호주 결제 백서가 뉴질랜드 은행에 대해 말하는 것

새로운 arXiv 프리프린트가 모든 호주 은행 — 그리고 연장선상에서 그 뉴질랜드 자회사 모두 — 가 이미 답했어야 할 질문을 수치로 검토합니다: 양자 내성 서명이 실시간 결제 SLA 내에서 실제로 작동할 수 있는가?

참고 자료: arXiv 2605.02276v1, 2026년 5월 4일.

이 시뮬레이션은 호주의 실시간 소매 결제 인프라를 실제 트래픽 규모 — 하루 520만 건의 거래, 2초 SLA — 로 테스트합니다. 핵심 결론은 평범한데, 그것이 바로 요점입니다: 격자 기반 알고리즘(ML-DSA, Falcon)은 이미 종단 간 40~45ms가 소요되는 거래에 약 1~2밀리초를 추가할 뿐입니다. 실시간 결제가 양자 내성 암호화를 감당할 수 없다는 주장은, 수치상으로 볼 때, 이미 끝난 논쟁입니다.

흥미로운 발견은 다른 곳에 있습니다.

SPHINCS+ — NIST가 격자 방식의 대안으로 공표한 해시 기반 서명 표준 — 는 소매 결제 규모에서 서명 인프라를 마비시킵니다. 조금이 아닙니다: 하드웨어 큐가 포화 상태에 이르고, 거래는 무기한 적체되며, 논문은 이를 그 자체로 서비스 거부(DoS) 공격면으로 규정합니다. 잘못된 구성 접근 권한을 가진 내부자라면 누구든 잘못된 알고리즘을 선택하는 것만으로 은행의 서명 파이프라인을 사실상 동결시킬 수 있습니다. SPHINCS+는 낮은 빈도의 고신뢰 환경 — 결제 최종 정산, 환거래 은행 업무 — 에서는 정당한 역할을 하지만, 그 범위에 머물도록 설계해야 합니다. 조용히 SPHINCS+를 대체 옵션으로 남겨두는 마이그레이션 계획은 내부자에게 DoS 버튼을 쥐여주는 계획입니다.

두 번째 발견은 더 평범하지만, 의사결정을 더욱 강제합니다: 국제 환거래 은행 업무의 근간인 SWIFT 메시지 형식은 양자 내성 암호화보다 오래된 2KB 페이로드 제한이 있으며, 새로운 서명 알고리즘 중 이 제한에 맞는 것은 Falcon-512 하나뿐입니다. 다른 모든 옵션은 용량을 초과합니다. 레거시 형식으로 국가 간 트래픽을 처리하는 은행들은 사실상 알고리즘 선택권이 없습니다 — 이미 자신도 모르게 Falcon을 선택한 셈입니다.

뉴질랜드의 시각

뉴질랜드 4대 은행은 호주 은행의 자회사입니다. 오클랜드의 소매 결제를 보호하는 암호화 결정은 실질적으로 시드니와 멜버른에서 이루어지고 있으며 — 저희의 4월 스캔에서는 그 중 단 하나, ANZ만이 자체 통제 인프라에 양자 내성 암호화를 실제로 적용하고 있는 것으로 나타났습니다.

호주 규제 당국은 암호화 리스크를 의제에 올렸습니다. 뉴질랜드는 그렇지 않습니다. 우리의 AML/CFT 법(2009) 상 보존 의무는 호주와 동일한 7년 기간이며, ‘지금 수집해 나중에 복호화(harvest-now-decrypt-later)’ 시계는 동일한 데이터, 동일한 데이터 센터, 사실상 동일한 본사의 지배 아래 계속 작동 중입니다. 이 논문은 진지한 초기 대응이 어떤 모습인지를 보여줍니다. 이에 상응하는 뉴질랜드의 작업은 아직 이루어지지 않았습니다.

언제나 그렇듯, 꼴찌에게 주어지는 상은 없습니다.

Kaysec는 뉴질랜드 소재 양자 기술 기업 Spinsphere의 양자 내성 보안 전문 조직입니다. 저희는 뉴질랜드 기관의 암호화 자산 현황 파악, HNDL 리스크 평가, PQC 마이그레이션 계획을 지원합니다. 문의하기.