Quantum Computing Threats to Modern Cryptography: Readiness Assessment and Post-Quantum Security Framework

개요: "시간 여행하는 도둑" 문제

당신에게 아주 튼튼한 자물쇠로 잠긴 일기장이 있다고 상상해 보세요. 당신은 오늘 아무도 이 자물쇠를 딸 수 없다고 확신합니다. 하지만 실험실에서는 새로운 종류의 "슈퍼 도구"가 제작되고 있습니다. 아직 완성되지는 않았지만, 전문가들은 약 10년에서 15년 뒤면 완성될 것이라고 말합니다.

무서운 점은 이것입니다: 도둑들은 이미 오늘 당신의 일기장을 훔치고 있습니다. 그들은 아직 일기장을 열려고 시도하지 않습니다. 왜냐하면 아직 열 수 없기 때문입니다. 대신, 그들은 일기장을 훔쳐서 창고에 보관한 뒤, 그 슈퍼 도구가 완성될 때까지 기다리고 있습니다. 일단 도구가 완성되면, 그들은 당신의 일기장을 열어 그 안의 모든 내용을 읽을 것입니다.

이것을 "지금 수집하고, 나중에 해독한다(Harvest Now, Decrypt Later)" 위협이라고 부릅니다. 이 논문은 정부 기밀, 의료 기록, 또는 기업의 영업 비밀처럼 오랫동안 안전하게 유지되어야 하는 비밀의 경우, 슈퍼 도구가 도착할 때까지 기다리는 것은 너무 늦다고 주장합니다. 도둑들이 도구를 완성하기 전에, 즉 지금 당장 자물쇠를 바꿔야 합니다.

문제점: 우리의 현재 자물쇠는 구식입니다

이 논문은 우리가 오늘날 사용하는 거의 모든 디지털 자물쇠(은행 계좌, 이메일, 온라인 쇼핑 등을 보호하는 것들)가 일반 컴퓨터로는 풀기 어려운 수학 문제에 기반하고 있다고 설명합니다.

• 비유: 현재의 이러한 자물쇠를 **기계식 패들락(자물쇠)**이라고 생각하십시오. 인간이 드라이버를 들고 공격하는 것(일반 컴퓨터)에는 효과적입니다.
• 위협: 새로운 "슈퍼 도구"(양자 컴퓨터)는 레이저 커터와 같습니다. 그것은 저 기계식 패들락을 몇 초 만에 잘라버릴 수 있습니다.
• 현실: 논문에 따르면, 오늘날 대기업들이 사용하는 시스템의 **94%**가 여전히 이러한 "기계식 패들락"을 사용하고 있습니다. 이들은 미래의 레이저 커터에 취약합니다.

연구: 기업들은 얼마나 준비되어 있는가?

저자들(Sakir Alim 및 Nitin Bodade)은 다음과 같은 질문을 던졌습니다: 기업들은 실제로 이 오래된 자물쇠를 새것으로 교체할 준비를 하고 있는가?

그들은 16개국에서 온 38명의 보안 전문가에게 질문을 던졌고, 5개의 대기업(금융, 의료, 국방 등 분야)을 조사했습니다.

나쁜 소식:

• 준비된 곳이 매우 적음: 자물쇠를 바꾸기 위한 공식적인 계획을 시작한 조직은 12% 미만입니다.
• "번역"의 격차: 보안 전문가들은 위험을 알고 있지만, 경영진(이사회)은 이해하지 못합니다. 전문가는 "양자 수학"을 말하고, 경영진은 "돈과 리스크"를 말합니다. 논문은 이를 **"번역 실패(Translation Failure)"**라고 부릅니다. 이는 마치 정비사가 CEO에게 "엔진을 핵융합 반응기로 교체해야 합니다"라고 말하는데, CEO는 단지 "그건 너무 비싸고 15년 뒤에는 필요 없을 수도 있잖아"라고 듣는 것과 같습니다.
• 인벤토리(목록)의 혼란: 기업들은 자신들이 가진 자물쇠가 어디에 있는지조차 모릅니다. 그들은 수십 년간 쌓아온 소프트웨어를 가지고 있으며, 어떤 것이 오래되고 약한 자물쇠를 사용하는지에 대한 목록도 가지고 있지 않습니다. 볼 수 없는 것은 고칠 수 없습니다.

해결책: QRSA 프레임워크

이를 해결하기 위해 저자들은 **양자 내성 보안 아키텍처(QRSA)**라는 로드맵을 만들었습니다. 이것을 지진에 견딜 수 있도록 집을 개보수하는 3단계 계획이라고 생각하십시오.

1. 1단계: 모든 것을 사진 찍듯 파악하기 (자산 가시성)
   집을 고치기 전에 모든 문과 창문이 어디에 있는지 알아야 합니다. 논문은 **"암호화 자재 명세서(CBOM)"**를 만드는 것을 제안합니다. 이것은 회사가 사용하는 모든 자물쇠, 열쇠, 보안 프로토콜에 대한 쇼핑 목록과 같습니다. 목록을 만들지 않은 것은 업그레이드할 수 없습니다.

2. 2단계: 위험도에 따라 방 나누기 (리스크 계층화)
   모든 방에 똑같은 수준의 보호가 필요한 것은 아닙니다.

   • 1등급 (레드 존): 금괴가 들어있는 금고 (매우 민감한 데이터). 이것부터 먼저 고치십시오.
   • 4등급 (그린 존): 정원의 창고 (낮은 위험의 데이터). 이것은 나중에 고쳐도 됩니다.
     논문은 창고를 고치기 전에 금고를 고치는 데 돈을 낭비하지 않도록 데이터를 이렇게 분류할 것을 제안합니다.

3. 3단계: "하이브리드" 개보수 (이전 아키텍처)
   오래된 자물쇠를 모두 뜯어내고 하룻밤 사이에 새 자물쇠를 설치할 필요는 없습니다. 그러면 집이 망가질 수 있습니다.

   • 하이브리드 접근 방식: 새로운 "양자 내성" 자물쇠를 기존의 자물쇠와 함께 설치하십시오.
   • 이점: 기존 자물쇠가 뚫리더라도 새로운 자물쇠가 버텨줍니다. 또한 새로운 자물쇠에 버그가 생기더라도 기존 자물쇠가 버텨줍니다. 이는 개보수를 마치는 동안 집을 안전하게 유지해 줍니다.

새로운 자물쇠 (PQC)

논문은 미국 정부(NIST)가 이미 새로운 "양자 내성" 자물쇠를 설계했다고 언급합니다. 이것들은 다른 수학(예: 격자 문제)에 기반하고 있어 슈퍼 도구조차 쉽게 깨뜨릴 수 없습니다.

• 함정: 이 새로운 자물쇠들은 조금 더 "무겁습니다" (더 많은 공간과 컴퓨팅 능력을 차지합니다). 이는 스마트 온도 조절기나 의료용 센서와 같은 작은 기기에 설치하기 어렵게 만드는데, 논문은 이를 하나의 장애물로 강조합니다.

어떻게 경영진의 "승인"을 받아낼 것인가

논문에 따르면, 실제로 진전을 보이고 있는 기업들은 두 가지 비밀 무기를 가지고 있었습니다:

1. "크립토 엑설런스 센터(Crypto Center of Excellence)": 이 자물쇠들을 관리하고 교체를 계획하는 데만 전념하는 전담 팀입니다.
2. "돈의 언어"로 말하기: "양자 컴퓨터가 옵니다"라고 말하는 대신, 그들은 재무적 손실을 계산했습니다. 그들은 이사회에 이렇게 말했습니다: "만약 우리가 교체하지 않는다면, 10년 후에 도둑들이 우리 데이터를 가져갔을 때 X백만 달러를 잃게 될 것입니다." 리스크가 달러(돈)로 보여질 때, 이사회는 귀를 기울입니다.

논문의 주장 요약

• 위협은 지금 실재합니다: "지금 수집하고, 나중에 해독한다"는 위협 때문에, 양자 컴퓨터가 만들어질 때까지 기다리는 것은 실수입니다.
• 우리는 준비가 되어 있지 않습니다: 대부분의 기업은 자신들이 무엇을 가지고 있는지조차 모르며, 해결할 계획도 거의 없습니다.
• 장벽은 의사소통입니다: 가장 큰 문제는 기술이 아니라, 돈을 쓰는 사람들에게 리스크를 설명하는 것입니다.
• 해결책은 존재합니다: 우리에게는 새로운 자물쇠(NIST 표준)가 있고, "하이브리드" 방식으로 안전하게 교체할 수 있는 계획(QRSA 프레임워크)이 있습니다.
• 행동이 필요합니다: 기업들은 내일이 아니라 바로 오늘부터 자신들의 자물쇠 목록을 작성하기 시작해야 합니다.

논문은 오래된 자물쇠가 여전히 작동하는 지금, 이 "개보수"를 시작하는 조직만이 "슈퍼 도구"가 마침내 도착했을 때 안전할 것이라고 결론짓습니다.