보고서

같은 알고리즘, 다른 규칙집

by Simon McCorkindale

세계는 양자 후 암호화의 수학에 합의했다. 그러나 이를 어떻게 사용할 것인지에 대해서는 아직 합의하지 못했으며, 네트워크 트래픽의 형태는 이미 변하고 있다. 지난 2주간의 네 가지 동향과 뉴질랜드에 주는 시사점.

양자 후 전환에 관한 편안한 이야기가 있다. 미국 표준기관 NIST가 2024년 8월에 작업을 마무리했고, 그 이후는 모두 구현 세부 사항이라는 것이다. 그러나 지난 2주 사이에 발표된 네 가지 항목은 그런 시각을 유지하기 어렵게 만든다.

중국 연구팀은 양자 후 웹 트래픽이 실제로 어떤 모습인지 측정하여, 기존 트래픽으로 훈련된 보안 도구들이 새로운 트래픽에서는 제대로 작동하지 않는다는 사실을 발견했다. 암호화 기업 PQShield는 미국과 유럽이 기본적인 설계 문제에서 정반대 입장을 취하고 있음을 보여주었다. 프랑스는 마이그레이션에 관한 G7 실무그룹의 조정 역할을 맡았다. 그리고 결제 인프라 창업자 한 명은 구식 암호화를 기반으로 오늘날 구축되는 금융 시스템은 이미 시대에 뒤처졌다고 공개적으로 주장했다.

이 모든 것은 수렴이 아닌 분열로 치닫는 전환을 보여준다. 뉴질랜드는 그 분열이 관리되는 어떤 자리에도 없다.

양자 후 트래픽은 다르게 보이며, 도구들도 이를 감지한다

베이항 대학교 및 두 중국 협력 기관의 연구자들이 8월 24일 The Colossus with Feet of Clay를 발표했다. 이들은 먼저 세계에서 가장 많이 방문하는 웹사이트 2,060개를 측정한 결과, 절반을 약간 넘는 50.3%가 현재 접속 시 양자 후 키 교환을 사용한다는 사실을 발견했다. 나머지 38.6%는 여전히 고전적인 방법을 사용하고 있으며, 약 10개 중 1개는 양자 후 방식을 전혀 지원하지 않는 구형 TLS 1.2에 머물러 있다.

흥미로운 부분은 이 변화가 트래픽의 형태에 미치는 영향이다. 양자 후 키 교환은 초기 핸드셰이크 과정에서 훨씬 더 많은 데이터를 전송한다. 수십 바이트가 아닌 킬로바이트 단위다. 이 추가 데이터는 네트워크 패킷 경계를 넘어 분산되기 때문에, 웹사이트 자체는 아무것도 변하지 않았음에도 패킷 크기와 타이밍 패턴이 눈에 띄게 달라진다.

연구자들은 트래픽 패턴만으로 누군가가 방문한 웹사이트를 식별하는 머신러닝 도구 다섯 가지를 테스트했다. 실무자에게 중요한 두 가지 발견이 있다.

양자 후 암호화는 당신을 숨겨주지 않는다. 도구를 양자 후 트래픽으로 재훈련하면 이전과 마찬가지로 잘 작동한다. 프라이버시 혜택은 일시적일 뿐이다.

그러나 기존 트래픽으로 훈련된 도구들은 새로운 트래픽에서 심각하게 무너진다. 가장 성능이 좋던 모델은 사실상 완벽하게 웹사이트를 식별하던 수준에서 3분의 1 정도만 맞추는 수준으로 떨어졌다. 다른 모델들은 더 큰 폭으로 무너졌다. 양자 후 트래픽의 비율이 높아질수록 정확도가 꾸준히 저하되었으며, 항상 예측 가능한 방식으로 저하된 것도 아니었다.

이 연구에는 실질적인 한계가 있다. 통제된 실험실 환경, 단일 브라우저, 단일 관측 지점이며, 디지털 인증서가 아닌 키 교환 단계만을 변경했다. 인증서 변경은 상황을 또 한 번 바꿀 것이다. 그러나 근본적인 메커니즘은 간단명료하며 반박하기 어렵다.

규칙서가 갈라지다

PQShield는 9월 3일 지역 비교 분석을 발표했다. 실무자들이 1년간 비공식적으로 대응해온 문제를 표로 정리한 것이다.

가장 첨예한 분열은 “하이브리드” 암호화를 둘러싼 것이다. 양자 후 알고리즘과 전통적인 알고리즘을 병행 운용하여 어느 쪽이 살아남더라도 보안이 유지되도록 하는 방식이다. 미국 국가안보국은 국가 안보 시스템에 대해 하이브리드를 전면 금지하고, 가장 큰 매개변수 크기만을 사용하는 순수 양자 후 방식으로의 직접 전환을 고집한다. 프랑스의 ANSSI와 독일의 BSI, 두 유럽 동등 기관은 정반대를 요구하거나 강하게 권고한다. 영국의 NCSC는 중간 입장으로, 하이브리드를 이후 순수 양자 후 방식으로 나아가기 위한 합리적인 중간 단계로 취급한다.

허용 알고리즘 목록도 다르다. 독일 시장 인증 제품과 미국 국가 안보용 인증 제품은 이 문제에서 서로 호환되지 않는다.

그러나 한 가지는 수렴하고 있다. 바로 기한이다. PQShield는 핵심 제품에 대해 2030년, 그 외 모든 것에 대해 2035년을 최종 기한으로 하는 광범위한 합의가 이뤄지고 있다고 지적한다.

자리에 있는 자들의 조율

같은 날, Quantum Zeitgeist는 프랑스의 2026년 G7 의장국 지위 아래 ANSSI가 G7 사이버보안 실무그룹을 주재하며 마이그레이션에 관한 실질적 권고 성명을 발표했다고 보도했다. 이는 캐나다가 2025년에 시작한 작업을 바탕으로 하며, 국가 기관들과 함께 유럽연합 기관들도 참여하고 있다.

그 자체로는 소박한 수준이다. 규칙이 아닌 권고이기 때문이다. 그러나 구조의 신호로서는 의미가 있다. 이미 구속력 있는 입장을 가진 국가들이 유럽 의장국 아래 서로 조율하기 시작한 것이다.

금융 논거, 주의 깊게 읽기

The Quantum Insider는 9월 2일 결제 네트워크 회사를 운영하는 Ryan Kirkley의 기고를 게재했다. 오늘날 고전 암호화를 기반으로 구축된 결제 인프라는 태어날 때부터 시대에 뒤처진다는 주장이다.

프레이밍은 적절한 회의주의로 대해야 한다. 그는 대안을 판매하는 입장이며, 양자 하드웨어 일정에 관한 일부 뒷받침 주장은 간접 출처에 근거하므로 반복하기 전에 검증할 필요가 있다. 구조적 논거는 더 잘 버틴다. 결제 시스템은 30~50년 운용을 목표로 구축된다. 이는 정확히 “지금 수집, 나중에 복호화” — 오늘날 암호화된 트래픽을 기록해 두었다가 하드웨어가 갖춰지면 복호화하는 방식 — 이 이론적 우려가 아닌 실질적 우려가 되는 보존 기간이다.

그 안에 교훈적인 모순이 있다. Kirkley가 권고하는 아키텍처는 하이브리드다. 그것은 유럽의 입장이며, 미국 국가 안보 시스템에는 금지된 방식이다. 두 유능한 당사자, 동일한 표준, 정반대의 결론.

뉴질랜드의 시각

우리의 헤드라인 수치는 글로벌 수준에 근접하지만, 구성은 그렇지 않다. 6월에 실시한 뉴질랜드 핵심 인프라 118개 기관 재스캔에서 52.2%가 양자 후 방식을 지원하는 것으로 나타났다. 베이항 샘플의 50.3%와 비교된다. 방법과 모집단이 달라 비교는 대략적이며, 더 중요한 차이는 수치 이면에 있다. 뉴질랜드 수치의 상당 부분은 기관 자체가 아닌 콘텐츠 전송 네트워크(CDN)를 통해 제공된다. 115개 오리진 서버 중 자체적으로 구현한 곳은 25개뿐이다.

트래픽 발견의 영향은 공격자뿐 아니라 방어자에게도 미친다. 베이항 논문은 도청을 중심으로 프레이밍되어 있지만, 그 메커니즘은 누가 감시하는지에 무관하다. 2025년 이전에 정상 트래픽 패턴을 학습한 모든 도구 — 네트워크 모니터링, 이상 기준선, 심층 패킷 검사 — 는 이제 달라진 그림을 보고 있다. 뉴질랜드에서 많은 기관들에게 양자 후 방식이 CDN 기본값으로 도입된 경우, 그 변화는 변경 티켓 없이 이루어진 것이다. 그 기준선이 마지막으로 재설정된 시점이 언제인지 확인할 필요가 있다.

우리는 하이브리드 문제에 대한 입장이 없다. 뉴질랜드는 파이브 아이즈 중 공식적인 마이그레이션 기한이 없는 유일한 나라이며, NZISM은 하이브리드 대 순수 방식에 대해 아무런 언급이 없다. 그 공백은 이제 실질적인 결과를 낳는다. 2026년에 보안 장비를 구매하는 사람은 누구든 기본값으로 다른 누군가의 규제 입장을 물려받게 된다. 대개는 벤더 본국의 입장이다. 핵심 인프라 법안이 올해 말 예상되며, 그 이전 컨설테이션에서 암호화에 관한 실질적인 언급은 없었다. 이것이 우리가 4월에 제출한 내용이다.

은행 논거는 시드니를 경유해 이곳에 도달한다. 우리 5대 은행 중 4개는 호주 자회사이므로, 이러한 결정은 해외에서 이루어진다. 우리 스캔에서는 대형 4개 은행 중 ANZ만이 자체 서버에서 양자 후 방식을 운용하고 있는 것으로 계속 확인되고 있다.

기한은 우리가 없는 자리에서 설정되고 있다. 그러나 인벤토리 작업 — 실제로 어떤 암호화를 어디서 운용하는지 파악하는 것 — 은 어떤 규칙서가 최종 적용되든 동일한 시간이 걸리며, 규칙서가 작성되기 전에 시작할 수 있는 유일한 일이다.

Kaysec는 뉴질랜드 기반 양자 기술 기업 Spinsphere의 양자 후 보안 전문 부문입니다. 우리는 뉴질랜드 기관들의 암호화 인벤토리, 지금 수집-나중에 복호화 위험 평가, TLS 구성 감사, PQC 마이그레이션 계획을 지원합니다. 문의하기.

오래 지속된다면, 지금 보호하라.

참고문헌

  • Li, B., et al. (2026). The Colossus with Feet of Clay: Debunking Encrypted Traffic Classifiers under PQC Evolution. arXiv:2608.22683v1, 24 August 2026. https://arxiv.org/pdf/2608.22683v1
  • Stubbs, M. (2026). Regional regulations for cryptography algorithm selection. PQShield, 3 September 2026. https://pqshield.com/regional-regulations-for-cryptography-algorithm-selection/
  • Delaney, I. (2026). ANSSI leads G7 push for quantum-resistant encryption. Quantum Zeitgeist, 3 September 2026. https://quantumzeitgeist.com/quantum-resistant-encryption-anssi-leads-push/
  • Kirkley, R. (2026). Guest Post: Why Financial Infrastructure Needs Post-Quantum Security. The Quantum Insider, 2 September 2026. https://thequantuminsider.com/2026/09/02/financial-systems-quantum-risks/
  • Kaysec (2026). Seven Weeks Later: NZ Critical Infrastructure PQC — The June 2026 Update, 3 June 2026. https://kaysec.spinsphere.xyz/seven-weeks-later-nz-critical-infrastructure-pqc-the-june-2026-update/