양자내성암호(PQC)란 무엇인가요? HNDL 위협·NIST 2030 폐지 시한·크립토 애질리티로 본 2026 기업 전환 완전 가이드

양자내성암호(PQC)는 왜 지금 당장 준비해야 하나요?

핵심은 오늘 암호화한 데이터가 오늘 안전한지가 아니라, 10년 뒤에도 안전한지입니다. NIST는 2024년 8월 첫 양자내성암호 표준인 FIPS 203(ML-KEM)·FIPS 204(ML-DSA)·FIPS 205(SLH-DSA)를 확정했고, 이어 발표한 NIST IR 8547 초안에서 RSA-2048과 ECC-256을 2030년 이후 폐지 대상, 2035년 이후 사용 금지로 못 박았습니다. 한국은 2023년 PQC 전환 마스터플랜을 내놓고 2035년까지 국가 주요 정보통신 기반시설에 적용한다는 목표를 세웠으며, KISA는 2026년 통신·금융·교통·국방·우주 5개 분야 시범전환 사업에 총 45억 원, 과제당 최대 9억 원을 투입합니다. 기업 입장에서 남은 시간은 넉넉해 보이지만, 실제로 필요한 것은 알고리즘 교체가 아니라 암호를 언제든 갈아 끼울 수 있는 구조를 만드는 일입니다.

만료일이 2031년인 인증서를 발견한 날
HNDL, 지금 훔쳐 나중에 푸는 공격
양자내성암호(PQC)란 무엇인가
NIST 표준과 한국 kpqC, 무엇이 어떻게 다른가
기업 PQC 마이그레이션 5단계 로드맵
전환에서 실제로 막히는 지점들
FAQ
같이 읽으면 좋은 것들

만료일이 2031년인 인증서를 발견한 날

한 중견 제조사의 보안 진단을 지원하면서 암호 자산 목록을 훑던 중이었습니다. 스크립트를 돌려 사내에서 쓰이는 인증서를 뽑았더니 총 1,800여건이 나왔는데, 그중 유효기간이 2031년까지 걸려 있는 장비 인증서가 40건 넘게 섞여 있었습니다. 공장 자동화 설비에 들어간 임베디드 인증서였고, 발급 당시 담당자는 이미 퇴사한 뒤였습니다.

문제는 만료일이 아니라 교체 가능성이었습니다. 해당 설비는 펌웨어 업데이트 경로가 사실상 막혀 있었고, 암호 알고리즘이 하드웨어 가속기에 고정돼 있었습니다. 알고리즘을 바꾸려면 보드를 갈아야 한다는 결론이 나왔습니다. 그 순간 회의실 분위기가 바뀌었습니다. "2030년까지 시간이 있다"는 인식이 "설비 교체 예산을 지금 편성하지 않으면 늦는다"로 뒤집혔기 때문입니다.

이 경험이 알려주는 것은 명확합니다. PQC 전환의 난이도는 암호 알고리즘 자체가 아니라 그 암호가 어디에 얼마나 깊이 박혀 있는지에 달려 있습니다. 웹 서버 TLS 설정을 바꾸는 일은 며칠이면 끝나지만, 산업 설비와 IoT 단말, 하드웨어 보안모듈에 심긴 암호는 조달 주기 전체를 흔듭니다. 그래서 첫 단계가 언제나 자산 식별인 것입니다.

HNDL, 지금 훔쳐 나중에 푸는 공격

한 줄로 요약하면, 양자 위협은 미래형이 아니라 이미 진행 중인 과거형입니다.

HNDL(Harvest Now, Decrypt Later)은 공격자가 지금 당장은 풀 수 없는 암호문을 대량으로 수집해두었다가, 충분한 성능의 양자 컴퓨터가 등장한 시점에 한꺼번에 복호화하는 전략을 말합니다. 국가 단위 행위자에게 이 전략은 비용 대비 효율이 뛰어납니다. 트래픽을 저장하는 데 드는 비용은 계속 떨어지고, 해독은 나중에 하면 되기 때문입니다.

그래서 위험도를 계산할 때는 세 가지 값을 곱해서 봅니다.

데이터 보존 기간: 이 정보가 몇 년간 비밀로 유지돼야 하는가
전환 소요 기간: 우리 조직이 PQC로 옮기는 데 몇 년이 걸리는가
양자 컴퓨터 도래 시점: 암호학적으로 유의미한 양자 컴퓨터가 언제 나오는가

앞의 두 값을 더한 결과가 세 번째 값보다 크면 이미 늦은 것입니다. 유전체 정보, 장기 계약서, 국방·외교 문서, 금융 거래 원장처럼 20년 이상 비밀이 유지돼야 하는 데이터는 계산할 것도 없이 위험 구간에 들어갑니다. 반대로 수명이 6개월인 세션 키라면 우선순위가 훨씬 낮습니다. 전환 계획을 세울 때 모든 시스템을 동시애 손대려다 실패하는 조직이 많은데, 이 곱셈이 우선순위를 정해줍니다.

양자 컴퓨터의 실제 진척도가 궁금하다면 양자 컴퓨팅(Quantum Computing)이란 무엇인가에서 하드웨어 로드맵을 따로 다뤘습니다.

양자내성암호(PQC)란 무엇인가

양자내성암호(PQC, Post-Quantum Cryptography)는 양자 컴퓨터로도 풀기 어려운 수학 문제를 기반으로 설계된 암호 기술입니다. 격자(lattice) 문제, 다변수 다항식 문제, 해시 기반 서명, 부호 기반 문제 등이 대표적인 토대입니다. 중요한 것은 PQC가 양자 기술이 아니라는 점입니다. 기존과 똑같은 디지털 컴퓨터에서 돌아가는 소프트웨어 암호이며, 그래서 지금 당장 도입할 수 있습니다.

이 지점에서 자주 혼동되는 것이 양자키분배(QKD)입니다. QKD는 광학 장비와 전용 회선을 요구하는 하드웨어 기반 기술이고, PQC는 알고리즘 교체로 해결하는 소프트웨어 기반 접근입니다. 두 기술은 경쟁관계가 아니라 적용 범위가 다릅니다. 인터넷 전 구간을 다뤄야 하는 기업 환경에서 현실적인 선택지는 PQC입니다.

무엇이 깨지고 무엇이 남는가

암호 유형	대표 알고리즘	양자 위협	대응
공개키 암호·키교환	RSA, ECDH	쇼어 알고리즘으로 사실상 무력화	ML-KEM으로 교체
전자서명	RSA 서명, ECDSA	동일하게 무력화	ML-DSA, SLH-DSA로 교체
대칭키 암호	AES-128	그로버 알고리즘으로 강도 절반	AES-256으로 상향
해시	SHA-256	영향 제한적	SHA-384 이상 권장

정리하면 대칭키와 해시는 키 길이를 늘리는 선에서 정리되지만, 공개키 기반 구조 전체는 갈아엎어야 합니다. TLS 핸드셰이크, 코드 서명, VPN, 인증서 체계, 블록체인 서명이 모두 여기에 해당합니다.

NIST 표준과 한국 kpqC, 무엇이 어떻게 다른가

NIST는 8년에 걸친 공모를 거쳐 2024년 8월 세 개의 표준을 확정했습니다. FIPS 203은 키 캡슐화 방식인 ML-KEM, FIPS 204는 격자 기반 서명인 ML-DSA, FIPS 205는 해시 기반 서명인 SLH-DSA입니다. 이후 격자 계열에 의존이 쏠리는 것을 막기 위해 부호 기반의 HQC를 예비 알고리즘으로 추가 선정했습니다. 특정 수학 문제가 깨졌을 때를 대비한 보험입니다.

한국은 별도로 한국형 양자내성암호 공모인 kpqC를 진행해 삼성SDS와 KAIST가 개발한 에이머(AIMer), 크립토랩이 개발한 SMAUG-T와 HAETAE를 최종 선정했습니다. 국내 표준을 따로 두는 이유는 암호 주권 때문입니다. 다만 실무에서는 글로벌 서비스와의 상호운용성을 고려해 NIST 표준을 기본으로 두고 국내 규제 대상 영역에 kpqC를 병행하는 방식이 현실적입니다.

전환 시한은 다음과 같이 잡혀 있습니다.

시점	내용
2024년 8월	NIST FIPS 203·204·205 확정
2030년 이후	RSA-2048·ECC-256 폐지(deprecated) 처리
2035년 이후	해당 알고리즘 사용 금지(disallowed), 한국 기반시설 전환 목표 연도

알고리즘 이름부터 정리해두면 혼선이 줄어듭니다

문서마다 이름이 달라 실무에서 자주 헷갈립니다. 공모 단계의 이름인 Kyber는 표준화되면서 ML-KEM으로, Dilithium은 ML-DSA로, SPHINCS+는 SLH-DSA로 바뀌었습니다. 벤더 자료에 옛 이름이 그대로 남아 있는 경우가 많으니 규격서 번호(FIPS 203·204·205)로 대조하는 편이 안전합니다. 보안 수준도 함께 확인해야 합니다. ML-KEM은 512·768·1024 세 가지 파라미터가 있고, 일반적인 기업 환경에서는 768을 기본값으로 잡는 흐름입니다.

주의할 점은 하이브리드 모드입니다. 기존 알고리즘과 PQC를 함께 쓰는 하이브리드 구성은 2035년 금지 조항에 걸리지 않도록 설계돼 있습니다. 단계적 전환을 하라는 신호이며, 실제로 주요 브라우저와 클라우드 사업자들은 이미 하이브리드 키교환을 기본값으로 켜기 시작했습니다.

기업 PQC 마이그레이션 5단계 로드맵

1단계, 암호 자산 목록(CBOM)을 만듭니다. 어떤 시스템이 어떤 알고리즘과 키 길이를 쓰는지, 인증서 만료일은 언제인지, 하드웨어에 고정돼 있는지를 표로 만듭니다. 코드 스캐닝 도구와 네트워크 트래픽 분석을 병행해야 누락이 줄어듭니다. 이 단계에서 대부분의 조직이 자기가 모르던 암호 사용처를 발견합니다.

2단계, 위험도 기준으로 우선순위를 매깁니다. 앞서 설명한 곱셈, 즉 데이터 수명과 전환 기간을 더한 값으로 줄을 세웁니다. 장기 보존 데이터를 다루는 시스템, 외부에 노출된 통신 구간, 교체 주기가 긴 하드웨어가 앞쪽에 옵니다.

3단계, 크립토 애질리티(Crypto Agility)를 확보합니다. 이번 전환의 진짜 목표입니다. 암호 알고리즘을 애플리케이션 코드에서 분리해 설정으로 바꿀 수 있게 만들고, 키 관리와 인증서 발급을 중앙에서 통제합니다. 국내에서도 레거시 환경과의 연속성을 유지하면서 전환을 진행하도록 설계된 크립토 애질리티 기반 플랫폼이 나와 있습니다. 이 구조를 갖춰두면 다음 번 알고리즘 변경은 프로젝트가 아니라 운영 작업이 됩니다.

4단계, 하이브리드로 먼저 붙입니다. 외부 대면 TLS 종단, VPN 게이트웨이, 코드 서명 파이프라인 순으로 적용하며 성능과 호환성을 계측합니다. ML-KEM은 기존 대비 키와 서명 크기가 커서 패킷 단편화나 임베디드 메모리 한계에서 문제가 생길 수 있습니다.

5단계, 공급망까지 확장합니다. 우리 시스템만 바꿔서는 끝나지 않습니다. 도입하는 소프트웨어와 장비가 PQC를 지원하는지 계약 요구사항에 넣어야 합니다. 구성요소 목록을 관리하는 체계는 이미 SBOM(소프트웨어 자재명세서)에서 다뤘는데, 암호 자산 목록은 그확장판이라고 보면 됩니다.

전환에서 실제로 막히는 지점들

한 줄로 요약하면, PQC 전환은 암호 프로젝트가 아니라 자산 관리 프로젝트입니다.

첫 번째 장벽은 가시성입니다. 대기업일수록 수만 건의 인증서와 수백 개의 내부 서비스가 얽혀 있고, 그중 상당수는 담당자가 바뀌면서 소유자가 불분명해집니다. 목록이 없으면 계획도 없습니다.

두 번째는 성능입니다. ML-KEM의 공개키는 기존 ECDH 대비 훨씬 크고, SLH-DSA 서명은 수 킬로바이트에 이릅니다. 초당 수만 건의 핸드셰이크를 처리하는 서비스에서는 CPU 사용률과 네트워크 대역폭이 눈에 띄게 움직입니다. 프로덕션 반영 전 부하 테스트가 필수인 이유입니다.

세 번째는 하드웨어 고정입니다. 앞서 언급한 제조 설비 사례처럼, 알고리즘이 칩에 박혀 있으면 소프트웨어 업데이트로는 해결되지 않습니다. 이 경우 남은 선택지는 장비 교체 예산을 미리 잡거나, 해당 구간을 네트워크 분리로 격리하는 것입니다. 세밀한 접근 통제로 위험을 낮추는 접근법은 제로 트러스트 아키텍처와 자연스럽게 이어집니다.

여기에 하나 덧붙이면 검증 체계도 과제입니다. 새 알고리즘을 붙였다고 끝이 아니라, 구현이 규격대로 동작하는지 확인하는 절차가 필요합니다. 부채널 공격에 대한 내성, 난수 생성기 품질, 라이브러리 버전 관리가 모두 검토 대상입니다. 오픈소스 라이브러리를 그대로 가져다 쓰는 경우 특히 취약점 공지를 추적하는 담당자를 지정해두어야 합니다.

네 번째는 조직 문제입니다. 암호는 보안팀 소관처럼 보이지만 실제 교체는 인프라팀, 개발팀, 구매팀이 함께 움직여야 합니다. 시한이 2030년과 2035년으로 멀어 보이는 탓에 예산 심의에서 매번 뒤로 밀리는 항목이기도 합니다. KISA 시범전환 사업처럼 정부 지원 과제를 활용해 첫 레퍼런스를 만드는 것이 내부 설득에 효과적입니다.

FAQ

양자 컴퓨터가 아직 안 나왔는데 왜 지금 바꿔야 하나요?

HNDL 때문입니다. 오늘 오가는 암호문을 저장해두었다가 나중에 푸는 공격이 이미 가능하기 때문에, 장기 비밀을 다루는 데이터는 지금 시점의 암호 강도가 아니라 미래 시점의 해독 가능성을 기준으로 판단해야 합니다. 또 하나, 대규모 조직에서 암호 체계를 통째로 바꾸는 데는 보통 5년 이상이 걸립니다. 시작 시점을 늦추면 시한을 맞출 수 없습니다.

PQC 도입 난이도는 어느 정도인가요?

웹 서버 TLS 구간만 보면 낮습니다. 주요 라이브러리와 클라우드 로드밸런서가 하이브리드 키교환을 지원하기 때문에 설정 변경 수준으로 끝나는 경우가 많습니다. 난이도가 급격히 올라가는 곳은 임베디드 기기, 하드웨어 보안모듈, 오래된 상용 패키지, 그리고 외부 파트너와의 연동 구간입니다. 전체 난이도는 조직이 보유한 레거시 비중에 정비례합니다.

기존 인증서를 전부 재발급해야 하나요?

결국은 그렇게 됩니다. 다만 한번에 할 필요는 없습니다. 만료 주기에 맞춰 순차적으로 PQC 또는 하이브리드 인증서로 교체하는 방식이 일반적입니다. 이때 인증서 수명을 짧게 가져가면 전환 속도가 빨라집니다. 자동 발급·갱신 체계를 먼저 갖추는 것이 순서상 앞섭니다.

상업적으로 이미 쓸 수 있는 제품이 있나요?

있습니다. 국내외 보안 기업들이 크립토 애질리티 플랫폼, PQC 지원 HSM, 하이브리드 VPN 제품을 출시했고, KT는 국방 통신망에 양자내성암호를 적용하는 사업을 진행했습니다. KISA는 2026년 통신·금융·교통·국방·우주 5개 분야에서 시범전환 컨소시엄을 모집해 과제당 최대 9억 원을 지원합니다.

기존 방식과 비교해 무엇이 가장 크게 달라지나요?

암호를 한 번 정해두고 오래 쓰던 방식이 끝난다는 점입니다. 앞으로는 알고리즘이 바뀔 것을 전제로 시스템을 설계해야 합니다. 그래서 이번 전환의 산출물은 ML-KEM 적용 자체가 아니라, 다음 번 교체를 몇 주 안에 끝낼 수 있는 운영 체계입니다.