보고서

양자 봄: 지금 수확하고, 나중에 복호화하라: 당신의 암호화된 데이터를 실제로 누가, 어떻게 수집하고 있는지, 그리고 왜 대부분의 수확물이 썩어가는지에 대한 고찰

by Simon McCorkindale

암호화된 데이터를 “수집”하는 것이 공격자에게 실제로 어떤 비용을 치르게 하는지, 비축된 데이터를 해독하려면 무엇이 필요한지, 그리고 실제 위협이 어디에 숨어 있는지를 다룹니다. 이 글은 다섯 가지 관문 프레임워크(물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효 기간, 공격자 동기)를 기본 원칙부터 단계적으로 살펴보고, 오늘날 실제로 배포된 양자 내성 암호화 현황에 대한 독자적인 인터넷 전수 스캔 결과를 토대로 논의를 전개합니다.

요약. “지금 수집하고 나중에 복호화한다”(HNDL)는 양자 내성 암호화로의 전환을 서둘러야 하는 이유로 누구나 드는 근거입니다. NIST(미국 국립표준기술연구소), CISA(미국 사이버보안·인프라보안국), 영국의 NCSC(국가사이버보안센터; 뉴질랜드에도 동명 기관이 있습니다), 그리고 벤더사들도 이를 주장하지만, 실제로 내용을 검토하는 사람은 거의 없습니다. 실제로 누가 수집하고 있을까요? 어디서? 얼마나 많은 양을 저장해야 하고, 그 비용은 얼마일까요? 양자 컴퓨터가 마침내 등장했을 때, 수집된 데이터가 여전히 읽을 가치가 있을까요? 이 글은 HNDL을 반복할 사실이 아닌 검증해야 할 주장으로 다룹니다. 위협은 실재하지만 범위가 좁습니다. 데이터가 수십 년간 가치를 유지하고 비축량이 적은 경우에만 유효하며, 대부분의 트래픽에서는 암호학적으로 실패하기 훨씬 전에 경제성에서 먼저 무너집니다. 더 크고 조용한 문제는 이미 누군가의 저장소에 앉아 있는 암호화된 데이터입니다. 이 연구는 독립적인 가설에서 시작되었습니다. 초안을 작성하는 중에 이와 관련된 2026년 연구 몇 편을 발견했습니다. 일부는 제가 발견한 내용을 확인해 주었고, 하나는 반박했으며, 저는 각각의 연구를 논거에 꿰맞추기보다 열린 자세로 다루었습니다. 저의 독자적인 스캔은 가장 규모가 큰 동시대 측정 결과와 일치합니다. 양자 내성 키 교환은 인터넷의 상당하고 증가하는 비율에서 소수의 인프라 제공업체가 주도하는 형태로 이미 운용 중이지만, 양자 내성 서명—즉 신원을 증명하는 부분—은 31,839개의 인증서 전체에서 여전히 제로 상태입니다. 핸드셰이크는 수정되고 있지만, 인증은 그렇지 않습니다.

1. 이름에서 틀린 부분

농부라면 누구나 수확이 무엇을 뜻하는지 압니다. 그것은 좋은 부분, 즉 일이 다 끝나고 그해가 가치 있었는지 알게 되는 보상의 순간입니다. 그래서 “지금 수집하고 나중에 복호화한다”는 실제로 벌어지는 일에 붙이기엔 묘한 이름입니다. 지금 일어나고 있는 것이 수확이 아니기 때문입니다. 지금 일어나고 있는 것은 파종입니다. 누군가가 조용히 암호화된 트래픽을 모아 저장소에 쌓아두고 기다리고 있습니다. 그들은 아무것도 거두지 않습니다. 씨를 심고, 날씨가 바뀌기를 바라고 있을 뿐입니다.

그들이 기다리는 것은 암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC입니다. 오늘날의 키 교환과 서명(RSA, 디피-헬만, 타원 곡선)을 보호하는 수학에 Shor의 알고리즘을 실행하기에 충분히 큰 기계 말입니다. 그 기계가 존재하는 순간, 암호문으로 가득 찬 저장소는 읽을 수 있게 됩니다. 그 전까지는 그저 매우 비싼 노이즈 더미일 뿐입니다. 그 순간을 양자 봄이라고 부르고, 기다리는 기간을 양자 겨울이라고 부릅시다. 기다리는 것이 결코 오지 않는 AI 겨울 같은 종류가 아니라, 계절이 반드시 온다는 것을 알고 추위를 견디는 농사 같은 종류의 겨울입니다.

양자 내성 암호화, PQC는 방어자의 답입니다. NIST가 내놓은 새로운 종자(암호화 알고리즘), ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1와 더불어 현재 평가 중인 추가 후보들이 있습니다. 양자 수집자는 이것들을 처리할 수 없습니다. 그러나 큰 함정이 하나 있습니다. PQC는 이미 저장소에 있는 것에 대해서는 아무런 효과가 없다는 점입니다. 어제 수집된 것은 여전히 수집 가능한 상태로 남아 있으며, PQC는 지금부터 심는 것만 보호합니다. 따라서 두 개의 시계가 동시에 돌아가고 있습니다. 기계가 도착하기 전에 품종을 바꾸기 위해 경주하는 여러분의 시계와, 여러분이 아직 공개적으로 심는 동안 최대한 많은 구식 데이터를 쌓아두기 위해 경주하는 그들의 시계입니다.

암호학 비전문가를 위한 한 단락 요약. 두 가지 종류의 수학이 여러분의 데이터를 보호합니다. 한 종류는 실제 내용을 뒤섞습니다(주로 AES). 양자 컴퓨터는 이것에 거의 흠집을 내지 못하고, AES-256은 안전할 것입니다. 다른 종류는 두 컴퓨터가 비밀 키(AES로 내용을 암호화하는 데 사용되는 패스워드)를 처음부터 어떻게 합의하는지, 그리고 서로 신원을 어떻게 증명하는지에 관한 것입니다. 그것이 RSA와 타원 곡선이며, 양자 컴퓨터는 이것을 손쉽게 해결합니다(흔히 공개/개인 키 암호화라고 불립니다). 따라서 누군가 “양자가 암호화를 깬다”고 말할 때, 그것은 자물쇠 자체가 아니라 처음의 핸드셰이크를 깬다는 의미입니다. 그것이 HNDL이 기록된 핸드셰이크에 관한 이유입니다. 핸드셰이크를 얻으면, 키를 얻고, 그 이후의 모든 것을 얻게 됩니다.

대부분의 사람들이 사용하는 프레임은 Michele Mosca의 부등식2입니다. X(데이터가 비밀로 유지되어야 하는 기간)에 Y(마이그레이션에 걸리는 기간)를 더하고, 이를 Z(기계가 존재하기까지의 기간)와 비교합니다. X + Y > Z이면, 오늘 전송하는 모든 것에 대해 이미 경주에서 진 것입니다. 훌륭한 산술입니다. 문제는 Z가 계속 움직인다는 것이며(감소하는 방향으로만). 2019년 RSA-2048을 해독하는 데 필요한 추정치는 약 2천만 개의 잡음이 있는 큐비트로 8시간이었지만, 2025년 5월에는 같은 연구자가 이를 100만 큐비트 미만과 약 1주일로 줄였습니다3. 6년 만에 20배 감소했고, 이는 더 나은 하드웨어가 아닌 더 나은 알고리즘에서 나왔습니다. 아직 아무도 기계를 만들지 않았습니다. 하지만 목표가 계속 가까워지고 있으며, 이는 인내심 있는 공격자가 파종이 수고할 만한 가치가 있다고 판단하는 바로 그 조건입니다.

그 이후로도 두 번 더 움직였지만, 같은 조건은 아닙니다. 2026년 2월에는 RSA-2048을 10만 개 미만의 물리적 큐비트로 처리한다고 주장하는 qLDPC 아키텍처4가 등장했고, 3월에는 Google, Ethereum Foundation, Stanford의 논문5이 둘 중 훨씬 약한 쪽인 256비트 타원 곡선을 50만 개의 물리적 큐비트로 수분 내에 처리할 수 있다고 발표했습니다. 두 논문 모두 가정을 고정하는 대신 바꾸는 방식으로 도달했으며, 큐비트 수를 줄이는 대가로 아직 규모에서 달성되지 않은 연결성과 디코딩 트릭을 교환했습니다. 그것은 면죄부가 아닌 주의 사항입니다. Z는 계획 수치이며, 이 논문들은 아무도 실제로 무언가를 만들지 않은 채 계속해서 그것을 흔들고 있습니다.

양자 키 분배, QKD에 대해 한 마디 덧붙이겠습니다. PQC와 함께 자주 언급되기 때문입니다. 이 분야에는 많은 연구 개발이 진행 중이며 유망하지만, 이 글의 범위를 벗어납니다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스 ANSSI는 모두 PQC 사용을 더 권고한다고 명확히 밝히고 있습니다6. QKD는 특수 하드웨어가 필요하고, 지점 간에서만 작동하며, 이미 가득 찬 저장소에 대해서는 아무런 효과가 없습니다. 하나의 전용 회선에서 이루어지는 미래의 대화를 보호할 뿐입니다. 이상적인 안전한 미래는 두 접근 방식의 조합일 수 있습니다.

동시대 연구에 관한 메모. 이 글은 2026년 현재 암호화된 데이터 수집의 실제적 현실과 어려움, 그리고 데이터 수집을 위한 스캔 작업에 대한 독립적인 연구 관심에서 시작되었습니다. 초안을 작성하는 중에 2026년이 이 분야에서 매우 활발한 해였음을 발견했습니다. Blanco-Romero et al.17은 수집의 저장 경제성을 모델링하여 제가 부분적으로 이의를 제기하는 결론에 도달했습니다(섹션 4). Wickramasinghe et al.16은 인터넷 규모의 양자 내성 TLS 종단적 측정을 실행하여 제 스캔 결과를 예측하고 확인했습니다(섹션 10). 더 넓은 조사들이 주변 지형을 그려냅니다(Bertino et al.18; Chhetri et al.19). 이 연구들을 중심으로 논거를 꿰맞추기보다 원래 구조를 유지하고 각 연구가 본문과 관련되는 지점에서 다루었습니다. 다른 연구자들이 먼저 도달한 곳에서는 투명하게 밝히고, 독립적인 데이터가 그들의 결과와 일치하는 경우 그 일치 자체를 하나의 결과로 다룹니다.

“지금 수집하고 나중에 복호화한다”는 슬로건이 이름 붙여진 계절은 가장 마지막에 도래합니다. 위험한 작업은 몇 년 앞서 파종 단계에서 일어납니다. 역량 곡선의 형태는 예시적이며, 그 위치는 누구도 알 수 없습니다(즉, 실제 시점이며 2032년까지 CRQC가 등장한다는 보장은 없습니다!). 방향만은 확실합니다.

2. 다섯 개의 관문

논의가 보통 잘못되는 지점이 여기입니다. 사람들은 HNDL을 자신에게 일어나거나 일어나지 않는 하나의 사건으로 취급합니다. 그것은 하나의 사건이 아닙니다. 연속된 순서이며, 공격자가 원하는 모든 바이트는 그 전부를 통과해야 합니다. 가축 이동을 생각해 보세요. 관문 하나, 목초지에 접근할 수 있는가. 관문 둘, 가축을 둘 곳이 있는가. 관문 셋, 우리에 들어온 뒤 실제로 무언가를 할 수 있는가. 관문 넷, 처리할 때쯤 가치가 있는가. 관문 다섯, 이 모든 것을 감안할 때 처음부터 시도할 만한 가치가 있었는가. 어느 관문에서든 실패하면, 그 모든 수고는 기름값과 개 사료 낭비였을 뿐입니다(양떼 몰이 비유에서).

이 글의 나머지 부분은 관문을 하나씩 살펴봅니다. 그 전에 아래에서 양자 시대 보안 문제의 더 넓은 범주에 대한 개요를 제시합니다.

문제공격 대상피해 발생 시점실행에 필요한 것행동 시기
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 대용량 저장소, 그리고 아직 존재하지 않는 기계지금 준비
HNDL, 저장 중 데이터저장 데이터의 장기 키CRQC 등장 시침입 성공 한 번, 그리고 같은 기계지금 준비
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시수집된 인증서와 기계나중에
PQC 칩 공격실리콘 내 PQC 검증현재물리적 접근과 오류 주입 장비지금
가짜 인증서, 미래의 MITM신뢰 체인CRQC 등장 시기계와 회선상의 위치나중에

위에서 굵게 표시된 두 항목이 진정한 의미의 HNDL이며, 적대자가 훨씬 나중의 수익을 위해 오늘 행동해야 하는 유일한 두 가지입니다. 바로 그렇기 때문에 지금 조사하고 논의할 가치가 있습니다. 또한 오늘 행동하면 흔적이 남기 때문에 확인 가능하기도 합니다.

3. 첫 번째 관문: 애초에 접근이 가능한가?

광섬유 같은 케이블을 도청하는 것은 힘든 일입니다. 침실의 노트북으로 할 수 있는 일이 아닙니다. 실제 광섬유에 직접 손을 대거나, 광섬유를 소유한 사업자를 향한 법원 명령이 필요합니다. 그것만으로도 거의 모든 사람이 배제됩니다. 남는 것은 국가 행위자들뿐이며, 그것도 많지 않습니다.

가장 잘 문서화된 사례는 가장 오래된 것이기도 하며, 실로 놀랍습니다. 1971년 미국은 개조된 잠수함 USS Halibut를 오호츠크해에 파견해 수심 120미터에 놓인 소련 군용 케이블을 찾아냈습니다: 아이비 벨스 작전(Operation Ivy Bells)7. 잠수부들은 손목 굵기 정도의 케이블 주위에 6미터짜리 유도 장치를 감아, 케이블을 절개하지 않고도 신호를 읽는 데 성공했습니다. 이 작전은 거의 십 년 가까이 효과를 발휘했습니다.

스파이 소설 같은 이야기보다 중요한 세부 사항이 두 가지 있습니다. 첫째는 해변에 세워진 Cable Here. Do Not Anchor라는 표지판 덕분에 케이블 위치를 찾아냈다는 점입니다. 둘째는 물류 문제입니다. 수년간 정보를 수거하는 방법은 잠수부들이 매달 직접 수심으로 내려가 테이프를 교체하는 것이었습니다. 누군가가 직접 가져와야 했습니다. 이후 버전은 핵 동위원소 발전기로 작동해 1년치 데이터를 저장할 수 있었는데, 1년에 한 번만 가면 된다는 점에서 엄청난 발전으로 여겨졌습니다. 이 점을 기억해 두십시오. 수확에서 가장 어려운 부분은 도청 자체가 아니라, 이후에 쌓인 데이터를 어떻게 처리하느냐였습니다.

현대적 방식

광섬유는 방법을 바꿨을 뿐 제약은 바꾸지 않았습니다. 2006년 AT&T 기술자 마크 클라인(Mark Klein)은 샌프란시스코 폴섬 스트리트 611번지(641A호실)에 있는 잠긴 방을 묘사했는데, 그곳에서 광 분배기가 백본 트래픽을 심층 패킷 검사를 위한 Narus STA 6400이 들어 있는 랙으로 복사하고 있었습니다8. 이 시스템은 2003년부터 가동 중이었습니다. 분배기는 약 16개의 백본 회선(약 15 Gbit/s 트래픽 규모)에서 전체 광 신호를 복제했고, Narus 장비는 실시간으로 심층 패킷 검사를 수행했습니다. 클라인의 문서는 전자프론티어재단(EFF)이 AT&T를 상대로 제기한 소송의 증거가 되었으며, 이후 보도에서 미국 내 다른 도시들에도 유사한 방이 존재한다는 사실이 밝혀졌습니다9. 역사적 대비를 주목할 만합니다: 2003년에는 그 분배기들이 복사한 대부분의 내용이 평문이었습니다. 오늘날 같은 도청 장치는 암호문을 복사하며, 이것이 바로 HNDL이 우려 사항으로 존재하게 된 전적인 이유입니다.

구조적 요점은 변함없습니다. 광섬유의 분배기는 광학 계층에서 트래픽을 복사합니다. 어떤 방화벽도 이를 감지하지 못하고, 어떤 침입 탐지 시스템도 포착하지 못하며, 엔드포인트는 전혀 알아챌 수 없습니다. 그러나, 그리고 이것이 핵심인데, 분배기는 회선에 있는 것을 복사하며, 회선에 있는 것은 이미 암호화되어 있습니다. 분배기는 암호화를 무력화하지 못합니다. 단지 그 복사본을 저장소에 넣고 기다릴 뿐입니다.

영국에서도 같은 이야기가 주목할 만한 규모로 펼쳐졌습니다. 2011년 중반까지 GCHQ는 TEMPORA라는 프로그램 하에 각각 10 Gbit/s를 전송하는 200개 이상의 광섬유 링크에 프로브를 설치했으며10, 동시에 최소 46개 링크의 데이터를 처리할 수 있었습니다. 이론적으로는 하루 21페타바이트 이상의 흐름에 접근할 수 있었는데, 가디언지는 이를 영국도서관 전체 장서의 192배를 매 24시간마다 처리하는 것에 비유했습니다. 그러나 아래의 모든 내용에서 중요한 부분이 있습니다: 그들은 이 데이터를 보관할 수 없었습니다. 콘텐츠는 3일, 메타데이터는 30일간만 버퍼링되었습니다. 자국 인프라를 반쯤 소유한 국가 행위자조차 콘텐츠에 대해 3일짜리 롤링 윈도우로 제한받았습니다. 이 점을 기억해 두십시오; 이것은 두 번째 관문이 일찍 등장한 것입니다. 연관된 공동 작업으로 대형 클라우드 사업자들의 자체 데이터센터 간 링크를 공략하기도 했는데, 당시에는 내부 경계 안에서 암호화가 되어 있지 않았습니다11: 보도에 따르면 TLS는 공개 경계에서만 추가되고 제거되었습니다. 이것이 기록에서 가장 교훈적인 부분입니다. 그들은 암호화를 뚫은 것이 아니라, 데이터가 잠깐 평문 상태로 존재하는 유일한 지점을 우회한 것입니다. 사업자들은 이를 인지하고 내부 링크를 암호화했으며, 그 허점은 닫혔습니다.

케이블이 항상 필요한 것은 아닙니다

여기서 관문을 더 넓혀야 합니다. 위의 내용은 모두 유선에 관한 것이지만, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 거치지 않기 때문입니다. 무선은 방송입니다. 범위 안의 누구든 수신할 수 있으며, 절개도, 상륙 기지도, 영장도 필요 없습니다12. 이는 공중을 통해 일부라도 전송되는 모든 통신에 대한 물리적 접근 장벽을 사실상 없애버리며, 그런 통신이 상당히 많다는 것이 드러납니다.

가장 명백한 것부터 시작하겠습니다: WiFi. 노트북에서 보내는 모든 프레임은 사방으로 방사되며, 범위 안에 있는 누구든 모니터 모드의 저렴한 어댑터로 전부 캡처할 수 있습니다. 두 가지가 여러분을 보호합니다. WiFi 계층 자체의 암호화(WPA2, WPA3)가 공중에서 프레임을 뒤섞지만, 이는 내부의 TLS와는 별개의, 더 단기적인 자물쇠입니다. 기기에서 액세스 포인트까지의 구간만 보호하며, 종단 간 세션은 보호하지 않습니다. 그리고 이 암호화는 반복적으로 다운그레이드되거나, 해독되거나, 우회되어 왔습니다(WPA2에 대한 KRACK, WPA3에 대한 Dragonblood, 모든 것을 공격자를 통해 중계하는 이블 트윈 액세스 포인트)22. WiFi 계층을 벗겨내면 그 아래의 TLS가 남으며, 이는 수확 문제로 곧장 돌아옵니다: 깨진 WiFi 위의 현대 TLS 1.3은 여전히 순방향 비밀성을 갖추고 있으며 여전히 양자 컴퓨터가 필요합니다. 그러나 공개된 카페 네트워크나, 공격자가 키를 알고 있는 WPA2 네트워크는 암호화된 TLS 스트림을 무료로 넘겨줍니다. HNDL 관점에서 WiFi 도청은 암호문을 수집하는 저렴한 방법입니다. TLS를 무력화하지는 못하지만, 목표물 수백 미터 이내에 있는 누구에게나 “물리적으로 접근할 수 있는가”라는 관문을 사실상 제거합니다.

그다음은 모바일입니다. 2G는 도청자에게 선물이었습니다. IMSI 캐처(가짜 기지국, “스팅레이”)는 휴대폰을 취약한 암호로 다운그레이드하도록 강제해 트래픽을 평문으로 읽을 수 있었습니다. 4G와 5G는 훨씬 개선되었지만, 이에 대한 다운그레이드 공격은 현재도 활발히 연구되는 분야이며, 같은 원칙이 적용됩니다: 무선 계층이 취약한 부분이고, 그 위에서 실행되는 종단 간 암호화가 실질적으로 여러분을 보호하는 것입니다. 역시 수집 비용은 저렴하며, 점점 더 그 아래의 암호화만이 공격자와 평문 사이의 유일한 방어선이 되고 있습니다.

그리고 특정 고가치 트래픽에 대해 “도청(감청)은 어렵다”는 전제 전체를 뒤집기 때문에 놀라운 사례가 있습니다: 위성입니다. 2025년 10월, UC 샌디에이고와 메릴랜드 대학교 연구진이 Don’t Look Up을 발표했으며(ACM CCS에서 우수 논문상을 수상), 그 연구 결과는 거의 믿기 어려운 수준입니다. 연구진은 샌디에이고의 옥상에서 800달러짜리 시중 판매 위성 안테나를 하늘에 겨냥해21 3년간 조사한 결과, 자신들이 볼 수 있었던 정지궤도 위성 링크의 약 절반이 민감한 데이터를 완전히 암호화되지 않은 상태로 전송하고 있다는 사실을 발견했습니다. TLS도, VPN도, 아무것도 없었습니다. 나중에 해독해야 할 암호문이 아니라, 그냥 지금 바로 읽을 수 있는 평문이었습니다. 평문으로 발견된 것 중에는 대형 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 WiFi 트래픽, 군사 자산 추적 정보, 그리고 (HNDL의 실제 표적 측면에서 중요한) 유틸리티 인프라를 운영하는 산업 제어 및 SCADA 트래픽이 포함되어 있었습니다. 그리고 연구진은 캘리포니아의 고정된 한 지점에서 궤도 위성의 약 15%밖에 관측하지 못했습니다. 여러 대륙에 안테나를 보유한 국가 행위자는 훨씬 더 많은 것을 볼 수 있습니다.

이는 케이블 이야기와 두 가지 면에서 다른 위협이며, 두 가지 모두 첫 번째 관문에 대한 안이한 인식을 흔듭니다. 첫째, 접근이 사소합니다: 잠수함이 아닌 수백 달러와 하늘이 보이는 장소면 됩니다. 둘째, 피해자 입장에서 더 나쁜 점은, 이 트래픽 대부분이 수확-후-해독 문제조차 아니라는 것입니다. 미래의 양자 컴퓨터가 필요 없이 이미 읽을 수 있는 평문이기 때문입니다. 양자 문제는 암호화된 위성 링크에만 해당하며, 암호화되지 않은 절반에 대해서는 나중에 해독할 것 자체가 없으므로 나중에 해독하는 것이 의미 없습니다.

첫 번째 관문 판정. 백본 광섬유의 경우 관문은 높다: 일부 국가, 물리적 접근 또는 법적 강제력, 실질적 비용이 수반된다. 그러나 “도청은 어렵다”는 말은 언제나 케이블에 관한 이야기였을 뿐이며, 정작 중요한 구간에서 케이블을 사용하지 않는 트래픽이 상당히 많다. 라디오는 수신 범위 내 누구에게나 스스로를 방송하고, WiFi와 모바일은 공격자에게 암호화된 스트림을 저렴하게 넘겨줌으로써 실질적인 방어를 TLS에만 의존하게 만들며, 위성은 놀랍게도 전체 링크의 약 절반에서 평문을 직접 노출한다. 따라서 관문의 솔직한 실상은 이렇다: 광섬유 백본에서는 높고, 공중 구간을 통과하는 모든 것에 대해서는 낮거나 사실상 존재하지 않는다. 이 점은 논지를 약화시키기는커녕 오히려 날카롭게 만드는데, 이 글 전체가 다루는 장기 보존 대상들(VSAT 링크를 사용하는 대사관, 위성 SCADA를 쓰는 공익 설비, 마이크로파 릴레이를 이용하는 방산 시설)의 경우 도청 관문이 흔히 활짝 열려 있고, 적과 페이로드 사이에 서 있는 것이라고는 이 글의 나머지 부분에서 살펴볼 암호화뿐이기 때문이다.

4. 두 번째 관문: 충분히 큰 저장 공간을 확보했는가?

도청 지점을 확보했다고 하자. 이제 그 데이터를 보관해야 한다. 해당 기계가 언젠가 등장할 경우에 대비해 최대 15년간 보관해야 할 수도 있다. 바로 여기서 이야기는 산술의 벽에 부딪히는데, 그 산술은 냉혹하다.

막연한 추정 대신 실제 수치를 사용해보자. 네트워크 간 트래픽을 교환하는 주요 공개 피어링 포인트 중 하나인 암스테르담 인터넷 익스체인지 AMS-IX는 2025년 수치를 공개했다13: 연간 총 35.66 엑사바이트, 최대 14.2 Tbit/s. 프랑크푸르트의 또 다른 인터넷 교환 포인트인 DE-CIX는 약 48 엑사바이트를 처리했다14. 이는 추정치가 아니라 운영자가 직접 공개한 수치다. 그것도 AMS-IX 하나만의 수치다. 전 세계에는 이런 인터넷 교환 포인트가 천 개가 넘는다.

자, AMS-IX를 1년간 전수 수집하기로 했다고 치자. 무엇이 필요할까?

아무도 비용을 따지지 않는 두 가지 병목. 왼쪽: 인터넷 교환 포인트 하나를 1년간 전수 수집할 경우 필요한 테이프 용량. 오른쪽: 그 끝에 있는 기계가 마법 지팡이가 아니라 병목인 이유. 임시 키 교환은 세션마다 별도의 작업을 요구한다.

LTO-9 테이프 기준 카트리지당 18 TB라면, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 100달러라면 빈 테이프 비용만 연간 1억 9,800만 달러이고, 드라이브 한 대, 인건비 한 푼도 포함되지 않은 금액이다. LTO-9 드라이브의 기록 속도는 약 400 MB/s로, 유입되는 데이터 흐름을 따라잡으려면 2,826개의 드라이브를 1년 365일, 하루 24시간 쉬지 않고 돌려야 한다. 이는 서버실이 아니라 공장이다.

그다음이 아무도 비용으로 계산하지 않는 부분이다. 테이프는 순차 접근 방식이라 뭔가를 찾으려면 앞에서부터 감아야 한다. 같은 2,826개의 드라이브가 읽기만 한다면 1년치 테이프를 다 읽는 데 꼬박 1년이 걸린다. 기록 속도와 읽기 속도가 동일하기 때문이다. 결국 보관 데이터는 정확히 한 번만 읽을 수 있으며, 그것도 수집을 완전히 멈춰야만 가능하다. 두 번 검색하고 싶다면? 공장을 하나 더 지어야 한다.

디스크도 구원책이 되지 못한다. 드라이브당 24 TB라면 약 150만 개의 하드 드라이브가 필요하고, 그 비용은 약 6억 달러다. 냉각까지 포함하면 약 11 MW의 전력을 소비하는데, 이는 작은 도시 하나가 쓸 만한 전력으로 인터넷 교환 포인트 하나의 1년치 데이터를 회전시키는 데 들어가는 양이다. 전 세계 트래픽의 단 1%로 규모를 키우면 터무니없어진다: 여러 개의 AMS-IX에 해당하는 용량을 매년, 영구적으로 확보해야 하는데, 그것도 아직 존재하지 않는 기계가 언젠가는 그것을 한 번 읽을 수 있을지도 모른다는 가정하에서다.

이 글의 산술이 다루지 않는 다른 요소들도 있다: 데이터 압축·해제에 드는 시간, 테이프 로딩·언로딩 비용 등이다. 물론 다른 저장 매체도 존재하고, 이것은 특정 지점의 1년치 데이터를 전수 저장하는 극단적인 사례이지만, 데이터의 엄청난 규모와 그 저장·처리에 수반되는 경제적 현실을 보여주는 데는 충분하다.

이 지점에서 나는 이 경제성 문제를 가장 신중하게 다룬 선행 연구와 견해를 달리한다. Blanco-Romero 외17는 동일한 저장 문제를 모델링하고 보존 비용이 “경제적으로 사소하다”고 결론 내린다: 원 매체 가격(그들은 LTO 테이프를 TB당 약 5달러로 인용한다) 기준으로 전 세계 트래픽의 1%를 수집해도 연간 약 10억 달러 수준으로, 국가 예산 내에서 충분히 감당 가능하다는 것이다. 그들의 산술은 옳고 매체 비용에 대해서는 이견이 없다. 나는 매체 비용이 결정적 제약이라는 점에 동의하지 않는다. 원 테이프는 예산에서 가장 저렴한 항목이다. 실시간으로 기록하기 위한 드라이브 공장, 데이터를 다시 읽어내기 위한 두 번째 공장, 해독 불가능한 암호문 더미에서 원하는 것을 찾기 위한 색인 시스템, 그리고 이 모든 것을 15년간 유지하기 위한 물리적 설비가 진짜 발목을 잡는 항목들이다. 그들의 모델은 그들 자신의 진술대로 정지 상태의 매체만을 대상으로 하며 도청 및 검색 인프라 비용은 제외한다. 이는 프로토콜 수준의 방어를 다루는 그들의 연구 질문에 비추어 타당한 범위 설정이다. 그러나 그 제외된 비용들을 다시 포함시키면 “사소하다”는 표현은 “특정 트래픽이 15년에 걸친 산업적 투자를 감수할 만한 가치가 있다고 이미 결정한 경우에만 감당 가능하다”는 말로 바뀌는데, 이는 달리 표현된 선별의 논리에 불과하다. 우리는 저장 비용 항목을 반대 방향에서 읽었지만 그들과 같은 결론에 도달한다(수집은 무차별적이 아니라 선별적이다). 그들의 최종 결론, 즉 방어자는 수명이 가장 긴 데이터를 먼저 우선순위에 두어야 한다는 것도 내 견해와 정확히 일치한다.

두 번째 관문 판정. 무차별적 수집은 환상이다. 어렵다거나 비싸다는 말이 아니라, 산술적으로 터무니없다는 뜻이다. 실제 적대 세력은 모두 무엇을 보관할지 선택해야 하며, 선택하는 순간 위협은 모두를 향한 것이기를 멈추고 누군가를 향한 것이 된다. 자신이 수집 대상인지 알고 싶다면, 그들이 무엇을 가져갈 수 있는지 묻기를 멈추고 15년간 보관하는 데 그들이 얼마를 지불할지를 물어보라. (15년은 임의적이지만 설득력 있는 기준으로 사용된 것으로, 가능성에 기대어 데이터를 보유하기에는 긴 시간이다.)

5. 세 번째 관문: 수집한 데이터가 실제로 복호화될 것인가?

도청하고 보관 비용도 치렀다고 하자. 마침내 그 기계가 등장했다. 그 더미가 열릴까? 전적으로 키가 어떻게 합의되었느냐에 달려 있으며, 이것이 HNDL 논쟁 전체에서 가장 제대로 설명되지 않는 부분이다.

수집한 데이터가 쓸모 있는지는 키가 어떻게 합의되었느냐에 달려 있다. RSA 키 전송 방식은 HNDL에 완전히 노출되어 있고, 임시 (EC)DHE 방식은 세션마다 별도의 CRQC 작업을 강제한다. 어느 경우든 핸드셰이크 서명은 위조 가능한 상태로 남아, 누가 누구와 통신했는지는 여전히 유출된다.

과거 방식인 RSA 키 전송은 최악의 시나리오다. 클라이언트가 서버의 장기 공개 키로 세션 비밀을 암호화하는 방식으로, 그 키 하나만 크래킹하면 해당 서버와 주고받은 모든 대화가 동시에 열린다. 키 하나로 전체를 한꺼번에. 이것이 그 슬로건이 암묵적으로 가정하는 시나리오이며, 그래서 그토록 경보가 울리듯 들리는 것이다.

그러나 현대 TLS는 그런 방식으로 작동하지 않는다. TLS 1.3은 임시 Diffie–Hellman을 요구하며, ECDHE를 사용하는 TLS 1.2도 마찬가지다. 이 방식에서는 세션마다 자체적인 일회성 비밀을 생성한다. 서버의 장기 키는 핸드셰이크에 서명할 뿐 콘텐츠를 암호화하지 않으므로, 그 키를 크래킹해도 무슨 내용이 오갔는지는 알 수 없다. 임시 세션을 읽으려면 그 세션의 키 교환을 크래킹한 다음, 다음 세션, 또 그다음 세션을 반복해야 한다. 한꺼번에 처리하는 지름길은 없다: 한 번에 한 마리씩, 각자 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추정치3에 따르면 RSA-2048 키 하나를 크래킹하는 데 약 1주일의 기계 시간이 필요하다. 타원 곡선은 더 저렴하지만 비슷한 수준이다. 따라서 수백만 개의 임시 세션을 캡처했다고 해서 “양자 컴퓨터 한 대”가 필요한 것이 아니다. 약 백만 번의 개별 양자 작업이 필요하다. 아무리 낙관적으로 보아도 작업당 하루씩 잡으면, 수천 기계-년이 소요된다. CRQC는 망원경처럼 예약제로 운영되는 희소한 국가적 장비가 될 것이다. 그 누구도 당신의 동영상 스트리밍 세션을 그 기계에 돌리지 않는다. 여기서 역설적인 직관이 자리를 잡기 시작한다: 물론 양자 기계, 즉 CRQC는 이제 충분히 강력하고 “빨라서” 쇼어 알고리즘을 실행할 수 있지만, 필요한 작업 수(각각이 양자 알고리즘의 단일 실행인)를 고려하면 경제성이 급격히 낮아진다는 것을 알 수 있다. 크래킹해야 할 암호화 세션 수에 양자 컴퓨터에서 알고리즘 실행 시간(현재 예상되는 수 시간에서 수 주)을 곱한 값은 여전히 논쟁의 여지가 있으며, Z가 감소할수록 달라질 것이다.

이것이 좋은 소식으로만 받아들여지지 않는 데는 두 가지 이유가 있다. 첫째, 전방향 비밀 보장은 콘텐츠를 보호할 뿐 서명은 보호하지 않는다: 미래의 기계는 캡처된 핸드셰이크의 인증을 여전히 위조할 수 있으므로, 누가 누구와 통신했는지는 유출된다. 그리고 그 부분이 흔히 핵심 정보다. 둘째, 더 심각한 문제로, 인증서 계층은 전혀 변하지 않았다. 사실상 전체 웹을 인증하는 서명들은 여전히 고전적인 RSA와 ECDSA 방식이며, 이는 내 자체 측정 결과로도 확인된다(10절 참조). 기밀성 측면에서는 마이그레이션이 시작되었지만, 인증 측면은 출발선을 떠나지도 못했다.

세 번째 함정이 있는데, 이것이 많은 선의의 노력을 조용히 무너뜨리는 요인이다. “서버가 마이그레이션됐다”는 것과 “세션이 안전하다”는 것은 다른 말이다. 협상된 암호화 알고리즘은 언제나 양 끝단 중 더 약한 쪽의 수준에 머무르기 때문이다. Dubey와 Varshney15는 명확한 사례를 포착했다. 인도의 한 은행(icici.bank.in)이 최신 기기에는 TLS 1.3, X25519, AES-256을 갖춘 QUIC(양자 내성, 순방향 비밀성, 바랄 수 있는 모든 것을 갖춘)을 제공하면서, 동일한 도메인에 두 번째 기기로 접속했을 때는 ECDHE-RSA와 AES-128을 사용하는 TLS 1.2로 폴백한 것이다. 같은 서버, 같은 날, 두 클라이언트, 완전히 다른 두 가지 보안 상태. 폴백 세션도 여전히 순방향 비밀성을 유지하므로 RSA 전송 악몽은 아니지만, 아무도 선택하지 않았고 아무도 알아채지 못한 폴백이다. 만약 어느 한쪽 끝단이 조금만 더 구식이었다면 RSA 키 전송으로 떨어져 완전히 수집 가능한 상태가 됐을 것이다. 상대편이 어떤 상태인지 볼 수 없는 마이그레이션은 믿을 수 있는 마이그레이션이 아니다.

6. 네 번째 관문: 그다음에는?

이것은 아무도 이야기하지 않는 관문이면서, 대부분의 계획이 무너지는 지점이다. 상상해보라. 대형 소매 은행 외부의 광섬유를 도청하여 해당 은행 웹사이트의 모든 TLS 세션을 1년간 수집한다. 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 돈을 이체하는 것들. 전부 저장한다. 15년 후 양자 컴퓨터가 등장하면 막대한 CRQC 시간을 쏟아부어 모든 것을 복호화한다. 축하한다. 손에 넣은 것이 무엇인가? 2026년에 만료된 세션 쿠키들이다. 그 이후로 세 번 교체된 비밀번호들, 대부분 이제 MFA 뒤에 있다. 10년 전의 계좌 잔액들. 어마어마한 비용을 들여 어떤 사람이 2026년 화요일 아침에 잔액을 조회했다는 사실을 알게 된 것이다.

거기에 영속적인 정보도 있다(이름, 생년월일, 주민등록번호). 그러나 그것은 방대한 폐석 더미 속의 얇은 광맥에 불과하고, 수백만 개의 별개 세션에서 재조합해야 한다. 한편 똑같은 정보가 은행의 고객 데이터베이스 안에 정형화되고, 색인되고, 최신 상태로 앉아 있으며, 한 번의 침입이면 손에 넣을 수 있다. 그렇다면 이 질문을 훨씬 더 자주 던져야 한다. 언젠가 양자 컴퓨터가 오기를 바라며 10년 동안 관문 앞에 서서 우유 탱크로리에서 한 방울씩 받아내려 할 것인가, 아니면 저 위 공장에 탱크 전체가 그대로 있는데도?

데이터에는 유효 기간이 있으며, 그 범위는 어마어마하다. 세션 쿠키는 한 시간 동안 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료될 때까지, 은행 계좌 번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급할 수 없는 평생, 유전체는 평생에 더해 모든 혈연을 포함하며 절대 만료되지 않는다. 외교 전문은 40년간 당혹감의 원천이 된다. 무기 설계는 그것을 그린 엔지니어보다 오래 살아남는다. HNDL은 오직 유효 기간이 긴 곳에서만 의미가 있다. 그 외의 모든 곳에서는 양자 컴퓨터가 도착하기도 전에 수확물이 창고에서 썩어버린다.

7. 다섯 번째 관문: 그렇다면 누가 실제로 수고를 들이겠는가?

마지막 두 관문, 즉 규모와 유효 기간을 합쳐보면 그림이 아주 빠르게 명확해진다. 실제 물류를 명시한 몇 가지 실제 사례를 살펴보자.

누가 실제로 수고를 들이겠는가? 규모 대 유효 기간. 왼쪽 위가 수집이 의미 있는 곳이다. 양이 적고 영원히 보존된다. 오른쪽 아래는 슬로건이 가장 열심히 팔리지만 실제로는 가장 의미 없는 곳이다. 위치는 자릿수 수준의 판단이다.

대사관 회선. 표적: 외교 공관과 외무부 사이의 암호화된 터널. 도청: 현지 ISP, 또는 회선이 통과하는 교환소. 주재국이라면 작전이 아니라 전화 한 통으로 가능하다. 그리고 공관이 오지에 주재하며 많은 곳이 그러하듯 위성으로 백홀을 운용한다면, 상대국은 주재국의 협력조차 필요 없다. 안테나와 옥상이면 충분하다(3절). 규모: 극히 작다. 하루에 1~2기가바이트, 50년치도 선반 하나에 들어간다. 유효 기간: 수십 년. 판정: 교과서적 사례이며, 지금 이 순간 모든 나라의 대사관에서 거의 확실히 일어나고 있다. 외무부를 운영하면서 마이그레이션을 하지 않고 있다면, 당신이 바로 이 슬로건이 존재하는 이유다.

방산 업체. 표적: 원청업체와 협력업체 사이의 사이트 간 VPN. 규모: 연간 수십 테라바이트의 CAD 및 시험 데이터로 관리 가능하다. 유효 기간: 올해 설계된 기체는 2075년에도 비행 중이다. 판정: 실현 가능하고 충분히 가치 있다. 작은 더미, 긴 기억.

소매 은행. 표적: 모든 소비자 트래픽. 규모: 연간 페타바이트 단위. 유효 기간: 거의 전부가 몇 시간에서 몇 달. 판정: 아니다. 연간 수억 원의 테이프 비용을 써서 결국 2026년 비밀번호 몇 개를 알게 된다. 차라리 데이터베이스를 털어라. 누군가는 이미 그랬을 것이다.

유전체 연구소. 표적: 클라우드 스토리지로 전송 중인 염기서열 분석 데이터. 규모: 적당한 커버리지의 유전체 하나가 원본 기준 수백 기가바이트이고, 바쁜 기관은 연간 페타바이트를 생성한다. 유효 기간: 영원하며, 대상자의 온 가족을 함께 노출시킨다. 판정: 이 글에서 가장 가치 있는 표적이지만, 전송 중 도청은 순전히 규모 때문에 여전히 불가능하다. 그러나 정지 상태의 데이터베이스를 훔치면 단번에 무한한 유효 기간을 가진 60테라바이트가 된다. 그것이 위 차트의 화살표이며, 가장 중요한 이동 방향이다.

8. 양털은 이미 창고에 있다

이로써 HNDL에서 훨씬 더 많은 주목을 받아야 할 부분에 이른다. 지난 10년간의 모든 대형 데이터 침해 사건은 암호화된 아카이브를 다른 누군가의 스토리지에 남겨두었다. 인사 파일, 건강보험사, 신용조사 기관, 호텔 체인, 모두 추정컨대 여전히 그곳에 있으며, 도청된 광섬유와 똑같은 장비를 기다리고 있다. 그리고 그것은 세 가지 이유에서 훨씬 더 좋은 표적이다.

첫째, 순방향 비밀성이 없다. 정지 데이터는 세션별 일회용 키가 아닌 장기 키로 보호된다. 키를 한 번 破解하면 전체 아카이브가 열린다. 기본값이 RSA 키 전송 방식인 셈이다. 한꺼번에, 전부. 둘째, 선별 문제가 이미 해결돼 있다. 유전자 은행을 빼낸 공격자는 산더미를 뒤질 필요가 없었다. 다른 누군가가 이미 정렬하고, 색인하고, 중복을 제거해 놓았다. 두 번째 관문의 어려운 부분을 피해자가 처리해준 것이다. 셋째, 유효 기간이 대개 엄청나다. 훔쳐낸 유전체는 2045년이 돼도 변질되지 않는다.

이 모든 것에 잠수함은 필요 없다. 의심하지 않는 직원에게 닿는 피싱 이메일 하나면 된다. 그래서 정지 상태 HNDL이 가능한 행위자의 수가 케이블을 도청할 수 있는 행위자의 수보다 훨씬 많은 것이고, 대부분의 마이그레이션 조언에서 우선순위 순서가 정확히 거꾸로인 이유다. 모두가 언덕 너머로 양을 쫓고 있는 동안, 깎아놓은 양털 전체(암호화된 데이터, 데이터베이스)가 문이 열린 창고에 묶어져 있다.

9. 우리가 여전히 모르는 것들

한계에 대해 솔직하게 말하자면, 3절에서 8절까지의 모든 내용은 설계상 불완전한 공개 기록으로부터 추론한 것이다. 기밀 프로그램은 기밀이다. 공개된 자료는 오래됐고, 대부분 2013년의 것이며 기술은 발전했다. 저장 비용은 내려가고, 양자 자원 추정치는 더 빠르게 내려간다. 여기서의 계산 어느 것이든 한 자릿수만큼 바뀔 수 있고, 그에 따라 일부 결론도 달라질 수 있다. 추측의 여지가 없는 것은 지금 이 순간 실제로 네트워크에 배포된 것들이다. 그것은 측정 가능하기 때문이다. 그래서 나는 측정했고, 그 결과는 논의 전체를 날카롭게 만들어준다. 방어가 어느 관문에서 이기고 있고 어느 관문에서 싸우지도 않고 있는지를 알려준다.

10. 목장 측정하기

이 글의 현재 양자 안전 보안 태세 연구를 위해 인터넷을 스캔하기 시작했을 때, 찾을 수 있었던 유일한 비교 가능한 기존 연구는 약 3만 2천 개 도메인을 대상으로 한 단일 관측점 연구15였다. (여기서 관측점이란 스캔을 수행하는 장소를 의미한다. 단일 관측점 스캔은 한 위치에서 모든 서버에 질의하고, 다중 관측점 스캔은 여러 곳에서 질의한다. 이는 일반적으로 글로벌 CDN이 지역별로 설정을 순차적으로 적용하는 과정에서 요청 출처에 따라 다르게 응답하는 서버를 포착하기 위해서다.) 나의 계획은 더 넓게, 그리고 여러 관측점에서 동시에 스캔하여 서비스의 응답이 어느 지역 프런트엔드가 요청을 받느냐에 따라 달라지는지 확인하는 것이었다. 그 작업을 하는 동안 Wickramasinghe 등16이 인터넷 규모의 종단 연구를 발표했다. 11개 관측점에서 100만 개 도메인을 대상으로 2025년 7월부터 2026년 3월까지 세 차례에 걸쳐 수집한 20억 건 이상의 TLS 핸드셰이크를 분석한 것이다. 이는 모든 면에서 qgrove보다 크고 정밀한 측정이다. 따라서 이하의 내용을 독립적인 확인으로서 제시한다. 다른 인프라 위에 구축된 더 작은 단일 라운드 스캔이 같은 수치에 도달한 것이다.

나는 qgrove20를 구축했다. 글로벌 엣지 네트워크에서 실행되며 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽는 스캐너다. 그 값 하나가 포착된 세션의 HNDL 노출 여부를 결정하며, 아무것도 복호화하지 않고 핸드셰이크의 평문 부분에서 바로 읽을 수 있다. 스캐너는 오픈 소스이며 아래의 모든 수치는 공개된 데이터셋에서 재현 가능하다. 다양한 방법과 출처를 조합하여 116,589개 도메인을 스캔 대상으로 선정했다.

무엇이 움직이고 있는가: 핸드셰이크 (기밀성을 위한 키 교환)

최신 TLS를 지원하는 접속 가능한 서버 중 35.5%가 이미 하이브리드 포스트 양자 키 교환을 협상한다. 고전적인 X25519 곡선과 ML-KEM-768을 결합한 것으로, 현재 버전의 Chrome이 설정하는 방식 그대로다. 최근에 확정된 표준치고는 큰 수치이며 계속 오르고 있다. 그러나 35.5%는 엣지에서 측정한 값이고, 엣지는 대형 CDN 뒤의 사이트를 볼 수 없다. 그 사각지대를 다른 방법으로 해당 사이트들을 재탐침하여 채웠더니 그림이 크게 바뀌었다. CDN 경유 집단은 거의 100% 하이브리드였는데, CDN이 모든 사람에게 PQC를 한꺼번에 활성화했기 때문이다. 둘을 합산하면 모집단 추정치는 61.1%로 높아진다. 두 수치 모두 사실이지만 의미하는 바는 다르다. 솔직한 핵심은, 그 CDN의 엣지에서만 실행한 스캔은 PQC를 체계적으로 과소 계산한다는 것이다. 인터넷에서 가장 PQC가 활성화된 사이트들이 바로 구조적으로 볼 수 없는 곳에 있기 때문이다.

두 레이어는 완전히 다른 속도로 움직인다. 왼쪽: 하이브리드 PQC 키 교환, 엣지 측정값 대 풀링된 모집단 추정값. 오른쪽: 인증서 서명, 마이그레이션이 아직 시작되지 않은 곳. 출처: qgrove, 2026년 7월.

움직이지 않는 것: 서명 (인증용)

이제 나머지 절반, 그리고 사람들이 걱정해야 할 부분이다. 필자는 31,839개의 인증서에서 서명 알고리즘을 살펴보았다. 포스트 양자 서명을 사용하는 수는 0이었다. “낮음”이 아니라, 0이다. 웹은 전적으로 고전적인 ECDSA와 RSA로 자신을 인증하며, 미래의 양자 컴퓨터는 이 둘 모두를 예전 키 교환을 깨는 것만큼이나 쉽게 위조한다. 기밀성 레이어는 마이그레이션을 시작했지만, 인증 레이어는 단 한 걸음도 내딛지 않았다. 이것은 필자의 표본에 국한된 특이한 현상이 아니다. 필자 이전의 단일 관측점 연구15와 필자와 동시에 진행된 인터넷 규모 연구16 모두 포스트 양자 인증서에서 동일한 완전한 0을 보고하며, 아키텍처 검토18는 왜 서명 측이 더 어렵고 느린 작업인지를 설명한다. 전체 인증 기관 계층 구조와 모든 검증 클라이언트를 함께 끌어당기기 때문이다. 바로 이 분리가 핵심이다. 대화를 암호화하는 것과 신원을 증명하는 것은 서로 다른 두 수학이 담당하는 두 가지 다른 작업이며, 지금 당장은 그 중 하나만 수정되고 있다.

두 가지 추가 발견, 둘 다 조용히 유용한

첫째, 섹터별 결과다. 보안에 민감한 산업(은행, 국방, 정부)이 선도할 것으로 예상할 수 있다. 그렇지 않다. 하이브리드 PQC 도입률은 필자가 분류한 모든 섹터에서 약 27%에서 39% 사이였으며, 선두는 금융(28%)이나 국방(29%)이 아닌 일반 대형 웹사이트와 CDN 제어 플레인이었다. 도입은 필요한 사람이 누구인지가 아니라 어느 CDN이 기능을 켰느냐에 의해 좌우된다. 이것은 이제 모든 독립 측정에서 일관되게 나타나는 결과다. 대규모 동시 연구는 이를 가장 명확하게 수치화했다. 전체 포스트 양자 TLS의 약 70%가 단 두 제공업체인 Cloudflare와 Fastly에서 비롯된다16는 것이며, 2030–31년 전환 기한이 가장 이른 관할권이 더 늦은 기한의 관할권보다 낮은 도입률을 보이는 이유는 정책 긴급성과 CDN 시장 점유율이 무관하기 때문이다. 별도의 연구는 프로토콜 버전 한 레이어 아래에서도 같은 지연을 발견한다. 일반 TLS 1.3 도입조차 정부(70%), 국방(68%), 에너지 및 핵심 인프라(76.5%), 통신(78.6%)15에서 뒤처지는 반면, 클라우드와 소셜 미디어는 95–100%에 달한다. 세 가지 서로 다른 스캔, 동일한 패턴. 제공업체가 설정을 바꾸었다면 보호받고 있는 것이고, 그렇지 않다면 보호받지 못하는 것이며, 소속 산업과는 거의 무관하다.

둘째, 필자가 다중 관측점 장치를 구축한 목적인 측정: 서버의 응답이 지구상 어느 위치에서 질의하느냐에 따라 달라지는가? 필자는 북미, 유럽, 일본, 뉴질랜드에 걸친 8개 위치에서 1,787개 도메인을 탐색했다. 위치에 따라 다른 응답을 보낸 도메인의 비율은 0.17%로 3개 도메인이었으며, 재검증 시 그 중 2개는 지리적 차이가 아닌 일반적인 로드 밸런서 편차로 판명되어, 1,787개 도메인 중 진정하고 안정적인 지역적 변이를 보인 것은 약 1개에 불과했다. 여기서 독립적 검증이 의미를 가진다. 100만 개 도메인을 대상으로 11개 관측점에서 수행한 대규모 연구도 동일한 규모에서 같은 효과를 보고한다. 안정적인 패널의 0.05%가 클라이언트 위치에 따라 다른 기본값을 협상한다16는 것이며, 이를 CDN 설정이 지역 전반에 걸쳐 점진적으로 전파되는 것으로 귀인하는데, 필자도 동의한다. 두 그룹, 완전히 다른 장치, 0.05%와 0.06%: 어디서 스캔하느냐는 본질적으로 중요하지 않다.

qgrove 스캔 결과의 수치와 그 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 202,258회 (모든 도메인에 대한 광범위 탐색과 4,000개 도메인 하위 표본에 대한 다중 관측점 심층 탐색), 2026년 7월, 전체 공개. 미리 밝혀 둘 주의사항: (1) 엣지 전용 수치(35.5%)는 구조상 과소 계상되며, 풀링된 수치(61.1%)는 두 가지 측정 방법을 결합한 것으로 풀링 전 99.9% 일치로 교정되었다. (2) 도달 가능한 서버의 약 4분의 1은 여전히 구버전 TLS만 사용하여 PQC를 수행할 수 없으며, 이 때문에 하이브리드 비율이 최신 TLS 서버의 35.5%이지만 전체 도달 가능한 서버의 27%인 것이고, 양쪽 모두 보고되며 어느 쪽도 과장되지 않았다. (3) 인증서 및 순방향 비밀성 없는 수치는 모든 도메인이 아닌 대규모 표본에서 도출된 것이다. (4) 선별된 섹터 목록은 타당한 핵심 집합이며, 전수 조사는 아니다.

11. 결론

“지금 수집하고 나중에 복호화한다(Harvest Now, Decrypt Later)” 슬로건은 방향은 맞지만 규모에 대해서는 과장하고 있다. HNDL은 실재한다. 국가들은 증명 가능하게 도청 장치를 보유하고 있고, 증명 가능하게 수집한 것을 보관하며, 그들이 기다리는 컴퓨터는 아직 완성되지 않았더라도 매년 서류상으로 점점 가까워지고 있다. 그러나 HNDL은 매우 좁은 사례 집합에서만 다섯 가지 관문을 모두 통과한다. 더미가 한 세대 동안 보관하기에 충분히 작고, 열었을 때 내용이 여전히 중요한 경우: 외교 통신, 국방 프로그램, 생체 인식 또는 유전체 관련 데이터, 소량의 장기 기밀. 인터넷과 그 사용자의 상당 부분에게 이 위협은 두 번째 관문이나 네 번째 관문에서 소멸한다. 암호화가 버텨서가 아니라 경제성이 맞지 않기 때문이다. 보관 비용이 평문의 가치보다 높고, 읽을 수 있게 될 때쯤이면 이미 가치를 잃는다.

한편 실제로 경보를 울려야 할 HNDL은 거의 주목받지 못한다. 광섬유 도청도 아니고 좋은 슬라이드 자료도 되지 못하기 때문이다. 바로 누군가가 이미 들고 나간 암호화된 아카이브다. 순방향 비밀성도 없고, 용량 문제도 없고, 잠수함도 필요 없으며, 유효 기간은 평생으로 측정된다.

따라서 실질적인 조언은 화려하지 않다. 자신의 데이터 중 어떤 것이 수십 년 단위로 측정되는 X를 가지는지 파악하라. 대부분의 조직에게 그것은 짧은 목록이며, 대개 벤더가 견적을 내는 목록과 다르다. 그것을 먼저 마이그레이션하라 (장기 키 하에 저장된 것과 전송 중에 여전히 RSA 키 전송을 수행하는 것 모두). 그런 다음 나머지를 합리적인 속도로 처리하라. 그리고 아무도 시작하지 않은 부분에 주목하라. 필자 것을 포함하여 현재 문헌에 있는 모든 측정은 포스트 양자 키 교환이 웹의 상당 부분에서 활성화되어 있고 증가하고 있음을 보여주지만, 가치 있는 포스트 양자 인증서 서명은 단 하나도 없다. 마이그레이션의 기밀성 절반은 몇몇 대형 CDN이 스위치를 켰기 때문에 주로 순조롭게 진행 중이다. 인증 절반은 시작조차 하지 않았다. 양자 컴퓨터가 도래하면 키를 깨는 것만큼이나 쉽게 서명을 위조할 것이므로, 핸드셰이크는 마이그레이션했지만 인증서는 그렇지 않은 웹은 새 자물쇠를 달았지만 누구나 곧장 통과할 수 있는 문을 가진 집과 같다. 그것이 다음 과제이며, 지금 당장은 아무런 울타리가 없다.

이것은 아무것도 하지 말라는 주장이 아니다. 양을 세고 나서 구충제를 사라는 주장이다. 실제 노출에 따른 마이그레이션은 잘 쓰인 돈이다. 슬로건에 따른 마이그레이션은 비싼 약품만 쓰고 구충도 못 된 채 기생충 가득한 울타리를 남기는 방법이다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 그리고 202,258행 데이터셋은 github.com/spinsphere/qgrove에서 이용 가능하다. 모든 수치는 저자의 것이다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록 및 비밀 해제된 자료에 근거하며, 저자는 비공개 정보를 보유하지 않으며 그러한 정보를 암시하지도 않는다.

Kaysec는 포스트 양자 준비 태세와 암호화 민첩성에 대해 자문하며, 주로 이 글이 실제로 중요하다고 말하는 종류의 데이터 유효 기간을 가진 조직을 대상으로 한다. kaysec.spinsphere.xyz

참고문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비될 것인가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “100만 개 미만의 잡음 있는 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “The Pinnacle Architecture: 양자 LDPC 코드를 사용하여 RSA-2048 해독 비용을 물리적 큐비트 10만 개로 절감.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 자원 추정이며 하드웨어 시연이 아님. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “양자 취약성에 대비한 타원 곡선 암호화폐 보안: 자원 추정 및 완화.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; 영국 NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장문.
  7. 작전명 아이비 벨스(Operation Ivy Bells), 1971–1981. USS Halibut, 오호츠크해. 비침습적 유도 도청; 월별 잠수부 회수, 이후 RTG 전원 방식. Sontag & Drew, Blind Man’s Bluff (1998) 참조.
  8. M. Klein, 선서 진술서 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 사건 자료. 641A호실, 611 Folsom St; 2003년 운영 개시, 2006년 공개; 백본 회선 약 16개 분기(합계 약 15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시에 숨겨진 NSA 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 폭로, 2013–2014년 (The Guardian; Der Spiegel). 10 Gbit/s 프로브 200개 이상, 이론상 일일 처리 용량 약 21.6 PB; 콘텐츠 약 3일, 메타데이터 약 30일 버퍼링.
  11. MUSCULAR 폭로, 2013년 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료.
  12. Lawfare, “러시아의 해저 케이블 위협 평가”, 육양국 접근이 심해 도청을 비매력적으로 만드는 이유에 관하여.
  13. AMS-IX 2025년 수치: 연간 트래픽 35.66 EB, 최대 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최대 18.22 Tbit/s; 글로벌 플랫폼 최대 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷의 양자 내성 준비 현황 측정 연구: 2026.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인 단일 관측점 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에서 클라이언트 측 TLS 버전 폴백 기록. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “격차에 주목하라: 양자 후 TLS 배포에서의 정책과 현실.” arXiv:2607.29005, 2026년 7월. UNSW 시드니 및 조지아 공과대학교. 2025년 7월~2026년 3월 3회에 걸친 종단 연구; 핸드셰이크 20억 건 이상, 도메인 100만 개, 관측점 11개. arxiv.org/abs/2607.29005
  17. J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “지금 수집하고 나중에 복호화하는 공격의 실제 가능성에 관하여.” arXiv:2603.01091, 2026년 3월. 마드리드 카를로스 3세 대학교. arxiv.org/abs/2603.01091
  18. E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “양자 내성 네트워크: 기본 요소, 프로토콜 및 모범 사례 리뷰.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  19. G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “양자 후 암호화 및 양자 안전 보안: 종합 설문 조사.” arXiv:2510.10436, 2025년. 텍사스 주립대학교. arxiv.org/abs/2510.10436
  20. qgrove: 분산 다중 관측점 TLS 양자 후 보안 태세 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  21. W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “위를 보지 마라: GEO 위성의 평문 민감 내부 링크.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 타이베이, 2025년 10월 (우수 논문상). 수신기 약 $800; 관측된 GEO 위성 링크의 50%가 통화·문자 내용을 포함한 셀룰러 백홀, 전력·산업 제어/SCADA, 군용 자산 추적, 기내 WiFi를 포함한 평문 IP 트래픽을 전송. satcom.sysnet.ucsd.edu
  22. WiFi 도청과 그 한계에 관하여: WPA2/WPA3는 라디오 구간을 보호할 뿐 종단 간 세션은 보호하지 않는다. KRACK(Vanhoef & Piessens, 2017) 및 Dragonblood(Vanhoef & Ronen, 2020) 공격과 이블 트윈·다운그레이드 계열 공격 전반을 참조. 라디오의 브로드캐스트 특성상 암호문 수집 비용이 저렴하며, TLS가 핵심 보호 계층으로 남는다.