양자 컴퓨팅 시대가 다가오고 있으며, 이는 우리의 데이터와 통신, 인프라를 보호하는 암호화 체계를 근본적으로 뒤흔들 것입니다. 지금이 바로 대비를 시작해야 할 때입니다. 포스트 양자 암호화(PQC)를 다루는 총 6부작 블로그 시리즈에서 F5의 암호화 분야 전문가들이 어떤 위험이 있는지, 어떤 기회가 기다리고 있는지, 그리고 포스트 양자 시대에도 보안을 유지하기 위해 조직이 지금부터 어떤 조치를 취할 수 있는지 설명합니다. 미래는 생각보다 가까이 와 있습니다. 함께 준비해 나갑시다.
2015년 미국 국가안보국(NSA)은 “아직 Suite B 타원 곡선 알고리즘으로 전환하지 않은 파트너와 공급업체에는 현시점에서 전환에 상당한 비용을 지출하지 말고, 대신 향후 양자 내성 알고리즘으로의 전환에 대비할 것을 권고한다”고 밝히면서, 업계가 널리 사용되던 리베스트-샤미르-애들먼(RSA) 암호 체계에서 타원 곡선 암호(ECC)로 전환하는 과정에 제동을 걸었습니다.
그 이후 RSA와 ECC를 무력화할 수 있는 양자 컴퓨터가 정확히 언제 등장할지를 두고 많은 전망과, 솔직히 말해 추측이 제기되어 왔습니다. 그중에는 널리 사용되는 암호 체계가 2026년까지 무력화될 확률이 7분의 1이라는 주장과 2031년까지 쓸모없게 될 확률이 50%라는 주장도 있습니다.
최근에는 Microsoft 최고경영자 사티아 나델라가 100만 큐비트 프로세서의 실현이 머지않았다고 주장했습니다. Microsoft를 비롯해 IBM, Google, AWS와 같은 하이퍼스케일러들은 양자 연구를 선도하고 있으며, 각자의 클라우드 플랫폼에서 샌드박스를 제공하고 있습니다. F5 Labs는 2025년 사이버 보안 전망 기사에서 암호화를 직접 해독할 수 있는 양자 컴퓨팅이 당장 등장하지 않더라도, 2025년에는 AI를 활용해 기존 암호 체계를 무력화하려는 시도가 나타날 것이라고 지적합니다.
Post-quantum cryptography는 모든 산업과 지역에 영향을 미칠 것입니다.
우리는 예측 곡선을 잘 다루지 못합니다
“Q-Day”가 임박했습니다. 정확한 시점은 불분명합니다. 보안 업계가 예측을 내놓은 것이 이번이 처음은 아니지만, 업계의 선도적 전문가들과 규제 기관들이 선제적으로 대비하려는 주목할 만한 사례입니다.
2000년, Salesforce는 최초로 공개 API를 출시했습니다. 2019년에는 OWASP(Open Worldwide Application Security Project)가 최초의 API 보안 프로젝트를 발표했습니다. 범용 인공지능(AGI)이 실현될 시점에 대해서는 여러 전망(2040년에서 2070년 사이)이 제시되어 왔지만, 생성형 AI의 급속한 성장과 양자 컴퓨팅의 발전으로 인해 이러한 전망이 맞을지에 대한 의구심이 커지고 있습니다. 즉, 실제 실현 시점은 훨씬 더 빨라질 가능성이 높습니다.
이 시리즈의 첫 번째 블로그에서 언급했듯이, ‘지금 수집하고 나중에 복호화하는’ 위협은 현실이며, 미국 국립표준기술연구소(NIST)는 이미 양자 내성 알고리즘에 관한 지침을 발표하고 있습니다.
Q-Day는 웹 앱, API, 상호 연결된 AI 생태계를 비롯한 모든 보안 영역에 영향을 미칠 것입니다.
그렇다면 산업별 현황은 어떨까요?
양자 컴퓨팅은 공격자가 전력망, 금융 네트워크, 정부 시스템 및 통신 네트워크를 더욱 정교하게 표적으로 삼을 수 있게 합니다. 의료 및 전자상거래를 비롯한 많은 산업은 규정 준수 요건에 따라 강력한 암호화 기술을 도입하는 등의 방법으로 민감한 고객 정보를 보호해야 합니다.
이러한 분야의 대규모 조직은 양자내성암호(PQC)를 지원하도록 개조해야 할 자산을 3천만 개 이상 보유하고 있습니다. 현대 암호화를 무력화할 수 있는 양자 컴퓨터가 등장하면 모든 기업이 위험에 처하게 되며, 특히 지식 재산, 의료 기록, 금융 거래 또는 국가 안보 관련 정보를 다루는 기업은 더욱 큰 위험에 노출됩니다.
F5 Labs 연구에 따르면 상위 100만 개 웹사이트 중 대다수가 TLS 1.3을 선호해 PQC를 지원할 가능성이 있지만, 인기가 낮은 웹사이트일수록 지원 수준이 급격히 떨어집니다. Safari는 아직 PQC를 지원하지 않아 클라이언트 측 준비 상태 분석 결과가 크게 왜곡됩니다. 그 영향은 웹 트래픽을 훨씬 넘어서는 것이지만, 이는 업계의 준비 상태를 보여주는 중요한 지표입니다.
업계는 PQC 도입을 향해 진전을 이루었지만, 여전히 뒤처져 있습니다.
현실적으로 업계에서 가장 발 빠르게 움직이는 기업들조차 PQC 지원을 이제 막 시작한 수준에 불과해, 온라인 세계 전체가 극도로 취약한 상태에 놓여 있습니다. 특히 핵심 인프라의 상당 부분을 차지하며 가장 기밀성이 높고 민감한 데이터를 다룬다고 할 수 있는 금융 기관, 의료 기관, 통신 사업자 및 정부 기관은 PQC를 지원하는 사이트의 비율이 낮습니다.
은행 업계는 PQC 도입률이 놀라울 정도로 낮은 분야로, 확인된 145개 은행 중 단 4곳(2.9%)만이 포스트 양자 암호를 지원합니다. 분석된 상위 100만 개 사이트 가운데 의료 분야 사이트의 약 8.5%, 정부 사이트의 7.1%가 PQC를 지원합니다.
기술 부문은 상황이 조금 나은 편으로, 약 12%의 사이트가 PQC를 지원합니다. 소규모 조직은 웹 호스팅이나 SaaS 플랫폼을 도입할 가능성이 더 높으며, 이를 통해 PQC 지원을 비롯해 해당 플랫폼이 제공하는 모든 보안 제어 기능을 활용할 수 있습니다.
인식이 핵심입니다(말장난은 의도하지 않았습니다…)
API의 확산과 생성형 AI의 부상이 보안 업계의 주요 화두였지만, 이제는 PQC 대비를 이사회 차원의 의제로 격상해야 합니다. 급변하는 지정학적 환경에서 위험 관리를 부서별로 분리해 수행하는 것은 실패를 자초하는 일입니다. PQC는 보안 부서만의 업무가 아니므로 경영진이 주도적으로 나서야 합니다. 애플리케이션, 인프라, 보안 및 위험 관리 팀 모두가 PQC 개념과 마이그레이션 전략에 관한 교육과 훈련을 받아야 합니다. 주요 이해관계자와 연구진은 모범 사례와 테스트 랩을 활용해 PQC 표준, 공격 기법 및 성능 개선 동향을 지속적으로 파악해야 합니다.
업계는 중추적인 역할을 담당하며 대학 및 공급업체와 협력해야 합니다. 예를 들어, 중앙 집중식 인프라와 내부 인증 기관을 갖추고 공급업체와 긴밀한 관계를 유지하는 서비스 제공업체는 더 큰 PQC 키와 서명으로 인한 추가 부담을 효과적으로 관리할 수 있는 유리한 위치에 있습니다. 이러한 네트워크는 새롭게 등장하는 PQC 알고리즘을 신속하게 도입하고, 도입이 뒤처진 조직을 가늠하는 시험대 역할을 할 수 있습니다.
준비성과 민첩성의 균형
인벤토리 파악은 매우 중요하며, 위험을 평가하고 우선순위를 정하려면 수동 및 자동화된 접근 방식을 모두 활용해야 합니다. 재무, 평판 및 고객 데이터와 관련된 기술 요소에 중점을 두는 것이 자연스럽습니다.
PQC는 적절한 거버넌스, 새로운 알고리즘 평가, 공급업체 평가, 규제 프레임워크 준수, 보안 프로그램의 준비 태세를 보장하기 위해 지속적인 유지 관리가 필요합니다.
F5 Application Delivery and Security Platform (ADSP)은 PQC를 지원할 준비가 되어 있습니다.
기존 알고리즘과 포스트 양자 알고리즘을 결합한 하이브리드 암호 스위트는 기존 컴퓨팅과 양자 컴퓨팅을 이용한 공격 모두로부터 보안을 제공합니다. 최신 암호화 방식과 표준을 유지하는 CDN, SaaS 또는 애플리케이션 전송 컨트롤러(ADC) 플랫폼을 통해 애플리케이션을 제공하고 보호하는 조직은 Q-Day에 효과적으로 대비할 수 있습니다. 그 밖의 조직은 노출 위험을 신속하게 파악하고 이에 맞춰 대비 방안을 수립해야 합니다.
PQC 도입은 단순한 양자택일의 결정이 아니라 기술, 성능, 상호 운용성, 그리고 각 산업 및 관련 사용 사례의 요구 사항을 바탕으로 점진적으로 전환해 나가는 과정입니다.
통합 플랫폼은 강력한 PQC 지원과 AI, 자동화, 분석 및 프로그래밍 기능을 통해 운영 부담을 줄이는 고도화된 XOps 역량을 바탕으로, 어떤 환경에서든 앱, API 및 AI 워크로드를 안전하게 제공할 수 있도록 지원합니다.
자세한 내용은 F5의 PQC 대비 솔루션을 확인하세요.
그리고 PQC 표준과 도입 일정에 대해 설명할 이 시리즈의 다음 블로그 게시물도 기대해 주세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.