보고서

양자 봄의 계절: 지금 수확하고, 나중에 해독하라 — 누가, 어떻게 당신의 암호화된 데이터를 실제로 수집하고 있는가, 그리고 왜 대부분의 데이터는 썩어가는가

by Simon McCorkindale

암호화된 데이터를 “수확”하는 것이 공격자에게 실제로 어떤 비용을 치르게 하는지, 축적된 데이터를 읽으려면 무엇이 필요한지, 그리고 실제 위협이 어디에 숨어 있는지를 다룹니다. 이 글은 다섯 가지 관문 프레임워크(물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효기간, 공격자의 동기)를 기본 원리부터 단계적으로 살펴보고, 오늘날 인터넷에서 실제로 배포된 양자 내성 암호화가 무엇인지에 대한 독자적인 인터넷 전수 스캔 결과를 바탕으로 논의를 구체화합니다.

요약. “지금 수집하고 나중에 복호화한다(HNDL)”는 양자 내성 암호화로의 전환을 서둘러야 하는 이유로 누구나 드는 논거입니다. NIST(미국 국립표준기술연구소)도, CISA(미국 사이버보안 및 인프라 보안국)도, 영국의 NCSC(국가사이버보안센터; 뉴질랜드에도 동명의 기관이 있습니다)도 이를 언급하며, 벤더들은 훨씬 더 크게 외칩니다. 그러나 실제로 근거를 검증하는 사람은 거의 없습니다. 실제로 누가 수집하고 있을까요? 어디서 수집할까요? 얼마나 많은 데이터를 저장해야 하며, 그 비용은 얼마나 될까요? 그리고 양자 컴퓨터가 마침내 등장했을 때, 수집한 데이터가 여전히 읽을 가치가 있을까요? 이 글은 HNDL을 반복되는 사실이 아닌 검증해야 할 주장으로 다룹니다. 위협은 실재하지만 범위가 좁습니다. 데이터가 수십 년간 가치를 유지하고 데이터 규모가 작은 경우에만 성립하며, 대부분의 트래픽은 암호학적 문제가 되기 훨씬 전에 경제성 문제로 실패합니다. 더 크고 조용한 문제는 이미 누군가의 저장소에 들어 앉아 있는 암호화된 데이터입니다. 이 연구는 독립적인 가설로 시작되었습니다. 초안을 작성하는 과정에서 이와 관련된 2026년도 연구들을 발견했습니다. 일부는 제 결론을 뒷받침했고, 하나는 이를 반박했으며, 저는 사후에 논거를 끼워 맞추기보다 각각을 투명하게 다루었습니다. 제 자체 스캔은 가장 큰 규모의 동시 측정 연구와 일치합니다. 양자 내성 키 교환은 소수의 인프라 제공업체를 중심으로 인터넷의 상당하고 증가하는 비율에서 이미 작동 중인 반면, 신원을 증명하는 양자 내성 서명은 31,839개의 인증서 전체에서 여전히 전무합니다. 핸드셰이크는 수정되고 있지만 인증은 그렇지 않습니다.

1. 이름에서 틀린 부분

농부라면 누구나 수확이 무엇을 의미하는지 압니다. 좋은 부분, 즉 한 해가 가치 있었는지 알게 되는 마지막 보상입니다. 그러니 “지금 수집하고 나중에 복호화한다”는 실제로 일어나고 있는 일에는 다소 어울리지 않는 이름입니다. 지금 일어나고 있는 일이 수확이 아니기 때문입니다. 지금 일어나고 있는 일은 파종입니다. 누군가가 조용히 암호화된 트래픽을 모아 저장소에 넣고 기다리고 있습니다. 수확하는 것이 아니라 심고 있는 것이며, 날씨가 바뀌기를 바라고 있습니다.

그들이 기다리는 것은 암호학적으로 관련성 있는 양자 컴퓨터, 즉 CRQC입니다. 오늘날의 키 교환 및 서명(RSA, Diffie–Hellman, 타원 곡선)을 보호하는 수학에 Shor 알고리즘을 실행할 만큼 충분히 큰 기계입니다. 그 기계가 존재하게 되면 암호문으로 가득 찬 저장소는 읽을 수 있게 됩니다. 그때까지는 매우 비싼 노이즈 더미일 뿐입니다. 그 순간을 양자의 봄이라 부르고, 기다리는 시간을 양자의 겨울이라 부릅니다. 기다리는 것이 결코 오지 않는 AI 겨울 같은 것이 아니라, 계절이 올 것을 알면서 추위를 견뎌야 하는 농부의 겨울 같은 것입니다.

양자 내성 암호화, PQC는 방어자의 해답입니다. NIST가 내놓은 새로운 품종(암호화 알고리즘)으로서, ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1 등이 있으며, 더 많은 후보들이 NIST에 제안되어 현재 평가 중입니다. 양자 수집자는 이를 처리할 수 없습니다. 단, 큰 문제가 있습니다. PQC는 이미 저장소에 있는 것에는 아무런 효력이 없습니다. 어제 수집된 것은 계속 수집된 상태로 남으며, PQC는 지금부터 심는 것만 보호합니다. 따라서 두 개의 시계가 동시에 돌아가고 있습니다. 기계가 도착하기 전에 품종을 교체하기 위한 당신의 시계, 그리고 당신이 아직도 그것을 드러낸 채 심는 동안 최대한 많은 옛 데이터를 쌓아두기 위한 그들의 시계입니다.

암호학 비전문가를 위한 한 단락 요약. 데이터를 보호하는 수학에는 두 가지 종류가 있습니다. 한 종류는 실제 내용을 뒤섞습니다(주로 AES). 양자 컴퓨터는 이를 거의 건드리지 못하며, AES-256은 안전합니다. 다른 종류는 두 컴퓨터가 비밀 키(AES로 내용을 암호화하는 데 사용되는 암호)를 처음에 어떻게 합의하고, 서로가 누구인지 증명하는 방식입니다. 이것이 RSA와 타원 곡선이며, 양자 컴퓨터는 이를 손쉽게 깨뜨립니다(흔히 공개/비밀 키 암호화라고 불립니다). 따라서 누군가가 “양자가 암호화를 깬다”고 말할 때, 자물쇠 자체가 아니라 처음의 핸드셰이크를 깬다는 의미입니다. HNDL이 기록된 핸드셰이크에 관한 이유가 바로 이것입니다. 핸드셰이크를 얻으면 키를 얻고, 그 이후의 모든 것을 얻게 됩니다.

대부분의 사람들이 사용하는 프레임은 Michele Mosca의 부등식2입니다. X(데이터가 비밀로 유지되어야 하는 기간)와 Y(마이그레이션에 걸리는 기간)를 더한 뒤 Z(기계가 존재하기까지의 기간)와 비교합니다. X + Y > Z이면, 오늘 전송하는 모든 것에 대해 이미 경쟁에서 진 것입니다. 훌륭한 산술입니다. 문제는 Z가 계속 움직이고(그것도 감소하는 방향으로만) 있다는 점입니다. 2019년에 RSA-2048을 깨기 위한 추정치는 약 2천만 개의 노이즈 있는 큐비트를 8시간 동안 실행하는 것이었지만, 2025년 5월에는 동일 연구자가 이를 100만 큐비트 미만, 약 1주일로 줄였습니다3. 6년 만에 20배 감소했으며, 이는 더 나은 하드웨어가 아닌 더 나은 알고리즘에서 비롯되었습니다. 아직 기계는 만들어지지 않았습니다. 하지만 목표가 계속 가까워지고 있고, 이것이 바로 인내심 있는 공격자가 파종이 수고할 만한 가치가 있다고 판단하는 조건입니다.

그 이후로도 두 번 더 움직였지만, 같은 조건은 아닙니다. 2026년 2월에는 qLDPC 아키텍처4가 100,000개의 물리적 큐비트로 RSA-2048을 깰 수 있다고 주장했고, 3월에는 Google, Ethereum Foundation, Stanford의 공동 논문5이 두 알고리즘 중 더 약한 256비트 타원 곡선을 500,000개의 물리적 큐비트로 수 분 안에 깰 수 있다고 발표했습니다. 두 연구 모두 가정을 바꾸는 방식으로 이 결론에 도달했습니다. 큐비트 수를 줄이는 대신 연결성과 아직 실제 규모에서 입증되지 않은 디코딩 트릭을 대가로 치렀습니다. 이는 유예가 아니라 주의사항입니다. Z는 계획 수치이며, 이러한 논문들은 실제로 무언가를 만들지 않은 채 그 수치를 계속 바꾸고 있습니다.

PQC를 논할 때 자주 함께 거론되는 양자 키 분배(QKD)에 대해 한마디 하겠습니다. 이 분야에는 많은 연구와 개발이 이루어지고 있으며 전망이 밝지만, 이 글의 범위를 벗어납니다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스의 ANSSI 모두 QKD보다 PQC를 사용하는 편이 낫다고 명확히 밝히고 있습니다6. QKD는 특수 하드웨어가 필요하고, 점 대 점으로만 작동하며, 이미 가득 찬 저장소에는 전혀 효력이 없습니다. 하나의 전용 회선에서 이루어지는 미래의 대화를 보호할 뿐입니다. 이상적인 안전한 미래는 두 가지 접근 방식의 조합일 수 있습니다.

동시 연구에 대한 참고 사항. 이 글은 2026년 현재 암호화된 데이터 수집의 실질적 현실과 어려움, 그리고 데이터를 수집하는 스캔 작업에 대한 독립적인 연구 관심에서 시작되었습니다. 초안을 작성하는 과정에서 2026년이 이 분야에서 활발한 해였음을 알게 되었습니다. Blanco-Romero 외17는 수집의 저장 경제성을 모델링하여 제가 부분적으로 이의를 제기하는 결론에 도달했습니다(4절). Wickramasinghe 외16는 인터넷 규모의 종단적 양자 내성 TLS 측정을 수행하여 제 자체 스캔 결과를 예상하고 확인했습니다(10절). 더 광범위한 조사들이 주변 환경을 조망합니다(Bertino 외18; Chhetri 외19). 이러한 연구들에 맞춰 논거를 사후 수정하기보다, 원래 구조를 유지하고 각 연구가 본문에 관련될 때마다 다루었습니다. 다른 연구자들이 먼저 도달한 곳에서는 이를 투명하게 밝히고, 제 독립적인 데이터가 그들의 것과 일치하는 경우 그 일치 자체를 하나의 결과로 다루었습니다.

“지금 수집하고 나중에 복호화한다”는 슬로건이 이름을 딴 계절은 가장 마지막에 옵니다. 위험한 작업은 몇 년 앞서 파종 단계에서 일어납니다. 역량 곡선의 형태는 예시적이며, 그 위치는 누구도 알 수 없습니다(즉, 실제 타이밍은 불확실하며, 2032년까지의 CRQC를 약속하는 것이 아닙니다!). 하지만 방향은 다릅니다.

2. 다섯 가지 관문

논의가 대개 잘못되는 부분이 바로 여기입니다. 사람들은 HNDL을 당신에게 일어나거나 일어나지 않거나 하는 하나의 단일한 사건으로 취급합니다. 그것은 하나가 아닙니다. 연속적인 과정이며, 공격자가 원하는 모든 바이트는 그 전부를 통과해야 합니다. 가축을 이동시키는 것에 비유해 보겠습니다. 첫 번째 관문, 목초지에 접근할 수 있는가. 두 번째 관문, 가축을 둘 곳이 있는가. 세 번째 관문, 마당에 들어온 가축으로 실제로 무언가를 할 수 있는가. 네 번째 관문, 드디어 처리할 때쯤 가축이 가치가 있는가. 다섯 번째 관문, 이 모든 것을 감안할 때 애초에 할 가치가 있었는가. 어느 관문에서든 실패하면 기름값과 개 사료값(양몰이를 위한) 낭비일 뿐입니다.

이 글의 나머지 부분은 관문을 하나씩 살펴봅니다. 그 전에, 아래에서 양자 시대 보안 문제의 더 넓은 범주를 개괄적으로 살펴봅니다.

문제공격 대상피해 발생 시점실행에 필요한 것대응 시기
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 대용량 저장소, 그리고 아직 존재하지 않는 기계지금 심어라
HNDL, 저장된 데이터저장 데이터의 장기 키CRQC 등장 시한 번의 성공적인 침입, 그리고 동일한 기계지금 심어라
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시수집된 인증서, 그리고 그 기계나중에
PQC 칩 공격실리콘 내 PQC 검증현재물리적 접근과 오류 주입 장비지금
가짜 인증서, 미래의 MITM신뢰 체인CRQC 등장 시그 기계, 그리고 네트워크 상의 위치나중에

위에서 굵게 표시된 두 항목이 진정한 의미의 HNDL이며, 적이 훨씬 나중의 수익을 위해 오늘 행동해야 하는 경우는 이 둘뿐이다. 바로 그것이 지금 조사하고 논의할 가치가 있는 이유다. 또한 오늘 행동하면 흔적이 남기 때문에, 이를 확인할 수 있다는 점도 마찬가지다.

3. 첫 번째 관문: 접근 자체가 가능한가?

광섬유 같은 케이블을 도청하는 것은 고된 작업이다. 침실의 노트북으로는 불가능하고, 실제 광섬유에 직접 손을 대거나, 광섬유를 소유한 곳을 겨냥한 법원 명령이 있어야 한다. 그것만으로도 거의 모든 사람이 배제된다. 남는 것은 정부, 그것도 극소수다.

가장 잘 문서화된 사례는 가장 오래된 것 중 하나이기도 하며, 그 자체로 걸작이다. 1971년 미국은 개조된 잠수함 USS Halibut함을 오호츠크해로 보내, 수심 120미터에 놓인 소련 군사 케이블을 찾아내는 아이비 벨스 작전(Operation Ivy Bells)7을 수행했다. 잠수부들은 손목 굵기만 한 케이블에 6미터짜리 유도 장치를 감아, 케이블을 절단하지 않고도 신호를 읽어냈다. 이 작전은 거의 10년 가까이 지속됐다.

스파이 소설 같은 이야기보다 더 중요한 세부 사항이 두 가지 있다. 첫째, 그들이 케이블을 찾아낸 것은 해변에 여기에 케이블 있음. 닻 금지라고 적힌 표지판 때문이었다. 둘째는 물류 문제다. 수년간 정보를 수집하는 방법은 잠수부가 매달 직접 수심으로 내려가 테이프를 교체하는 것이었다. 누군가가 직접 가서 가져와야 했다. 이후 버전은 핵 동위원소 발전기로 구동되어 1년치 데이터를 저장할 수 있었는데, 1년에 한 번만 가면 된다는 이유로 엄청난 발전으로 여겨졌다. 이 점을 기억해 두라. 수집의 가장 어려운 부분은 도청 자체가 아니라, 이후 쌓인 데이터 더미를 어떻게 처리하느냐였다.

현대적 방식

광섬유는 방법을 바꿨을 뿐, 제약은 그대로다. 2006년 AT&T 기술자 마크 클라인(Mark Klein)은 샌프란시스코 폴섬 스트리트 611번지(641A호실)의 잠긴 방을 묘사했는데, 그곳에서 광학 분배기가 백본 트래픽을 심층 패킷 검사를 위한 Narus STA 6400이 탑재된 랙으로 복제하고 있었다8. 이 장치는 2003년부터 가동 중이었다. 분배기는 약 16개의 백본 회선(약 15 Gbit/s 규모의 트래픽)에서 전체 광 신호를 복제했으며, Narus 장치는 이를 실시간으로 심층 패킷 검사했다. 클라인의 문서는 전자프런티어재단(Electronic Frontier Foundation)이 AT&T를 상대로 제기한 소송의 증거가 됐고, 이후 보도를 통해 미국 내 다른 도시들에도 유사한 방이 존재함9이 밝혀졌다. 역사적 유사점을 짚어볼 만하다. 2003년 당시, 그 분배기들이 복제한 대부분의 데이터는 평문이었다. 오늘날 동일한 도청 장치는 암호문을 복제하는데, 이것이 바로 HNDL이 우려 대상으로 존재하는 이유다.

구조적 핵심은 여전하다. 광섬유의 분배기는 광학 계층에서 트래픽을 복제한다. 방화벽도 이를 감지하지 못하고, 침입 탐지 시스템도 잡아내지 못하며, 엔드포인트는 전혀 모른다. 그러나 — 이것이 핵심인데 — 분배기는 회선 위에 있는 것을 복제하며, 회선 위의 데이터는 이미 암호화되어 있다. 분배기는 암호화를 무력화하지 못한다. 다만 그 복사본을 저장소에 넣고 기다릴 뿐이다.

영국에서도 같은 이야기가, 잠시 멈춰 생각해볼 만한 규모로 벌어졌다. 2011년 중반까지 GCHQ는 TEMPORA10로 알려진 프로그램 하에 각각 10 Gbit/s를 전송하는 200개 이상의 광섬유 링크에 프로브를 설치했으며, 동시에 최소 46개 링크의 데이터를 처리할 수 있었다. 이론적으로 하루 21페타바이트 이상의 데이터 흐름에 접근할 수 있었다. 가디언지는 이를 대영도서관 장서 전체를 매 24시간마다 192번 복사하는 양이라고 표현했다. 그러나 아래의 모든 내용에서 중요한 부분은 바로 이것이다. 그들은 이 데이터를 보관할 수 없었다. 콘텐츠는 단 3일, 메타데이터는 30일 동안만 버퍼링됐다. 자신이 절반 소유한 인프라에서 국가 규모로 운용하는 국가 행위자조차도 콘텐츠에 대한 3일짜리 순환 창구로 전락했다. 이것을 기억해 두라. 이것이 2번째 관문이 일찍 도착하는 것이다. 관련 공동 작전은 당시 경계 내부에서 암호화되지 않았던 대형 클라우드 업체들의 자체 데이터 센터 간 링크를 노렸다11. 보도에 따르면 TLS는 공개 경계에서 추가되거나 제거됐다. 이것이 기록에서 가장 교훈적인 부분이다. 그들은 암호화를 뚫은 것이 아니라, 데이터가 잠시 평문 상태로 존재하는 단 하나의 지점을 우회한 것이다. 업체들은 이를 인지하고 내부 링크를 암호화했으며, 그 허점은 닫혔다.

케이블이 항상 필요한 것은 아니다

여기서 관문을 더 넓혀야 한다. 위의 모든 내용이 유선에 관한 것이지만, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 거치지 않기 때문이다. 무선은 방송이다. 범위 내 누구든 들을 수 있고, 스플라이스도, 상륙 기지국도, 영장도 필요 없다12. 이는 공중을 통과하는 여정이 있는 모든 것에 대해 물리적 접근 장벽을 바닥으로 낮추는데, 알고 보면 그런 것들이 상당히 많다.

가장 명백한 것부터 시작하자. WiFi다. 노트북이 전송하는 모든 프레임은 사방으로 방사되며, 범위 내 누구든 모니터 모드의 저렴한 어댑터만 있으면 전부 캡처할 수 있다. 두 가지가 당신을 보호한다. WiFi 계층 자체의 암호화(WPA2, WPA3)가 공중에서 프레임을 뒤섞지만, 이는 내부의 TLS와는 별개의, 수명이 짧은 자물쇠다. 기기에서 액세스 포인트까지의 구간을 보호할 뿐, 종단 간 세션을 보호하지 않으며, 반복적으로 다운그레이드되거나, 크랙되거나, 우회됐다(WPA2에 대한 KRACK, WPA3에 대한 Dragonblood, 모든 것을 공격자를 통해 중계하는 이블 트윈 액세스 포인트)22. WiFi 계층을 벗겨내면 아래의 TLS만 남는데, 이는 수집 문제로 바로 귀결된다. 뚫린 WiFi 위의 현대적 TLS 1.3은 여전히 순방향 비밀성을 제공하며 양자 기계가 필요하지만, 공개된 카페 네트워크나 공격자가 키를 알고 있는 WPA2 네트워크는 암호화된 TLS 스트림을 공짜로 넘겨준다. HNDL 관점에서 WiFi 도청은 암호문을 수집하는 저렴한 방법이다. TLS를 무력화하지는 못하지만, 목표물에서 수백 미터 이내에 있는 누구에게든 ‘물리적으로 접근할 수 있는가’라는 관문을 거의 완전히 제거해 버린다.

그다음은 모바일이다. 2G는 도청자에게 선물이었다. IMSI 캐처(가짜 기지국, 이른바 “스팅레이”)가 휴대폰을 취약한 암호화 방식으로 다운그레이드시켜 트래픽을 평문으로 읽을 수 있었다. 4G와 5G는 훨씬 개선됐지만, 이들에 대한 다운그레이드 공격은 여전히 활발한 연구 분야이며, 같은 원칙이 적용된다. 무선 계층이 취약한 부분이고, 그 위에 얹힌 종단 간 암호화가 실질적인 보호를 담당한다. 역시 저렴하게 수집 가능하며, 그 아래의 암호화가 공격자와 평문 사이를 가로막는 유일한 장벽이 되어가고 있다.

그리고 특정 고가치 트래픽에 대해 “도청(감청)은 어렵다”는 전제 자체를 뒤집기 때문에 놀라운 사례가 있다. 바로 위성이다. 2025년 10월, UC 샌디에이고와 메릴랜드 대학교 연구진이 Don’t Look Up을 발표했는데(ACM CCS에서 우수 논문상을 수상), 그 발견은 믿기 어려울 정도다. 그들은 샌디에이고의 옥상에서 800달러짜리 시판 위성 안테나를 하늘로 향해21 3년간 관측한 결과, 관측 가능한 정지궤도 위성 링크의 약 절반이 민감한 데이터를 완전히 암호화하지 않은 채 전송하고 있음을 발견했다. TLS도, VPN도, 아무것도 없었다. 나중에 해독해야 할 암호문이 아니라, 지금 당장 읽을 수 있는 평문이었다. 평문으로 발견된 것에는 한 대형 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 WiFi 트래픽, 군사 자산 추적, 그리고 (HNDL의 실제 대상에 있어 중요한) 유틸리티 인프라를 운용하는 산업 제어 및 SCADA 트래픽이 포함됐다. 더불어 그들은 캘리포니아의 고정된 한 지점에서 궤도 위성의 약 15%만 볼 수 있었다. 여러 대륙에 안테나를 보유한 국가 행위자라면 훨씬 더 많이 볼 수 있다.

이는 케이블 이야기와 두 가지 면에서 다른 위협이며, 두 가지 모두 첫 번째 관문의 안이한 버전에 반기를 든다. 첫째, 접근이 매우 쉽다. 잠수함이 아니라 수백 달러와 하늘이 보이는 장소면 충분하다. 둘째, 피해자에게 더 나쁜 점은, 이 트래픽의 대부분이 수집 후 문제조차 아니라는 것이다. 미래의 양자 기계가 필요 없는 것들이기 때문이다. 이미 평문이다. 양자 측면은 암호화된 위성 링크에만 해당하며, 암호화되지 않은 절반은 나중에 해독할 것 자체가 없으므로 사후 해독은 아무 의미가 없다.

첫 번째 관문 판정. 백본 광섬유의 경우 관문은 높다. 소수의 국가, 물리적 접근 또는 법적 압력, 상당한 비용이 필요하다. 그러나 “도청은 어렵다”는 말은 항상 케이블에 대한 이야기였고, 중요한 지점에서 케이블로 연결되지 않은 트래픽이 많다. 무선은 범위 내 누구에게나 자신을 방송한다. WiFi와 모바일은 공격자에게 암호화된 스트림을 저렴하게 건네주어, 실질적인 보호는 TLS에만 맡겨진다. 그리고 위성은, 놀랍게도, 링크의 약 절반에서 평문을 직접 넘겨준다. 따라서 관문의 정직한 버전은 이렇다. 광섬유 백본은 높고, 공중에서 시간을 보내는 모든 것에는 낮거나 거의 없다. 이는 논지를 약화시키는 것이 아니라 오히려 선명하게 한다. 왜냐하면 이 글 전체가 다루는 장기 보존 가치가 있는 목표물들(VSAT 링크의 대사관, 위성 SCADA의 유틸리티, 마이크로파 릴레이의 방산 시설)은 도청 관문이 종종 활짝 열려 있으며, 적과 페이로드 사이를 가로막는 것은 바로 이 글의 나머지 부분에서 검토하는 암호화뿐이기 때문이다.

4. 두 번째 관문: 충분히 큰 저장소를 갖추고 있는가?

탭을 확보했다고 가정해 보자. 이제 그 데이터를, 혹시라도 복호화 기계가 등장할 경우를 대비해, 최장 15년간 보관해야 한다. 바로 이 지점에서 이야기는 산술과 맞닥뜨리게 되는데, 그 산술은 냉혹하다.

막연한 추정 대신 실제 수치를 사용해 보자. 암스테르담 인터넷 익스체인지 AMS-IX(네트워크들이 트래픽을 서로 주고받는 대형 공개 피어링 포인트 중 하나)는 2025년 수치를 공개했다13: 연간 총 트래픽 35.66 엑사바이트, 최고 피크 14.2 Tbit/s. 프랑크푸르트의 DE-CIX는 또 다른 이런 교환소로, 약 48 엑사바이트를 처리했다14. 이것은 추정치가 아니라 운영자들이 직접 발표한 수치다. 그리고 AMS-IX는 단 하나의 교환소일 뿐이다. 전 세계에는 1,000개가 넘는다.

그렇다면 AMS-IX 전체를 1년간 풀 캡처하기로 했다고 하자. 무엇이 필요할까?

아무도 비용을 따지지 않는 두 가지 병목. 왼쪽: 교환소 하나를 1년간 풀 캡처했을 때 테이프로 환산한 용량. 오른쪽: 최종 복호화 기계가 마법 지팡이가 아니라 병목이 되는 이유. 임시 키 교환은 세션마다 별도의 작업을 강제한다.

카트리지당 18 TB인 LTO-9 테이프 기준으로, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 100달러라면 공 테이프 비용만 연간 1억 9,800만 달러로, 드라이브 한 대, 인건비 한 푼도 계산하기 전의 숫자다. LTO-9 드라이브의 쓰기 속도는 약 400 MB/s이므로, 유입되는 데이터를 실시간으로 기록하려면 매초, 하루도 빠짐없이, 365일 내내 2,826대의 드라이브를 풀가동해야 한다. 이건 서버실이 아니라 공장이다.

그리고 아무도 비용을 따지지 않는 부분이 있다. 테이프는 순차 접근 방식이라 무언가를 찾으려면 테이프를 되감아야 한다. 쓰기와 읽기 속도가 같으므로, 동일한 2,826대의 드라이브가 읽기만 한다면, 1년치 테이프를 다 읽는 데 정확히 1년이 걸린다. 즉 아카이브를 읽는 동안은 수집을 멈춰야만 정확히 한 번 읽을 수 있다는 뜻이다. 두 번 검색하고 싶다면? 공장을 하나 더 지어야 한다.

디스크도 해결책이 아니다. 드라이브당 24 TB 기준으로 약 150만 개의 하드 드라이브, 즉 약 6억 달러어치가 필요하며, 냉각까지 포함하면 전력 소비는 약 11 MW에 달한다. 이는 소도시 하나에 공급할 만한 전력으로, 단 하나의 교환소에서 단 1년치 데이터를 돌리기 위한 것이다. 전 세계 트래픽의 1%로만 규모를 키워도 터무니없어진다: 아직 존재하지도 않는 기계가 언젠가 한 번 읽어줄 것이라는 기대 하에, 매년, 영원히, AMS-IX 수십 배 규모의 설비를 갖춰야 한다.

이 글의 산술이 다루지 않는 다른 요소들도 있다: 데이터를 압축하고 압축 해제하는 데 드는 시간 비용, 테이프 로딩과 언로딩 비용이다. 물론 다른 저장 매체도 존재하며, 이것은 단일 지점에서 1년치 데이터를 전부 캡처하는 극단적인 사례이지만, 저장하고 처리해야 할 데이터의 엄청난 규모와 그에 따른 경제성을 직관적으로 보여주는 데는 충분하다.

여기서 나는 이 경제성에 관한 가장 신중한 선행 연구와 견해를 달리한다. Blanco-Romero 외17는 동일한 저장 문제를 모델링하며 데이터 보관이 “경제적으로 사소한 문제”라고 결론 내린다: 미디어 원가(LTO 테이프를 TB당 약 5달러로 인용) 기준으로 전 세계 트래픽의 1%만 수집해도 연간 약 10억 달러 수준으로, 국가 예산 안에 충분히 들어온다는 것이다. 그들의 산술은 정확하며, 미디어 비용 자체는 반박하지 않는다. 내가 반박하는 것은 미디어 비용이 핵심 제약이라는 주장이다. 공 테이프는 예산에서 가장 저렴한 항목이다; 실시간으로 기록하기 위한 드라이브 공장, 다시 읽기 위한 두 번째 공장, 해독 불가능한 암호문 더미에서 무언가를 찾기 위한 인덱싱, 그리고 이 모든 것을 15년간 가동하기 위한 물리적 설비 — 이것들이 실제로 발목을 잡는 항목이다. 그들의 모델은 스스로 명시했듯 정적 미디어 비용만을 다루며 수집 및 검색 장비는 제외한다. 이는 프로토콜 수준의 방어를 다루는 그들의 질문에 맞는 합당한 범위 설정이다; 그러나 제외된 비용들을 다시 포함하면, “사소한 문제”는 “이 특정 트래픽이 15년간의 산업적 헌신을 감당할 만한 가치가 있다고 이미 결정한 경우에만 감당 가능한 문제”가 된다 — 이는 다른 이름의 선택적 수집일 뿐이다. 우리는 그들과 같은 결론(수집은 선별적이지 무차별적이지 않다)에 도달하지만, 저장 비용 항목을 반대 방향에서 읽어낸다. 또한 그들의 결론, 즉 방어자들은 수명이 가장 긴 데이터를 먼저 분류해야 한다는 주장은, 정확히 나의 주장과 같다.

두 번째 관문 평결. 무차별 수집은 환상이다. 어려운 것도, 비싼 것도 아니라, 산술적으로 터무니없다. 실제 공격자라면 무엇을 보관할지 반드시 선택해야 하며, 선택의 순간 그 위협은 모두에 관한 것이 아니라 특정 누군가에 관한 것이 된다. 자신이 수집 대상인지 알고 싶다면, 그들이 가져갈 수 있는 것을 묻는 것을 멈추고, 그들이 15년간 보관하기 위해 얼마를 지불할 것인지를 물어라. (15년은 임의적이지만 예시적인 기준으로 사용된 것으로, 투기적으로 데이터를 보유하기에는 긴 시간이다.)

5. 세 번째 관문: 그 데이터가 실제로 복호화될 것인가?

탭을 했고 보관 비용도 지불했다고 가정하자. 마침내 기계가 도착한다. 그 더미가 열릴까? 이는 전적으로 키가 어떻게 합의되었는지에 달려 있으며, 이것이야말로 HNDL 논의 전체에서 가장 설명이 부족한 부분이다.

수집한 데이터가 가치 있는지는 키가 어떻게 합의되었는지에 달려 있다. RSA 키 전송 방식은 HNDL에 완전히 노출되어 있고, 임시 (EC)DHE는 세션당 별도의 CRQC 작업을 강제한다. 어느 방식이든 핸드셰이크 서명은 위조 가능하므로 누가 누구와 통신했는지는 여전히 노출된다.

구식 방식인 RSA 키 전송은 최악의 시나리오다. 클라이언트가 서버의 장기 공개 키로 세션 비밀을 암호화하는 방식으로, 그 키 하나를 한 번만 해독하면 해당 서버와 나눈 모든 대화가 동시에 열린다. 키 하나로 전체 무더기가 열리는 것이다. 이것이 그 슬로건이 암묵적으로 전제하는 시나리오이며, 그래서 그토록 경각심을 불러일으키는 것이다.

그러나 현대 TLS는 그런 방식으로 작동하지 않는다. TLS 1.3은 임시 Diffie–Hellman을 요구하며, ECDHE를 사용하는 TLS 1.2도 동일한 역할을 한다. 이 방식에서는 모든 세션이 고유한 일회용 비밀을 생성한다. 서버의 장기 키는 핸드셰이크에 서명하지만 콘텐츠를 암호화하지는 않으므로, 그 키를 해독해도 통신 내용에 대해서는 아무것도 알 수 없다. 임시 세션을 읽으려면 해당 세션의 키 교환을 해독해야 하고, 그 다음 세션, 또 그 다음 세션을 각각 해독해야 한다. 전체를 한꺼번에 여는 지름길은 없다: 전단기 하나에 양 한 마리씩, 각 양마다 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추정치3에 따르면, RSA-2048 키 하나를 해독하는 데 기계 가동 시간 약 1주일이 필요하다. 타원 곡선은 더 저렴하지만 비슷한 수준이다. 따라서 캡처된 임시 세션 100만 개는 “양자 컴퓨터 한 대”로 해결되는 것이 아니다. 100만 개의 개별 양자 작업이 필요하다. 낙관적으로 세션당 하루씩만 잡아도 수천 년의 기계 가동이 필요하다. CRQC는 망원경처럼 예약 일정이 있는 희소한 국가 자산이 될 것이며, 당신의 동영상 스트리밍 세션을 거기에 돌리는 사람은 없다. 여기서 반직관적인 결론이 나오기 시작한다: 물론 양자 기계, 즉 CRQC는 이제 우리를 위해 Shor의 알고리즘을 실행할 만큼 충분히 강력하고 “빠르다”고 할 수 있다. 그러나 작업의 수(각각 양자 알고리즘의 단일 실행)를 고려하면, 경제성이 얼마나 줄어드는지 파악하기 시작할 수 있다: 해독해야 할 암호화 세션 수에 현재 예상되는 수 시간에서 수 주일의 알고리즘 실행 시간을 곱하면, 그 결과는 여전히 논쟁의 여지가 있으며 Z가 감소할수록 달라질 것이다.

이것이 좋은 소식이라고만 볼 수 없는 두 가지 이유가 있다. 첫째, 전방 비밀성은 콘텐츠를 보호하지 서명을 보호하지는 않는다: 미래의 기계는 캡처된 핸드셰이크의 인증을 여전히 위조할 수 있으므로, 누가 누구와 통신했는지는 노출되며, 이것이 종종 더 중요한 정보다. 둘째, 더 심각한 문제로, 인증서 계층은 전혀 변하지 않았다. 사실상 웹 전체를 인증하는 서명은 내 직접 측정 결과에서도 확인되듯(섹션 10), 여전히 고전적인 RSA와 ECDSA다. 기밀성 측면은 마이그레이션을 시작했지만, 인증 측면은 아직 출발선을 떠나지 않았다.

세 번째 함정이 있으며, 이것이 많은 성과를 조용히 무너뜨린다. “서버가 마이그레이션했다”는 것은 “세션이 안전하다”는 것과 다르다. 협상된 암호화 알고리즘은 언제나 양쪽 중 약한 쪽 수준에 머물기 때문이다. Dubey와 Varshney15는 명확한 사례를 포착했다: 인도의 한 은행(icici.bank.in)이 최신 기기에는 QUIC with TLS 1.3, X25519, AES-256(양자 대비, 전방 비밀성, 원하는 모든 것)을 제공했지만, 같은 도메인에 두 번째 기기로 접속하자 TLS 1.2 with ECDHE-RSA and AES-128으로 폴백했다. 같은 서버, 같은 날, 두 클라이언트, 두 가지 완전히 다른 보안 수준. 폴백 세션은 여전히 전방 비밀성을 가지므로 RSA 전송 방식의 악몽은 아니지만, 누구도 선택하지 않고 누구도 알지 못한 폴백이며, 어느 한쪽이 조금 더 구형이었다면 RSA 키 전송으로 떨어져 완전히 수집 가능한 상태가 되었을 것이다. 상대방 끝을 볼 수 없는 마이그레이션은 신뢰할 수 있는 마이그레이션이 아니다.

6. 네 번째 관문: 그래서 어쩌자는 것인가?

아무도 언급하지 않는 관문이며, 대부분의 더미가 쓰러지는 지점이다. 상상해 보자. 대형 소매 은행 외부 광케이블을 탭해 1년간 해당 웹사이트로의 모든 TLS 세션을 캡처한다: 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 송금한다. 전부 보관한다. 15년 후 기계가 도착하고, 막대한 CRQC 비용을 지불해 모두 복호화한다. 축하한다. 무엇을 얻었는가? 2026년에 만료된 세션 쿠키들. 그 이후 세 차례 변경된 비밀번호들로, 대부분 이미 MFA가 적용되어 있다. 10년 전의 계좌 잔액. 엄청난 비용을 들여, 누군가가 2026년 어느 화요일 아침에 잔액을 확인했다는 사실을 알아낸 것이다.

그 안에는 내구성 있는 정보(이름, 생년월일, 주민등록번호)가 들어 있지만, 이는 폐석 더미 속의 얇은 광맥에 불과하며, 수백만 개의 개별 세션에서 재조합해야 합니다. 한편 동일한 정보가 은행의 고객 데이터베이스에 구조화되고 색인화되고 최신 상태로 저장되어 있으며, 단 한 번의 침입이면 손에 넣을 수 있습니다. 그렇다면 훨씬 더 자주 제기되어야 할 질문이 있습니다. 언젠가 엎질러진 우유를 되돌리길 바라며 우유 탱크로리에서 떨어지는 방울을 잡겠다고 10년 동안 문 앞에 서 있는 것보다, 근처 공장에 탱크 전체가 있는데 왜 그러는 걸까요?

데이터에는 유효 기간이 있으며, 그 편차는 엄청납니다. 세션 쿠키는 한 시간 정도 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료될 때까지, 은행 계좌 번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급할 수 없는 평생, 게놈은 평생 더하기 혈연 관계에 있는 모든 사람까지이며 절대 만료되지 않습니다. 외교 전문은 40년이 지나도 여전히 당혹스럽습니다. 무기 설계도는 이를 작성한 엔지니어보다 오래 살아남습니다. HNDL은 유효 기간이 긴 경우에만 의미가 있습니다. 그 외의 경우에는 양자 컴퓨터가 도착하기도 전에 창고에서 수확물이 썩어 버립니다.

7. 다섯 번째 관문: 실제로 누가 굳이 그럴까?

마지막 두 관문, 즉 데이터 양과 유효 기간을 합쳐서 보면, 그림은 매우 빠르게 명확해집니다. 실제 물류를 상세히 설명한 몇 가지 실제 사례를 살펴보겠습니다.

실제로 누가 굳이 그럴까? 데이터 양 대 유효 기간. 왼쪽 상단은 수집이 의미 있는 영역으로, 양이 적고 영구적으로 보존됩니다. 오른쪽 하단은 슬로건이 가장 열심히 팔리지만 가장 의미 없는 영역입니다. 위치는 자릿수 단위의 판단입니다.

대사관 링크. 대상: 외교 공관과 외무부 간의 암호화된 터널. 도청: 현지 ISP 또는 회선이 지나는 교환기. 만약 해당 국가의 정부라면, 이는 작전이 아니라 전화 한 통이면 됩니다. 그리고 공관이 오지에 위치해 많은 경우처럼 위성으로 백홀 통신을 하는 경우, 적국은 개최국의 협조조차 필요하지 않습니다. 안테나와 옥상만 있으면 됩니다(3절). 데이터 양: 극히 적어, 하루에 1~2기가바이트이며 50년치가 선반 하나에 들어갑니다. 유효 기간: 수십 년. 판정: 교과서적인 사례로, 지금 이 순간에도 모든 나라의 대사관에서 벌어지고 있을 가능성이 높습니다. 외무부를 운영하면서 마이그레이션하지 않고 있다면, 당신이 바로 이 슬로건이 존재하는 이유입니다.

방위산업체. 대상: 주계약업체와 하청업체 간의 사이트 간 VPN. 데이터 양: 연간 수십 테라바이트의 CAD 및 테스트 데이터로 관리 가능한 수준. 유효 기간: 올해 설계된 기체는 2075년에도 여전히 비행합니다. 판정: 실행 가능하며 그만한 가치가 있습니다. 작은 더미, 긴 기억.

소매 은행. 대상: 모든 소비자 트래픽. 데이터 양: 연간 페타바이트. 유효 기간: 대부분 몇 시간에서 몇 달. 판정: 불가. 연간 1억 달러를 테이프에 쏟아부어 결국 2026년도 비밀번호나 알게 됩니다. 그냥 데이터베이스를 털어 가세요. 누군가 이미 그랬을 겁니다.

유전체 연구소. 대상: 클라우드 스토리지로 전송되는 시퀀싱 데이터. 데이터 양: 적절한 커버리지의 단일 게놈 원본은 수백 기가바이트이며, 바쁜 센터는 연간 페타바이트를 생성합니다. 유효 기간: 영구적이며, 해당 대상의 가족 전체에 영향을 미칩니다. 판정: 이 글에서 가장 가치 있는 공격 대상이지만, 전송 중 데이터 차단은 순전히 데이터 양 문제로 여전히 불가능합니다. 그러나 저장된 데이터베이스를 탈취하면 갑자기 유효 기간이 무한한 60테라바이트 데이터가 됩니다. 위 차트의 화살표가 바로 이것이며, 가장 중요한 이동입니다.

8. 양모는 이미 창고에 있다

이는 HNDL에서 마땅히 받아야 할 주목을 훨씬 더 받지 못하는 부분으로 이어집니다. 지난 10년간의 모든 대형 데이터 침해 사고는 누군가의 스토리지에 암호화된 아카이브를 남겼습니다. 인사 파일, 건강보험사, 신용조회기관, 호텔 체인 등, 모두 추정컨대 여전히 그곳에 남아 도청된 광섬유와 동일한 컴퓨터에서 대기 중입니다. 그리고 이는 세 가지 이유로 훨씬 더 나은 공격 대상입니다.

첫째, 순방향 비밀성이 없습니다. 저장된 데이터는 세션별 일회용 키가 아닌 장기 키로 보호됩니다. 키를 한 번만 해독하면 전체 아카이브가 열립니다. 기본적으로 RSA 키 전송 방식이 적용됩니다. 전체를 한 번에. 둘째, 선택 문제는 이미 해결되어 있습니다. 게놈 은행을 탈취한 적국은 산더미 같은 데이터를 걸러낼 필요가 없었습니다. 다른 누군가가 이미 정렬하고, 색인화하고, 중복을 제거해 놓았습니다. 두 번째 관문의 어려운 작업은 피해자가 대신 해준 것입니다. 셋째, 유효 기간은 보통 엄청나게 깁니다. 탈취된 게놈은 2045년에도 유효성이 사라지지 않습니다.

이 모든 것에 잠수함은 필요하지 않습니다. 의심 없는 직원 한 명에게 전달되는 피싱 이메일 하나면 됩니다. 이것이 바로 저장 데이터 HNDL을 실행할 수 있는 행위자의 수가 케이블을 도청할 수 있는 수보다 훨씬 많은 이유이며, 대부분의 마이그레이션 권고에서 우선순위 순서가 정반대인 이유입니다. 모두가 언덕을 가로질러 양을 쫓아다니는 동안, 양모 전체(암호화된 데이터, 데이터베이스)는 문이 열린 창고에 뭉쳐서 쌓여 있습니다.

9. 우리가 아직 모르는 것

한계에 대해 솔직하게 말하자면, 3절에서 8절까지의 모든 내용은 설계상 불완전한 공개 기록을 기반으로 추론한 것입니다. 기밀 프로그램은 기밀입니다. 공개된 자료는 오래된 것으로, 대부분 2013년 것이며 기술은 발전했습니다. 저장 비용은 하락하고 양자 자원 추정치는 더 빠르게 하락합니다. 여기의 어떤 계산도 한 자릿수 단위로 바뀔 수 있으며, 일부 결론도 함께 바뀔 수 있습니다. 현재 실제로 네트워크에 배포된 것은 추측의 문제가 아닌데, 측정할 수 있기 때문입니다. 그래서 저는 측정했고, 방어가 어느 관문에서 이기고 있는지, 어느 관문에서는 싸움조차 시작하지 않았는지 전체 논거를 더 명확하게 파악할 수 있었습니다.

10. 목초지 측정하기

현재 양자 내성 보안 현황에 관한 이 글의 연구를 위해 인터넷 스캔을 시작했을 때, 제가 찾은 유일한 비교 가능한 기존 연구는 약 32,000개 도메인에 대한 단일 관측점 연구15였습니다. (여기서 관측점이란 스캔을 수행하는 위치를 의미합니다. 단일 관측점 스캔은 한 위치에서 모든 서버에 질의하는 것이고, 다중 관측점 스캔은 여러 위치에서 질의하여, 일반적으로 글로벌 CDN이 지역별로 순차적으로 설정을 배포하는 중이기 때문에 요청이 오는 위치에 따라 다르게 응답하는 서버를 파악하는 것입니다.) 제 계획은 더 넓은 범위를, 그것도 여러 관측점에서 동시에 스캔하여 서비스의 응답이 어느 지역 프런트엔드가 요청을 받느냐에 따라 달라지는지 확인하는 것이었습니다. 그 작업을 하는 동안 Wickramasinghe et al.16이 인터넷 규모의 종단 연구를 발표했습니다. 100만 개 도메인에서 20억 건 이상의 TLS 핸드셰이크를, 11개 관측점에서, 2025년 7월부터 2026년 3월까지 세 차례에 걸쳐 수집한 연구입니다. 이는 모든 측면에서 qgrove보다 더 크고 정교한 측정입니다. 따라서 저는 이하 내용을 독립적인 확인으로 제시합니다. 다른 인프라를 기반으로 구축된, 더 소규모의 단일 라운드 스캔이지만 동일한 수치에 도달했습니다.

저는 글로벌 엣지 네트워크에서 실행되며 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽는 스캐너인 qgrove20를 개발했습니다. 이 단일 값이 캡처된 세션이 HNDL에 노출되는지 여부를 결정하며, 어떠한 복호화 없이도 핸드셰이크의 평문 부분에서 바로 읽을 수 있습니다. 스캐너는 오픈 소스이며 아래의 모든 수치는 공개된 데이터셋에서 재현 가능합니다. 총 116,589개의 도메인이 다양한 방법과 출처를 사용하여 스캔 대상으로 선정되었습니다.

변화하는 것: 핸드셰이크 (기밀성을 위한 키 교환)

최신 TLS를 지원하는 도달 가능한 서버 중 35.5%가 이미 하이브리드 양자 내성 키 교환을 협상하고 있습니다. 현재 버전의 Chrome이 설정하는 방식과 동일하게, 클래식 X25519 곡선과 ML-KEM-768을 쌍으로 사용합니다. 이렇게 최근에 확정된 표준치고는 큰 수치이며, 계속 증가하고 있습니다. 그러나 35.5%는 엣지에서 측정된 수치이며, 엣지는 대형 CDN 뒤의 사이트를 볼 수 없습니다. CDN이 한꺼번에 모든 사람을 위해 PQC를 활성화했기 때문에, CDN을 통해 다른 방식으로 해당 사이트들을 재탐색하여 이 맹점을 채웠을 때 상황이 크게 달라졌습니다. CDN을 통한 코호트는 거의 100% 하이브리드입니다. 두 수치를 합산하면 모집단 추정치는 61.1%로 상승합니다. 두 수치 모두 사실이며 각기 다른 의미를 지닙니다. 솔직한 헤드라인은, 해당 CDN의 엣지에서만 실행된 스캔은 PQC를 체계적으로 과소 집계한다는 것입니다. 인터넷에서 가장 PQC가 활성화된 사이트들이 바로 구조적으로 볼 수 없는 사이트들이기 때문입니다.

두 레이어는 완전히 다른 속도로 움직입니다. 왼쪽: 하이브리드 PQC 키 교환, 엣지 측정값 대 합산 모집단 추정치. 오른쪽: 인증서 서명, 마이그레이션이 시작되지 않은 부분. 출처: qgrove, 2026년 7월.

변화하지 않는 것: 서명 (인증용)

이제 나머지 절반, 즉 우려해야 할 부분입니다. 저는 31,839개 인증서의 서명 알고리즘을 살펴봤습니다. 양자 내성 서명을 사용하는 수는 0이었습니다. “낮음”이 아니라 0입니다. 웹은 완전히 클래식 ECDSA와 RSA로 자신을 인증하며, 미래의 양자 컴퓨터는 이 두 가지를 예전의 키 교환을 해독하는 것만큼이나 쉽게 위조합니다. 기밀성 레이어는 마이그레이션을 시작했지만, 인증 레이어는 단 한 걸음도 내딛지 않았습니다. 이것은 제 표본의 특이 현상이 아닙니다. 저보다 앞선 단일 관측점 연구15와 저와 병행된 인터넷 규모 연구16 모두 양자 내성 인증서에서 동일한 제로를 보고하며, 아키텍처 검토18는 서명 측이 더 어렵고 느린 작업인 이유를 설명합니다. 전체 인증기관 계층 구조와 모든 검증 클라이언트를 함께 끌어야 하기 때문입니다. 이것이 기억해야 할 핵심입니다. 대화를 암호화하는 것과 신원을 증명하는 것은 두 가지 서로 다른 수학 연산이 담당하는 두 가지 서로 다른 작업이며, 현재는 그 중 하나만 수정되고 있습니다.

두 가지 추가 발견, 모두 조용히 유용한

먼저, 업종별로 살펴보겠습니다. 보안에 민감한 산업(은행, 국방, 정부)이 선두를 달릴 것이라 예상할 수 있습니다. 그렇지 않습니다. 하이브리드 PQC 채택률은 내가 분류한 모든 업종에서 약 27%에서 39% 사이에 분포했으며, 선두는 일반 대중 웹사이트와 CDN 제어 플레인이었고, 금융(28%)이나 국방(29%)이 아니었습니다. 채택은 필요한 곳이 누구인지가 아니라, 어느 CDN이 기능을 켰는지에 의해 주도됩니다. 이는 모든 독립적 측정에서 일관되게 나타나는 결과입니다. 대규모 동시 연구는 이를 가장 명확하게 수치화합니다: 포스트 양자 TLS의 약 70%가 Cloudflare와 Fastly, 단 두 공급자에 기인한다16는 것이며, 2030~31년 전환 기한이 가장 이른 관할권은 나중 기한의 관할권보다 낮은 채택률을 보이는데, 정책적 긴박감과 CDN 시장 점유율은 무관하기 때문입니다. 별도의 연구는 프로토콜 버전이라는 한 단계 아래에서도 동일한 지연을 발견합니다: 일반 TLS 1.3 채택조차 정부(70%), 국방(68%), 에너지 및 핵심 인프라(76.5%), 통신(78.6%)15에서 뒤처지는 반면, 클라우드와 소셜 미디어는 95~100%에 달합니다. 세 가지 서로 다른 스캔, 동일한 패턴. 공급자가 설정을 전환했다면 보호받고 있는 것이고, 그렇지 않다면 보호받지 못하는 것이며, 당신의 업종은 거의 관련이 없습니다.

두 번째, 내가 다중 관측 장치를 구축하여 측정하려 했던 것: 서버의 응답이 지구상 어디서 요청하느냐에 따라 달라지는가? 북미, 유럽, 일본, 뉴질랜드에 걸친 8개 위치에서 1,787개 도메인을 탐색했습니다. 위치에 따라 다른 응답을 반환한 비율은 0.17%, 세 개 도메인이었으며, 해당 세 도메인을 재검사했을 때 두 개는 지리적 이유가 아닌 일반적인 로드 밸런서 불안정으로 판명되어, 1,787개 도메인 중 진정한 안정적 지역 차이를 보이는 도메인은 약 하나에 불과했습니다. 여기서 독립적 검증은 의미가 있습니다. 100만 개 도메인을 대상으로 11개 관측 지점에서 수행한 대규모 연구는 동일한 규모에서 동일한 효과를 보고합니다: 안정적 패널의 0.05%가 클라이언트 위치에 따라 다른 기본값을 협상한다16는 것이며, 이를 나와 마찬가지로 CDN 설정이 지역에 걸쳐 점진적으로 전파되는 것으로 귀인합니다. 두 그룹, 전혀 다른 장치, 0.05%와 0.06%: 어디서 스캔하느냐는 본질적으로 중요하지 않습니다.

qgrove 스캔 결과의 수치와 그 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 횟수 202,258회(모든 도메인에 대한 광범위 패스 및 4,000개 도메인 하위 샘플에 대한 다중 관측 심층 패스), 2026년 7월, 전체 공개. 먼저 밝혀둘 주의사항: (1) 엣지 전용 수치(35.5%)는 구조적으로 과소 집계되며, 풀링된 수치(61.1%)는 두 가지 측정 방법을 결합한 것으로, 풀링 전 99.9% 일치율로 보정됨; (2) 도달 가능한 서버의 약 4분의 1이 여전히 구형 TLS 버전만 지원하여 PQC를 전혀 수행할 수 없으며, 이 때문에 하이브리드 비율은 최신 TLS 서버의 35.5%이지만 전체 도달 가능한 서버의 27%로, 두 수치 모두 보고되며 어느 쪽도 과장하지 않음; (3) 인증서 및 순방향 비밀성 미적용 수치는 모든 도메인이 아닌 대규모 샘플에서 산출됨; (4) 엄선된 업종 목록은 방어 가능한 핵심이지 망라적 총람이 아님.

11. 결론

“지금 수집, 나중에 복호화(Harvest Now, Decrypt Later)” 슬로건은 올바른 방향을 가리키고 있지만 규모를 과장합니다. HNDL은 실재합니다: 국가들은 실증적으로 도청 장치를 보유하고 있고, 선택한 것을 실증적으로 보관하며, 이들이 기다리는 기계는 아직 아무도 만들지 못했더라도 서류상으로는 매년 가까워지고 있습니다. 그러나 HNDL은 매우 좁은 범위의 경우에서만 다섯 가지 조건 모두를 충족합니다. 즉, 한 세대 동안 보관할 수 있을 만큼 양이 적고, 열렸을 때 내용이 여전히 중요한 경우: 외교 트래픽, 국방 프로그램, 생체 또는 유전체 관련 모든 것, 소량의 장기 기밀. 인터넷과 그 사용자의 상당 부분에서는 암호화가 유지되어서가 아니라 경제성이 맞지 않기 때문에 위협이 두 번째 또는 네 번째 조건에서 소멸됩니다. 보관 비용이 평문의 가치보다 높고, 읽을 수 있게 될 때쯤이면 이미 가치를 잃어버립니다.

한편, 실제로 우려스러운 HNDL 버전은 광섬유 도청이 아니고 멋진 슬라이드 소재도 되지 않기 때문에 거의 주목받지 못합니다: 이미 누군가가 들고 나간 암호화된 아카이브. 순방향 비밀성도 없고, 볼륨 문제도 없고, 잠수함도 없으며, 유효 기간은 평생으로 측정됩니다.

따라서 실용적인 조언은, 있는 그대로라면, 화려하지 않습니다. 수십 년 단위로 측정되는 X의 수명을 가진 데이터가 무엇인지 파악하십시오. 대부분의 조직에는 짧은 목록이며, 보통 벤더가 견적을 내는 목록이 아닙니다. 그것을 먼저 마이그레이션하십시오(장기 키로 저장된 모든 것, 그리고 전송 중 여전히 RSA 키 전송을 사용하는 것들), 그런 다음 합리적인 속도로 나머지를 처리하십시오. 그리고 아무도 시작하지 않은 부분을 주시하십시오: 현재 문헌의 모든 측정, 내 것을 포함하여, 포스트 양자 키 교환이 웹의 상당 부분에서 실행 중이며 증가하고 있음을 발견하지만, 계산할 만한 포스트 양자 인증서 서명은 단 하나도 없습니다. 마이그레이션의 기밀성 절반은 순조롭게 진행 중이며, 주로 몇몇 대형 CDN이 스위치를 켰기 때문입니다; 인증 절반은 시작조차 되지 않았습니다. 양자 기계가 등장하면 서명을 위조하는 것이 키를 해독하는 것만큼 쉬우므로, 핸드셰이크는 마이그레이션했지만 인증서는 그렇지 않은 웹은 누구나 곧장 통과할 수 있는 문에 새 자물쇠를 단 집과 같습니다. 그것이 다음 과제이며, 지금 당장은 울타리가 전혀 없는 상태입니다.

이것은 아무것도 하지 말라는 주장이 아닙니다. 구매 전에 양떼를 먼저 세어보라는 주장입니다. 실제 노출에 따른 마이그레이션은 잘 쓴 돈이고, 슬로건에 따른 마이그레이션은 값비싼 구충제와 기생충 가득한 목장을 갖게 되는 방법입니다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 그리고 202,258행 데이터셋은 github.com/spinsphere/qgrove에서 이용 가능합니다. 모든 수치는 저자 본인의 것입니다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록 및 비밀 해제 자료에 근거하며, 저자는 비공개 정보를 보유하지 않으며 그러한 정보를 암시하지도 않습니다.

Kaysec은 포스트 양자 준비태세 및 암호화 민첩성에 대한 자문을 제공하며, 주로 이 글에서 실제로 중요하다고 언급한 종류의 데이터 수명을 가진 조직을 대상으로 합니다. kaysec.spinsphere.xyz

참고문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비되어 있는가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “백만 개 미만의 잡음 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “피나클 아키텍처: 양자 LDPC 코드를 활용하여 RSA-2048 해독 비용을 물리 큐비트 100,000개로 절감.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 리소스 추정이며, 하드웨어 시연이 아님. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC 버클리), J. Drake (이더리움 재단), D. Boneh (스탠퍼드). “양자 취약성으로부터 타원 곡선 암호화폐 보안: 리소스 추정 및 완화 방안.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; 영국 NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장문.
  7. 오퍼레이션 아이비 벨스, 1971~1981. USS Halibut, 오호츠크해. 비침습적 유도 도청; 월간 잠수부 회수, 이후 RTG 전원 공급. Sontag & Drew, Blind Man’s Bluff (1998) 참조.
  8. M. Klein, 선서 진술서 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 사건 자료. Room 641A, 611 Folsom St; 2003년 운영 개시, 2006년 공개; ~16개 분기 백본 회선(합산 ~15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시의 NSA 비밀 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 폭로, 2013~2014년 (The Guardian; Der Spiegel). 10 Gbit/s 속도의 200개 이상 프로브, 이론적 용량 ~21.6 PB/일; 콘텐츠 약 3일, 메타데이터 약 30일 버퍼링.
  11. MUSCULAR 폭로, 2013년 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료.
  12. Lawfare, “해저 케이블에 대한 러시아 위협 평가”, 육상 접속국 접근이 일상적인 심해 도청을 비매력적으로 만드는 이유에 관하여.
  13. AMS-IX 2025년 수치: 연간 트래픽 35.66 EB, 최대 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최대 18.22 Tbit/s; 글로벌 플랫폼 최대 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷의 포스트 양자 준비태세 측정 연구: 2026.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인 단일 관측 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에서 클라이언트 측 TLS 버전 폴백 문서화. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “격차에 주목하라: 포스트 양자 TLS 배포에서 정책과 현실.” arXiv:2607.29005, 2026년 7월. UNSW 시드니 및 조지아 공과대학. 종단 연구, 2025년 7월~2026년 3월 3회차; 20억 회 이상 핸드셰이크, 100만 도메인, 11개 관측 지점. arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks.” arXiv:2603.01091, 2026년 3월. Universidad Carlos III de Madrid. arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey.” arXiv:2510.10436, 2025. Texas State University. arxiv.org/abs/2510.10436
  • qgrove: 분산 다중 관측 지점 TLS 포스트 양자 보안 상태 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 타이베이, 2025년 10월 (우수 논문상). 수신기 약 800달러; 관측된 GEO 위성 링크의 50%가 평문 IP 트래픽을 전송하고 있었으며, 여기에는 통화 및 문자 내용이 포함된 셀룰러 백홀, 유틸리티 산업 제어/SCADA, 군사 자산 추적, 기내 WiFi가 포함됨. satcom.sysnet.ucsd.edu
  • WiFi 도청과 그 한계에 관하여: WPA2/WPA3는 무선 구간을 보호할 뿐, 종단 간 세션을 보호하지 않는다. KRACK(Vanhoef & Piessens, 2017) 및 Dragonblood(Vanhoef & Ronen, 2020) 공격과 이블 트윈/다운그레이드 계열 공격을 참조. 무선의 브로드캐스트 특성상 암호문 수집이 용이하며, 실질적인 보호 계층은 TLS다.