On the Energy Cost of Post-Quantum Key Establishment in Wireless Low-Power Personal Area Networks

1. 문제 정의 (Problem Statement)

• 양자 컴퓨팅의 위협: 대규모 양자 컴퓨터의 등장으로 RSA 및 타원곡선 암호 (ECC) 와 같은 기존 공개키 암호 체계가 위협받고 있으며, NIST 를 중심으로 양자 내성 암호 (PQC) 표준화가 진행 중입니다.
• 저전력 PAN 의 한계: PQC 알고리즘 (예: ML-KEM, ML-DSA) 은 기존 암호에 비해 공개키와 암호문 크기가 수십 배에서 수백 배 더 큽니다.
• 에너지 및 통신 과부하: 저전력 개인 영역 네트워크 (PAN, 예: BLE) 는 엄격한 에너지 예산과 제한된 대역폭을 가집니다. PQC 의 거대한 페이로드 (payload) 는 다음과 같은 심각한 문제를 초래합니다.
  • 심각한 패킷 분할 (Fragmentation): 작은 링크 레이어 프레임에 큰 데이터를 실어야 하므로 패킷이 여러 개로 분할됩니다.
  • 증가된 라디오 활동: 분할된 패킷 전송, ACK(확인응답), 인터프레임 간격 (IFS) 으로 인해 라디오가 더 오래 켜져 있어야 합니다.
  • 통신 비용의 우세: 기존 연구는 주로 암호 연산 (계산) 비용에 집중했으나, 저전력 환경에서는 통신 오버헤드가 계산 비용보다 에너지 소비의 주된 원인이 될 수 있다는 점이 간과되어 왔습니다.

2. 연구 방법론 (Methodology)

• 플랫폼: 대표적인 저전력 스택인 Bluetooth Low Energy (BLE) 를 사용하여 양자 내성 키 교환 (PQKE) 을 구현하고 평가했습니다.
• 알고리즘: NIST 표준화된 ML-KEM (CRYSTALS-Kyber 기반) 을 사용하며, 보안 수준 1, 3, 5 에 해당하는 ML-KEM-512, 768, 1024 를 평가했습니다.
• 실험 설정:
  • 하드웨어: Nordic nRF52840 개발 키트와 Nordic Power Profiler Kit II (PPK2) 를 사용하여 100kHz 샘플링률로 정밀한 에너지 소비를 측정했습니다.
  • 프로토콜: BLE ATT 레이어를 통해 키 교환을 수행하고, 다양한 ATT MTU 크기와 링크 레이어 (LL) PDU 크기 (기본값 27 바이트 vs DLE 활성화 시 큰 크기) 를 조합하여 실험했습니다.
• 모델링 및 검증:
  • 이론적 모델: 암호 연산 (사이클 수 기반) 과 통신 (공중 시간, 전류, 전압 기반) 에 대한 에너지 모델을 수립했습니다.
  • 실측 보정: 이론적 모델과 실제 하드웨어 측정치 사이의 오차 (OS 스케줄링, 메모리 접근 등 2 차 비용) 를 분석하여 보정 계수 ($\gamma$) 를 도출했습니다.

3. 주요 기여 (Key Contributions)

1. 측정 기반 PQKE 비용 특성화: 실제 하드웨어를 사용하여 다양한 보안 수준과 프로토콜 구성 하에서 계산 및 통신 에너지를 정량화했습니다.
2. 우세한 비용 요소의 식별: PQC 키 교환에서 통신 측 효과 (패킷 분할, ACK, 라디오 활동) 가 암호 계산 비용을 능가하여 전체 에너지 소비의 주된 원인이 될 수 있음을 증명했습니다. 이는 기존 연구가 간과했던 부분입니다.
3. 설계 가이드라인 및 적용 가능성: 에너지 최적 링크 파라미터 선택을 위한 지침을 제시하고, BLE 의 결과를 다른 저전력 PAN 기술 (IEEE 802.15.4 등) 로 확장 가능한 모델링 원리를 제시했습니다.

4. 주요 결과 (Key Results)

• 통신 비용의 지배적 영향:
  • 최적화되지 않은 링크 설정 (작은 LL PDU) 에서 통신 에너지가 전체 PQKE 에너지의 57%~63% 를 차지했습니다.
  • 반면, 계산 비용은 보안 수준이 높아질수록 선형적으로 증가하지만, 통신 비용은 암호 파라미터보다는 패킷 분할 정도에 더 민감하게 반응합니다.
• DLE (Data Length Extension) 의 효과:
  • 링크 레이어 분할을 줄이기 위해 DLE 를 활성화하면, 전체 PQKE 에너지가 25%~34% 감소했습니다.
  • 분할이 제거된 환경에서는 계산 비용이 상대적으로 더 큰 비중을 차지하게 되지만, 전체적으로는 통신 오버헤드 감소가 가장 큰 효과를 냅니다.
• 에너지 비용 비교:
  • 기존 ECDH (P-256) 기반 페어링에 비해 PQKE 는 약 2.5 배에서 8.5 배 더 많은 에너지를 소비합니다.
  • 단일 1kB 페이로드 전송 시, 페어링 (키 설정) 단계가 전체 세션 에너지의 대부분을 차지하며, PQC 사용 시 이 비용이 급격히 증가합니다.
• 보정 계수 도출: 이론적 모델과 실제 측정치를 일치시키기 위해 계산 및 통신 에너지에 각각 약 1.1~1.6 배의 보정 계수가 필요함을 확인했습니다.

5. 의의 및 시사점 (Significance & Implications)

• 크로스레이어 최적화의 필요성: 양자 내성 보안의 실현 가능성은 암호 알고리즘 자체의 효율성보다는 대용량 암호 데이터를 무선 링크를 통해 얼마나 효율적으로 전송하느냐에 달려 있습니다. 따라서 암호학, 프로토콜 설계, 라디오 구성을 아우르는 크로스레이어 최적화가 필수적입니다.
• 프로토콜 구성의 중요성: 저전력 장치에서 PQC 를 도입할 때는 고정된 설정이 아닌, 키 교환 단계 동안만 링크 레이어 파라미터 (MTU, PDU 크기) 를 최적화하여 분할을 최소화하는 전략이 필요합니다.
• 보안과 에너지의 트레이드오프: 개발자는 장치의 에너지 예산에 따라 보안 수준 (ML-KEM-512 vs 1024) 을 선택할 수 있어야 합니다. 본 연구의 정량적 모델을 통해 특정 구성에서의 에너지 증가분을 예측할 수 있습니다.
• 차세대 PAN 표준에 대한 영향: BLE 와 같은 연결 중심 프로토콜뿐만 아니라, 충돌 기반 (Contention-based) 프로토콜 (BLE Mesh, IEEE 802.15.4) 에서는 재전송과 채널 접근 오버헤드로 인해 통신 비용이 더욱 치명적일 수 있으므로, PQC 도입 시 이러한 네트워크 특성을 고려한 표준 진화가 필요합니다.

결론적으로, 이 논문은 저전력 무선 네트워크에서 양자 내성 암호 도입 시 '계산'보다 '통신'이 더 큰 병목이 될 수 있음을 실증적으로 증명하고, 이를 해결하기 위한 링크 레이어 최적화와 크로스레이어 설계 전략을 제시했다는 점에서 중요한 의의를 가집니다.