일회용 패드

일회용 패드(One-Time Pad, OTP)는 평문과 길이가 같거나 더 긴 진짜 난수 키를 한 번만 사용하여 암호화하는 대칭키 암호 방식으로, 조건을 엄격히 만족하면 완전 비밀성(perfect secrecy)을 제공한다.

개요

일회용 패드는 평문과 같은 길이의 비밀 키열을 준비한 뒤, 평문과 키를 문자별 또는 비트별로 결합하여 암호문을 만드는 방식이다. 현대적인 이진 표현에서는 보통 평문 비트열과 키 비트열을 XOR 연산으로 결합한다. 같은 키를 다시 XOR하면 원래 평문이 복원된다.

NIST는 일회용 패드를 “패드 형태로 만들어진 수동 일회용 암호 체계”로 정의한다. 일회용 패드는 계산량에 근거한 안전성이 아니라 정보 이론적 안전성에 근거한다는 점에서 AES, RSA 같은 일반적인 현대 암호와 구별된다.

원리

일회용 패드의 가장 단순한 이진 형태는 다음과 같이 표현할 수 있다.

암호화: C = P XOR K
복호화: P = C XOR K

여기서 P는 평문, K는 비밀 키, C는 암호문이다. XOR 연산은 같은 값을 두 번 적용하면 원래 값이 돌아오는 성질이 있으므로, 송신자와 수신자가 같은 키를 공유하고 있으면 동일한 방식으로 암호화와 복호화를 수행할 수 있다.

문자 단위로 설명하면 평문의 각 문자에 대응하는 난수 문자를 하나씩 더하거나 조합하여 암호문을 만들고, 수신자는 같은 난수 문자를 역으로 적용해 평문을 복원한다. 이때 키는 평문 전체 길이를 덮을 수 있어야 하며, 일부라도 반복되면 보안성이 크게 약해진다.

안전 조건

일회용 패드가 완전 비밀성을 갖기 위해서는 다음 조건을 모두 만족해야 한다.

조건	설명
키의 길이	키는 암호화할 평문과 길이가 같거나 더 길어야 한다.
진짜 난수성	키는 예측 가능한 의사난수가 아니라 통계적으로 충분히 무작위인 값이어야 한다.
단회 사용	키는 전체든 일부든 한 번만 사용해야 하며, 재사용해서는 안 된다.
비밀 유지	키는 송신자와 수신자 외부에 노출되어서는 안 된다.

클로드 섀넌(Claude E. Shannon)은 1949년 논문 〈Communication Theory of Secrecy Systems〉에서 암호 체계를 정보 이론적으로 분석했으며, 완전 비밀성의 개념을 정식화했다. 일회용 패드는 조건이 충족될 경우 암호문만으로는 같은 길이의 가능한 평문들을 구별할 수 없게 되므로, 공격자가 무한한 계산 능력을 갖더라도 암호문만으로 원래 평문을 특정할 수 없다.

역사

일회용 패드의 기원은 전신 보안과 종이 키 패드의 사용으로 거슬러 올라간다. 길버트 버넘(Gilbert S. Vernam)은 전신 문자와 키 테이프를 전기적으로 결합하는 비밀 통신 장치를 고안했으며, 1919년 미국 특허를 받았다. 버넘 방식은 오늘날의 용어로 보면 평문과 키열을 XOR로 결합하는 스트림 암호적 구조에 해당한다.

이후 조지프 모보른(Joseph Mauborgne) 등이 키열을 완전히 무작위로 만들고 한 번만 사용해야 한다는 조건을 명확히 하면서, 버넘 암호는 정보 이론적으로 안전한 일회용 패드의 형태로 발전했다. 다만 “버넘 암호”라는 표현은 넓게는 평문과 키열을 결합하는 스트림 암호 일반을 가리킬 수 있으므로, 엄밀한 의미의 일회용 패드와는 구분할 필요가 있다.

장점

일회용 패드의 가장 큰 장점은 적절히 사용될 경우 완전 비밀성을 제공한다는 점이다. 이는 특정 수학 문제의 어려움이나 컴퓨터 성능의 한계에 의존하지 않는다. 따라서 암호문과 알고리즘이 공개되어도 키가 완전히 비밀이고 한 번만 사용되었다면 평문은 노출되지 않는다.

또한 원리는 단순하다. 비트 단위 XOR, 문자 단위 모듈러 덧셈 등으로 구현할 수 있어, 역사적으로는 종이 패드와 수작업만으로도 암호 통신을 수행할 수 있었다. 이러한 특성 때문에 외교, 군사, 첩보 통신에서 일회용 패드가 사용된 사례가 있다.

한계

일회용 패드는 이론적으로 매우 강력하지만, 실제 운용에서는 다음과 같은 제약이 크다.

• 키 분배 문제: 송신자와 수신자는 메시지 길이만큼의 비밀 키를 미리 안전하게 공유해야 한다.
• 키 보관 문제: 대량의 키를 안전하게 저장하고, 사용한 키를 확실히 폐기해야 한다.
• 키 재사용 위험: 같은 키가 두 번 이상 사용되면 두 암호문 사이의 관계를 통해 평문 정보가 유출될 수 있다.
• 무결성 부재: 기본적인 일회용 패드는 기밀성만 제공하며, 메시지가 변조되지 않았음을 보장하지 않는다.
• 난수 품질 문제: 키가 진짜 난수가 아니거나 생성 과정이 예측 가능하면 완전 비밀성이 성립하지 않는다.

특히 키 재사용은 치명적이다. 서로 다른 두 평문 P1, P2를 같은 키 K로 암호화하면 공격자는 두 암호문 C1, C2를 XOR하여 P1 XOR P2를 얻을 수 있다.

C1 = P1 XOR K
C2 = P2 XOR K

C1 XOR C2
= (P1 XOR K) XOR (P2 XOR K)
= P1 XOR P2

이 값은 두 평문 자체는 아니지만, 자연어 통계, 알려진 문구, 문맥 추정 등을 통해 평문 복원에 활용될 수 있다.

키 재사용 사례

일회용 패드의 키 재사용이 실제로 보안을 무너뜨린 대표적인 사례로 베노나(VENONA) 프로젝트가 자주 언급된다. 미국 NSA가 공개한 베노나 자료에 따르면, 미 육군 신호정보국은 1943년부터 소련 외교 통신을 분석하는 비밀 프로그램을 수행했으며, 일부 소련 통신에서 일회용 패드 재사용 문제가 발생해 암호 해독의 실마리가 되었다.

이 사례는 일회용 패드 자체가 깨진 것이 아니라, “한 번만 사용해야 한다”는 운용 조건이 깨졌을 때 안전성이 급격히 무너질 수 있음을 보여준다.

현대 암호와의 관계

일회용 패드는 스트림 암호와 개념적으로 유사하다. 스트림 암호도 평문과 키스트림을 XOR하여 암호문을 만드는 경우가 많지만, 일반적인 스트림 암호의 키스트림은 짧은 비밀 키와 초기화 벡터에서 생성되는 의사난수열이다. 반면 일회용 패드는 메시지 길이만큼의 진짜 난수 키를 직접 사용한다.

현대 암호 시스템에서는 대량의 일회용 패드를 안전하게 배포하고 관리하기 어렵기 때문에, 일반적인 통신에는 AES-GCM, ChaCha20-Poly1305 같은 인증 암호 방식이나 공개키 기반 키 교환 방식이 주로 사용된다. 일회용 패드는 완전 비밀성의 기준 모델로서 암호학 이론에서 중요한 위치를 가지며, 양자 키 분배와 같은 분야에서도 개념적으로 연결되어 논의된다.

일회용 비밀번호와의 차이

일회용 패드의 약어 OTP는 일회용 비밀번호(One-Time Password)의 약어와 같다. 그러나 두 개념은 다르다.

구분	일회용 패드	일회용 비밀번호
영문	One-Time Pad	One-Time Password
목적	메시지 암호화	사용자 인증
핵심 요소	메시지 길이의 난수 키	시간, 카운터, 난수 등에 기반한 인증값
보안 속성	조건 충족 시 완전 비밀성	로그인·거래 승인 등에서 재사용 방지

따라서 문맥 없이 OTP라고만 쓰면 혼동될 수 있으므로, 암호학 문서에서는 일회용 패드와 일회용 비밀번호를 구분해 표기하는 것이 좋다.

같이 보기

• 암호
• 암호화 알고리즘
• 암호 알고리즘 보안강도
• RSA 암호화