양자 키 분배
더 많은 작업
- QKD; Quantum Key Distribution
- 양자기술로 생성한 암호키를 송수신측에 안전하게 전달하는 방식
- 중간 도청시 암호키 손상, 탈취자 해독불가
- 양자역학 고유 특성인 불확정성, 비복제성을 활용해 통신을 암호화하는 기술
- '중첩' 이라는 양자 고유 특징을 활용해 중간에서 빼낼 수 없는 암호키를 송신자와 수신자에게 보내는 기술
- 도감청을 원천 봉쇄
양자 키 분배는 데이터 자체를 양자로 암호화하는 기술이 아니라, 두 지점이 같은 비밀 키를 나눠 갖는 과정을 양자 물리로 처리하는 기술이다. 나눠 가진 키는 그 뒤 AES 같은 대칭키 암호화나 일회용 패드에 쓰인다. 장점은 도청자가 양자 상태를 건드리면 오류율이 올라가 도청 시도가 드러난다는 점이다. 다만 "도감청을 원천 봉쇄"한다는 표현은 이론상 키 분배 과정에 대한 것이며, 실제 장비는 구현 결함, 인증 부재, 서비스 거부에 취약할 수 있다.
CISSP 출제 개요 3.6은 공개키 기반 구조(PKI) 항목의 예로 양자 키 분배를 든다. 공개키 방식의 키 교환을 대신하거나 보완하는 키 수립 수단으로 보라는 뜻이다. 양자 컴퓨터 대비 알고리즘인 양자 내성 암호와는 전혀 다른 기술이다.
BB84는 찰스 베넷(Charles Bennett)과 질 브라사르(Gilles Brassard)가 1984년 발표한 최초의 QKD 프로토콜이다. 광자의 편광을 서로 다른 두 기저(수직·수평 기저와 대각 기저)로 표현한다.
| 단계 | 송신자(앨리스) | 수신자(밥) | 채널 |
|---|---|---|---|
| 1. 준비 | 무작위 비트와 무작위 기저를 골라 그에 맞는 편광의 광자를 보낸다 | - | 양자 채널 |
| 2. 측정 | - | 광자마다 무작위로 기저를 골라 측정한다. 기저가 틀리면 결과는 무작위가 된다 | 양자 채널 |
| 3. 기저 비교(선별, sifting) | 어떤 기저를 썼는지 공개한다(비트 값은 공개하지 않음) | 자기 기저를 공개하고, 기저가 일치한 위치의 비트만 남긴다 | 인증된 공개(고전) 채널 |
| 4. 오류율 추정 | 남은 비트 일부를 공개해 비교한다 | 같은 비트를 비교해 양자 비트 오류율(QBER)을 구한다 | 인증된 고전 채널 |
| 5. 판단 | 오류율이 기준보다 높으면 도청이 있었다고 보고 키를 버린다 | 같음 | - |
| 6. 오류 정정 | 남은 비트의 불일치를 고전 방식으로 맞춘다 | 같음 | 인증된 고전 채널 |
| 7. 비밀성 증폭(privacy amplification) | 도청자가 얻었을 수 있는 부분 정보를 없애도록 키를 압축한다 | 같음 | - |
기저가 일치할 확률은 절반이므로 보낸 광자 중 대략 절반만 선별 단계에서 살아남고, 오류율 추정과 비밀성 증폭을 거치며 최종 키는 더 짧아진다.
- 측정에 의한 교란: 양자 상태는 측정하면 바뀐다. 도청자(이브)가 기저를 모르고 측정하면 틀린 기저로 측정한 광자의 상태가 바뀌어 밥의 결과에 오류가 생긴다.
- 복제 불가 정리(no-cloning theorem): 모르는 양자 상태를 똑같이 복사할 수 없으므로, 도청자는 광자를 복사해 두고 나중에 올바른 기저로 측정하는 방법을 쓸 수 없다.
- 오류율 감시: 도청자가 개입하면 오류율이 자연 잡음 수준보다 올라간다. 송수신자는 일부 비트를 희생해 오류율을 확인하고, 기준을 넘으면 그 키를 쓰지 않는다.
즉 QKD는 도청을 물리적으로 막는 것이 아니라 도청이 있었는지 알아내고 오염된 키를 버리는 방식이다.
| 한계 | 내용 | 보완 방법 |
|---|---|---|
| 인증 부재 | QKD 자체는 상대가 누구인지 확인하지 못한다. 고전 채널이 인증되지 않으면 중간자 공격에 그대로 노출된다 | 사전 공유 대칭키나 양자 내성 전자서명으로 고전 채널을 인증한다 |
| 거리 제한 | 광섬유 손실 때문에 단일 링크의 거리가 제한된다. 양자 상태는 일반 증폭기로 증폭할 수 없다 | 중간에 신뢰 노드를 두거나 위성 링크를 쓴다 |
| 신뢰 노드(trusted node) | 중계 지점에서 키가 일단 평문으로 다뤄지므로 그 노드를 물리적으로 믿어야 한다 | 신뢰 노드의 물리적 보안 강화, 다중 경로 |
| 전용 하드웨어 | 단일 광자 송수신 장비, 전용 광 링크가 필요하고 기존 네트워크와 통합이 어렵다. 소프트웨어 패치로 고칠 수 없다 | 장비 인증·평가, 운영 경험 축적 |
| 구현 공격 | 이론은 안전해도 검출기 눈부심 공격 같은 장비 결함 공격이 연구되어 왔다 | 장비 보안성 평가, 사이드채널 공격 대책 |
| 서비스 거부 | 도청자가 일부러 교란하기만 해도 오류율이 올라가 키를 만들 수 없다 | 대체 키 수립 경로를 함께 둔다 |
기존 공개키 기반 구조에서 공개키 암호는 두 가지 일을 한다. 하나는 키 수립(RSA 키 전송, 디피-헬먼 키 교환)이고, 다른 하나는 인증서와 전자서명을 통한 인증이다. QKD는 이 가운데 키 수립만 대신할 수 있다. 상대를 인증하는 기능은 여전히 PKI의 전자서명(장기적으로는 양자 내성 서명)이나 사전 공유 키가 맡아야 한다. 따라서 QKD는 PKI를 없애는 기술이 아니라, 특정 구간(예: 데이터센터 사이 전용 광 링크)의 키 수립 수단으로 PKI 옆에 붙는 보완재로 이해하는 것이 맞다.
영국 국가사이버보안센터(NCSC)는 QKD 백서에서 다음과 같이 신중한 입장을 밝혔다.
- QKD는 인증을 제공하지 않으므로 다른 암호 서비스와 결합해야 하며, 그 자체로 상당한 보안을 주는 수단으로 의존해서는 안 된다.
- 양자 컴퓨터 위협에 대한 주된 대책은 PQC이다.
- 양자 부품과 기존 부품, 전용 하드웨어와 기존 네트워크를 결합하면 복잡도가 커지고, 고도화된 위협에 안전한 QKD 구현을 만드는 일은 아직 과제이다.
- NCSC는 정부·군 용도로 QKD 사용을 지원하지 않고, 다른 분야에도 QKD만으로 키를 생성·분배하지 말라고 권고한다.
미국 NSA도 QKD의 기술적 한계를 들어 국가안보시스템 보호 수단으로 권장하지 않는 것으로 알려져 있다.
- QKD는 키 분배만 해결한다. 데이터 암호화는 대칭키가, 상대 인증은 전자서명이나 사전 공유 키가 따로 해야 한다.
- 도청 탐지의 근거는 측정에 의한 상태 교란과 복제 불가 정리이다. 도청을 막는 것이 아니라 탐지하고 키를 버린다.
- QKD(물리 장비)와 PQC(알고리즘)를 혼동하지 않는다. 양자 컴퓨터 대비의 주된 대책은 PQC이다.
- 거리 제한 때문에 신뢰 노드가 필요하고, 신뢰 노드는 물리적으로 보호해야 하는 약점이 된다.
- C. H. Bennett, G. Brassard, Quantum cryptography: Public key distribution and coin tossing (1984 학술대회 논문의 2014년 재수록) – Theoretical Computer Science
- Quantum security technologies – 영국 NCSC
- CISSP Certification Exam Outline – ISC2