보고서

Cloudflare는 포스트 양자 웹에 서명하길 원한다. 비트코인은 서명자를 찾지 못하고 있다.

by Simon McCorkindale

양자 내성 암호화의 해답은 이제 대체로 합의에 이르렀다. 이를 적용하는 것 — 특히 인증에 적용하는 것 — 이 어려운 부분이다. Cloudflare가 인증 기관(CA)이 되려는 움직임은 웹에서 이를 실현하는 한 가지 방법을 보여준다. 비트코인은 같은 해답이 모든 곳에 적용되지 않는 이유를 보여준다. 그리고 유럽의 4,750만 유로 규모 양자 인터넷 투자는 2029년 이전에 마이그레이션하는 누구에게도 도움이 되지 않을 것이다.

세 주 사이에 네 가지 사건이 발생했으며, 이를 종합하면 하나의 명확한 논거가 된다.

첫 번째는 목록이다. Go 암호화 메인테이너이자 이 분야에서 가장 신뢰할 수 있는 목소리 중 하나인 Filippo Valsorda가 “Cryptographic Right Answers”의 업데이트된 목록을 게시했다. 이는 2009년 Colin Percival로 거슬러 올라가는 개발자 참고 자료 전통이다. 비대칭 암호화 관련 모든 답변은 2018년 이후 변경되었으며, 대부분은 2024년 이후에 변경되었고, 전환 작업은 이제 3년이 걸리는 과제가 되었다.

두 번째는 인프라다. Cloudflare는 공개 인증 기관(CA)이 될 것임을 발표하며, 2027년 1분기에 양자 내성 인증서를 제공할 예정이라고 밝혔다 — 이는 웹 마이그레이션에서 가장 어려운 미해결 과제인 인증 문제를 정면으로 공략하는 것이다.

세 번째는 목록을 단순히 적용할 수 없는 마이그레이션이다. 전체 비트코인의 약 12%를 보관하는 수탁 기관인 Coinbase는 비트코인의 양자 내성 전환에 필요한 것이 무엇인지를 제시했으며, 그 답은 “ML-DSA를 선택하라”는 것보다 훨씬 복잡하다.

네 번째는 또 다른 양자 보안 이야기다. 유럽 집행위원회는 양자 네트워크 프로토타입 구축을 위해 Quantum Internet Alliance에 4,750만 유로를 지원했으며, 올해 초 Strathclyde 대학의 논문은 위성 양자 키 분배가 실제로 얼마나 어려운지를 정량화했다.

종합하면, 알고리즘은 준비됐고, 키 교환은 순조롭게 진행 중이며, 인증이 현재 작업의 핵심이고, 물리 기반 대안은 마이그레이션 계획이 아니라 연구 프로그램이다.

올바른 답변, 2026년 판

Valsorda의 목록은 전체를 읽어볼 가치가 있지만, 인프라 운영자에게 중요한 부분은 짧다.

키 교환은 표준 프로토콜 내에서 X25519 + ML-KEM-768이다. 이는 TLS에서 X25519MLKEM768, SSH에서 그에 상응하는 방식, 그리고 HPKE(하이브리드 공개 키 암호화, 공개 키로 암호화하기 위한 IETF 표준)를 위한 X-Wing 조합을 의미한다. 이름에 ML-KEM이 포함되지 않은 것은 모두 피해야 할 목록에 있다. 그는 대부분보다 더 나아간다: 하이브리드를 구현하는 것이 한 달이라도 더 고전적인 키 교환을 사용하게 만든다면, 바로 순수 ML-KEM-768로 전환하라. 지금 수집해 나중에 복호화하는 방식(harvest-now-decrypt-later)은 모든 고전적인 핸드셰이크를 능동적인 부채로 만든다.

서명도 ML-DSA-44로 이동했다. 이것이 더 큰 변화다. 불과 2026년 1월만 해도, 양자 내성 인증에 대해서는 관망하라는 조언이 있었다. Valsorda는 이제 전환을 권고하며, 대부분의 용도에서 하이브리드 또는 “복합” 서명을 거부한다. 그의 논거는 이렇다: ML-DSA가 깨질 경우 이미 고전적인 키로 되돌릴 수 있거나, 아니면 시간 지평이 길어서 어차피 고전적인 반쪽은 무너질 것이다. 그는 또한 서명을 아예 줄이는 것을 제안한다 — HMAC이나 무작위 세션 토큰이 서명된 토큰이 하는 역할을 종종 대신할 수 있다.

대칭 암호화는 괜찮다. Grover 알고리즘은 AES-128을, AES-256은 말할 것도 없고, 의미 있게 위협하지 않는다. 암호화된 백업에 대해서는 안심해도 된다. 비대칭 계층이 작업이 필요한 곳이다.

TLS 스택은 알고리즘만큼 중요하다. 그는 메모리 안전 스택(rustls, Go의 crypto/tls) 또는 잘 유지 관리되는 OpenSSL 포크(BoringSSL, AWS-LC)를 권장한다. 그는 OpenSSL 자체는 명시적으로 권장하지 않으며, 3.5 이전의 OpenSSL은 X25519MLKEM768을 전혀 지원하지 않는다고 언급한다. 클라우드에 있다면 공급자의 로드 밸런서를 사용하되, 실제로 양자 내성 보안 정책을 선택했는지 확인하라. RHEL 9 및 파생 제품에서는 양자 내성이 옵트인 방식이다.

웹사이트의 경우, 인증서 조언은 배관 작업에 관한 것이다. 널리 사용되고 잘 지원되는 ACME 클라이언트(Let’s Encrypt가 표준으로 만든 자동화된 인증서 관리 환경 프로토콜)를 연결하고 최신 상태로 유지하라. 머클 트리 인증서(Merkle Tree Certificates)가 2027년에 출시되므로 이를 받을 준비가 되어 있어야 한다. 이 문장이 다음 섹션의 핵심이 된다.

두 가지 부가 사항. 이 목록은 컴플라이언스 체계가 없다고 가정한다; CNSA 2.0(미국 국가안보국의 양자 내성 스위트)과 FIPS 140-3 환경에서는 일부를 대체해야 한다. 특히, CNSA 2.0은 여전히 펌웨어 서명을 위한 상태 기반 해시 서명(LMS/XMSS)을 지지하는데, Valsorda는 이를 일반 피해야 할 목록에 올린다. 그리고 그의 각주에는 더 작은 TLS 라이브러리에서 발생한 2026년 CVE 목록이 길게 이어진다 — 대부분 인증서 검증 우회 문제다. 알고리즘이 문제가 되는 경우는 드물다.

Cloudflare의 CA 전환: 웹 규모의 인증 문제

양자 내성 키 교환은 구성 변경 사항이지만, 양자 내성 인증은 공급망 문제다. 모든 TLS 연결은 CA가 발급하고 브라우저가 신뢰하는 인증서 체인에 의존하는데, ML-DSA 서명은 크다 — 오늘날의 타원 곡선 서명의 64바이트에 비해 각각 약 2.4KB다. 모든 핸드셰이크에 여러 개를 넣으면 우리의 10KB 및 40KB 절벽 글에서 설명한 바로 그 속도 저하가 발생한다.

Cloudflare의 9월 29일 발표는 Quantum Computing Report에서도 다뤄졌으며, 이에 대한 답변이다. 이는 아직 존재하지 않는 서비스에 관한 벤더 발표이므로 그렇게 읽어야 한다. 하지만 설계 선택은 시사하는 바가 있다.

머클 트리 인증서(MTCs)는 모든 연결마다 큰 서명을 전송하는 것을 피한다. 각 인증서에 개별적으로 서명하는 대신, CA는 인증서를 공개적으로 추가만 가능한 로그에 묶어 로그의 체크포인트에만 서명한다. 그러면 서버는 짧은 증명 — 몇 개의 해시 — 을 제시하여 자신의 인증서가 해당 로그에 있음을 보여준다. Cloudflare는 IETF 초안을 공동 작성했고, Chrome은 MTC를 양자 내성 웹 인증의 선호 경로로 지정했으며, Cloudflare는 2027년 1분기에 프로덕션 발급을 계획하고 있다. Quantum Computing Report는 MTC가 중앙값에서 고전적인 체인보다 약간 빠른 Chrome 베타 실험 결과를 인용하는데, 이는 독립적인 측정값이 아닌 Cloudflare 자체 실험 데이터다.

하위 호환성은 구축되는 것이 아니라 구매되는 것이다. 새 루트가 전 세계 기기에 도달하는 데는 수년이 걸리며, 업데이트를 중단한 기기에는 결코 도달하지 못한다. 따라서 Cloudflare는 Chrome의 새로운 양자 내성 루트 프로그램을 목표로 하는 새 루트를 위해 Chrome, Apple, Microsoft, Mozilla 루트 프로그램에 신청하는 동시에, 기존 GlobalSign 루트(2012년부터 신뢰)를 인수하는 계약을 체결했다. 구형 기기를 위한 구형 루트, 양자 내성 미래를 위한 새 루트.

자동화는 발급의 조건이다. Cloudflare는 ACME 우선 방식을 채택하며, CA가 클라이언트에게 갱신 시기를 알릴 수 있는 ACME 갱신 정보(ARI, RFC 9773)를 지원하는 클라이언트에게만 발급할 것이다. 목표는 즉각적인 취소와 고객 사이트의 온라인 유지 사이에서 선택하는 대신, 인시던트 발생 시 갱신 창을 앞당기고 인증서를 신속하게 교체할 수 있는 능력을 갖추는 것이다.

이 제안은 집중화에 대한 복원력이다. Cloudflare는 무료 자동화 인증서 생태계의 대부분이 Let’s Encrypt를 통해 운영된다고 지적하며, 자신을 두 번째 대형 무료 자동화 발급 기관으로 제안한다 — 재현 가능한 빌드, 증명된 HSM, 공개 운영 대시보드와 함께. 집중화 위험 감소가 이미 전 세계 웹 트래픽의 20% 이상을 전달하는 회사에서 온다는 아이러니는 독자의 판단에 맡긴다.

유용한 시사점은, 공개 웹사이트의 경우 양자 내성 인증이 CA, 브라우저, ACME 클라이언트를 통해 주로 도달할 것이라는 점이다 — 이를 수용할 자동화가 갖춰져 있다면. 분석 기관 Futurum은 이에 상응하는 지적을 한다: 공개 인증서는 대부분의 기업 양자 내성 노출이 집중된 곳이 아니다. 내부 PKI — 사설 CA, VPN, 기기 인증서, 서비스 간 인증 — 가 바로 그곳이며, 이를 대신 해결해 줄 사람은 없다.

비트코인: 그냥 배포할 수 없을 때의 마이그레이션

Cloudflare가 웹의 인증 문제를 중앙 집중식으로 해결하는 모습을 보여준다면, Coinbase의 게시물은 중심이 없을 때 어떤 일이 일어나는지를 보여준다. 이는 명확한 상업적 이해관계가 있는 벤더 게시물이다 — Coinbase의 기관 수탁 사업이 요구 사항 중 일부를 형성한다 — 따라서 중립적인 분석이 아닌 이해관계자의 입장으로 읽어야 한다. 게시물이 제시하는 제약 조건은 암호화 자산을 넘어 광범위하게 일반화된다.

일반적인 순위는 전용되지 않는다. Coinbase는 이를 직접적으로 지적한다: TLS나 PKI의 서명 체계 순위는 비트코인에 적용되지 않는데, 모든 비트코인 서명이 영구적으로 저장되고 모든 노드에 의해 검증되기 때문이다. 크기와 검증 비용이 TLS 핸드셰이크에서는 절대 그렇지 않은 방식으로 지배적인 역할을 한다 — 그리고 배치할 CA가 없기 때문에 MTC 방식의 트릭도 없다. “ML-DSA-44를 사용하라”는 것은 웹 서버에는 올바른 답이지만 블록체인에서는 미해결 질문이다.

컨테이너와 서명을 분리하라. 이 게시물에서 가장 이전 가능한 아이디어는 출력 형식(자금을 잠그는 구조)이 서명 알고리즘으로부터 분리되어야 한다는 것으로, 이를 통해 전체 재설계 없이 체계를 추가, 교체 또는 보완할 수 있다. Coinbase는 이를 근거로 BIP-360의 P2MR과 P2TRv2 같은 제안을 지지하며, 동일한 자금을 고전적인 키나 양자 내성 키 중 하나로 사용할 수 있는 “1-of-2” 전환도 지지한다. 이것은 합의 규칙으로 표현된 암호화 민첩성(시스템을 재구축하지 않고 알고리즘을 교체하는 능력)이다.

상태는 위험하다. 상태 기반 해시 서명은 더 작고 빠를 수 있지만, 상태를 재사용하면 즉각적인 위조가 가능하다. Coinbase는 지리적으로 분산된 서명 플릿 — 대형 운영자가 가용성을 달성하는 방식 — 이 상태 기반 서명이 요구하는 독점적인 잠금을 쉽게 유지할 수 없다고 언급한다. 펌웨어 서명에 LMS나 XMSS를 고려하는 사람은 그 단락을 두 번 읽어야 한다.

분실 키 문제에는 깔끔한 해답이 없다. 영구적으로 공개 키가 노출된 코인, 재사용된 키, 휴면 보유분, 분실된 시드는 Coinbase가 별도의 거버넌스 문제로 타당하게 분류한 것을 형성한다: 동결, 속도 제한, 일몰 또는 구제, 각각에는 피해자가 존재한다. 이 글은 구제 메커니즘 자체가 양자 안전성을 갖추고 있음을 증명해야 한다고 요구하는데, 이는 당연한 것이 아니다.

Bitcoin은 극단적인 사례다: 중앙 권한 없음, 되돌릴 수 없는 거래, 그리고 영원히 남는 서명. 그러나 “재서명할 수 없는 장기 서명 아티팩트”는 법적 기록, 엔지니어링 인증서, 보관 계약서에도 해당되는 말이다.

우회로: 양자 네트워크

Quantum Internet Alliance 수상은 양자 네트워킹에 있어 진정한 진전이다. 12개 EU 회원국에 걸친 50개 이상의 기관으로 구성된 컨소시엄은 수백 킬로미터에 달하는 도시권 규모 광섬유를 통해 양자 컴퓨터를 연결하는 프로토타입을 구축할 예정이며, Innsbruck 대학교와 AQT는 트랩 이온 네트워크 노드에 540만 유로를 지원받는다. 안전한 통신은 분산 양자 컴퓨팅 및 정밀 타이밍과 함께 명시된 응용 분야 중 하나다.

이것이 무엇인지 명확히 할 필요가 있다: 양자 네트워킹을 위한 연구 프로토타입이며, 양자 키 분배(QKD)는 그중 하나의 응용에 불과하다. 이는 2029년 기한을 앞둔 누구에게도 마이그레이션 경로가 되지 않는다.

물리학이 그 이유를 설명해 준다. 광섬유에서의 QKD는 지수적 손실로 인해 아직 대규모로 존재하지 않는 중계기 없이는 약 100 km로 제한되며, 위성이 제안된 해결책이다. 바로 이 지점에서 Strathclyde 논문이 등장한다.

참고문헌: arXiv:2602.11833 — Sidhu, McCarthy, Paterson & Oi, “위성 양자 키 분배의 얽힘 기반 운영 한계” (2026년 2월)

연구팀은 저궤도 위성이 동시에 두 개의 지상 광학 기지국에 얽힌 광자 쌍을 전송하는 모델(위성을 신뢰할 필요가 없는 BBM92 프로토콜)을 구성했으며, 패스당 수 분간의 데이터만 존재할 때의 통계적 불이익을 반영한 엄격한 유한 키 보안 분석을 수행했다.

거리는 절대적인 상한선이다. 일반적인 500 km 궤도에서, 이 모델은 두 지상 기지국이 서로 약 1,800 km 이내에 있을 때만 키를 생성한다 — 위성이 실제로 볼 수 있는 거리의 약 37%에 해당한다. 대륙 규모의 커버리지에는 구간당 최소 4개의 지상 기지국이 필요하다.

야간이 필수 조건이다. 키 생성은 야간에 작동하며, 신중한 데이터 선별을 통해 박명 시간대에도 가능하다. 완전한 주간에는 억제된다.

모델은 낙관적이었으나, 현실은 그렇지 않았다. 중국의 Micius 위성에 근사하도록 조정한 결과, 모델은 패스당 수백 킬로비트를 예측했다. 그러나 Micius는 실제로 여러 패스 후 약 수백 비트 수준의 최종 키를 보고했다. 저자들은 이 격차의 상당 부분을 실제 위성 통과 기하학과 손실 때문으로 보고, 자신들의 고유 오류율 가정이 낙관적임을 인정한다.

이상적인 구성에서의 연간 총량 — 500 km 떨어진 두 지상 기지국 사이에서 연간 약 870 메가비트 — 은 AES 키로는 충분한 양이다. 그러나 QKD는 키를 분배할 뿐이며, 키를 교환하는 대상이 누구인지 인증하지는 않는다. 그것은 여전히 고전적 또는 포스트 양자 서명이 필요한데, 이 글의 나머지 부분에서 보여주듯 그것이 핵심 난제다. 이것이 바로 NSA가 국가 안보 시스템에 QKD를 권장하지 않는 핵심 이유이며, 영국 NCSC도 2020년부터 유사한 입장을 유지하고 있다: 포스트 양자 암호화가 더 저렴하고, 유지 관리가 용이하며, 어차피 여전히 필요하다.

뉴질랜드 관점

Valsorda의 목록은 사실상 우리의 스캔이 검증하는 체크리스트다. 118개 뉴질랜드 핵심 인프라 기관에 대한 2026년 6월 재스캔에서 52.2%가 포스트 양자 키 교환을 협상하고 있는 것으로 나타났지만, 자체 오리진 서버에서 이를 수행하는 곳은 25개에 불과했다. 9개 엔드포인트는 여전히 TLS 1.2 전용으로, X25519MLKEM768을 완전히 배제한다; TLS 1.3은 필수 전제 조건이다. 49개의 고전적 오리진은 전환되지 않았다. 각각은 아직 적용되지 않은 “올바른 답”이며, 일반적인 장애 요인은 Valsorda가 언급한 것들이다: 구버전 OpenSSL, 포스트 양자 정책이 선택되지 않은 로드 밸런서, 옵트인이 필요한 운영 체제.

포스트 양자 웹 인증은 자동화를 통해 도달할 것이므로, 자동화가 갖춰져 있는지 확인하라. Cloudflare의 모델은 ACME 및 ARI 지원을 발급 조건으로 삼고 있으며, MTC는 인증서 툴링이 이를 수신할 수 있는 사이트에만 도달한다. 수동으로 유효성 검사된 유료 인증서로 여전히 수동으로 인증서를 갱신하는 조직은 대기열의 맨 마지막이 될 것이다. 인증서 인벤토리는 각 인증서가 만료되는 시점뿐만 아니라 어떻게 갱신되는지를 기록해야 하며, 이는 이제 마이그레이션의 전제 조건이다.

CDN 교훈은 인증서에도 적용된다. 우리의 스캔에서 Reserve Bank 및 Payments NZ와 같이 Cloudflare를 통해 서비스되는 엔드포인트는 자체 일정이 아닌 Cloudflare의 일정에 따라 엣지에서 포스트 양자 인증을 조기에 접하게 될 가능성이 높다. 이는 반가운 일이지만, 키 교환에서 목격한 것과 동일한 트레이드오프다: KiwiRail이 4월에 포스트 양자 보호를 갖출 수 있었던 것은 Imperva가 제공했기 때문이며, 그것이 변경되자 오리진은 고전적 방식으로 되돌아갔다. CDN이 제공하는 PQC는 CDN 계약만큼만 안정적이다. 지속 가능한 입장은 인증서뿐만 아니라 키 교환을 위해서도 엣지 및 오리진 모두에서 포스트 양자를 구현하는 것이다.

내부 PKI가 더 큰 과제이며, 아무도 이를 측정하지 않고 있다. 우리의 스캔은 오늘날 수집 후 복호화 위협이 가해지는 공개 키 교환을 테스트한다. 사설 CA, VPN 게이트웨이, 기기 및 서비스 인증서, 코드 및 펌웨어 서명 모두 더 긴 리드 타임과 더 많은 벤더 의존성을 가진 자체 마이그레이션이 필요하다. 암호화 결정이 대부분 호주 본사에 의해 이루어지는 뉴질랜드 은행의 경우, 해당 의존성 체인은 시드니와 멜버른을 통과한다.

Bitcoin의 교훈은 일반화된다. 다음 알고리즘 교체가 또 다른 재구축이 되지 않도록 암호 민첩성을 위해 설계하라. 상태 기반 서명은 진지한 주의를 기울여 다루어라. 그리고 7년간의 AML/CFT 기록, 엔지니어링 지식재산, 법적 기록물 등 재서명할 수 없는 장기 서명 아티팩트를 파악한 후 어떻게 처리할지 결정하라.

QKD는 기다릴 이유가 아니다. 오클랜드에서 시드니까지는 2,000 km를 조금 넘어 Strathclyde 기준선의 단일 위성 링크 모델 범위를 벗어나며, 뉴질랜드에는 유럽과 같은 QKD 프로그램이 없다. 한편 뉴질랜드는 공식적인 PQC 마이그레이션 기한이 없는 유일한 파이브 아이즈 회원국으로 남아 있으며, Valsorda가 컨센서스로 묘사한 업계의 2029년 목표는 3년 남짓밖에 남지 않았다. Southern Cross Cables는 4월부터 6월 사이에 운영자가 몇 주 안에 자체 오리진을 포스트 양자 키 교환으로 전환할 수 있음을 보여주었다. 올바르게 구성된 표준 TLS 라이브러리와 이를 따라잡을 수 있는 인증서 툴링이 지금 당장 이용 가능한 경로다.

참고문헌

  1. Valsorda, F. (2026년 10월 12일). (포스트 양자) 암호화의 정답. words.filippo.io/right-answers
  2. Goldsmith, S. / Cloudflare (2026년 9월 29일). 인터넷 전체를 위한 인증 기관 구축. blog.cloudflare.com
  3. Abdel-Kareem, M. / Quantum Computing Report (2026년 9월 30일). Cloudflare, 양자 위협으로부터 웹을 보호하기 위한 공개 인증 기관 출시. quantumcomputingreport.com
  4. IETF. 머클 트리 인증서 (인터넷 초안, PLANTS 워킹 그룹). datatracker.ietf.org
  5. Agrawal, S. / Coinbase (2026년 10월 13일). Bitcoin의 포스트 양자 준비를 위한 협력. coinbase.com
  6. Flint, R. / Quantum Zeitgeist (2026년 10월 13일). Coinbase, 양자 공격으로 분실된 Bitcoin 자금 보호 추진. quantumzeitgeist.com
  7. Quantum Zeitgeist (2026년 10월 14일). Quantum Internet Alliance, 네트워크 프로토타입에 4,750만 유로 수주 (AQT 제공). quantumzeitgeist.com
  8. Sidhu, J. S., McCarthy, S. E., Paterson, C., & Oi, D. K. L. (2026년 2월). 위성 양자 키 분배의 얽힘 기반 운영 한계. arXiv:2602.11833
  9. 미국 국가안보국. 포스트 양자 사이버 보안 리소스 — 양자 키 분배 및 양자 암호화. nsa.gov
  10. Kaysec (2026년 6월 3일). 7주 후: 뉴질랜드 핵심 인프라 PQC — 2026년 6월 업데이트. kaysec.spinsphere.xyz
  11. Kaysec (2026년 4월 15일). 뉴질랜드 핵심 인프라: 최초 공개 PQC 준비 평가. kaysec.spinsphere.xyz

Kaysec는 뉴질랜드 기반 양자 기술 회사인 Spinsphere의 포스트 양자 보안 부문입니다. 저희는 뉴질랜드 기관들의 암호화 자산 목록 작성, HNDL 위험 평가, TLS 설정 감사, PQC 마이그레이션 계획 수립을 지원합니다. 문의하기.

오래 살아남을 것이라면, 지금 보호하십시오.