양자내성암호 PQC: ML-KEM·ML-DSA·SLH-DSA와 전환 계획

1장 개념과 보호 목표#

양자내성암호(PQC)는 양자컴퓨터의 공격에도 견디도록 설계된 수학 기반 암호입니다. 기존 네트워크에서 사용할 수 있는 알고리즘이며 양자 채널을 이용하는 양자 키 분배와 다릅니다.

2장 원리와 구분#

NIST는 2024년 FIPS 203의 ML-KEM, FIPS 204의 ML-DSA, FIPS 205의 SLH-DSA를 최종 표준화했습니다. ML-KEM은 공유 비밀 설정에, 나머지 두 알고리즘은 서명에 사용합니다. RSA와 ECC는 충분한 규모의 양자컴퓨터에서 Shor 알고리즘의 영향을 받습니다. AES와 해시에는 다른 형태의 영향을 검토해야 하므로 모든 암호가 동시에 같은 방식으로 무력화된다고 설명하면 부정확합니다.

3장 비교와 판단 기준#

표준	알고리즘	역할
FIPS 203	ML-KEM	공유 비밀 설정
FIPS 204	ML-DSA	격자 기반 전자서명
FIPS 205	SLH-DSA	해시 기반 전자서명
전환 관리	암호 민첩성	의존성 조사·성능·호환성·복구

4장 양자 위협은 암호 기술마다 영향이 다르다#

공개키 암호의 일부 기반 문제는 충분한 규모의 오류 보정 양자컴퓨터가 등장하면 현재와 다른 공격 비용을 가질 수 있습니다. RSA·DH·ECC 기반 키 설정과 서명, 대칭키·해시는 영향을 구분해야 합니다. 모든 암호가 같은 날 같은 방식으로 깨진다는 설명은 부정확합니다.

전환에서는 기술의 예측보다 자산·데이터 수명·교체에 걸리는 시간을 확인하는 일이 중요합니다. 오늘 수집된 암호문이 수년 뒤에도 비밀이어야 한다면 보존기간과 키 설정 방식을 함께 조사해야 합니다. 지금의 데이터 노출 통제와 미래의 암호 전환은 동시에 필요합니다.

5장 ML-KEM은 메시지 전체를 암호화하는 표준이 아니다#

ML-KEM은 공유 비밀을 설정하는 키 캡슐화의 역할입니다. 송신자는 수신자의 공개키로 캡슐화하고 수신자는 비밀키로 비밀을 복원합니다. 얻은 비밀을 KDF와 데이터 암호화에 연결하는 프로토콜을 사용합니다. KEM이 지원된다는 사실만으로 파일·세션·인증서의 전환이 모두 완료되지는 않습니다.

flowchart LR
 P["수신자 ML-KEM 공개키"] --> E["캡슐화"]
 E --> C["캡슐화 값"]
 E --> S["공유 비밀"]
 C --> D["비밀키로 역캡슐화"]
 D --> R["동일 공유 비밀"]
 S --> K["KDF와 데이터 보호"]
 R --> K

6장 ML-DSA와 SLH-DSA는 서명을 담당한다#

두 표준은 전자서명의 생성·검증 역할에 사용됩니다. 키·서명 크기, 계산 비용, 보안 가정과 파라미터가 다르므로 단순히 어느 이름이 최신인지로 선택하지 않습니다. 코드 서명·문서 서명·인증서처럼 사용 목적에 필요한 형식과 상대 지원을 확인합니다.

서명 알고리즘을 바꾸면 서명값을 저장하거나 전달하는 시스템의 한도가 달라질 수 있습니다. 장비·프로토콜·파일 형식·검증 서비스가 새 크기와 버전을 처리하는지 시험해야 합니다.

7장 표준 이름과 연구 제출 이름을 구분한다#

최종 표준은 제출 알고리즘의 이름이나 이전 구현과 동일한 바이트 형식을 보장하는 표기가 아닙니다. 제품 설명에서 계열 이름만 적혀 있다면 실제 표준·파라미터·구현 버전·시험 결과를 확인합니다. 연구 논문·실험 지원·표준 지원·검증된 운영 제품은 다른 단계입니다.

알고리즘을 자체 구현하기보다 유지보수되는 라이브러리와 프로토콜 지원을 사용합니다. 잘못된 입력·비밀키 보호·난수·실패 처리의 조건도 기존 공개키 기술처럼 함께 점검해야 합니다.

8장 먼저 암호 자산 지도를 만든다#

자산	조사할 기술	전환에서 확인할 의존성
웹·API 연결	TLS와 인증서	클라이언트·프록시·서버
원격·장비 연결	VPN·SSH·장비 인증	게이트웨이·기기·관리 체계
배포 산출물	코드·펌웨어 서명	빌드·검증기·장기 설치 장비
저장·백업	데이터와 키 보호	보존기간·키 포장·복구
외부 거래	상대와의 암호 규약	계약·상호운용·전환 일정

알고리즘 이름뿐 아니라 소유자·라이브러리·교체 권한·지원 종료일·데이터 수명을 남깁니다. 공통 라이브러리를 바꾸면 해결되는 경로와 장비 교체가 필요한 경로를 나누어야 계획이 현실적입니다.

9장 장기 데이터와 짧은 세션을 다르게 평가한다#

짧게 사용하고 공개되는 데이터와 장기간 비밀로 보존해야 하는 데이터의 우선순위는 다를 수 있습니다. 보존기간·유출 영향·키 설정 방식·현재 노출 가능성을 결합해 판단합니다. 단지 트래픽 양이 많은 시스템이 가장 먼저 전환해야 한다는 뜻은 아닙니다.

기존 암호문은 새 알고리즘의 배포만으로 바뀌지 않습니다. 저장 데이터의 재암호화와 키 포장 변경, 새 연결의 키 설정 전환을 별도 작업으로 관리해야 합니다.

10장 하이브리드 구성에서 임의의 조합을 피한다#

기존 방식과 PQC를 함께 사용하더라도 결합 규칙·협상·인증·실패 처리가 맞아야 합니다. 두 결과를 단순히 붙여 자체 키를 만드는 방식은 프로토콜의 검증을 대신하지 않습니다. 지원되는 정해진 구성과 상호운용 시험을 사용합니다.

기존 키 설정 지원 확인
PQC 구성과 파라미터 확인
정해진 비밀 결합과 인증 규약 확인
실패·협상·다운그레이드 시험
클라이언트와 중간 장비의 호환성 시험

11장 성능은 메시지 크기와 장비 한도까지 측정한다#

암호 연산 시간만 측정하면 네트워크·프록시·메모리의 영향을 놓칠 수 있습니다. 연결당 바이트, 핸드셰이크 분할, 최대 인증서·서명 길이, 동시 연결·CPU·메모리를 함께 비교합니다. 실제 기기와 운영 경로에서 수행해야 합니다.

정상 이용자의 지연·실패율과 공격자가 반복 연결을 만들 때의 비용도 측정합니다. 예외나 실패가 구형 알고리즘을 무제한 허용하는 우회 경로가 되지 않게 합니다.

12장 전환을 작은 범위에서 시작한다#

flowchart TB
 I["암호 자산 조사"] --> P["데이터 수명과 영향으로 우선순위"]
 P --> T["시험 환경의 상호운용·성능 검증"]
 T --> C["제한된 배포와 관찰"]
 C --> E["대상 확대"]
 E --> R["구형 방식 종료와 잔여 의존성 정리"]

검증을 마친 경로를 제한된 대상에 적용하고 실패 원인·상대 지원·롤백을 관찰합니다. 장기 장비의 업데이트와 외부 상대 일정은 별도 계획으로 두어 일괄 전환 선언 뒤 실제 미전환 경로가 남는 일을 피합니다.

13장 PQC와 QKD는 다른 도입 문제다#

PQC는 일반 컴퓨터에서 사용하는 암호 알고리즘을 바꾸는 접근입니다. QKD는 양자 채널과 통신 인프라 조건이 관련된 키 분배 접근입니다. 이름에 양자가 들어간다는 이유로 같은 제품군이나 대체 옵션으로만 비교하면 안 됩니다.

전환의 완료는 암호를 지원한다고 표시한 상태가 아니라 실제 경로·데이터·검증자·복구가 작동하고 구형 의존성을 관리하는 상태로 정의해야 합니다.

14장 적용 사례와 운영 방법#

먼저 인증서, 통신 라이브러리, 서명 검증기, HSM과 장기 보관 암호문의 목록을 만듭니다. 오랫동안 비밀이어야 하는 데이터는 지금 수집한 암호문을 미래에 해독하는 위험을 고려합니다. 프로토콜이 지원하는 전환 방식으로 호환성·키 및 서명 크기·지연·복구를 측정하고 알고리즘 교체가 쉬운 암호 민첩성을 확보합니다.

15장 PQC 전환 순서#

flowchart LR
 A["암호 자산 목록"] --> B["비밀 유지 기간·위험"]
 B --> C["프로토콜·구현 확인"]
 C --> D["호환성·성능·복원 시험"]
 D --> E["단계적 전환·모니터링"]

16장 PQC는 알고리즘 교체와 시스템 전환을 함께 뜻한다#

ML-KEM은 키 캡슐화, ML-DSA와 SLH-DSA는 전자서명 표준입니다. KEM을 서명 자리에 넣거나 서명을 데이터 암호화에 넣을 수 없습니다. 양자 위협의 검토에서도 공개키 기반 키 설정·서명과 대칭키·해시의 영향은 구분해야 합니다. NIST 표준 이름과 과거 제출 알고리즘 이름이 비슷해도 구현 버전과 파라미터를 확인해야 합니다.

전환의 시작은 암호 자산 목록입니다. TLS, VPN, 인증서, 코드 서명, 문서 서명, 백업의 보존기간을 조사하고 라이브러리·장비·거래 상대의 지원을 연결합니다. 오래 비밀로 남아야 하는 데이터는 현재 수집된 암호문이 미래에 복호화되는 위험을 별도로 평가합니다.

17장 먼저 검증할 전환 시험#

시험 환경에서는 핸드셰이크 크기, 지연, CPU·메모리, 인증서·서명 크기, 장비의 메시지 한도를 측정합니다. 알고리즘 이름만 바꿔도 중간 프록시나 오래된 클라이언트에서 호환성 문제가 생길 수 있습니다. 하이브리드 구성은 비밀의 결합 방식과 협상 규칙이 정해진 프로토콜을 따라야 하며 자체 조합은 피합니다.

배포에는 버전 표시, 실패 관찰과 롤백을 준비하되 임의로 약한 방식으로 내려가는 경로는 통제합니다. 최종 표준화, 프로토콜 지원, 제품 검증을 각각 다른 단계로 기록해야 도입 완료를 과장하지 않을 수 있습니다.

18장 적용 전 확인할 사항#

키 설정·서명·대칭키 사용처를 별도로 조사한다
데이터 비밀 유지 기간과 전환 소요 기간을 비교한다
검증된 프로토콜 구현으로 전환과 롤백을 시험한다

19장 자주 묻는 질문#

PQC를 적용하면 상대 인증까지 자동으로 해결되나요?#

키 캡슐화 자체는 상대의 신원을 보증하지 않습니다. 인증서·서명 또는 기존 신뢰 체계와 결합해 인증된 키 설정을 구성해야 합니다.

PQC는 양자컴퓨터에서 실행하는 암호인가요?#

일반 컴퓨터에서 구현하며 양자 공격도 고려하도록 설계한 암호입니다. 양자 채널을 사용하는 QKD와 구분해야 합니다.

ML-KEM 도입만으로 과거의 모든 암호문도 보호되나요?#

이미 저장된 암호문과 기존 키 설정은 자동으로 바뀌지 않습니다. 새 연결의 보호와 보존 데이터의 재암호화·키 관리 계획을 나누어 검토해야 합니다.