양자 내성 암호화: 파일 보안의 미래 대비

양자 내성 암호화는 RSA-2048이나 ECDH P-256을 몇 시간 안에 해독할 수 있는 암호학적으로 유의미한 양자 컴퓨터를 보유한 공격자로부터 파일을 보호합니다. NIST는 2024년 8월 세 가지 포스트 양자 표준을 확정했습니다. ML-KEM(FIPS 203, 구 Kyber)은 키 캡슐화, ML-DSA(FIPS 204, 구 Dilithium)는 서명, SLH-DSA(FIPS 205, 구 SPHINCS+)는 해시 기반 서명입니다. 2026년 파일 전송의 실용적 경로는 하이브리드입니다. 키 교환에는 X25519-MLKEM-768을, 대칭 암호화에는 계속 AES-256-GCM을 사용합니다. 대칭 암호는 Grover 알고리즘에 의해 비트 길이의 절반만 손실되기 때문입니다.

대칭 암호화는 대체로 안전하다

Grover 알고리즘은 대칭 암호의 유효 키 길이를 절반으로 줄입니다. AES-256은 양자 보안 128비트로, AES-128은 64비트로 떨어져 해독 가능해집니다. 대응책은 간단합니다. AES-256을 어디서나 사용하면 됩니다. ChaCha20-Poly1305도 128비트의 포스트 양자 보안으로 유사하게 생존합니다. 해시 함수는 더 유리합니다. SHA-256은 충돌 저항성 128비트를, SHA-384는 192비트를 유지합니다. 대칭 암호에서는 위기가 아닙니다. 이미 AES-256-GCM을 사용하고 있다면 변경이 필요 없습니다.

실제 위험이 있는 곳: 키 교환과 서명

공개 키 방식이 문제입니다. RSA 인수분해와 타원곡선 이산로그 둘 다 Shor 알고리즘에 무너집니다. RSA-2048을 해독하려면 약 4,000개의 논리 큐비트가 필요합니다. IBM의 2025년 Kookaburra는 물리 큐비트 4,158개를 갖추고 있습니다. 오류 수정이 성숙하면(NIST 일정에 따르면 2030~2035년경) 공격이 현실화됩니다. 지금의 TLS 1.3 세션은 키 교환에 ECDH 또는 X25519를 사용하고, 그것이 양자 돌파구가 될 지점입니다. 2026년에 전송한 파일이 2035년에 암호문을 저장해 둔 공격자에 의해 복호화될 수 있습니다. "지금 수집하고 나중에 복호화"는 가설이 아닙니다. 2013년 NSA 문서가 이 전략을 기술하고 있습니다.

ML-KEM: 새로운 키 교환 표준

ML-KEM(Module-Lattice Key Encapsulation Mechanism)은 NIST가 선정한 포스트 양자 키 교환 방식으로 FIPS 203으로 표준화됐습니다. 세 가지 매개변수 집합이 있습니다. ML-KEM-512(양자 보안 128비트), ML-KEM-768(192비트), ML-KEM-1024(256비트). 공개 키는 800~1,568바이트, 암호문은 768~1,568바이트로 X25519의 32바이트보다 크지만 여전히 관리 가능합니다. Chrome 131은 2024년 말 X25519-MLKEM-768 하이브리드를 기본 탑재했습니다. Cloudflare는 2024년 12월 모든 엔드포인트에 이를 활성화했습니다. 파일 전송 서비스가 Cloudflare 뒤에서 실행된다면 이미 TLS 1.3 핸드셰이크가 포스트 양자 보호를 받고 있습니다.

ML-DSA로 진정성 보장

ML-DSA(Module-Lattice Digital Signature Algorithm), FIPS 204는 서명에서 ECDSA와 Ed25519를 대체합니다. 매개변수 집합은 ML-DSA-44(128비트), ML-DSA-65(192비트), ML-DSA-87(256비트). 서명 크기는 2,420~4,595바이트로 Ed25519의 64바이트보다 훨씬 큽니다. 파일 전송에서 서명은 두 곳에서 중요합니다. 서버 TLS 인증서 인증과 부인 방지를 위한 감사 로그 항목 서명입니다. Let's Encrypt와 DigiCert 모두 2026~2027년 ML-DSA 인증서 발급을 계획하고 있습니다. 그때까지 Ed25519와 ML-DSA 서명을 모두 포함하는 하이브리드 인증서가 격차를 메웁니다.

SLH-DSA: 보수적인 백업

SLH-DSA(FIPS 205, 구 SPHINCS+)는 SHA-256 또는 SHAKE의 보안에만 의존하는 해시 기반 방식으로 새로운 수학적 가정이 없습니다. 격자 방식을 불신한다면 선택할 알고리즘입니다. 서명 크기가 훨씬 크고(7,856~49,856바이트) 계산이 느리지만 보안 논거는 확실합니다. 2050년에도 신뢰받아야 하는 장기 보존 감사 로그 서명에는 SLH-DSA가 적합한 보험입니다. 30초짜리 파일 전송에는 과도합니다.

하이브리드 방식: 벨트와 멜빵을 동시에

순수 포스트 양자 배포는 ML-KEM이 새롭기 때문에 위험합니다. 암호분석이 계속 진행 중입니다. NIST SP 800-227(2024년 초안)에 명문화된 업계 합의는 하이브리드입니다. 고전적 알고리즘과 포스트 양자 알고리즘을 병렬로 실행하고, 파생된 비밀을 XOR합니다. 공격자는 복호화하려면 둘 다 깨야 합니다. TLS의 현재 기본값은 X25519-MLKEM-768이며, 제한된 환경에서는 RSA-3072 + ML-KEM-768을 사용합니다. 저장 파일 암호화에서는 AES-256 파일 키를 X25519와 ML-KEM 공개 키 양쪽으로 하이브리드 암호화하고 두 암호문을 모두 저장할 수 있습니다.

모바일과 대역폭: 실용적 고려

ML-KEM-768은 X25519 대비 TLS 핸드셰이크당 약 2.3KB를 추가합니다. 5G 연결에서는 2밀리초의 지연으로 체감되지 않습니다. 왕복 지연이 600밀리초인 위성 링크에서는 눈에 띄지만 허용 범위입니다. 이미 몇 분이 걸리는 10GB 파일 전송에서는 부담이 미미합니다. HexaTransfer처럼 Cloudflare 뒤에서 실행되는 서비스는 이 비용을 엣지로 오프로드합니다.

수십 년 후 검증이 필요한 파일 서명

정말 흥미로운 사례는 2060년에도 검증 가능해야 하는 파일의 디지털 서명입니다. 2026년에 Ed25519로 서명된 .pdf 계약서는 2040년에 검증할 수 없거나(또는 위조 가능할) 수 있습니다. 선택지는 세 가지입니다. 첫째, 현재 최선의 알고리즘으로 주기적으로 재서명. 둘째, 오늘 SLH-DSA로 서명하고 SHA-256의 수명을 신뢰. 셋째, OpenTimestamps로 Bitcoin에 서명을 타임스탬프하여 서명 알고리즘이 무너지더라도 존재와 날짜가 암호학적으로 보존되도록 합니다. 포스트 양자 사고가 가장 중요한 영역이 바로 아카이브 수준의 서명입니다.

hexatransfer.com에서 사용해 보세요 — 무료, 계정 불필요, 최대 10GB.