보고서

양자 봄의 시대: 지금 수확하고, 나중에 복호화하라: 누가, 어떻게 당신의 암호화된 데이터를 수집하고 있는가, 그리고 왜 대부분의 수확물이 썩어가는가

by Simon McCorkindale

“수확” 암호화 데이터가 공격자에게 실제로 치르는 비용, 그 데이터를 읽으려면 무엇이 필요한지, 그리고 실제 위협이 어디에 숨어 있는지. 이 글은 다섯 가지 관문 프레임워크(물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효 기간, 공격자 동기)를 기본 원리부터 살펴보며, 오늘날 인터넷에 실제로 배포된 포스트양자 암호화 현황을 직접 스캔한 데이터를 바탕으로 설명한다.

요약. “지금 수집하고 나중에 복호화한다”(HNDL)는 포스트양자 암호화로의 전환을 서두르는 이유로 모두가 드는 명분이다. NIST(미국 국립표준기술연구소)도, CISA(미국 사이버보안 및 인프라 보안국)도, 영국의 NCSC(국가사이버보안센터; 뉴질랜드에도 동명의 기관이 있다)도 같은 말을 하고, 벤더들은 훨씬 더 목소리를 높이지만, 그 근거를 실제로 따져보는 사람은 거의 없다. 실제로 누가 수집하고 있는가? 어디서? 얼마나 많은 양을 저장해야 하며 비용은 얼마인가? 그리고 마침내 양자 컴퓨터가 등장했을 때, 수집해 둔 데이터 중 여전히 읽을 가치가 있는 것이 남아 있을까? 이 글은 HNDL을 반복해야 할 사실이 아닌 검증해야 할 주장으로 다룬다. 이 위협은 실재하지만 범위가 좁다. 데이터의 가치가 수십 년간 유지되고 수집량이 적을 때만 유효하며, 대부분의 트래픽에서는 암호화 문제가 생기기 훨씬 전에 경제성 문제로 먼저 무너진다. 더 크고 조용한 문제는 이미 다른 누군가의 저장소에 쌓여 있는 암호화된 데이터다. 이 연구는 독립적인 가설에서 시작되었다. 초고를 작성하는 중에 이 주제와 관련된 2026년 연구 몇 편을 발견했다. 일부는 내 결론을 뒷받침했고, 하나는 반박했으며, 나는 각각을 논거에 끼워 맞추지 않고 공개적으로 다루었다. 내 자체 스캔 결과는 가장 큰 동시기 측정 연구와 일치한다. 포스트양자 키 교환은 인터넷의 상당하고 증가하는 비율에서 이미 운용 중이며, 이는 압도적으로 소수의 인프라 공급업체에 의해 주도되고 있다. 반면 누가 당신인지를 증명하는 포스트양자 서명은 31,839개의 인증서 전체에서 여전히 0건이다. 핸드셰이크는 수정되고 있지만, 인증은 그렇지 않다.

1. 이름에서 틀린 부분

모든 농부는 수확이 무엇인지 안다. 가장 좋은 순간, 일이 끝나고 그 해가 가치 있었는지 알게 되는 보상의 시간이다. 그러니 “지금 수집하고 나중에 복호화한다”는 실제로 일어나고 있는 일에는 묘한 이름이다. 지금 일어나고 있는 것은 수확이 아니기 때문이다. 지금 일어나고 있는 것은 파종이다. 누군가가 조용히 암호화된 트래픽을 모아 저장소에 넣고 기다리고 있다. 거두는 것이 아니라 심고 있으며, 날씨가 바뀌기를 바라고 있다.

그들이 기다리는 것은 암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC다. 오늘날의 키 교환과 서명(RSA, Diffie–Hellman, 타원곡선)을 보호하는 수학에 Shor의 알고리즘을 실행하기에 충분히 큰 컴퓨터. 그 컴퓨터가 존재하는 순간, 암호문으로 가득 찬 저장소는 읽을 수 있게 된다. 그때까지는 매우 비싼 잡음 더미에 불과하다. 그 순간을 양자 봄이라 부르고, 그 기다림을 양자 겨울이라 부르자. 기다리는 것이 결국 오지 않는 AI 겨울 같은 것이 아니라, 계절이 오리라는 것을 알고 추위를 버티는 농사의 겨울처럼.

포스트양자 암호화, PQC는 방어자의 답변이다. NIST에서 나온 새로운 씨앗 품종(암호화 알고리즘). ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1, 그리고 현재 NIST에 평가 중인 추가 후보들. 양자 수집자는 이것들을 처리할 수 없다. 문제는, 그것도 큰 문제인데, PQC는 이미 저장소에 있는 것에는 아무런 도움이 안 된다는 것이다. 어제 수집된 것은 여전히 수집된 채로 남아 있다. PQC는 지금부터 심는 것만 보호한다. 그래서 두 개의 시계가 돌아가고 있다. 당신의 시계는 컴퓨터가 오기 전에 품종을 바꾸기 위해 달리고 있고, 그들의 시계는 당신이 아직 예전 것을 공개적으로 심는 동안 최대한 많은 것을 쌓아두기 위해 달리고 있다.

암호학 비전문가를 위한 한 단락 요약. 두 가지 종류의 수학이 데이터를 보호한다. 한 종류는 실제 콘텐츠를 뒤섞는다(주로 AES). 양자 컴퓨터는 이것을 거의 건드리지 못하며, AES-256은 문제없을 것이다. 다른 종류는 두 컴퓨터가 애초에 비밀 키(AES로 콘텐츠를 암호화하는 데 쓰이는 비밀번호)를 어떻게 합의하고, 서로 누구인지를 어떻게 증명하는가에 관한 것이다. 그것이 RSA와 타원곡선이며, 양자 컴퓨터는 이것을 아침 식사처럼 먹어치운다(흔히 공개/개인 키 암호화라고도 한다). 그래서 누군가 “양자가 암호화를 깬다”고 말할 때, 그것은 자물쇠 자체가 아니라 처음의 핸드셰이크를 깬다는 의미다. HNDL이 기록된 핸드셰이크에 관한 것인 이유가 여기 있다. 핸드셰이크를 얻으면, 키를 얻고, 그 이후의 모든 것을 얻는다.

대부분의 사람들이 사용하는 틀은 Michele Mosca의 부등식2이다. X, 즉 데이터를 비밀로 유지해야 하는 기간에 Y, 즉 마이그레이션에 걸리는 기간을 더한다. 이를 Z, 즉 컴퓨터가 존재하기까지의 기간과 비교한다. X + Y > Z라면, 오늘 보내는 모든 것에 대해 이미 경쟁에서 진 것이다. 훌륭한 산술이다. 문제는 Z가 계속 변하고 있다는 것이며, 그것도 한 방향으로만이다. 2019년에 RSA-2048을 깨는 데 약 2,000만 개의 잡음 큐비트로 8시간이 필요하다는 추정이 있었다. 2025년 5월에는 같은 연구자가 이를 100만 큐비트 미만과 약 일주일로 줄였다3. 6년 만에 20배 감소했으며, 이는 더 나은 하드웨어가 아닌 더 나은 알고리즘에서 나왔다. 아무도 그 컴퓨터를 만들지 않았다. 하지만 목표는 계속 가까워지고 있으며, 이는 인내심 있는 공격자가 파종이 수고를 들일 만하다고 판단하는 바로 그 조건이다.

그 이후로도 두 차례 더 움직였지만, 같은 조건에서는 아니었다. 2026년 2월에는 qLDPC 아키텍처4가 10만 개 미만의 물리 큐비트로 RSA-2048을 깰 수 있다고 주장했고, 3월에는 Google, Ethereum Foundation, Stanford의 논문5이 256비트 타원곡선(둘 중 훨씬 약한 쪽)을 50만 개의 물리 큐비트로 수분 내에 처리할 수 있다고 발표했다. 두 논문 모두 가정을 고정하는 대신 바꿔서, 아직 아무도 대규모로 해내지 못한 연결성과 디코딩 기법을 큐비트 수와 맞바꾸는 방식으로 그 수준에 도달했다. 이는 면죄부가 아닌 주의사항이다. Z는 계획 수립 수치이며, 이 논문들은 아무것도 실제로 만들지 않으면서 계속 그 수치를 흔들고 있다.

PQC에 대해 이야기할 때 종종 함께 언급되는 양자 키 분배, QKD에 대해 한 마디 하겠다. 이 분야에는 많은 연구와 개발이 이루어지고 있으며 유망하지만, 이 글의 범위 밖이다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스 ANSSI 모두 QKD보다 PQC를 사용하는 것이 낫다고 명확히 밝히고 있다6. QKD는 특수 하드웨어가 필요하고, 지점 간에서만 작동하며, 이미 가득 찬 저장소에 대해서는 아무런 효과가 없다. 하나의 전용 회선에서 미래의 대화를 보호할 뿐이다. 이상적인 보안 미래는 두 가지 접근 방식의 조합일 수 있다.

동시기 연구에 대한 주석. 이 글은 2026년 현재 암호화 데이터 수집의 실질적인 현실과 어려움, 그리고 데이터 수집을 위한 스캔 작업에 대한 독립적인 연구 관심에서 시작되었다. 초고를 작성하는 중에 2026년이 이 분야에서 바쁜 해였다는 것을 알게 되었다. Blanco-Romero 외17는 수집의 저장 경제성을 모델링하여 내가 일부 반박하는 결론에 도달했다(4절). Wickramasinghe 외16는 포스트양자 TLS의 인터넷 규모 종단 측정을 실시하여 내 자체 스캔 결과를 예측하고 확인했다(10절). 광범위한 조사들이 주변 환경을 지도로 그린다(Bertino 외18; Chhetri 외19). 이 연구들을 중심으로 논거를 재구성하는 대신, 원래 구조를 유지하고 각각이 본문과 관련되는 지점에서 다루었다. 다른 연구자들이 먼저 도달한 곳에서는 투명하게 밝히고, 내 독립 데이터가 그들의 것과 일치하는 경우에는 그 일치 자체를 하나의 결과로 다룬다.

“지금 수집하고 나중에 복호화한다”는 슬로건이 이름을 딴 계절은 가장 마지막에 찾아온다. 위험한 작업은 몇 년 앞서, 파종기에 일어난다. 역량 곡선의 형태는 예시적이며, 그 위치는 누구도 알 수 없다(즉, 실제 시기는 미정이며, 2032년까지 CRQC가 등장한다는 보장은 없다!). 방향은 그렇지 않다.

2. 다섯 개의 관문

바로 여기서 논의가 대개 잘못된 방향으로 흐른다. 사람들은 HNDL을 당신에게 일어나거나 일어나지 않는 하나의 일로 취급한다. 하나의 일이 아니다. 일련의 순서이며, 공격자가 원하는 모든 바이트는 그 전부를 통과해야 한다. 가축 이동을 생각해보라. 관문 하나, 목초지에 접근할 수 있는가. 관문 둘, 그것들을 넣어둘 장소가 있는가. 관문 셋, 일단 마당에 들어온 뒤 실제로 무언가를 할 수 있는가. 관문 넷, 처리할 때쯤에도 가치가 있는가. 관문 다섯, 이 모든 것을 감안했을 때 애초에 시도할 만했겠는가. 어느 관문에서든 실패하면 전체가 연료비와 사료비 낭비다(양치기 비유).

이 글의 나머지 부분은 관문을 하나씩 살펴본다. 그에 앞서, 아래에 양자 시대 보안 문제의 더 넓은 범주에 대한 개요가 있다.

문제공격 대상피해 발생 시점실행에 필요한 것대응 시기
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 대규모 저장 공간, 아직 존재하지 않는 기계지금 심어야 함
HNDL, 저장 중 데이터저장 데이터의 장기 키CRQC 등장 시침입 성공 한 번, 그리고 동일한 기계지금 심어야 함
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시획득한 인증서와 기계나중에
PQC 칩 공격실리콘 내 PQC 검증현재물리적 접근과 오류 주입 장비지금
가짜 인증서, 미래의 MITM신뢰 체인CRQC 등장 시기계, 그리고 통신 경로상의 위치나중에

굵게 표시된 상위 두 항목이 진정한 의미의 HNDL이며, 공격자가 훨씬 나중의 보상을 위해 오늘 행동해야 하는 유일한 두 가지 경우입니다. 바로 그렇기 때문에 지금 조사하고 논의할 가치가 있는 것입니다. 또한 오늘 행동하면 흔적이 남기 때문에 확인이 가능합니다.

3. 첫 번째 관문: 과연 접근할 수 있는가?

광섬유 같은 케이블을 도청하는 것은 매우 힘든 일입니다. 침실의 노트북으로는 불가능하며, 실제 광섬유를 직접 손에 넣거나, 그 광섬유를 소유한 자에게 향하는 법원 명령이 필요합니다. 그것만으로도 거의 모든 사람이 배제됩니다. 남은 것은 각국 정부이며, 그나마도 극소수입니다.

가장 잘 문서화된 사례는 가장 오래된 것 중 하나이기도 하며, 실로 놀랍습니다. 1971년 미국은 개조된 잠수함 USS Halibut호를 오호츠크해에 파견해 수심 120미터에 가라앉아 있는 소련 군사 케이블을 찾아냈습니다. 이것이 바로 아이비 벨스 작전7입니다. 잠수부들은 손목만 한 굵기의 케이블 주위에 6미터짜리 유도 장치를 감아, 케이블을 절단하지 않고도 신호를 읽어냈습니다. 이 작전은 약 10년 가까이 성공적으로 진행되었습니다.

스파이 소설 같은 내용보다 더 중요한 세부 사항이 두 가지 있습니다. 첫째는 그들이 해변의 케이블 매설 지점. 닻 투하 금지라는 표지판 덕분에 케이블을 찾아냈다는 것입니다. 둘째는 물류 문제입니다. 수년간 정보를 획득하는 방법은 잠수부들이 직접 수중으로 내려가 매달 테이프를 교체하는 것이었습니다. 누군가 직접 가서 가져와야 했습니다. 이후 버전은 핵 동위원소 발전기로 작동해 1년치 데이터를 저장할 수 있었는데, 연 1회 방문으로 충분해진다는 점에서 엄청난 진보로 여겨졌습니다. 이 점을 기억해 두십시오. 수집에서 가장 어려운 부분은 결코 도청 장치 자체가 아니라, 그 이후에 쌓인 데이터를 어떻게 처리하느냐였습니다.

현대의 방식

광섬유는 방법을 바꿨을 뿐, 제약은 바꾸지 못했습니다. 2006년 AT&T 기술자 마크 클라인은 샌프란시스코 폴섬 스트리트 611번지(641A호실)의 잠긴 방을 공개했는데, 그곳에서 광학 분배기가 백본 트래픽을 복사해 심층 패킷 검사용 Narus STA 6400이 담긴 랙으로 전송하고 있었습니다8. 이 장치는 2003년부터 운영되어 왔습니다. 분배기는 약 16개의 백본 회선(약 15 Gbit/s의 트래픽)에서 전체 광 신호를 복제했고, Narus 장비는 실시간으로 심층 패킷 검사를 수행했습니다. 클라인의 문서는 전자프런티어재단의 AT&T 소송에서 증거로 활용되었으며, 이후 보도를 통해 미국의 다른 도시에도 유사한 방이 존재한다는 사실이 밝혀졌습니다9. 역사적 대비를 주목할 필요가 있습니다. 2003년에는 분배기가 복사한 대부분의 데이터가 평문이었습니다. 오늘날 동일한 도청 장치는 암호문을 복사하며, 이것이 바로 HNDL이 우려의 대상이 되는 근본 이유입니다.

구조적 요점은 변하지 않습니다. 광섬유의 분배기는 광학 계층에서 트래픽을 복사합니다. 어떤 방화벽도 이를 감지하지 못하고, 어떤 침입 탐지 시스템도 포착하지 못하며, 엔드포인트는 전혀 알아채지 못합니다. 하지만, 그리고 이것이 핵심인데, 분배기는 회선 위에 있는 것을 복사하며, 회선 위의 데이터는 이미 암호화되어 있습니다. 분배기는 암호화를 무력화하지 못합니다. 다만 그 사본을 저장소에 보관하고 기다릴 뿐입니다.

영국에서도 같은 이야기가 펼쳐졌으며, 그 규모는 잠시 멈춰 생각해 볼 만합니다. 2011년 중반까지 GCHQ는 TEMPORA라는 프로그램 하에 각 10 Gbit/s를 전송하는 200개 이상의 광섬유 링크에 탐침을 설치했으며10, 그 중 최소 46개를 동시에 처리할 수 있었습니다. 이론적으로 하루 21페타바이트 이상의 데이터 흐름에 접근할 수 있었는데, 가디언은 이를 24시간마다 영국 도서관 전체 장서의 192배에 해당하는 양이라고 표현했습니다. 하지만 이하 모든 내용에서 중요한 부분은 바로 이것입니다. 그들은 그것을 보관할 수 없었습니다. 콘텐츠는 3일, 메타데이터는 30일만 버퍼링되었습니다. 자국 인프라를 절반쯤 소유한 국가 행위자조차 국가적 규모로 운영하면서도 콘텐츠에 대해서는 3일짜리 롤링 윈도우로 축소되었습니다. 이 점을 기억해 두십시오. 이것은 2관문이 일찍 등장한 것입니다. 연관된 공동 작전은 대형 클라우드 사업자들의 자체 데이터 센터 간 링크를 노렸는데, 당시 그 링크들은 내부 경계 안에서 암호화되지 않은 상태였습니다11. 보도에 따르면 TLS는 공개 엣지에서 추가되고 제거되었습니다. 이것이 기록에서 가장 교훈적인 사실입니다. 그들은 암호화를 뚫은 것이 아니라, 데이터가 잠깐 평문 상태가 되는 단 한 곳을 우회한 것입니다. 사업자들이 이를 인지하고 내부 링크를 암호화하자 그 허점은 사라졌습니다.

케이블이 항상 필요한 것은 아닙니다

여기서 관문을 더 넓혀야 하는데, 위의 내용은 모두 유선에 관한 것이고, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 거치지 않기 때문입니다. 무선 신호는 방송됩니다. 범위 내의 누구든 이를 수신할 수 있으며, 케이블 연결도, 육상 기지국도, 영장도 필요 없습니다12. 이로써 공중을 통과하는 구간이 있는 모든 통신에 대한 물리적 접근 장벽이 바닥으로 떨어지며, 알고 보면 그런 통신이 꽤 많습니다.

가장 명백한 것부터 시작하겠습니다. WiFi입니다. 노트북이 전송하는 모든 프레임은 사방으로 방사되며, 범위 내의 누구든 모니터 모드의 저렴한 어댑터로 모두 캡처할 수 있습니다. 두 가지가 여러분을 보호합니다. WiFi 계층 자체의 암호화(WPA2, WPA3)는 무선 구간의 프레임을 스크램블하지만, 이는 내부의 TLS보다 별도의, 더 단기적인 자물쇠입니다. 기기에서 액세스 포인트까지의 홉만 보호할 뿐, 엔드투엔드 세션은 보호하지 못하며, 반복적으로 다운그레이드, 해킹, 우회된 바 있습니다(WPA2 대상 KRACK, WPA3 대상 Dragonblood, 모든 것을 공격자를 통해 중계하는 악성 액세스 포인트 등)22. WiFi 계층을 제거하면 아래의 TLS만 남으며, 이는 수집 질문으로 다시 이어집니다. 손상된 WiFi 위의 현대 TLS 1.3은 여전히 순방향 비밀성을 가지며 여전히 양자 기계가 필요하지만, 개방된 카페 네트워크나 공격자가 키를 알고 있는 WPA2 네트워크는 암호화된 TLS 스트림을 공짜로 넘겨줍니다. HNDL 관점에서 WiFi 스니핑은 암호문을 수집하는 저렴한 방법입니다. TLS를 무력화하지는 않지만, 목표물에서 수백 미터 이내의 누구에게나 “물리적으로 접근할 수 있는가”라는 관문을 거의 완전히 제거해 버립니다.

이어서 모바일입니다. 2G는 도청자에게 선물이었습니다. IMSI 캐처(가짜 기지국, 일명 “스팅레이”)는 휴대폰을 취약한 암호로 다운그레이드시켜 트래픽을 평문으로 읽을 수 있었습니다. 4G와 5G는 훨씬 낫지만, 이에 대한 다운그레이드 공격은 여전히 활발히 연구되고 있으며, 같은 원리가 적용됩니다. 무선 계층이 취약한 부분이며, 그 위에 올라탄 엔드투엔드 암호화가 실질적으로 여러분을 보호하는 것입니다. 역시 수집 비용은 저렴하며, 점점 더 그 아래의 암호화만이 공격자와 평문 사이의 유일한 장벽이 되고 있습니다.

그리고 특정 고가치 트래픽에 대해 “도청(감청)은 어렵다”는 전제 전체를 뒤집기 때문에 놀라운 사례가 있습니다. 바로 위성입니다. 2025년 10월, UC 샌디에이고와 메릴랜드 대학교 연구진이 Don’t Look Up을 발표했으며(ACM CCS에서 우수 논문상 수상), 그 발견은 거의 믿기 어려울 정도입니다. 연구진은 샌디에이고의 한 옥상에서 800달러짜리 시판용 위성 안테나를 하늘로 향하게 하여21 3년간 관찰했고, 육안으로 볼 수 있는 정지궤도 위성 링크의 약 절반이 민감한 데이터를 완전히 암호화하지 않은 채 전송하고 있다는 사실을 발견했습니다. TLS도, VPN도, 아무것도 없었습니다. 스크램블 후 나중에 해독하는 방식이 아니라, 그냥 지금 당장 읽을 수 있는 평문이었습니다. 평문 속에는 한 대형 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 WiFi 트래픽, 군사 자산 추적 정보, 그리고 (HNDL의 실제 목표 대상에게 중요한 부분인) 유틸리티 인프라를 운영하는 산업 제어 및 SCADA 트래픽이 포함되어 있었습니다. 게다가 캘리포니아의 한 고정된 지점에서는 궤도상 위성의 약 15%만 볼 수 있었습니다. 여러 대륙에 안테나를 보유한 국가 행위자는 훨씬 더 많은 것을 볼 수 있습니다.

이것은 케이블 이야기와 두 가지 면에서 다른 위협이며, 두 가지 모두 1관문의 안일한 버전에 반하는 것입니다. 첫째, 접근이 너무 쉽습니다. 잠수함이 아니라 수백 달러와 하늘이 보이는 장소면 충분합니다. 둘째, 피해자 입장에서 더 심각한 것은, 이 트래픽의 대부분이 수집 후 나중에 해독하는 문제조차 아니라는 점입니다. 미래의 양자 기계가 없어도 읽을 수 있기 때문입니다. 즉, 이미 평문입니다. 양자의 관점은 암호화된 위성 링크에만 해당되며, 암호화되지 않은 절반에 대해서는 나중에 복호화할 것도 없으므로 나중에 해독하는 것 자체가 무의미합니다.

관문 하나의 평결. 백본 광섬유의 경우 기준이 높다: 소수의 국가, 물리적 접근 또는 법적 강제력, 실질적인 비용이 필요하다. 그러나 “도청이 어렵다”는 말은 언제나 케이블에 관한 이야기였을 뿐, 정작 중요한 구간에서 케이블을 사용하지 않는 트래픽이 적지 않다. 라디오는 범위 내 누구에게나 신호를 뿌리고, WiFi와 이동통신은 공격자에게 암호화된 스트림을 손쉽게 건네며 실질적인 방어는 TLS에만 의존하게 만든다. 위성은 놀랍게도 전체 링크의 절반가량에서 평문을 그대로 노출한다. 따라서 관문의 실상은 이렇다: 광섬유 백본에서는 높고, 공중을 통과하는 구간에서는 낮거나 사실상 없다. 이는 논거를 약화하기는커녕 오히려 날카롭게 만든다. 이 글 전체가 다루는 장기 보존 대상(VSAT 링크를 사용하는 대사관, 위성 SCADA를 운용하는 공공 인프라, 마이크로파 중계를 쓰는 국방 시설)의 경우, 도청 관문은 흔히 활짝 열려 있으며, 적과 페이로드 사이에 놓인 유일한 장벽은 이 글의 나머지 부분에서 살펴볼 바로 그 암호화뿐이다.

4. 관문 둘: 충분한 저장 공간을 확보했는가?

도청 수단을 확보했다고 하자. 이제 그 데이터를, 언젠가 해독 장치가 나타날 경우에 대비해 최대 15년간 보관해야 한다. 바로 이 지점에서 이야기는 산술의 벽에 부딪히고, 그 산술은 냉혹하다.

막연한 추정 대신 실제 수치를 써보자. 네트워크들이 서로 트래픽을 교환하는 주요 공개 피어링 포인트 중 하나인 암스테르담 인터넷 익스체인지 AMS-IX는 2025년 수치를 공개했다13: 연간 트래픽 35.66 엑사바이트, 최대 14.2 Tbit/s. 프랑크푸르트의 DE-CIX도 약 48 엑사바이트14를 기록했다. 이는 추정치가 아니라 운영 기관이 직접 공개한 수치다. 그리고 AMS-IX는 단 하나의 교환 지점일 뿐이다. 전 세계에는 천 개가 넘는다.

그렇다면 AMS-IX 1년치 데이터를 전량 수집하기로 했다고 하자. 무엇이 필요할까?

아무도 비용을 따지지 않는 두 가지 병목. 왼쪽: 교환 지점 하나를 1년간 전량 수집할 경우 테이프 소요량. 오른쪽: 해독 장치가 마법 지팡이가 아니라 병목인 이유 — 임시 키 교환은 세션마다 별도의 작업을 요구한다.

카트리지당 18 TB인 LTO-9 테이프 기준으로, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 100달러라면 공테이프만 연간 1억 9,800만 달러이고, 드라이브 한 대와 인건비는 아직 한 푼도 계산하지 않은 수치다. LTO-9 드라이브의 기록 속도는 약 400 MB/s; 유입되는 데이터 흐름을 따라가려면 2,826대의 드라이브가 365일 24시간 쉬지 않고 돌아가야 한다. 이는 서버실이 아니라 공장이다.

그런데 아무도 비용을 따지지 않는 부분이 있다. 테이프는 순차 접근 방식이라 원하는 데이터를 찾으려면 감아가며 탐색해야 한다. 같은 2,826대의 드라이브가 읽기만 전담해도 1년치 테이프를 다시 읽는 데 꼭 1년이 걸린다. 쓰기 속도와 읽기 속도가 같기 때문이다. 즉, 수집을 멈춰야만 아카이브를 딱 한 번 읽을 수 있다. 두 번 검색하고 싶다면? 공장을 하나 더 지어야 한다.

디스크가 해답도 아니다. 드라이브당 24 TB라면 약 150만 개의 하드 드라이브, 대략 6억 달러어치가 필요하고, 냉각까지 포함하면 약 11 MW의 전력을 소비한다. 교환 지점 하나의 1년치 데이터를 유지하는 데 소도시 전체의 전력이 든다. 전 세계 트래픽의 1퍼센트로만 규모를 키워도 터무니없어진다: AMS-IX급 교환 지점 여러 개분의 데이터를, 매년, 영구적으로, 아직 존재하지도 않는 장치가 언젠가 읽어줄 것이라는 기대 하나로.

이 글의 산술이 다루지 않은 요소도 있다: 데이터 압축과 해제에 드는 시간, 테이프 장착과 탈착 비용. 물론 다른 저장 매체도 존재하고, 이는 단일 지점의 1년치 데이터를 전량 수집하는 극단적 사례다. 그러나 저장과 처리에 따르는 데이터의 방대한 규모(의도한 말장난이다)와 경제성을 실감하는 데 도움이 된다.

이 지점에서 나는 이 경제학을 가장 신중하게 다룬 선행 연구와 견해를 달리한다. Blanco-Romero 외17는 동일한 저장 문제를 모델링하고, 보존 비용이 “경제적으로 사소한 수준”이라고 결론 내린다: 원가 기준 매체 가격(LTO 테이프를 5달러/TB로 인용)으로 계산하면 전 세계 트래픽의 1%를 수집해도 연간 약 10억 달러로, 국가 예산 안에서 충분히 감당 가능하다는 것이다. 그들의 산술은 타당하고 매체 비용은 이의가 없다. 이의를 제기하는 것은 매체 비용이 실질적 제약이라는 점이다. 원가 기준 테이프는 예산에서 가장 저렴한 항목이다. 진짜 부담이 되는 항목은 실시간으로 데이터를 기록할 드라이브 공장, 그것을 다시 읽어낼 두 번째 공장, 복호화 불가능한 암호문 더미에서 무언가를 찾아낼 인덱싱 시스템, 그리고 이 모든 것을 15년간 유지할 물리적 설비다. 그들의 모델은, 그들 스스로 밝히듯, 정지 상태의 매체만을 다루며 도청 및 검색 장치 비용은 제외한다. 이는 그들의 연구 목적, 즉 프로토콜 수준의 방어를 다루는 데 있어 합리적인 범위 설정이다. 그러나 제외된 비용을 다시 포함하면 “사소하다”는 표현은 “이 특정 트래픽이 15년간의 산업적 투자를 정당화한다고 이미 결정한 경우에만 감당 가능하다”는 의미가 되고, 이는 다른 이름의 선택적 수집에 불과하다. 우리는 저장 비용 항목을 반대로 읽어가면서도 그들과 같은 결론에 도달한다: 수집은 무차별적이 아니라 선택적이며, 방어자는 수명이 긴 데이터를 최우선으로 분류해야 한다는 그들의 결론은 정확히 나의 결론이기도 하다.

관문 둘의 평결. 무차별 수집은 환상이다. 어렵거나 비싼 수준이 아니라 산술적으로 터무니없다. 실제 적대 세력은 무엇을 보관할지 반드시 선택해야 하며, 선택하는 순간 위협은 모두의 문제가 아니라 누군가의 문제가 된다. 자신이 수집 대상인지 알고 싶다면, 그들이 무엇을 가져갈 수 있는지 묻기를 멈추고 무엇을 15년간 보관하는 데 비용을 치를 것인지를 물어라. (15년은 임의적이지만 시사적인 기준으로 사용한 것이다: 불확실한 데이터를 보유하기에 긴 기간이다.)

5. 관문 셋: 데이터가 실제로 복호화되는가?

도청하고 보관 비용도 지불했다고 하자. 마침내 해독 장치가 등장했다. 그 더미가 열릴까? 전적으로 키를 어떻게 합의했느냐에 달려 있으며, 이것이 HNDL 논의 전체에서 가장 제대로 설명되지 않는 부분이다.

수집한 데이터의 가치는 키 합의 방식에 달려 있다. RSA 키 전송은 HNDL에 완전히 노출되어 있고, 임시 (EC)DHE는 세션마다 CRQC 작업을 하나씩 요구한다. 어느 경우든 핸드셰이크 서명은 여전히 위조 가능하므로 누가 누구와 통신했는지는 드러난다.

구식 방식인 RSA 키 전송은 최악의 시나리오다. 클라이언트가 서버의 장기 공개 키로 세션 비밀을 암호화하므로, 그 키 하나만 크래킹하면 해당 서버와 주고받은 모든 대화가 동시에 열린다. 키 하나로 전체 무리를 잡는 것이다. 슬로건이 은연중에 가정하는 시나리오가 바로 이것이고, 그래서 그토록 섬뜩하게 들린다.

그러나 현대 TLS는 그런 방식으로 작동하지 않는다. TLS 1.3은 임시 Diffie–Hellman을 요구하고, ECDHE를 사용하는 TLS 1.2도 마찬가지다. 이 방식에서는 세션마다 고유한 일회용 비밀을 생성한다. 서버의 장기 키는 핸드셰이크에 서명할 뿐 내용을 암호화하지 않으므로, 그 키를 크래킹해도 대화 내용에 대해서는 아무것도 얻지 못한다. 임시 세션을 읽으려면 해당 세션의 키 교환을 크래킹하고, 다음 세션을 크래킹하고, 그다음 세션을 또 크래킹해야 한다. 무리를 한꺼번에 잡는 지름길은 없다: 전단대 하나에 양 한 마리씩, 한 마리씩 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추정치3에 따르면 RSA-2048 키 하나를 크래킹하는 데 약 1주일의 기계 작동 시간이 필요하다. 타원 곡선은 더 저렴하지만 같은 수준이다. 따라서 포획된 100만 개의 임시 세션은 “양자 컴퓨터 한 대”가 아니라 약 100만 번의 개별 양자 작업을 필요로 한다. 낙관적으로 잡아 세션당 하루씩이라 해도, 수천 기계-년에 달한다. CRQC는 망원경처럼 예약 대기가 필요한 희귀한 국가적 자산이 될 것이다. 아무도 당신의 동영상 스트리밍 세션을 그 장치에 돌리지 않는다. 바로 여기서 직관에 반하는 논리가 시작된다: 물론 양자 기계 즉 CRQC는 이제 충분히 강력하고 “빠르게” Shor 알고리즘을 실행할 수 있지만, 작업 수(각각이 양자 알고리즘의 단일 실행)를 고려하면 경제성이 크게 줄어든다. 현재 예상되는 수 시간에서 수 주에 이르는 알고리즘 실행 시간에 크래킹할 암호화 세션 수를 곱한 값은 여전히 논쟁 중이며, Z가 감소할수록 달라질 것이다.

두 가지 이유로 이것이 좋은 소식만은 아니다. 첫째, 순방향 비밀성은 내용을 보호할 뿐 서명은 보호하지 않는다: 미래의 장치는 캡처된 핸드셰이크의 인증을 여전히 위조할 수 있으므로 누가 누구와 통신했는지는 드러나고, 그것이 종종 더 중요한 정보다. 둘째, 더 심각한 문제로, 인증서 계층은 전혀 이동하지 않았다. 사실상 웹 전체를 인증하는 서명들은 10절에서 내가 직접 측정한 결과가 확인하듯 여전히 고전적 RSA와 ECDSA다. 기밀성 측면의 이전은 시작되었지만, 인증 측면은 출발선조차 떠나지 않았다.

세 번째 함정이 있으며, 이것이 많은 좋은 작업을 조용히 무너뜨리는 요인입니다. “서버가 마이그레이션되었다”는 것은 “세션이 안전하다”는 의미가 아닙니다. 협상된 암호화 알고리즘은 항상 양 끝 중 더 약한 쪽만큼만 현대적이기 때문입니다. Dubey와 Varshney15는 명확한 사례를 포착했습니다. 인도의 한 은행(icici.bank.in)은 현대 기기에 TLS 1.3, X25519, AES-256을 사용하는 QUIC(양자 내성, 순방향 비밀성, 원하는 모든 것)을 제공하면서, 동일한 도메인에 두 번째 기기에서 접속했을 때는 ECDHE-RSA와 AES-128을 사용하는 TLS 1.2로 폴백했습니다. 같은 서버, 같은 날, 두 클라이언트, 완전히 다른 두 가지 보안 상태. 폴백 세션은 여전히 순방향 비밀성을 가지므로 RSA 전송 악몽은 아니지만, 아무도 선택하지 않고 아무도 보지 못한 폴백이며, 어느 한쪽이 조금만 더 구식이었다면 RSA 키 전송으로 떨어져 완전히 수집 가능한 상태가 될 수도 있었습니다. 상대방 끝을 볼 수 없는 마이그레이션은 신뢰할 수 있는 마이그레이션이 아닙니다.

6. 네 번째 관문: 그 다음은?

이것은 아무도 이야기하지 않는 관문이자, 대부분의 계획이 무너지는 관문입니다. 상상해보십시오. 대형 소매 은행 외부의 광섬유를 탭하여 1년간 웹사이트로의 모든 TLS 세션을 캡처합니다. 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 돈을 이체합니다. 전부 저장합니다. 15년 후 머신이 도착하고, 엄청난 CRQC 비용을 들여 모두 복호화합니다. 축하합니다. 무엇을 얻었습니까? 2026년에 만료된 세션 쿠키들. 이후 세 번 변경되어 대부분 이제 MFA 뒤에 있는 비밀번호들. 10년 전의 계좌 잔액들. 엄청난 비용을 들여 누군가가 2026년 화요일 아침에 잔액을 확인했다는 사실을 알아낸 것입니다.

그 안에 지속적인 정보가 있기는 합니다(이름, 생년월일, 주민등록번호 등). 하지만 이는 거대한 폐석 더미 속의 얇은 광맥이며, 수백만 개의 별도 세션에서 재조합해야 합니다. 한편 동일한 정보가 은행의 고객 데이터베이스에 구조화되고, 색인화되고, 최신 상태로, 침입 한 번이면 닿을 수 있는 곳에 있습니다. 그렇다면 여기 훨씬 더 자주 제기되어야 할 질문이 있습니다. 언젠가 흘린 것을 되돌릴 수 있기를 바라며 10년간 우유 탱크로리에서 떨어지는 방울을 잡으려 문 앞에 서 있는 대신, 탱크 전체가 길 위 공장에 놓여 있는데 왜 그러고 있습니까?

데이터에는 유효 기간이 있으며, 그 편차는 엄청납니다. 세션 쿠키는 한 시간 정도의 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료될 때까지, 은행 계좌 번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급할 수 없는 평생, 게놈은 평생 더하기 관련된 모든 사람, 그리고 절대 만료되지 않습니다. 외교 전문은 40년간 당혹스러운 상태로 남습니다. 무기 설계는 그것을 그린 엔지니어보다 오래 살아남습니다. HNDL은 유효 기간이 긴 경우에만 의미가 있습니다. 그 외의 경우에는 머신이 도착하기도 전에 수확물이 창고에서 썩어버립니다.

7. 다섯 번째 관문: 실제로 누가 굳이 하겠습니까?

마지막 두 관문, 즉 볼륨과 유효 기간을 합쳐보면 상황이 매우 빠르게 명확해집니다. 실제 물류를 명시한 몇 가지 작동 예시를 들겠습니다.

실제로 누가 굳이 하겠습니까? 볼륨 대 유효 기간. 왼쪽 상단이 수집이 의미 있는 곳입니다. 양이 적고 영원히 유지됩니다. 오른쪽 하단은 슬로건이 가장 열심히 팔리지만 가장 의미 없는 곳입니다. 위치는 대략적인 크기 순서 판단입니다.

대사관 링크. 대상: 외교 공관과 외무부 사이의 암호화된 터널. 탭: 현지 ISP, 또는 그 회선이 통과하는 교환기. 주최국이라면 작전이 아닌 전화 한 통으로 가능합니다. 그리고 공관이 오지에 위치하여 많은 경우처럼 위성을 통해 백홀하는 경우, 적대 세력은 주최국의 협력조차 필요 없습니다. 안테나와 옥상이면 충분합니다(섹션 3). 볼륨: 하루 1~2기가바이트로 매우 적으며, 50년치가 선반 하나에 들어갑니다. 유효 기간: 수십 년. 판정: 교과서적인 사례로, 지금 이 순간에도 모든 국가의 대사관에서 일어나고 있을 가능성이 높습니다. 외무부를 운영하면서 마이그레이션하지 않고 있다면, 당신이 바로 이 슬로건이 존재하는 이유입니다.

방산 업체. 대상: 주계약업체와 하청업체 사이의 사이트 간 VPN. 볼륨: 연간 수십 테라바이트의 CAD 및 테스트 데이터로 관리 가능합니다. 유효 기간: 올해 설계된 항공기 기체는 2075년에도 비행 중입니다. 판정: 실행 가능하고 가치 있습니다. 작은 더미, 긴 기억.

소매 은행. 대상: 모든 소비자 트래픽. 볼륨: 연간 페타바이트. 유효 기간: 거의 전부 몇 시간에서 몇 달. 판정: 아닙니다. 결국 2026년 비밀번호 일부를 알아내기 위해 연간 수억 달러를 테이프에 쏟아붓게 됩니다. 대신 데이터베이스를 털어가십시오. 누군가 이미 그랬을 겁니다.

유전체 연구소. 대상: 클라우드 스토리지로 향하는 시퀀싱 데이터. 볼륨: 적정 커버리지의 단일 게놈이 원본 기준 수백 기가바이트이며, 바쁜 센터는 연간 페타바이트를 생성합니다. 유효 기간: 영원하며, 대상자의 가족 전체를 연루시킵니다. 판정: 이 글에서 가장 가치 있는 대상이지만, 순전히 볼륨 면에서 전송 중 가로채기는 여전히 불가능합니다. 하지만 정지 상태의 데이터베이스를 훔치면 갑자기 무한한 유효 기간을 가진 60테라바이트가 됩니다. 이것이 위 차트의 화살표이며, 그 위에서 가장 중요한 움직임입니다.

8. 양털은 이미 창고에 있다

이제 HNDL에서 훨씬 더 많은 주목을 받아야 마땅한 부분으로 넘어갑니다. 지난 10년간의 모든 대형 데이터 침해는 암호화된 아카이브를 누군가의 스토리지에 남겨두었습니다. 인사 파일, 건강보험사, 신용조사기관, 호텔 체인, 모두 아마도 탭된 광섬유와 정확히 동일한 머신을 기다리며 여전히 그곳에 있습니다. 그리고 세 가지 이유에서 훨씬 더 좋은 대상입니다.

첫째, 순방향 비밀성이 없습니다. 정지 데이터는 세션별 일회용 키가 아닌 장기 키로 보호됩니다. 키 하나를 한 번 깨면 전체 아카이브가 열립니다. 기본적으로 RSA 키 전송 방식입니다. 전부 한 번에. 둘째, 선택 문제가 이미 해결되어 있습니다. 게놈 뱅크를 유출한 적대 세력은 산더미를 뒤질 필요가 없었습니다. 다른 누군가가 이미 정렬하고, 색인화하고, 중복 제거했습니다. 두 번째 관문의 어려운 부분은 피해자가 해결한 것입니다. 셋째, 유효 기간이 보통 엄청납니다. 훔친 게놈은 2045년에도 신선합니다.

이 중 어느 것에도 잠수함이 필요하지 않습니다. 아무것도 의심하지 않는 직원에게 닿는 피싱 이메일 하나면 됩니다. 그래서 정지 상태 HNDL이 가능한 행위자의 수가 케이블을 탭할 수 있는 수보다 훨씬 많으며, 대부분의 마이그레이션 권고에서 우선순위가 정확히 거꾸로 되어 있는 이유입니다. 모두 언덕 너머로 양을 쫓고 있는 동안, 양털 전체(암호화된 데이터, 데이터베이스)가 문이 열린 채 창고에 묶음으로 쌓여 있습니다.

9. 우리가 아직 모르는 것들

한계에 대해 솔직하게 말하겠습니다. 섹션 3부터 8까지의 모든 내용은 설계상 불완전한 공개 기록에서 추론한 것입니다. 기밀 프로그램은 기밀입니다. 공개된 자료는 오래되었으며, 대부분 2013년에서 나온 것이고 기술은 발전했습니다. 저장 비용은 하락하고, 양자 자원 추정치는 더 빠르게 하락합니다. 여기서의 어떤 계산도 한 자릿수 크기만큼 바뀔 수 있으며, 일부 결론도 함께 바뀔 수 있습니다. 추측의 여지가 없는 것은 지금 현재 회선에 실제로 배포된 것인데, 그것은 측정할 수 있기 때문입니다. 그래서 저는 측정했으며, 이것이 전체 논거를 선명하게 해줍니다. 방어가 이기고 있는 관문과 아직 싸우기 시작조차 하지 않은 관문을 알려줍니다.

10. 목장 측정하기

이 글의 현재 양자 안전 보안 상태 연구를 위해 인터넷을 스캔하기 시작했을 때, 발견한 유일한 비교 가능한 기존 연구는 약 32,000개 도메인에 대한 단일 관측점 연구15였습니다. (여기서 관측점이란 스캔하는 장소를 의미합니다. 단일 관측점 스캔은 한 위치에서 모든 서버에 질문하고, 다중 관측점 스캔은 여러 위치에서 질문합니다. 이는 일반적으로 글로벌 CDN이 지역별로 설정을 단계적으로 배포하고 있기 때문에 요청이 어디서 오느냐에 따라 다르게 응답하는 서버를 포착하기 위해서입니다.) 저는 더 넓게, 그리고 여러 관측점에서 동시에 스캔하여 서비스의 응답이 어느 지역 프론트엔드가 전화를 받느냐에 따라 달라지는지 확인하려 했습니다. 그 작업을 하는 동안 Wickramasinghe 등16이 인터넷 규모의 종단적 연구를 발표했습니다. 백만 개 도메인에 걸쳐 110억 건 이상의 TLS 핸드셰이크를, 11개 관측점에서, 2025년 7월부터 2026년 3월까지 세 차례에 걸쳐 수행한 것입니다. 이것은 모든 측면에서 qgrove보다 더 크고 신중한 측정입니다. 따라서 저는 이하 내용을 독립적인 확인으로 제시합니다. 다른 인프라 위에 구축된 더 작은 단일 라운드 스캔으로 동일한 수치에 도달한 것입니다.

저는 글로벌 엣지 네트워크에서 실행되며 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽는 스캐너인 qgrove20를 만들었습니다. 그 단일 값이 캡처된 세션의 HNDL 노출 여부를 결정하며, 아무것도 복호화하지 않고 핸드셰이크의 평문 부분에서 바로 읽을 수 있습니다. 스캐너는 오픈소스이며 아래의 모든 수치는 공개된 데이터셋에서 재현 가능합니다. 116,589개의 도메인이 다양한 방법과 출처를 사용하여 스캔 대상으로 선정되었습니다.

무엇이 움직이고 있는가: 핸드셰이크(기밀성을 위한 키 교환)

현대적인 TLS를 지원하는 도달 가능한 서버 중 35.5%가 이미 하이브리드 포스트 양자 키 교환을 협상합니다. 현재 버전의 Chrome이 설정하는 것과 정확히 같은, ML-KEM-768과 결합된 고전적인 X25519 곡선입니다. 이것은 최근에 확정된 표준치고는 큰 수치이며, 상승 중입니다. 하지만 35.5%는 엣지에서 측정된 것이며, 엣지는 대형 CDN 뒤의 사이트를 볼 수 없습니다. 다른 방식으로 해당 사이트들을 재탐색하여 이 사각지대를 채웠을 때 상황이 크게 바뀌었습니다. CDN 프론팅 그룹은 거의 100% 하이브리드인데, CDN이 모든 사람에 대해 한꺼번에 PQC를 켰기 때문입니다. 둘을 합산하면 모집단 추정치가 61.1%로 올라갑니다. 두 수치 모두 사실이며 서로 다른 것을 의미합니다. 솔직한 헤드라인은, 해당 CDN의 엣지에서만 실행된 스캔은 PQC를 체계적으로 적게 계산한다는 것입니다. 인터넷에서 PQC가 가장 많이 활성화된 사이트들이 구조적으로 볼 수 없는 사이트들이기 때문입니다.

두 레이어는 완전히 다른 속도로 움직입니다. 왼쪽: 하이브리드 PQC 키 교환, 엣지 측정값 대 풀링된 모집단 추정치. 오른쪽: 인증서 서명, 마이그레이션이 아직 시작되지 않은 상태. 출처: qgrove, 2026년 7월.

움직이지 않는 것: 서명 (인증용)

이제 나머지 절반, 그리고 사람들이 걱정해야 할 부분입니다. 저는 31,839개의 인증서에 사용된 서명 알고리즘을 살펴봤습니다. 포스트 양자 서명을 사용한 수는 0개였습니다. “낮은” 수준이 아니라, 0입니다. 웹은 전적으로 고전적인 ECDSA와 RSA로 자신을 인증하는데, 이 둘 모두 미래의 양자 기계가 기존 키 교환을 깨는 것만큼 쉽게 위조할 수 있습니다. 기밀성 레이어는 마이그레이션을 시작했지만, 인증 레이어는 단 한 발짝도 내딛지 않았습니다. 이것은 제 표본의 특이점이 아닙니다: 저에 앞선 단일 관측점 연구15와 저와 병행된 인터넷 규모의 연구16 모두 포스트 양자 인증서에 대해 동일한 0을 보고하며, 아키텍처 검토18는 서명 측이 왜 더 어렵고 느린 작업인지를 설명합니다: 전체 인증 기관 계층 구조와 모든 검증 클라이언트를 끌고 가야 하기 때문입니다. 이것이 기억해야 할 핵심 분리입니다: 대화를 암호화하는 것과 신원을 증명하는 것은 서로 다른 수학으로 수행되는 두 가지 다른 작업이며, 지금 당장은 하나만 수정되고 있습니다.

두 가지 추가 발견, 모두 조용히 유용한

첫째, 분야별로 살펴보겠습니다. 보안에 민감한 산업(은행, 국방, 정부)이 선두를 달릴 것으로 예상할 수 있습니다. 그렇지 않습니다. 하이브리드 PQC 도입률은 제가 분류한 모든 분야에서 약 27%에서 39% 사이였으며, 선두 주자는 금융(28%)이나 국방(29%)이 아니라 일반 인기 웹사이트와 CDN 제어 플레인이었습니다. 도입은 누가 필요로 하는지에 의해 주도되는 것이 아니라, 누구의 CDN이 해당 기능을 켰는지에 의해 주도됩니다. 이것은 이제 모든 독립적인 측정에서 일관되게 나타나는 결과입니다. 대규모 동시 연구는 이를 가장 명확하게 수치화합니다: 모든 포스트 양자 TLS의 약 70%가 단 두 공급자, Cloudflare와 Fastly에 기인합니다16. 그리고 2030~31년 전환 마감이 가장 이른 지역은 정책 긴박성과 CDN 시장 점유율이 무관하기 때문에 마감이 늦은 지역보다 낮은 도입률을 보입니다. 별도의 연구는 한 레이어 아래, 프로토콜 버전에서도 동일한 지연을 발견합니다: 순수한 TLS 1.3 도입조차도 정부(70%), 국방(68%), 에너지 및 핵심 인프라(76.5%), 통신(78.6%)15에서 뒤처지는 반면, 클라우드와 소셜 미디어는 95~100%에 달합니다. 세 가지 서로 다른 스캔, 동일한 패턴. 공급자가 설정을 바꿨다면 보호받는 것이고, 그렇지 않다면 보호받지 못하는 것입니다. 귀하의 산업은 거의 관계가 없습니다.

둘째, 제가 다중 관측점 장치를 구축해 측정하고자 한 것: 서버의 응답이 지구상 어디서 질의하느냐에 따라 달라지는가? 저는 북미, 유럽, 일본, 뉴질랜드에 걸친 8개 위치에서 1,787개 도메인을 조사했습니다. 위치에 따라 다른 응답을 보인 비율은 0.17%, 즉 3개 도메인이었으며, 해당 3개를 재테스트했을 때 2개는 지리적 요인이 아닌 일반적인 로드 밸런서 흔들림으로 밝혀졌습니다. 결국 1,787개 도메인 중 약 1개만이 진정하고 안정적인 지역 편차를 보였습니다. 여기서 독립적인 검증은 가치가 있습니다. 100만 개 도메인을 대상으로 11개 관측점에서 수행한 대규모 연구도 동일한 규모에서 동일한 효과를 보고합니다: 안정적인 패널의 0.05%가 클라이언트 위치에 따라 다른 기본값을 협상합니다16. 그들은 이를 제가 그러하듯 CDN 구성이 지역에 걸쳐 점진적으로 전파되는 것으로 귀속시킵니다. 두 그룹, 완전히 다른 장치, 0.05%와 0.06%: 어디서 스캔하는지는 본질적으로 중요하지 않습니다.

qgrove 스캔 결과의 수치와 그 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 횟수 202,258회(모든 도메인에 대한 광범위 패스와 4,000개 도메인 하위 샘플에 대한 다중 관측점 심층 패스), 2026년 7월, 전체 공개. 미리 밝혀둘 주의 사항: (1) 엣지 전용 수치(35.5%)는 구조상 과소 집계되며, 풀링된 수치(61.1%)는 풀링 전 99.9% 일치로 보정된 두 가지 측정 방법을 결합한 것입니다; (2) 도달 가능한 서버의 약 4분의 1이 여전히 구형 TLS 버전만 사용하여 PQC를 전혀 지원하지 않는데, 이것이 하이브리드 점유율이 현대 TLS 서버의 35.5%이지만 전체 도달 가능한 서버의 27%인 이유이며, 둘 다 보고되고 어느 쪽도 과장되지 않습니다; (3) 인증서 및 전방 비밀성 없음 수치는 모든 도메인이 아닌 대규모 표본에서 도출된 것입니다; (4) 선별된 분야 목록은 타당한 핵심 집합이지 망라적인 집계가 아닙니다.

11. 마무리하며

“지금 수집하고 나중에 복호화하기(Harvest Now, Decrypt Later)” 슬로건은 올바른 방향을 가리키고 있지만 규모에 대해서는 과장하고 있습니다. HNDL은 실재합니다: 국가들이 도청 장치를 보유하고 있다는 것은 입증 가능하고, 선별한 것을 보관한다는 것도 입증 가능하며, 그들이 기다리고 있는 기계는 아직 아무도 만들지 못했더라도 매년 서류상으로는 더 가까워지고 있습니다. 그러나 이는 다섯 가지 관문 모두를 통과하는 경우가 한정적인 경우, 즉 파일이 한 세대 동안 보관할 만큼 작고 열렸을 때 내용물이 여전히 중요한 경우에만 해당합니다: 외교 통신, 국방 프로그램, 생체 정보나 유전체 관련 모든 것, 소량의 장기 비밀. 인터넷과 그 사용자의 상당 부분에게 위협은 암호화가 버텨서가 아니라 경제성이 맞지 않아 두 번째 혹은 네 번째 관문에서 사라집니다. 보관 비용이 평문의 가치보다 높고, 읽을 수 있게 됐을 때는 이미 쓸모없어져 있습니다.

한편, 정말로 우려스러운 버전의 HNDL은 광섬유 도청이 아니고 좋은 슬라이드 소재가 되지 않기 때문에 거의 주목받지 못합니다: 누군가가 이미 빼돌린 암호화된 아카이브. 전방 비밀성 없음, 용량 문제 없음, 잠수함 없음, 유효 기간은 수십 년.

따라서 실용적인 조언은 화려하지 않습니다. 귀하의 데이터 중 X가 수십 년 단위로 측정되는 것이 무엇인지 파악하세요. 대부분의 조직에서 이 목록은 짧고, 대개 벤더가 인용하는 목록과 다릅니다. 먼저 그것을 마이그레이션하고(장기 키 하에 저장된 모든 것, 그리고 전송 중 여전히 RSA 키 전송을 사용하는 모든 것), 나머지는 합리적인 속도로 진행하세요. 그리고 아무도 시작하지 않은 부분을 주시하세요: 현재 문헌에 있는 모든 측정, 제 것을 포함해, 포스트 양자 키 교환이 웹의 상당 부분에 적용되어 증가하고 있음을 발견하지만 집계할 만한 포스트 양자 인증서 서명은 하나도 없습니다. 마이그레이션의 기밀성 절반은 순조롭게 진행 중인데, 주로 몇 개의 대형 CDN이 스위치를 올렸기 때문입니다; 인증 절반은 시작조차 하지 않았습니다. 양자 기계가 등장하면 키를 해독하는 것만큼 쉽게 서명을 위조할 것이므로, 핸드셰이크는 마이그레이션했지만 인증서는 그렇지 않은 웹은 누구나 이제 곧장 통과할 수 있는 문에 새 자물쇠를 단 집과 같습니다. 그것이 다음 과제이며, 지금 당장은 울타리가 전혀 없습니다.

이것은 아무것도 하지 말라는 주장이 아닙니다. 구충제를 사기 전에 양 떼를 세라는 주장입니다. 실제 노출에 따른 마이그레이션은 돈을 잘 쓰는 것이고, 슬로건을 따른 마이그레이션은 매우 비싼 약욕조와 구충이 안 된 양 떼로 끝나는 방법입니다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 그리고 202,258행 데이터셋은 github.com/spinsphere/qgrove에서 이용 가능합니다. 모든 수치는 저자 자신의 것입니다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록, 기밀 해제된 자료에 근거하며, 저자는 비공개 정보를 보유하지 않으며 그런 함의도 없습니다.

Kaysec는 포스트 양자 준비태세와 암호화 민첩성에 대해 자문을 제공하며, 주로 이 글에서 실제로 중요하다고 언급한 종류의 유효 기간을 가진 데이터를 보유한 조직을 대상으로 합니다. kaysec.spinsphere.xyz

참고문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비될 것인가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “100만 개 미만의 잡음 있는 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “Pinnacle 아키텍처: 양자 LDPC 코드를 사용하여 RSA-2048 해독 비용을 물리적 큐비트 10만 개로 줄이기.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 자원 추정치이며, 하드웨어 시연이 아님. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “양자 취약점으로부터 타원 곡선 암호화폐 보호: 자원 추정 및 완화.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; 영국 NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장 문서.
  7. Operation Ivy Bells, 1971~1981. USS Halibut, 오호츠크해. 비침습 유도 도청; 월간 다이버 회수, 이후 RTG 전원 방식으로 전환. Sontag & Drew, Blind Man’s Bluff (1998) 참조.
  8. M. Klein, 선서 진술서 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 소송 자료. 641A호실, 611 Folsom St; 2003년 운영 개시, 2006년 공개; 백본 회선 약 16개 분기(합산 약 15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시에 숨겨진 NSA 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 폭로, 2013–2014년 (The Guardian; Der Spiegel). 10 Gbit/s급 프로브 200개 이상, 이론적 처리 용량 약 21.6 PB/일; 콘텐츠 약 3일, 메타데이터 약 30일 버퍼링.
  11. MUSCULAR 폭로, 2013년 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료.
  12. Lawfare, “해저 케이블에 대한 러시아의 위협 평가” — 육상 인입국 접근이 가능한 경우 심해 도청이 매력적이지 않은 이유.
  13. AMS-IX 2025년 수치: 연간 트래픽 35.66 EB, 최대 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최대 18.22 Tbit/s; 글로벌 플랫폼 최대 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷의 양자 내성 준비 현황 측정 연구: 2026년.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인 단일 관측점 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에서의 클라이언트 측 TLS 버전 폴백 현상 문서화. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “간극에 주목하라: 양자 내성 TLS 배포에서 정책과 현실의 괴리.” arXiv:2607.29005, 2026년 7월. UNSW 시드니 및 조지아 공과대학. 종단 연구, 2025년 7월~2026년 3월 3회 측정; 핸드셰이크 20억 건 이상, 도메인 100만 개, 관측점 11개. arxiv.org/abs/2607.29005
  17. J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “지금 수집하고 나중에 복호화하는 공격의 실제 가능성에 대하여.” arXiv:2603.01091, 2026년 3월. 마드리드 카를로스 3세 대학교. arxiv.org/abs/2603.01091
  18. E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “양자 내성 네트워크: 기본 요소, 프로토콜 및 모범 사례 리뷰.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  19. G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “양자 내성 암호화와 양자 안전 보안: 종합 설문 조사.” arXiv:2510.10436, 2025년. 텍사스 주립대학교. arxiv.org/abs/2510.10436
  20. qgrove: 분산 다중 관측점 TLS 양자 내성 현황 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  21. W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “올려다보지 마라: GEO 위성의 평문 내부 링크.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 타이베이, 2025년 10월 (우수 논문상). 약 $800짜리 수신기; 관측된 GEO 위성 링크의 50%가 평문 IP 트래픽을 전송하였으며, 여기에는 통화 및 문자 내용이 포함된 셀룰러 백홀, 산업 제어/SCADA 유틸리티, 군사 자산 추적, 기내 WiFi가 포함됨. satcom.sysnet.ucsd.edu
  22. WiFi 도청과 그 한계에 대하여: WPA2/WPA3는 무선 구간만 보호할 뿐 종단 간 세션을 보호하지 않음; KRACK(Vanhoef & Piessens, 2017) 및 Dragonblood(Vanhoef & Ronen, 2020) 공격, 그리고 이블 트윈/다운그레이드 계열 공격 일반 참조. 무선의 브로드캐스트 특성상 암호문 수집 비용이 낮으며, TLS가 핵심 방어 계층으로 남아 있음.