Mind the Gap: Policy vs Reality in Post-Quantum TLS Deployment

인터넷을 모든 메시지가 신뢰할 수 있는 쿠리어(전령)에 의해 전달되는 거대하고 북적이는 도시라고 상상해 보십시오. 여기서 사용자와 웹사이트 사이의 모든 메시지는 특정 종류의 자물쇠인 '공개 키 암호화'를 사용하여 깨지지 않는 강철 금고 안에 잠겨 있습니다. 하지만 '양자 컴퓨터'라고 불리는 새로운 종류의 슈퍼 도구가 만들어지고 있습니다. 만약 이 도구가 충분히 강력해진다면, 그것은 단순히 자물쇠를 따는 수준이 아니라 금고 자체를 녹여버려 지금까지 전송된 모든 비밀 편지를 읽어낼 것입니다. 이러한 미래의 재앙을 막기 위해, 과학자들은 양자 컴퓨터조차 녹일 수 없는 더 강력한 새로운 자물쇠를 발명하고 있습니다. 이것이 바로 '양자 내성 암호(Post-Quantum Cryptography, PQC)'입니다. 정부와 전문가들은 엄격한 설계도와 타임라인을 작성하여, 모두에게 기존의 자물쇠를 새로운 것으로 언제, 어떻게 교체해야 하는지 정확히 지시하고 있습니다. 하지만 여기서 큰 의문이 생깁니다. 사람들이 실제로 이를 수행하고 있을까요? 만약 하고 있다면, 그들은 설계도를 따르고 있을까요, 아니면 그저 임기응변으로 대처하고 있는 것일까요?

"Mind the Gap: Policy vs Reality in Post-Quantum TLS Deployment"라는 제목의 이 논문은 마치 거대하고 첨단 기술이 집약된 탐정 소설과 같습니다. 저자들은 사람들에게 자물쇠를 바꾸고 있는지 단순히 물어본 것이 아닙니다. 그들은 100만 개의 웹사이트를 대상으로 20억 건의 디지털 핸드셰이크(웹사이트와 사용자가 자물쇠를 합의하는 순간)를 직접 조사했습니다. 그들은 현실 세계가 정부의 엄격한 계획과 일치하는지 확인하고 싶었습니다.

연구 결과는 다음과 같으며, 여기에는 약간의 반전이 있습니다.

위대한 수렴: 모두가 같은 열쇠를 선택했다
정부들은 다양한 종류의 새로운 자물쇠를 선택할 수 있도록 복잡한 지도를 그려 놓았습니다. 어떤 국가는 "이 특정 크기를 사용하라!"고 했고, 다른 국가는 "다른 것을 시도하라!"고 했습니다. 그들은 다양하고 혼합된 솔루션이 나타날 것이라 예상했습니다. 하지만 현실은 놀라울 정도로 단조로웠습니다. 새로운 자물쇠로 교체한 거의 모든 이들이 정확히 똑같은 것을 선택했습니다. 이는 마치 시의회가 모든 사람에게 독특한 디자인의 집을 지으라고 말했지만, 검사관들이 도착했을 때 99%의 집이 정확히 똑같은 설계도로 지어진 것과 같습니다. 구체적으로, 업그레이드를 완료한 웹사이트 중 거의 절반이 단 하나의 '하이브리드' 자물쇠(기존 자물쇠와 X25519MLKEM768이라 불리는 새로운 자물쇠의 혼합형)를 사용하고 있었습니다. 이 논문은 다양한 옵션이 존재하는 생태계 대신, 인터넷이 빠르게 단 하나의 표준으로 수렴하고 있음을 시사합니다.

보이지 않는 설계자들: 당신이 아니라 그들 때문이다
여러분은 은행이나 뉴스 사이트 같은 웹사이트 운영자들이 정부의 경고를 읽고 필사적으로 자물쇠를 바꾸고 있다고 생각할지도 모릅니다. 이 논문은 그것이 대체로 틀렸다고 주장합니다. 진짜 영웅(혹은 관점에 따라 악당)은 클라우드플레어(Cloudflare)나 패스트리(Fastly)와 같이 인터넷의 '집주인' 역할을 하는 거대 인프라 기업들입니다. 이 기업들은 한 번에 수천 개의 웹사이트를 호스팅합니다. 이들이 새로운 자물쇠를 설치하기 위해 스위치를 올렸을 때, 새로운 자물쇠를 사용하는 전체 웹사이트의 거의 70%를 업그레이드했습니다. 논문은 대부분의 개별 웹사이트 소유자들이 아직 아무것도 하지 않았으며, 단지 호스팅 제공업체가 대신 작업을 해주었기 때문에 그 혜을 입고 있을 뿐이라고 보여줍니다. 만약 여러분이 작은 웹사이트를 운영한다면, 정부가 지시했더라도 아마 아직 자물쇠를 바꾸지 않았을 것입니다.

'정부'의 격차
정부들은 특히 정부 서비스, 의료, 금융과 같은 민감한 분야에 대해 엄격한 마감 기한을 설정했습니다. 그들은 이 분야들이 가장 먼저 업그레이드할 것이라고 예상했습니다. 그러나 논문은 정반대의 결과를 발견했습니다. 이커머스나 소셜 네트워크 같은 인기 있는 소비자 사이트들은 호스팅 제공업체 덕분에 빠르게 업그레이드하고 있는 반면, 정부 웹사이트와 의료 서비스는 훨씬 뒤처져 있었습니다. 실제로 일부 국가에서는 정부 웹사이트의 7% 미만이 교체를 완료했습니다. 이 논문은 정부의 엄격한 타임라인과 분야별 우선순위가 실제 현장에서 일어나는 일과 일치하지 않는다는 점을 시사합니다. '긴급한' 분야들이 오히려 가장 느리게 변화하고 있습니다.

좋은 소식: 속도를 늦추지 않는다
오랫동안 사람들은 이 새로운, 더 강력한 자물쇠들이 너무 무겁고 부피가 커서 인터넷 속도를 늦출까 봐 걱정해 왔습니다. 이는 마치 더 튼튼한 문을 새로 달았는데, 문을 여는 데 시간이 너무 오래 걸려 버스를 놓칠까 봐 걱정하는 것과 같았습니다. 논문은 이를 면밀히 측정했고, 인터넷 전체 규모에서 볼 때 이 새로운 자물쇠들이 실제로 속도를 늦추지 않는다는 것을 발견했습니다. 문을 여는 데 걸리는 시간은 기본적으로 동일합니다. 유일한 차이점은 열쇠를 담는 '봉투'가 약간 더 커졌다는 것이지만, 인터넷은 별 탈 없이 그 추가적인 크기를 처리하고 있습니다.

'보안'의 함정
마지막으로, 논문은 자물쇠를 업그레이드하는 것이 집 전체를 더 안전하게 만드는지를 살펴보았습니다. 연구 결과, 웹사이트가 새로운 양자 내성 자물쇠를 갖추었다고 해서 그들이 기존의 취약한 보안 습관까지 모두 버린 것은 아니라는 사실이 밝혀졌습니다. 많은 웹사이트가 자물쇠를 업그레이드했음에도 불구하고, 여전히 다른 방식으로 악용될 수 있는 오래되고 구식인 소프트웨어 기능을 사용하고 있었습니다. 이는 마치 집에 티타늄 금고 문을 달았지만, 여전히 종이로 만든 방충망 문을 그대로 두고 있는 것과 같습니다. 이 논문은 자물쇠를 업그레이드하는 것이 단지 한 단계일 뿐이며, 그것이 자동으로 나머지 보안 시스템을 고쳐주는 것은 아니라고 제언합니다.

결론
논문은 인터넷이 진전을 보이고는 있지만, 정책이 말하는 바와 실제로 일어나고 있는 일 사이에는 거대한 격차가 있다고 결론짓습니다. 전환은 개별 조직보다는 몇몇 거대 기업들에 의해 주도되고 있으며, 특정 영역에서는 예상보다 훨씬 빠르게 진행되고 있습니다. 좋은 점은 새로운 기술이 속도를 늦추지 않고 잘 작동한다는 것입니다. 나쁜 점은 우리가 오직 대기업들에게만 이 작업을 맡긴다면, 작고 독립적인 웹사이트들과 정부 웹사이트라는 '롱 테일(long tail)'은 뒤처지게 되어, 마침내 양자 컴퓨터가 등장했을 때 취약한 상태로 남게 될 것이라는 점입니다. 이 논문은 진정으로 미래를 확보하기 위해서는 단순한 계획 이상의 것이 필요하며, 더 작은 플레이어들이 실제로 작업을 완수할 수 있도록 도와야 한다고 제언합니다.