보고서

양자의 봄: 지금 수집하고 나중에 해독하라 — 당신의 암호화 데이터를 실제로 수집하는 자는 누구이며 어떻게 수집하는가, 그리고 수확물 대부분이 썩는 이유

by Simon McCorkindale

“수확”된 암호화 데이터가 공격자에게 실제로 어떤 비용을 치르게 하는지, 그 저장된 데이터를 읽으려면 무엇이 필요한지, 그리고 실제 위협이 어디에 숨어 있는지를 다룹니다. 이 글은 다섯 가지 관문 프레임워크(물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효 기간, 공격자 동기)를 기본 원리에서부터 단계적으로 살펴보고, 오늘날 실제로 배포된 양자 후 암호화(PQC)가 무엇인지에 관한 독자적인 인터넷 전수 스캔을 토대로 논지를 뒷받침합니다.

요약. “지금 수확하고 나중에 복호화한다(HNDL)”는 양자 후 암호화로의 전환을 서둘러야 하는 이유로 모두가 드는 논거입니다. NIST(미국 국립표준기술연구소)도, CISA(미국 사이버보안 및 인프라보안청)도, 영국의 NCSC(국가사이버보안센터; 뉴질랜드에도 같은 이름의 기관이 있습니다)도, 그리고 벤더들은 훨씬 더 큰 목소리로 이를 주장합니다. 그러나 실제로 그 근거를 따져보는 사람은 거의 없습니다. 실제로 수확하는 주체는 누구인가? 어디서 수집하는가? 얼마나 저장해야 하며, 비용은 얼마나 드는가? 그리고 양자 컴퓨터가 마침내 등장했을 때, 그 데이터 중 읽을 가치가 있는 것이 남아 있기나 할까? 이 글은 HNDL을 반복해서 되뇌야 할 사실이 아니라, 검증해야 할 주장으로 다룹니다. 위협은 실재하지만 그 범위는 좁습니다. 데이터가 수십 년간 가치를 유지하고 저장량이 소규모로 유지되는 경우에만 위협이 성립하며, 대부분의 트래픽은 암호화가 무력화되기 훨씬 전에 경제성 문제로 먼저 탈락합니다. 더 크고 조용한 문제는 이미 누군가의 저장소에 앉아 있는 암호화된 데이터입니다. 이 연구는 독립적인 가설로 시작되었습니다. 초안을 작성하는 과정에서 이와 관련된 2026년 연구들을 여럿 발견했습니다. 일부는 제가 발견한 내용을 확인해 주었고, 하나는 이를 반박했으며, 저는 각각의 연구에 사후적으로 논지를 맞추기보다 공개적으로 참여했습니다. 제 스캔 결과는 가장 큰 규모의 동시대 측정과 일치합니다. 양자 후 키 교환은 소수의 인프라 공급자들이 주도하는 가운데 인터넷의 크고 성장하는 부분에서 이미 가동 중이지만, 양자 후 서명—즉 신원을 증명하는 부분—은 31,839개의 인증서 전체에서 여전히 제로입니다. 핸드셰이크는 수정되고 있지만, 인증은 그렇지 않습니다.

1. 이름에서 틀린 부분

농부라면 누구나 수확이 무엇을 뜻하는지 압니다. 그건 좋은 부분입니다. 일이 끝난 뒤 찾아오는 보상, 그 해가 보람 있었는지를 확인하는 순간입니다. 그래서 “지금 수확하고 나중에 복호화한다”는 이름은 실제로 벌어지는 일에 비해 묘하게 어긋나 있습니다. 수확은 지금 일어나는 일이 아니기 때문입니다. 지금 일어나고 있는 것은 파종입니다. 누군가가 조용히 암호화된 트래픽을 모아 저장소에 쌓아두고 기다리고 있습니다. 그들은 아무것도 거두지 않습니다. 씨앗을 심고, 날씨가 바뀌길 기다리고 있을 뿐입니다.

그들이 기다리는 것은 암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC입니다. 오늘날의 키 교환과 서명을 보호하는 수학(RSA, 디피-헬만, 타원 곡선)에 대해 쇼어 알고리즘을 실행할 만큼 충분히 큰 컴퓨터 말입니다. 그 컴퓨터가 존재하는 순간, 암호문으로 가득 찬 저장소는 읽을 수 있게 됩니다. 그 전까지는 그저 매우 비싼 노이즈 더미에 불과합니다. 그 순간을 ‘양자 봄’이라 부르고, 기다리는 시간을 ‘양자 겨울’이라 부릅시다. 기다리는 것이 끝내 오지 않는 AI 겨울 같은 의미가 아니라, 계절이 올 것임을 알지만 추위를 견뎌야 하는 농사의 겨울 같은 의미입니다.

양자 후 암호화, PQC는 방어자의 답변입니다. NIST에서 나온 새로운 씨앗 품종(암호화 알고리즘)인 ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1, 그리고 현재 평가 중인 추가 후보들이 이에 해당합니다. 양자 수확자는 이것들을 처리할 수 없습니다. 문제는—그것도 매우 큰 문제인데—PQC가 이미 저장소에 있는 것에 대해서는 아무런 효력이 없다는 점입니다. 어제 수확된 것은 여전히 수확된 상태로 남아 있습니다. PQC는 지금 이후에 파종하는 것만 보호합니다. 따라서 두 개의 시계가 동시에 돌아가고 있습니다. 하나는 여러분의 것으로, 기계가 도착하기 전에 품종을 바꾸기 위해 경주하고 있습니다. 다른 하나는 그들의 것으로, 여러분이 여전히 예전 것을 공개적으로 파종하는 동안 최대한 많이 비축하기 위해 경주하고 있습니다.

암호학 비전문가를 위한 한 단락 입문. 데이터를 보호하는 수학은 두 가지 종류가 있습니다. 하나는 실제 내용을 뒤섞는 것입니다(대부분 AES). 양자 컴퓨터는 이것에 거의 타격을 주지 못하며 AES-256은 안전합니다. 다른 하나는 두 컴퓨터가 비밀 키(그 내용을 AES로 암호화하는 데 쓰이는 비밀번호)를 처음에 어떻게 합의하는지, 그리고 서로가 누구인지 어떻게 증명하는지에 관한 것입니다. 그것이 RSA와 타원 곡선이며, 양자 컴퓨터는 이것을 손쉽게 깨뜨립니다(일반적으로 공개/개인 키 암호화라고 불립니다). 따라서 누군가 “양자가 암호화를 깨뜨린다”고 말할 때, 그것은 자물쇠 자체가 아니라 처음의 핸드셰이크를 깨뜨린다는 의미입니다. 바로 그래서 HNDL은 기록된 핸드셰이크에 관한 것입니다. 핸드셰이크를 얻으면 키를 얻고, 그 뒤에 따르는 모든 것을 얻습니다.

대부분의 사람들이 사용하는 프레임은 Michele Mosca의 부등식2입니다. X(데이터가 비밀을 유지해야 하는 기간)와 Y(마이그레이션에 걸리는 기간)를 더하고, 이를 Z(기계가 존재하기까지의 기간)와 비교합니다. X + Y > Z이면, 지금 보내는 것에 대해 이미 경주에서 진 것입니다. 훌륭한 산술입니다. 문제는 Z가 계속 움직이고 있다는 것이며, 그것도 한 방향으로만 움직입니다. 2019년에 RSA-2048을 깨는 데 필요한 예상치는 약 2천만 개의 잡음 있는 큐비트를 8시간 동안 실행하는 것이었습니다. 2025년 5월에는 같은 연구자가 이를 100만 큐비트 미만, 약 1주일로 낮추었습니다3. 6년 만에 20배 감소했으며, 이는 더 나은 하드웨어가 아니라 더 나은 알고리즘에서 비롯된 것입니다. 아직 아무도 그 기계를 만들지 않았습니다. 그러나 목표는 계속 가까워지고 있으며, 이것이 바로 인내심 있는 공격자가 파종이 수고를 들일 가치가 있다고 판단하는 조건입니다.

그 이후로 두 번 더 이동했지만, 동일한 조건은 아닙니다. 2026년 2월에는 RSA-2048을 물리적 큐비트 100,000개 미만으로 처리한다고 주장하는 qLDPC 아키텍처4가 등장했고, 3월에는 Google, 이더리움 재단, 스탠퍼드 공동 논문5이 256비트 타원 곡선(둘 중 훨씬 약한 쪽)을 물리적 큐비트 500,000개로 수분 안에 처리할 수 있다고 제시했습니다. 두 연구 모두 가정을 고정하지 않고 변경하는 방식으로 목표치에 도달하며, 큐비트 수를 대가로 아직 아무도 대규모로 실현하지 못한 연결성과 디코딩 기법을 활용합니다. 이것은 경고이지 유예가 아닙니다. Z는 계획 수립을 위한 숫자이며, 이 논문들은 아무것도 실제로 구축하지 않으면서 계속 그 숫자를 흔들어대고 있습니다.

양자 키 분배(QKD)에 대해 한 마디 덧붙이겠습니다. PQC와 함께 자주 언급되는 기술이기 때문입니다. 이 분야에서 많은 연구 개발이 진행 중이고 유망하지만, 이 글의 범위를 벗어납니다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스 ANSSI 모두 QKD보다 PQC를 사용하길 권한다고 명확히 밝히고 있습니다6. QKD는 특수 하드웨어가 필요하고 지점 간 통신에서만 작동하며, 이미 가득 찬 저장소에 대해서는 아무런 효과가 없습니다. 미래의 전용 회선 대화만 보호합니다. 이상적인 안전한 미래는 두 접근 방식의 조합일 수 있습니다.

동시대 연구에 대한 일러두기. 이 글은 2026년 현재 암호화 데이터 수확의 실질적인 현실과 어려움, 그리고 데이터 수집을 위한 스캔 작업에 대한 독립적인 연구 관심사로 시작되었습니다. 초안을 작성하는 중에 2026년이 이 분야에서 매우 활발한 해였음을 알게 되었습니다. Blanco-Romero 외17는 수확의 저장 경제성을 모델링하여 제가 일부 이의를 제기하는 결론에 도달했습니다(4절 참조). Wickramasinghe 외16는 양자 후 TLS의 인터넷 규모 종단 측정을 수행하여 제 스캔 결과를 예측하고 확인합니다(10절 참조). 더 넓은 범위의 조사는 주변 지형을 그립니다(Bertino 외18; Chhetri 외19). 이 연구들을 중심으로 논지를 사후 수정하는 대신, 원래의 구조를 유지하고 각 연구가 본문과 관련되는 지점에서 참여했습니다. 다른 연구자들이 먼저 도달한 곳에서는 투명하게 밝히며, 저의 독립적인 데이터가 그들의 데이터와 일치하는 경우에는 그 일치 자체를 하나의 결과로 다룹니다.

“지금 수확하고 나중에 복호화” 슬로건이 이름을 딴 계절은 가장 나중에 찾아옵니다. 위험한 작업은 몇 년 앞서 파종 단계에서 일어납니다. 역량 곡선의 형태는 예시일 뿐이며, 그 위치는 누구도 알 수 없습니다(즉, 실제 시점에 대해서는 장담할 수 없습니다. 2032년까지 CRQC가 등장한다는 보장은 없습니다!). 그러나 방향은 다릅니다.

2. 다섯 가지 관문

여기서 논의가 흔히 잘못되는 지점이 있습니다. 사람들은 HNDL을 자신에게 일어나거나 일어나지 않는 단일한 사건으로 취급합니다. 그것은 단일한 사건이 아닙니다. 연속적인 과정이며, 공격자가 원하는 모든 바이트는 그 전 과정을 통과해야 합니다. 가축을 이동시키는 것에 비유해 보십시오. 첫 번째 관문은 목장까지 접근할 수 있는가, 두 번째는 가축을 둘 곳이 있는가, 세 번째는 울타리 안에 들어간 뒤 실제로 무언가를 할 수 있는가, 네 번째는 처리할 시간이 됐을 때 가치가 남아 있는가, 다섯 번째는 이 모든 것을 감안할 때 애초에 시도할 가치가 있었는가입니다. 어느 관문에서든 막히면 기름값과 개밥값(양치기 개를 위한)은 낭비가 됩니다.

이 글의 나머지 부분은 관문을 하나씩 살펴봅니다. 그 전에 아래에서 양자 시대 보안 문제의 더 넓은 범주에 대한 개요를 제시합니다.

문제공격 대상피해 발생 시점실행에 필요한 것대응 시기
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 방대한 저장 공간, 그리고 아직 존재하지 않는 기계지금 준비
HNDL, 저장된 데이터저장 데이터의 장기 키CRQC 등장 시단 한 번의 침입 성공, 그리고 동일한 기계지금 준비
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시수집된 인증서와 그 기계나중에
PQC 칩 공격실리콘 내 PQC 검증현재물리적 접근과 결함 주입 장비지금
위조 인증서, 미래의 중간자 공격신뢰 체인CRQC 등장 시그 기계와 회선상의 위치나중에

굵은 글씨로 표시된 상단의 두 항목이 진정한 의미의 HNDL이며, 공격자가 훨씬 나중에 결실을 얻기 위해 오늘 행동해야 하는 유일한 두 가지 경우다. 바로 이 때문에 지금 조사하고 논의할 가치가 있다. 또한 오늘의 행동이 흔적을 남기기 때문에 검증도 가능하다.

3. 첫 번째 관문: 애초에 접근이 가능한가?

광섬유 케이블을 도청하는 것은 고된 작업이다. 침실의 노트북으로 할 수 있는 일이 아니다. 실제 광섬유에 직접 손을 대거나, 해당 광섬유를 소유한 회사를 겨냥한 법원 명령이 필요하다. 그것만으로도 거의 모든 이가 배제된다. 남는 건 정부, 그것도 극소수뿐이다.

가장 잘 기록된 사례는 가장 오래된 것 중 하나이기도 하며, 걸작이라 할 만하다. 1971년 미국은 개조된 잠수함 USS Halibut을 오호츠크해로 파견해 수심 120미터에 놓인 소련 군사 케이블을 찾아냈다: 아이비 벨스 작전7. 잠수부들은 손목 굵기의 케이블에 6미터짜리 유도 장치를 감아, 케이블을 절단하지 않고도 신호를 읽어냈다. 이 작전은 거의 10년 가까이 이어졌다.

스파이 소설 같은 이야기보다 더 중요한 세부 사항이 두 가지 있다. 첫째는 해변에 케이블 매설지. 닻 투하 금지라는 표지판이 있었기에 케이블을 찾을 수 있었다는 점이다. 둘째는 물류의 문제다. 수년간 정보를 수거하는 방법은 잠수부가 매달 직접 잠수해 테이프를 교체하는 것이었다. 누군가 직접 가서 가져와야 했다. 이후 버전은 핵 동위원소 발생기로 구동되어 1년치 분량을 저장할 수 있었는데, 연 1회만 가면 된다는 이유로 엄청난 진보로 여겨졌다. 이 점을 기억해두라. 수집에서 가장 어려운 부분은 도청 자체가 아니라, 이후 쌓인 데이터를 어떻게 처리하느냐였다.

현대판

광섬유는 방법을 바꿨을 뿐 제약은 그대로다. 2006년 AT&T 기술자 마크 클라인은 샌프란시스코 폴섬 스트리트 611번지(641A호)의 잠긴 방을 묘사했는데, 그곳에서 광학 분배기가 백본 트래픽을 심층 패킷 검사용 Narus STA 6400이 탑재된 랙으로 복사하고 있었다8. 이 장치는 2003년부터 가동 중이었다. 분배기는 약 16개의 백본 회선(약 15 Gbit/s의 트래픽)에서 광신호 전체를 복제했고, Narus 장비는 실시간으로 심층 패킷 검사를 수행했다. 클라인의 문서는 전자프런티어재단이 AT&T를 상대로 제기한 소송의 증거가 됐으며, 이후 보도에서 미국 다른 도시에도 유사한 방이 존재한다는 사실이 밝혀졌다9. 역사적 대비를 주목할 만하다. 2003년에는 분배기가 복사한 내용의 대부분이 평문이었다. 오늘날 같은 도청 장치는 암호문을 복사하며, 이것이 바로 HNDL이 우려 대상이 된 이유다.

구조적 요점은 변하지 않는다. 광섬유의 분배기는 광 계층에서 트래픽을 복사한다. 어떤 방화벽도 이를 감지하지 못하고, 어떤 침입 탐지 시스템도 포착하지 못하며, 단말 기기는 전혀 알 수 없다. 하지만, 그리고 이것이 게임의 전부인데, 분배기는 회선 위에 있는 것을 복사하며, 회선 위에 있는 것은 이미 암호화되어 있다. 분배기는 암호화를 무력화하지 못한다. 다만 암호화된 복사본을 저장소에 넣고 기다릴 뿐이다.

영국에서도 같은 이야기가, 잠시 멈춰 생각해볼 만한 규모로 벌어졌다. 2011년 중반까지 GCHQ는 TEMPORA로 알려진 프로그램을 통해 10 Gbit/s 속도의 광섬유 링크 200개 이상에 프로브를 설치했으며10, 동시에 최소 46개에서 데이터를 처리할 수 있었다. 이론상 하루 21페타바이트 이상의 흐름에 접근할 수 있었고, 가디언은 이를 영국도서관 전체 장서의 192배를 24시간마다 처리하는 것에 비유했다. 그러나 아래의 모든 내용에서 중요한 부분은 이것이다. 그들은 그것을 보관할 수 없었다. 콘텐츠는 3일간만, 메타데이터는 30일간만 버퍼링됐다. 인프라를 반쯤 소유한 채 국가 차원에서 운용하는 국가 행위자조차 콘텐츠에 대해 고작 3일짜리 롤링 윈도만 확보할 수 있었다. 이 점을 기억해두라. 이것이 2번째 관문이 일찍 등장하는 것이다. 관련된 공동 작전은 대형 클라우드 제공업체의 자체 데이터 센터 간 링크를 노렸는데, 당시 이 링크들은 내부 경계 안에서 암호화되지 않은 상태였다11. 보도에 따르면 TLS는 공개 엣지에서 추가되고 제거됐다. 이것이 기록상 가장 교훈적인 사례다. 그들은 암호화를 뚫은 것이 아니라 그것을 우회해 데이터가 잠깐 평문 상태가 되는 단 하나의 지점으로 갔다. 제공업체들은 이를 인지하고 내부 링크를 암호화했으며, 그 허점은 닫혔다.

케이블이 항상 필요하지는 않다

여기서 관문을 더 넓혀야 한다. 위의 모든 내용은 유선에 관한 것이지만, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 거치지 않기 때문이다. 라디오는 방송이다. 범위 내 누구나 들을 수 있으며, 접합도, 육상 기지국도, 영장도 필요 없다12. 이는 경로의 일부를 공중으로 통과하는 모든 것에 대해 물리적 접근이라는 장벽을 사실상 없애버리며, 그런 트래픽이 상당히 많다는 것이 드러난다.

가장 명백한 것부터 시작하자: Wi-Fi. 노트북이 전송하는 모든 프레임은 사방으로 방사되며, 범위 내 누구든 모니터 모드의 저렴한 어댑터만 있으면 전부 수집할 수 있다. 두 가지가 당신을 보호한다. Wi-Fi 계층 자체의 암호화(WPA2, WPA3)가 공중에서 프레임을 스크램블하지만, 이는 내부의 TLS와는 별개의, 더 단기적인 잠금장치다. 기기에서 액세스 포인트까지의 구간만 보호할 뿐 종단 간 세션을 보호하지 않으며, 반복적으로 다운그레이드되거나 크랙되거나 우회됐다(WPA2에 대한 KRACK, WPA3에 대한 Dragonblood, 모든 것을 공격자를 통해 중계하는 이블 트윈 액세스 포인트)22. Wi-Fi 계층을 벗겨내면 그 아래의 TLS가 남으며, 이는 곧 수집 문제로 돌아온다. 손상된 Wi-Fi 위의 현대적 TLS 1.3은 여전히 전방 비밀성을 가지며 여전히 양자 기계가 필요하지만, 공개된 카페 네트워크나 공격자가 키를 알고 있는 WPA2 네트워크는 암호화된 TLS 스트림을 무료로 넘겨준다. HNDL 관점에서 Wi-Fi 스니핑은 암호문을 수집하는 저렴한 방법이다. TLS를 무력화하지는 못하지만, 목표 대상 수백 미터 내 누구에게나 “물리적으로 접근할 수 있는가”라는 관문을 거의 완전히 제거한다.

그 다음은 모바일이다. 2G는 도청자에게 선물이었다. IMSI 캐처(가짜 기지국, “스팅레이”)는 휴대폰을 취약한 암호로 다운그레이드시켜 트래픽을 평문으로 읽을 수 있었다. 4G와 5G는 훨씬 낫지만, 이에 대한 다운그레이드 공격은 활발한 연구 분야이며, 동일한 원칙이 적용된다. 라디오 계층이 취약한 부분이며, 그 위에 올라타는 종단 간 암호화만이 실질적으로 보호해준다. 역시 수집은 저렴하고, 그 아래의 암호화가 점점 더 공격자와 평문 사이의 유일한 방벽이 되고 있다.

그리고 특정 고가치 트래픽 영역에서 “도청(감청)은 어렵다”는 전제 전체를 뒤집기 때문에 놀라운 사례가 있다. 바로 위성이다. 2025년 10월, UC 샌디에이고와 메릴랜드대학교 연구진이 Don’t Look Up을 발표했는데(ACM CCS에서 우수 논문상을 수상했다), 그 발견은 믿기 어려울 정도다. 연구진은 샌디에이고의 한 옥상에서 800달러짜리 기성품 위성 안테나를 하늘로 향하게 해21 3년간 관측한 결과, 포착 가능한 정지 궤도 위성 링크의 약 절반이 완전히 암호화되지 않은 상태로 민감한 데이터를 전송하고 있다는 것을 발견했다. TLS도, VPN도, 아무것도 없었다. 나중에 해독할 암호문이 아니라 그냥 지금, 바로 읽을 수 있는 평문이었다. 평문으로 발견된 것들: 대형 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 Wi-Fi 트래픽, 군사 자산 추적, 그리고(HNDL의 실제 표적과 관련해 중요한 부분) 유틸리티 인프라를 운영하는 산업 제어 및 SCADA 트래픽. 게다가 캘리포니아의 한 고정 지점에서는 궤도상 위성의 약 15%만 볼 수 있었다. 여러 대륙에 안테나를 둔 국가 행위자는 훨씬 더 많이 볼 수 있다.

이는 케이블 이야기와 두 가지 면에서 다른 위협이며, 두 가지 모두 1번째 관문의 안이한 버전에 반한다. 첫째, 접근이 사소하다. 잠수함이 아니라 수백 달러와 하늘이 보이는 장소면 된다. 둘째, 피해자 입장에서 더 나쁜 것은, 이 트래픽 대부분이 지금 당장 읽히는 문제이지 수집-후-해독 문제가 아니라는 점이다. 미래의 양자 기계가 전혀 필요 없기 때문이다. 이미 평문이다. 양자 관련 사항은 암호화된 위성 링크에만 해당하며, 암호화되지 않은 절반에는 나중에 해독할 것이 없으므로 해독 후처리는 무의미하다.

첫 번째 관문 판정. 백본 광섬유의 경우 관문은 높다. 소수의 국가, 물리적 접근 또는 법적 압력, 실질적인 비용이 필요하다. 하지만 “감청은 어렵다”는 말은 항상 케이블에 관한 진술이었으며, 많은 트래픽은 중요한 지점에서 케이블을 거치지 않는다. 라디오는 범위 내 누구에게나 스스로를 방송한다. Wi-Fi와 모바일은 공격자에게 암호화된 스트림을 저렴하게 넘겨주어, TLS만이 실질적인 보호를 담당하게 만든다. 그리고 위성은 놀랍게도 존재하는 링크의 약 절반에서 평문을 직접 건네준다. 따라서 정직한 버전의 관문은 이렇다. 광섬유 백본에는 높고, 공중을 통과하는 모든 것에는 낮거나 사실상 존재하지 않는다. 이는 논거를 약화시키기는커녕 오히려 날카롭게 만든다. 이 글 전체가 다루는 장기 보존 표적들(VSAT 링크의 대사관, 위성 SCADA의 유틸리티, 마이크로파 중계의 방위 시설)에서 감청 관문은 종종 활짝 열려 있으며, 공격자와 데이터 사이에 서 있는 유일한 것은 이 글의 나머지에서 검토할 바로 그 암호화다.

4. 두 번째 관문: 충분히 큰 저장 공간이 있는가?

탭을 이미 확보했다고 가정해 보자. 이제 그 데이터를, 양자 컴퓨터가 언젠가 등장할 가능성에 대비해 최장 15년간 보관해야 한다. 여기서 이야기는 산술과 충돌하고, 그 산술은 가혹하다.

어림짐작 대신 실제 수치를 사용해 보자. 암스테르담 인터넷 익스체인지인 AMS-IX(네트워크들이 서로 트래픽을 교환하는 대형 공용 피어링 포인트 중 하나)는 2025년 수치를 공개했다13: 연간 35.66 엑사바이트의 트래픽, 최대 14.2 Tbit/s. 프랑크푸르트의 또 다른 인터넷 익스체인지 DE-CIX는 약 48 엑사바이트를 처리했다14. 이것은 추정치가 아니라 운영자들이 직접 발표한 수치다. 그리고 AMS-IX는 단 하나의 익스체인지일 뿐이다. 전 세계에는 천 개가 넘는 익스체인지가 있다.

자, AMS-IX의 트래픽을 1년 동안 전량 수집하기로 했다고 치자. 그러면 무엇이 필요할까?

아무도 비용을 계산하지 않는 두 가지 병목. 왼쪽: 단일 익스체인지 1년 치 전량 수집분을 테이프로 저장할 경우. 오른쪽: 끝단의 기계가 마법의 지팡이가 아니라 병목인 이유 — 임시 키 교환은 세션마다 별도의 작업을 요구한다.

카트리지당 18 TB인 LTO-9 테이프 기준으로, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 100달러이면 드라이브 한 대, 인건비 한 푼 없이도 빈 테이프 값만 연간 1억 9,800만 달러에 달한다. LTO-9 드라이브의 쓰기 속도는 초당 약 400 MB; 유입 데이터 속도를 따라잡으려면 2,826개의 드라이브가 하루 24시간, 1년 365일 쉬지 않고 가동되어야 한다. 이것은 서버실 수준이 아니라 공장이다.

그 다음, 아무도 비용을 따지지 않는 부분이 있다. 테이프는 순차 접근 방식이라 무언가를 찾으려면 테이프를 처음부터 감아야 한다. 같은 2,826개의 드라이브가 읽기만 한다면, 1년 치 테이프를 다 읽는 데 꼬박 1년이 걸린다 — 쓰기와 읽기 속도가 같기 때문이다. 즉 아카이브는 정확히 한 번만 읽을 수 있으며, 그것도 수집을 완전히 중단할 때에만 가능하다. 두 번 검색하고 싶은가? 두 번째 공장을 지어라.

디스크가 구원책이 되지도 않는다. 드라이브당 24 TB 기준으로 약 150만 개의 하드 드라이브가 필요하고, 약 6억 달러어치에 냉각 비용까지 포함하면 소비 전력이 약 11 MW에 달한다 — 작은 도시 하나를 먹여 살릴 전기로 단 하나의 익스체인지에서 나온 1년 치 데이터를 돌리는 셈이다. 전 세계 트래픽의 1퍼센트로만 확장해도 이야기는 황당해진다: 매년, 영원히, 아직 존재하지도 않는 기계가 언젠가 딱 한 번 읽어줄 것이라는 기대 아래 여러 개의 AMS-IX 규모 인프라를 쌓아야 한다.

이 글의 산술이 다루지 않은 다른 요소들도 있다: 데이터 압축·해제에 드는 시간, 그리고 테이프 로딩·언로딩 비용. 물론 다른 저장 매체도 존재하고, 이것은 단일 지점에서 1년 치 데이터를 전량 수집하는 극단적인 사례이지만, 이를 통해 데이터의 엄청난 규모와 저장·처리에 따르는 경제적 현실을 명확히 보여줄 수 있다.

여기서 나는 이 경제성을 가장 신중하게 다룬 선행 연구와 입장을 달리한다. Blanco-Romero 외17는 동일한 저장 문제를 모델링하며 보관이 “경제적으로 사소한 수준”이라고 결론짓는다: 원자재 가격(LTO 테이프 약 5달러/TB를 인용) 기준으로 전 세계 트래픽의 1%만 수집해도 연간 약 10억 달러 수준으로, 국가 예산 안에서 충분히 감당할 수 있다는 것이다. 그들의 산술은 정확하고 나는 매체 비용 자체를 부정하지 않는다. 내가 이의를 제기하는 것은 매체 비용이 핵심 제약이라는 주장이다. 원자재 테이프는 예산에서 가장 저렴한 항목이다; 실제로 발목을 잡는 것은 실시간으로 데이터를 기록할 드라이브 공장, 언젠가 단 한 번 읽기 위한 두 번째 공장, 해독 불가능한 암호문 더미에서 무언가를 찾아내기 위한 인덱싱, 그리고 이 모든 것을 15년간 가동할 물리적 설비다. 그들의 모델은 그들 자신의 진술에 따르면 정지 상태의 매체만을 대상으로 하며 수집 및 검색 인프라는 제외한다. 이는 그들의 연구 목적 — 프로토콜 수준의 방어 — 에 맞는 합당한 범위 설정이다. 하지만 제외된 비용까지 포함하면 “사소하다”는 결론은 “이 특정 트래픽이 15년에 걸친 산업적 투자를 정당화한다고 이미 결정한 경우에만 감당 가능하다”로 바뀐다 — 이것은 결국 선택에 의한 수집일 뿐이다. 우리는 저장 비용 항목에 대한 정반대의 해석을 통해 그들과 동일한 결론에 도달한다(수집은 무차별적이 아니라 선택적이다). 그리고 가장 장기적인 가치를 지닌 데이터를 먼저 우선순위에 두어야 한다는 그들의 결론은 나의 결론과 정확히 일치한다.

두 번째 관문 판정. 무차별 수집은 환상이다. 어렵거나 비싼 수준이 아니라, 산술적으로 터무니없다. 현실의 모든 공격자는 무엇을 보관할지 선택해야 하며, 선택하는 순간 위협은 모두의 문제가 아니라 특정인의 문제가 된다. 당신이 수집 대상인지 알고 싶다면, 그들이 무엇을 가져갈 수 있는지 묻는 것을 멈추고 그들이 15년간 보관하기 위해 무엇에 돈을 낼 것인지를 물어라. (15년은 임의적이지만 시사적인 기준으로 사용된다: 근거 없이 데이터를 보유하기에는 매우 긴 시간이다.)

5. 세 번째 관문: 그 데이터는 실제로 복호화될까?

탭을 했고 보관 비용도 지불했다고 가정하자. 마침내 기계가 도착했다. 그 더미가 열릴까? 이것은 전적으로 키가 어떻게 협상되었느냐에 달려 있으며, 이것이 HNDL 논의 전체에서 가장 제대로 설명되지 않는 부분이다.

수집물의 가치는 키가 어떻게 협상되었느냐에 달려 있다. RSA 키 전송 방식은 HNDL에 완전히 노출되어 있으며, 임시 (EC)DHE 방식은 세션마다 별도의 CRQC 작업을 요구한다. 어느 쪽이든 핸드셰이크 서명은 위조 가능한 상태로 남아, 누가 누구와 통신했는지는 여전히 유출된다.

구식 방식인 RSA 키 전송은 최악의 시나리오다. 클라이언트가 서버의 장기 공개 키로 세션 비밀을 암호화하는 방식으로, 그 하나의 키를 한 번만 해독하면 그 서버와 나눈 모든 대화가 동시에 열린다. 키 하나로 전체를 열 수 있다. 이것이 바로 그 슬로건이 조용히 전제하는 시나리오이며, 그래서 그토록 섬뜩하게 들리는 것이다.

그러나 현대 TLS는 이런 방식으로 작동하지 않는다. TLS 1.3은 임시 Diffie-Hellman을 필수로 요구하며, ECDHE를 사용하는 TLS 1.2도 마찬가지다. 이 방식에서는 매 세션마다 자체적인 일회용 비밀이 생성된다. 서버의 장기 키는 핸드셰이크에 서명할 뿐 콘텐츠를 암호화하지 않으므로, 그 키를 해독해도 무슨 내용이 오갔는지는 알 수 없다. 임시 세션을 읽으려면 해당 세션의 키 교환을 뚫고, 다음 세션을, 그다음 세션을 차례로 해독해야 한다. 한 번에 전체를 열 수 있는 지름길은 없다: 한 번에 한 마리씩, 그리고 한 마리 한 마리가 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추정치3에 따르면 RSA-2048 키 하나를 해독하는 데 약 1주일의 기계 시간이 필요하다. 타원 곡선 암호는 비용이 더 낮지만 같은 범주에 속한다. 따라서 포획된 임시 세션 100만 건에는 “양자 컴퓨터 하나”가 필요한 게 아니다. 약 100만 건의 개별 양자 작업이 필요하다. 아무리 낙관적으로 작업당 하루를 잡아도, 수천 기계-연(machine-years)에 달한다. CRQC는 망원경처럼 예약 대기가 필요한 희귀 국가 자산이 될 것이다; 아무도 당신의 동영상 스트리밍 세션에 그 자원을 투입하지 않을 것이다. 여기서 반직관적인 사실이 드러나기 시작한다: 물론 양자 컴퓨터, 즉 CRQC는 이제 Shor의 알고리즘을 실행할 만큼 강력하고 “빠르”지만, 필요한 작업 수(각각 양자 알고리즘의 단일 실행)를 고려하면, 현재 예상되는 수 시간에서 수 주에 이르는 런타임에 세션 수를 곱하면 경제성이 얼마나 줄어드는지 실감할 수 있다 — 이 논쟁은 여전히 진행 중이며, Z가 감소할수록 분명히 달라질 것이다.

두 가지 이유로 이것이 마냥 좋은 소식은 아니다. 첫째, 순방향 비밀성은 콘텐츠를 보호하지 서명은 보호하지 않는다: 미래의 기계는 포획된 핸드셰이크의 인증을 위조할 수 있으므로 누가 누구와 통신했는지는 유출된다 — 그리고 그것이 종종 더 중요한 정보다. 둘째, 더 심각한 문제는 인증서 계층이 전혀 진화하지 않았다는 것이다. 사실상 전체 웹을 인증하는 서명들은 내 자체 측정이 확인하듯(10절) 여전히 고전적인 RSA와 ECDSA다. 기밀성 측면에서는 마이그레이션이 시작되었지만, 인증 측면은 아직 출발선을 떠나지도 못했다.

세 번째 함정이 있으며, 이것이 많은 좋은 노력을 조용히 무력화한다. “서버가 마이그레이션을 완료했다”는 것이 “세션이 안전하다”는 뜻은 아니다. 협상된 암호화 알고리즘은 언제나 양쪽 끝 중 더 약한 쪽에서 지원하는 수준에 불과하기 때문이다. Dubey와 Varshney15는 이에 대한 명확한 사례를 포착했다: 인도의 한 은행(icici.bank.in)이 최신 기기에는 TLS 1.3과 X25519, AES-256을 사용한 QUIC(양자 안전, 순방향 비밀성, 원하는 모든 것을 갖춘)를 제공하는 반면, 동일한 도메인에 두 번째 기기로 접속하면 ECDHE-RSA와 AES-128을 사용한 TLS 1.2로 폴백되었다. 동일한 서버, 동일한 날, 두 클라이언트, 완전히 다른 두 가지 보안 수준이다. 폴백 세션은 여전히 순방향 비밀성을 유지하므로 RSA 전송 방식의 악몽은 아니지만, 아무도 선택하지 않고 아무도 알아채지 못한 폴백이었다. 그리고 어느 한쪽이 조금 더 구식이었다면 RSA 키 전송 방식으로 내려갈 수 있었고, 그렇게 되면 완전히 수집 가능한 상태가 된다. 상대방의 상태를 알 수 없는 마이그레이션은 신뢰할 수 있는 마이그레이션이 아니다.

6. 네 번째 관문: 그래서 그 다음은?

아무도 말하지 않는 관문이자, 대부분의 더미가 넘지 못하는 관문이다. 상상해 보라. 대형 시중 은행 외부의 광섬유를 탭하여 그 웹사이트로 향하는 1년 치 TLS 세션을 모두 포획한다: 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 송금한다. 그것을 전부 보관한다. 15년 후 기계가 도착하고, 막대한 CRQC 비용을 지불하여 모두 복호화한다. 축하한다. 그래서 무엇을 얻었는가? 2026년에 만료된 세션 쿠키들. 그 이후 세 번이나 교체된 비밀번호들, 대부분 이미 MFA로 보호되고 있는. 10년 전의 계좌 잔액. 엄청난 비용을 들여, 누군가가 2026년 화요일 아침에 잔액을 조회했다는 사실을 알아낸 것이다.

그 안에 지속적인 가치를 지닌 정보도 있다(이름, 생년월일, 주민등록번호 등). 그러나 그것은 거대한 폐석 더미 속의 얇은 광맥이고, 수백만 건의 개별 세션에서 재조합해야 한다. 한편 동일한 정보가 은행의 고객 데이터베이스에 구조화되고 인덱싱된 최신 상태로 존재하며, 침해 한 번이면 손에 들어온다. 그렇다면 훨씬 더 자주 물어야 할 질문이 바로 이것이다: 언젠가 엎질러진 우유를 되돌릴 수 있기를 바라며 10년간 우유 탱크로리 앞에서 방울방울 받아내고 있을 것인가, 아니면 탱크 전체가 바로 저 위 공장에 있는데?

데이터에는 유효기간이 있으며, 그 편차는 엄청나다. 세션 쿠키는 한 시간 정도 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료될 때까지, 은행 계좌 번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급할 수 없는 평생의 가치를 지닌다. 유전체는 평생 동안, 그리고 관련된 모든 사람에게까지 영향을 미치며 절대 만료되지 않는다. 외교 전문은 40년이 지나도 여전히 부끄러운 내용을 담고 있다. 무기 설계도는 그것을 그린 엔지니어보다 오래 살아남는다. HNDL은 유효기간이 긴 경우에만 의미가 있다. 그 외의 경우에는, 기계가 도착하기도 전에 창고 안에서 수확물이 썩어버린다.

7. 다섯 번째 관문: 그렇다면 실제로 누가 신경이나 쓸까?

마지막 두 관문, 즉 데이터 양과 유효기간을 합쳐서 생각해보면 그림이 매우 빠르게 명확해진다. 실제 물류 과정을 구체적으로 설명한 몇 가지 사례를 살펴보자.

실제로 누가 신경이나 쓸까? 데이터 양 대비 유효기간. 왼쪽 상단은 수확이 의미 있는 영역으로, 양은 적지만 영원히 보존된다. 오른쪽 하단은 슬로건이 가장 요란하게 팔리지만 실제로는 가장 의미 없는 영역이다. 위치는 자릿수 단위의 판단에 따른 것이다.

대사관 링크. 대상: 외교 공관과 외무부 사이의 암호화된 터널. 도청 지점: 현지 ISP, 또는 회선이 통과하는 교환소. 주재국이라면 작전이 아닌 전화 한 통으로 해결된다. 그리고 많은 경우처럼 공관이 오지에 위치해 위성으로 백홀을 연결한다면, 적대 세력은 주재국의 협조조차 필요 없다. 접시 안테나 하나와 옥상이면 충분하다(3장 참조). 데이터 양: 하루에 기가바이트 1~2개로 극히 적으며, 50년치 데이터도 선반 하나에 들어간다. 유효기간: 수십 년. 결론: 교과서적인 사례로, 현재 모든 나라의 대사관에서 거의 확실히 벌어지고 있다. 외무부를 운영하면서 마이그레이션을 하지 않고 있다면, 당신이 바로 이 슬로건이 존재하는 이유다.

방위산업체. 대상: 주계약업체와 하도급업체 간의 사이트 간 VPN. 데이터 양: 연간 CAD 및 테스트 데이터 수십 테라바이트로 관리 가능한 수준. 유효기간: 올해 설계된 기체는 2075년에도 여전히 비행 중이다. 결론: 실행 가능하며 그만한 가치가 있다. 작은 더미, 긴 기억.

소매 은행. 대상: 모든 소비자 트래픽. 데이터 양: 연간 페타바이트 규모. 유효기간: 대부분의 데이터가 몇 시간에서 몇 달. 결론: 불가. 연간 1억을 테이프에 쏟아부어 결국 2026년도 비밀번호나 알아내게 된다. 차라리 데이터베이스를 털어라. 누군가 이미 그랬을 것이다.

유전체 연구소. 대상: 클라우드 스토리지로 이동하는 염기서열 분석 데이터. 데이터 양: 적정 커버리지의 유전체 하나가 원시 데이터 기준 수백 기가바이트이며, 바쁜 센터에서는 연간 페타바이트를 생성한다. 유효기간: 영원히, 그리고 피험자의 온 가족에게 영향을 미친다. 결론: 이 글에서 가장 가치 있는 표적이지만, 순전히 데이터 양만 놓고 보면 전송 중 가로채기는 여전히 불가능하다. 그러나 저장된 데이터베이스를 훔치면 갑자기 무한한 유효기간을 가진 60테라바이트가 된다. 그것이 위 차트의 화살표이며, 차트에서 가장 중요한 이동이다.

8. 양털은 이미 창고에 있다

이제 HNDL에서 마땅히 더 많은 주목을 받아야 할 부분으로 넘어간다. 지난 10년간 발생한 모든 대형 데이터 유출 사고는 암호화된 아카이브를 누군가의 스토리지에 남겼다. 인사 파일, 건강보험사, 신용조회기관, 호텔 체인 등이 모두 아직 그곳에 있을 것으로 추정되며, 도청된 광케이블과 정확히 동일한 기계를 기다리고 있다. 그리고 이것이 훨씬 더 나은 표적인 데는 세 가지 이유가 있다.

첫째, 순방향 비밀성이 없다. 저장된 데이터는 세션별 일회용 키가 아닌 장기 키로 보호된다. 키를 한 번 깨면 전체 아카이브가 열린다. 이것은 기본적으로 RSA 키 전송 방식이다. 집단 전체를, 한 번에. 둘째, 선별 문제가 이미 해결되어 있다. 유전체 은행을 빼낸 적대 세력은 방대한 양을 일일이 걸러낼 필요가 없었다. 이미 다른 누군가가 정렬하고, 색인을 만들고, 중복을 제거해 두었다. 두 번째 관문의 어려운 부분은 피해자가 대신 해결해준 것이다. 셋째, 유효기간은 대개 엄청나다. 훔친 유전체는 2045년에도 유효하다.

이 모든 것을 위해 잠수함은 필요 없다. 어떤 무심한 직원에게 닿을 수 있는 피싱 이메일 한 통이면 충분하다. 그것이 바로 저장 데이터에 대한 HNDL을 실행할 수 있는 행위자의 수가 케이블을 도청할 수 있는 행위자의 수보다 훨씬 많은 이유이며, 대부분의 마이그레이션 지침에서 우선순위 순서가 정확히 거꾸로인 이유다. 모두가 언덕을 가로질러 양을 쫓는 동안, 온 양털 한 다발(암호화된 데이터, 데이터베이스)은 문이 열린 창고 안에 묶여 있다.

9. 우리가 아직 모르는 것들

한계에 대해 솔직히 말하자면, 3장부터 8장까지의 모든 내용은 설계상 불완전한 공개 기록에서 추론한 것이다. 기밀 프로그램은 기밀이다. 공개된 자료는 오래되었으며, 대부분 2013년의 것이고 기술은 발전했다. 스토리지 비용은 하락하고, 양자 자원 추정치는 그보다 빠르게 하락한다. 여기서의 산술 중 어느 것이든 한 자릿수 정도 바뀔 수 있으며, 일부 결론도 함께 바뀔 수 있다. 추측의 여지가 없는 것은 현재 실제로 회선에 배포된 것들인데, 이는 측정할 수 있기 때문이다. 그래서 나는 그렇게 했고, 이는 방어가 어느 관문에서 이기고 있으며 어느 관문에서는 아직 싸움을 시작조차 하지 않았는지를 알려주며 전체 논거를 더욱 선명하게 만든다.

10. 목장을 측정하다

현재 양자 안전 보안 태세에 관한 이 글의 연구를 위해 인터넷 스캔을 시작했을 때, 내가 찾은 비교 가능한 유일한 기존 연구는 약 32,000개 도메인을 대상으로 한 단일 거점 연구15였다. (여기서 거점이란 스캔을 수행하는 장소를 의미한다. 단일 거점 스캔은 한 위치에서 모든 서버에 질의하고, 다중 거점 스캔은 여러 위치에서 질의한다. 이는 요청이 어디서 오느냐에 따라 다르게 응답하는 서버, 즉 일반적으로 전 세계 CDN이 지역별로 설정을 순차적으로 배포하는 경우를 파악하기 위해서다.) 나 자신의 계획은 더 넓은 범위를, 그리고 동시에 여러 거점에서 스캔하여 서비스의 응답이 어느 지역 프런트엔드가 요청을 받느냐에 따라 달라지는지 확인하는 것이었다. 그 작업을 진행하는 동안 Wickramasinghe et al.16이 인터넷 규모의 종단 연구를 발표했다. 100만 도메인을 대상으로 11개 거점에서 2025년 7월부터 2026년 3월까지 세 차례에 걸쳐 20억 건 이상의 TLS 핸드셰이크를 분석한 것이다. 이는 모든 측면에서 qgrove보다 더 크고 면밀한 측정이다. 따라서 나는 이하의 내용을 독립적인 확인으로 제시한다. 즉, 다른 인프라를 기반으로 구축된 더 작은 단일 라운드 스캔이 동일한 수치에 도달한 것이다.

나는 qgrove20를 만들었다. 이는 글로벌 엣지 네트워크에서 실행되며, 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽어내는 스캐너다. 그 하나의 값이 캡처된 세션이 HNDL에 노출되어 있는지를 결정하며, 아무것도 복호화하지 않고 핸드셰이크의 평문 부분에서 바로 읽을 수 있다. 이 스캐너는 오픈 소스이며 아래의 모든 수치는 공개된 데이터셋으로 재현 가능하다. 116,589개의 도메인이 다양한 방법과 출처를 혼합하여 스캔 대상으로 선정되었다.

변화하고 있는 것: 핸드셰이크 (기밀성을 위한 키 교환)

최신 TLS를 지원하는 접근 가능한 서버 중 35.5%가 이미 하이브리드 포스트 양자 키 교환, 즉 ML-KEM-768과 쌍을 이룬 고전적인 X25519 곡선을 협상하고 있다. 이는 현재 버전의 Chrome이 설정하는 방식과 정확히 일치한다. 최근에 확정된 표준치고는 큰 수치이며, 계속 상승 중이다. 그러나 35.5%는 엣지에서 측정된 값이며, 엣지는 대형 CDN 뒤에 있는 사이트를 볼 수 없다. 그 사이트들을 다른 방식으로 재탐색하여 이 맹점을 채웠을 때 상황이 크게 달라졌다. CDN 기반 그룹은 거의 100% 하이브리드인데, CDN이 모든 사람을 위해 PQC를 한꺼번에 켰기 때문이다. 둘을 합산하면 모집단 추정치는 61.1%로 올라간다. 두 수치 모두 사실이며 서로 다른 의미를 지닌다. 솔직한 헤드라인은, 그 CDN의 엣지에서만 실행된 스캔은 PQC를 체계적으로 과소 집계한다는 것이다. 인터넷에서 PQC 적용률이 가장 높은 사이트가 바로 구조적으로 볼 수 없는 사이트들이기 때문이다.

두 계층은 완전히 다른 속도로 움직인다. 왼쪽: 하이브리드 PQC 키 교환, 엣지 측정값 대비 통합 모집단 추정치. 오른쪽: 마이그레이션이 시작되지 않은 인증서 서명. 출처: qgrove, 2026년 7월.

변화하지 않고 있는 것: 서명 (인증용)

이제 나머지 절반, 그리고 사람들이 우려해야 할 부분이다. 나는 31,839개의 인증서에 사용된 서명 알고리즘을 살펴보았다. 포스트 양자 서명을 사용하는 것의 수는 영이었다. “낮은” 것이 아니라 영이다. 웹은 전적으로 고전적인 ECDSA와 RSA에 의존해 자신을 인증하고 있으며, 미래의 양자 컴퓨터는 이 두 가지를 과거의 키 교환을 깨는 것만큼이나 쉽게 위조한다. 기밀성 계층은 마이그레이션을 시작했지만, 인증 계층은 단 한 걸음도 내딛지 않았다. 이것은 내 표본의 특이한 점이 아니다. 나보다 앞선 단일 거점 연구15와 나와 나란히 진행된 인터넷 규모 연구16 모두 포스트 양자 인증서에서 동일하게 평탄한 영을 보고하며, 아키텍처 검토18는 서명 측이 더 어렵고 느린 작업인 이유를 설명한다. 인증 기관 계층 전체와 모든 검증 클라이언트를 함께 끌고 가야 하기 때문이다. 이것이 기억해야 할 핵심 분리다. 대화를 암호화하는 것과 상대방이 누구인지 증명하는 것은 서로 다른 수학으로 수행되는 두 가지 다른 작업이며, 지금은 그중 하나만 수정되고 있다.

두 가지 추가 발견, 모두 조용히 유용한

첫째, 섹터별로 살펴보겠습니다. 보안에 민감한 산업(은행, 국방, 정부)이 선두를 달릴 것이라 예상하겠지만, 실상은 그렇지 않습니다. 제가 분류한 모든 섹터에서 하이브리드 PQC 도입률은 약 27%에서 39% 사이에 분포했으며, 선두는 금융(28%)이나 국방(29%)이 아닌 일반 대중 웹사이트와 CDN 제어 플레인이었습니다. 도입을 이끄는 것은 누가 그것을 필요로 하는가가 아니라, 누구의 CDN이 해당 기능을 활성화했는가입니다. 이것은 모든 독립적인 측정에서 일관되게 나타나는 결과입니다. 대규모 동시 연구는 이를 가장 명확하게 수치화합니다: 전체 포스트 양자 TLS의 약 70%가 단 두 공급자, Cloudflare와 Fastly에 기인한다16는 것이며, 2030–31년의 가장 이른 전환 기한을 둔 관할권은 나중에 기한이 도래하는 곳보다 낮은 도입률을 보이는데, 이는 정책적 긴박성과 CDN 시장 점유율이 무관하기 때문입니다. 별도의 연구에서는 동일한 지연 현상을 한 단계 아래, 즉 프로토콜 버전 수준에서도 확인합니다: 순수한 TLS 1.3 도입률조차 정부(70%), 국방(68%), 에너지 및 핵심 인프라(76.5%), 통신(78.6%)15에서 뒤처지는 반면, 클라우드와 소셜 미디어는 95–100%에 달합니다. 세 가지 다른 스캔, 동일한 패턴입니다. 공급자가 설정을 전환했다면 보호받고 있는 것이고, 그렇지 않다면 보호받지 못하고 있으며, 여기서 업종은 거의 아무런 관련이 없습니다.

둘째, 제가 다중 관측 장치를 구축한 이유, 즉 서버의 응답이 지구상 어디에서 요청하느냐에 따라 달라지는지의 여부입니다. 저는 북미, 유럽, 일본, 뉴질랜드에 걸친 8개 위치에서 1,787개 도메인을 조사했습니다. 위치에 따라 다른 응답을 반환한 비율은 0.17%, 즉 세 개의 도메인이었으며, 해당 세 도메인을 재검증한 결과 두 개는 지리적 차이가 아닌 일반적인 로드 밸런서 변동으로 확인되었습니다. 결국 1,787개 도메인 중 진정한 안정적인 지역별 차이를 보인 것은 약 하나에 불과했습니다. 여기서 독립적인 검증은 의미가 있습니다. 백만 개 도메인을 대상으로 11개 관측 지점에서 수행한 대규모 연구도 동일한 규모에서 동일한 효과를 보고합니다: 안정적인 패널의 0.05%가 클라이언트 위치에 따라 다른 기본값을 협상한다16는 것이며, 이는 저와 마찬가지로 CDN 설정이 지역에 걸쳐 점진적으로 전파되는 것에 기인한다고 설명합니다. 두 그룹, 전혀 다른 장치, 0.05%와 0.06%: 어디서 스캔하는지는 본질적으로 중요하지 않습니다.

qgrove 스캔 결과의 수치와 그 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 202,258회(전체 도메인에 대한 광범위 패스와 4,000개 도메인 부표본에 대한 다중 관측 심층 패스), 2026년 7월, 전체 공개. 미리 밝혀둘 주의사항: (1) 엣지 전용 수치(35.5%)는 구조적으로 과소 계산되며, 풀링된 수치(61.1%)는 두 가지 측정 방법을 결합한 것으로, 풀링 전 99.9% 일치도로 보정되었습니다; (2) 접근 가능한 서버의 약 4분의 1은 여전히 구버전 TLS만 지원하여 PQC를 전혀 사용할 수 없으며, 이로 인해 하이브리드 비율은 최신 TLS 서버의 35.5%이지만 모든 접근 가능한 서버의 27%에 해당하고, 두 수치 모두 보고되며 어느 쪽도 다른 것으로 포장하지 않습니다; (3) 인증서 및 순방향 비밀성 없음 수치는 모든 도메인이 아닌 대규모 표본에서 산출되었습니다; (4) 정제된 섹터 목록은 타당한 핵심 집합이며, 포괄적인 전수 조사가 아닙니다.

11. 마무리

“지금 수집하고 나중에 복호화하라(Harvest Now, Decrypt Later)”는 슬로건은 방향은 맞지만 규모는 과장합니다. HNDL은 실재합니다: 국가들은 명백히 도청 장치를 보유하고 있고, 선별한 데이터를 보관한다는 것도 명백하며, 그들이 기다리는 기계는 아직 누구도 제작하지 않았더라도 매년 서류상으로는 가까워지고 있습니다. 그러나 HNDL은 오직 다섯 가지 관문을 모두 통과하는 좁은 범주의 경우에만 유효합니다. 즉, 데이터 규모가 한 세대 동안 보관하기에 충분히 작고, 개봉 시점에도 내용이 여전히 의미 있는 경우입니다: 외교 통신, 국방 프로그램, 생체 정보나 유전체 관련 데이터, 소량의 장기 기밀이 이에 해당합니다. 인터넷과 그 사용자의 상당 부분에서 위협은 2번 또는 4번 관문에서 소멸합니다. 암호학이 버텨내기 때문이 아니라 경제성이 맞지 않기 때문입니다. 보관 비용이 평문의 가치를 초과하며, 해독할 수 있게 될 때쯤에는 이미 유효기간이 지나 있습니다.

한편, HNDL의 진정으로 위험한 형태는 거의 주목받지 못하고 있는데, 이는 광섬유 도청이 아닌 데다 발표용 슬라이드로 만들기도 어렵기 때문입니다. 바로 누군가가 이미 빼돌린 암호화 아카이브입니다. 순방향 비밀성 없음, 용량 문제 없음, 잠수함 없음, 유효기간은 수십 년.

따라서 현실적인 조언은, 그것이 무엇이든, 화려하지 않습니다. 여러분의 데이터 중 X가 수십 년 단위로 측정되는 것이 무엇인지 파악하십시오. 대부분의 조직에서는 짧은 목록이며, 보통 벤더가 견적을 뽑아주는 목록과 다릅니다. 그것부터 먼저 마이그레이션하고(장기 키 하에 저장된 모든 데이터, 그리고 여전히 RSA 키 전송을 사용하는 전송 중 데이터), 나머지는 합리적인 속도로 진행하십시오. 그리고 아직 아무도 시작하지 않은 부분에 주목하십시오: 문헌에 있는 모든 측정값, 제 것을 포함하여, 포스트 양자 키 교환이 웹의 상당 부분에서 활성화되어 증가하고 있음을 보여주지만, 집계할 만한 포스트 양자 인증서 서명은 단 하나도 없습니다. 마이그레이션의 기밀성 측면은 순조롭게 진행 중이며, 주로 몇몇 대형 CDN이 스위치를 올린 덕분입니다. 하지만 인증 측면은 아직 시작조차 하지 않았습니다. 양자 컴퓨터가 등장하면 키를 해독하는 것만큼 쉽게 서명을 위조할 수 있으므로, 핸드셰이크는 마이그레이션했지만 인증서는 마이그레이션하지 않은 웹은 자물쇠를 교체했지만 누구나 곧장 통과할 수 있는 문이 있는 집과 다름없습니다. 다음 목장은 바로 그것이며, 지금 당장은 울타리가 전혀 없습니다.

이것은 아무것도 하지 말라는 주장이 아닙니다. 구충제를 사기 전에 양 떼를 먼저 세라는 주장입니다. 실제 노출을 따르는 마이그레이션은 잘 쓰인 돈이고, 슬로건을 따르는 마이그레이션은 비싼 약욕조와 기생충 가득한 목장을 갖게 되는 방법입니다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 그리고 202,258개 행의 데이터셋은 github.com/spinsphere/qgrove에서 이용할 수 있습니다. 모든 수치는 저자 본인의 것입니다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록, 비밀 해제 자료에 근거하며, 저자는 비공개 정보를 보유하지 않으며 그러한 정보가 암시되지도 않습니다.

이 글의 조사, 구성 및 작성에는 Claude의 도움을 받았습니다.

Kaysec은 포스트 양자 준비 태세와 암호화 민첩성에 대해 자문을 제공하며, 주로 이 글에서 실제로 중요하다고 언급한 종류의 데이터 유효기간을 가진 조직들을 대상으로 합니다. kaysec.spinsphere.xyz

참고 문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비되어 있는가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “백만 개 미만의 잡음 있는 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “The Pinnacle Architecture: 양자 LDPC 코드를 사용하여 RSA-2048 해독 비용을 물리 큐비트 100,000개로 절감.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 자원 추정으로, 하드웨어 시연이 아님. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “양자 취약성으로부터 타원 곡선 암호화폐 보호: 자원 추정 및 완화 방안.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; 영국 NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장 문서.
  7. Operation Ivy Bells, 1971–1981. USS Halibut, 오호츠크해. 비침습적 유도 도청; 월별 잠수사 회수, 이후 RTG 전원 사용. 참조: Sontag & Drew, Blind Man’s Bluff (1998).
  8. M. Klein, 선서 진술서 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 사건 자료. Room 641A, 611 Folsom St; 2003년 가동, 2006년 공개; 백본 회선 약 16개 분기(합산 약 15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시에 숨겨진 NSA의 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 폭로, 2013–2014 (The Guardian; Der Spiegel). 10 Gbit/s 프로브 200개 이상, 이론적 처리 용량 일 약 21.6 PB; 콘텐츠 약 3일, 메타데이터 약 30일 버퍼링.
  11. MUSCULAR 폭로, 2013 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료.
  12. Lawfare, “해저 케이블에 대한 러시아의 위협 평가”, 육상 기지국 접근이 일상적인 심해 도청을 비매력적으로 만드는 이유에 대해.
  13. AMS-IX 2025년 수치: 연간 트래픽 35.66 EB, 최고 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최고 18.22 Tbit/s; 글로벌 플랫폼 최고 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷의 포스트 양자 준비 태세 측정 연구: 2026.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인을 대상으로 한 단일 관측 지점 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에서 클라이언트 측 TLS 버전 폴백 기록. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “Mind the Gap: Policy vs Reality in Post-Quantum TLS Deployment.” arXiv:2607.29005, 2026년 7월. UNSW Sydney 및 Georgia Tech. 2025년 7월~2026년 3월 3회에 걸친 종단 연구; 200억 건 이상의 핸드셰이크, 100만 도메인, 11개 관측 지점. arxiv.org/abs/2607.29005
  17. J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks.” arXiv:2603.01091, 2026년 3월. Universidad Carlos III de Madrid. arxiv.org/abs/2603.01091
  18. E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  19. G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey.” arXiv:2510.10436, 2025. Texas State University. arxiv.org/abs/2510.10436
  20. qgrove: 분산 다중 관측 지점 TLS 포스트 양자 보안 태세 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  21. W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 타이베이, 2025년 10월 (우수 논문상). 약 $800짜리 수신기; 관측된 GEO 위성 링크의 50%가 평문 IP 트래픽을 전송하고 있었으며, 여기에는 통화 및 문자 내용이 포함된 셀룰러 백홀, 전력·산업 제어/SCADA 시스템, 군사 자산 추적, 기내 WiFi가 포함됨. satcom.sysnet.ucsd.edu
  22. WiFi 도청과 그 한계에 대하여: WPA2/WPA3는 무선 구간만을 보호할 뿐 종단 간 세션을 보호하지는 않음; KRACK (Vanhoef & Piessens, 2017) 및 Dragonblood (Vanhoef & Ronen, 2020) 공격, 그리고 이블 트윈/다운그레이드 계열 공격 참조. 무선의 브로드캐스트 특성으로 인해 암호문 수집이 용이하며, TLS가 핵심 보안 계층으로 남아 있음.