, 서명), 2024년 8월 13일 발표.
- NIST Releases First 3 Finalized Post-Quantum Encryption Standards – NIST
- NIST Selects HQC as Fifth Algorithm for Post-Quantum Encryption – NIST
- NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards – NIST
- Quantum security technologies – 영국 NCSC
- Post-Quantum Cryptography Initiative – CISA
- 양자내성암호 국가공모전 공지 – 양자내성암호연구단