보고서

양자 봄: 지금 수확하고 나중에 해독하라: 암호화된 데이터를 실제로 누가, 어떻게 수집하는지, 그리고 왜 대부분의 수확물이 썩어가는지에 대한 고찰

by Simon McCorkindale

“수집”된 암호화 데이터가 실제로 공격자에게 어떤 비용을 치르게 하는지, 그 데이터를 읽으려면 무엇이 필요한지, 그리고 실제 위협은 어디에 숨어 있는지를 다룹니다. 이 글은 다섯 가지 관문 프레임워크(물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효 기간, 공격자 동기)를 기본 원리에서부터 단계적으로 검토하며, 오늘날 실제로 배포된 양자 내성 암호화의 현황을 자체적인 인터넷 전수 스캔을 통해 실증합니다.

요약. “지금 수집하고 나중에 복호화한다(HNDL)”는 것은 모두가 양자 내성 암호화로의 전환을 서둘러야 한다는 근거로 내세우는 이유입니다. NIST(미국 국립표준기술연구소)도, CISA(미국 사이버보안 및 인프라 보안국)도, 영국의 NCSC(국가 사이버보안센터; 뉴질랜드에도 같은 이름의 기관이 있습니다)도, 그리고 벤더들도 훨씬 더 큰 목소리로 이 말을 하고 있습니다. 그러나 실제로 그 근거를 따져보는 사람은 거의 없습니다. 실제로 수집하는 주체는 누구인가? 어디서 수집하는가? 얼마나 저장해야 하며 비용은 얼마나 드는가? 그리고 양자 컴퓨터가 마침내 등장했을 때, 그 데이터 중 읽을 가치가 있는 것이 남아 있기는 할까? 이 글은 HNDL을 반복되는 사실로서가 아니라 검증되어야 할 주장으로 다룹니다. 위협은 실재하지만 좁은 범위에 한정됩니다. 데이터가 수십 년간 가치를 유지하고 저장량이 적을 때만 위협이 성립하며, 대부분의 트래픽에 대해서는 암호학이 무너지기 훨씬 전에 경제성 문제로 먼저 실패합니다. 더 크고 조용한 문제는 이미 타인의 저장소에 앉아 있는 암호화된 데이터입니다. 이 작업은 독립적인 가설로 시작되었습니다. 초고를 작성하는 동안 이와 관련된 2026년 연구들을 발견했습니다. 일부는 제 결론을 확인해 주었고, 하나는 이의를 제기했으며, 저는 각각에 대해 논거를 끼워 맞추기보다 공개적으로 논의하였습니다. 제 스캔 결과는 가장 큰 동시대 측정 연구와 일치합니다. 즉, 양자 내성 키 교환은 인터넷의 상당하고 계속 성장하는 비율에 이미 적용되어 있으며, 이는 소수의 인프라 제공업체에 의해 주도되고 있습니다. 반면 양자 내성 서명, 즉 신원을 증명하는 부분은 31,839개의 인증서 전체에서 여전히 0에 머물고 있습니다. 핸드셰이크는 수정되고 있지만, 인증은 그렇지 않습니다.

1. 이름에서 틀린 부분

농부라면 수확이 무엇을 의미하는지 압니다. 일 년 내내 수고한 끝에 드디어 보상을 받는, 그 좋은 순간입니다. 그러니 “지금 수집하고 나중에 복호화한다”는 명칭은 실제로 벌어지는 일을 묘사하기엔 묘한 이름입니다. 왜냐하면 수확은 지금 일어나는 일이 아니기 때문입니다. 지금 일어나고 있는 것은 파종입니다. 누군가가 조용히 암호화된 트래픽을 모아 저장소에 쌓아두고 기다리고 있습니다. 그들은 아무것도 거두지 않고 있으며, 씨앗을 심고 날씨가 바뀌기를 바라고 있습니다.

그들이 기다리는 것은 암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC입니다. 오늘날의 키 교환과 서명(RSA, Diffie–Hellman, 타원곡선)을 보호하는 수학에 대해 쇼어 알고리즘을 실행할 수 있을 만큼 충분히 큰 기계입니다. 그 기계가 존재하는 순간, 암호문으로 가득 찬 저장소는 읽힐 수 있게 됩니다. 그때까지는 매우 비싼 노이즈 더미에 불과합니다. 그 순간을 양자의 봄이라 부르고, 그 기다림의 시간을 양자의 겨울이라 부릅니다. 기다리는 것이 끝내 오지 않는 AI의 겨울 같은 것이 아니라, 계절이 온다는 것을 알면서 추위를 버텨야 하는 농사의 겨울처럼 말입니다.

양자 내성 암호화, PQC는 방어자의 답변입니다. NIST가 제시한 새로운 품종의 씨앗(암호화 알고리즘)인 ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1와 그 밖에 현재 평가 중인 NIST 제안 후보들이 있습니다. 양자 수집자는 이것들을 처리할 수 없습니다. 문제는, 그리고 이것은 매우 중요한 문제인데, PQC는 이미 저장소에 있는 것에 대해서는 아무것도 하지 못한다는 점입니다. 어제 수집된 것은 여전히 수집 가능한 상태로 남아 있으며, PQC는 지금 이후로 심는 것만 보호합니다. 따라서 두 개의 시계가 동시에 돌아가고 있습니다. 하나는 기계가 도착하기 전에 품종을 바꾸려는 당신의 시계이고, 다른 하나는 당신이 여전히 개방된 곳에 씨앗을 심는 동안 최대한 많은 구식 데이터를 쌓아두려는 그들의 시계입니다.

암호학을 잘 모르시는 분들을 위한 한 문단 요약. 두 종류의 수학이 당신의 데이터를 보호합니다. 한 종류는 실제 내용을 암호화하는 것(주로 AES)으로, 양자 컴퓨터가 거의 타격을 줄 수 없으며 AES-256은 안전합니다. 다른 종류는 두 컴퓨터가 처음에 비밀 키(그 내용을 AES로 암호화하는 데 사용되는 암호)에 동의하는 방법과 서로 신원을 증명하는 방법입니다. 이것이 RSA와 타원곡선이며, 양자 컴퓨터는 이것을 손쉽게 깨뜨립니다(흔히 공개/개인 키 암호화라고 불립니다). 그래서 “양자가 암호화를 깨뜨린다”고 할 때, 그것은 자물쇠 자체가 아니라 처음의 핸드셰이크를 깨뜨린다는 의미입니다. 그래서 HNDL이 기록된 핸드셰이크에 관한 것인 이유가 여기 있습니다. 핸드셰이크를 얻으면 키를 얻고, 그 이후의 모든 것을 얻게 됩니다.

대부분의 사람들이 사용하는 틀은 Michele Mosca의 부등식2입니다. X(데이터가 비밀로 유지되어야 하는 기간)를 취하고, Y(마이그레이션에 걸리는 기간)를 더한 다음, 그것을 Z(기계가 존재하기까지 걸리는 기간)와 비교합니다. X + Y > Z이면, 오늘 전송하는 모든 것에 대해 이미 경쟁에서 진 것입니다. 좋은 산수입니다. 문제는 Z가 계속 움직이고 있으며, 그것도 한 방향으로만 움직이고 있다는 점입니다. 2019년에 RSA-2048을 해독하는 데 필요한 추정치는 약 2,000만 개의 노이즈 큐비트로 8시간이었는데, 2025년 5월에는 동일한 연구자가 그것을 100만 큐비트 미만에 약 일주일로 줄였습니다3. 6년 만에 20배 감소했으며, 이는 더 나은 하드웨어가 아닌 더 나은 알고리즘에서 비롯되었습니다. 아직 아무도 그 기계를 만들지 않았습니다. 그러나 목표가 계속 가까워지고 있으며, 이것이 바로 인내심 있는 공격자가 파종이 수고로울 만하다고 판단하는 조건입니다.

그 이후로 두 번 더 움직였지만, 같은 조건에서는 아닙니다. 2026년 2월에는 RSA-2048을 100,000개 미만의 물리적 큐비트로 해독할 수 있다고 주장하는 qLDPC 아키텍처4가 발표되었고, 3월에는 Google, Ethereum Foundation 및 Stanford의 논문5이 두 가지 중 훨씬 약한 쪽인 256비트 타원곡선을 500,000개의 물리적 큐비트와 수 분의 실행 시간으로 해결할 수 있다고 밝혔습니다. 두 논문 모두 가정을 그대로 유지하는 대신 변경함으로써 목표에 도달하며, 아직 아무도 규모에서 실현하지 못한 연결성과 디코딩 기법을 위해 큐비트 수를 맞바꿉니다. 이것은 유예가 아니라 주의사항입니다. Z는 계획 수치이며, 이 논문들은 아무것도 실제로 만들지 않으면서 그것을 계속 흔들고 있습니다.

양자 키 분배, QKD에 대해 한 마디 하자면, PQC를 논할 때 종종 함께 언급되기 때문입니다. 이 분야에는 많은 연구와 개발이 이루어지고 있으며 유망하지만, 이 글의 범위를 벗어납니다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스의 ANSSI 모두 QKD보다 PQC를 사용할 것을 명확히 권고합니다6. QKD는 특수 하드웨어가 필요하고, 점대점 방식으로만 작동하며, 이미 가득 찬 저장소에 대해서는 아무것도 하지 못합니다. QKD는 하나의 전용 회선에서 이루어지는 미래의 통신을 보호합니다. 이상적인 안전한 미래는 두 접근 방식의 조합일 수 있습니다.

동시대 연구에 대한 언급. 이 글은 2026년 현재 암호화된 데이터를 수집하는 것의 실질적인 현실과 어려움, 그리고 데이터를 수집하기 위한 스캔 작업에 대한 독립적인 연구 관심에서 시작되었습니다. 초고를 작성하는 동안, 2026년이 이 분야에서 바쁜 해였음을 알게 되었습니다. Blanco-Romero 외17는 수집의 저장 경제성을 모델링하고 제가 부분적으로 이의를 제기하는 결론에 도달합니다(4절). Wickramasinghe 외16는 인터넷 규모의 종단적 양자 내성 TLS 측정을 수행했으며, 이는 제 스캔 결과를 선취하고 확인합니다(10절). 더 광범위한 조사들이 주변 지형을 파악합니다(Bertino 외18; Chhetri 외19). 이것들을 중심으로 논거를 끼워 맞추는 대신, 저는 원래의 구조를 유지하고 각각이 본문과 관련되는 곳에서 다루고 있습니다. 다른 연구자들이 먼저 도달한 곳에서는 솔직하게 밝히고, 제 독립적인 데이터가 그들의 것과 일치하는 곳에서는 그 일치 자체를 하나의 결과로 다룹니다.

“지금 수집하고 나중에 복호화한다”는 슬로건이 이름을 딴 계절은 가장 마지막에 도래합니다. 위험한 작업은 수년 전, 파종 단계에서 이루어집니다. 역량 곡선의 형태는 설명을 위한 것이며, 그 위치는 누구도 단정할 수 없습니다(즉, 실제 시점은 미지수입니다; 2032년까지 CRQC가 등장한다는 보장은 없습니다!). 단, 그 방향은 다릅니다.

2. 다섯 가지 관문

논의가 대개 잘못되는 지점이 바로 여기입니다. 사람들은 HNDL을 자신에게 일어나거나 일어나지 않는 하나의 사건으로 취급합니다. 그것은 하나의 사건이 아닙니다. 그것은 연속적인 과정이며, 공격자가 원하는 모든 바이트는 그 전체를 통과해야 합니다. 가축 이동을 생각해 보십시오. 첫 번째 관문은 목장에 접근할 수 있는가이고, 두 번째는 넣어둘 곳이 있는가이며, 세 번째는 일단 들여놓은 다음 실제로 무언가를 할 수 있는가이고, 네 번째는 처리할 때쯤 그것이 여전히 가치가 있는가이며, 다섯 번째는 그 모든 것을 감안했을 때 애당초 그것이 할 만한 일이었는가입니다. 어느 관문에서든 실패하면 그 모든 수고는 연료와 개 사료를 낭비한 것에 불과합니다(양 몰이 비유로 말하자면).

이 글의 나머지 부분은 각 관문을 하나씩 살펴봅니다. 그에 앞서, 아래에 양자 시대 보안 문제의 더 넓은 범주에 대한 개요를 제시합니다.

문제공격 대상피해 발생 시점실행에 필요한 것대응 시점
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 대용량 저장소, 그리고 아직 존재하지 않는 기계지금 씨를 뿌려라
HNDL, 저장 중 데이터저장 데이터의 장기 키CRQC 등장 시단 한 번의 성공적인 침입, 그리고 동일한 기계지금 씨를 뿌려라
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시수집된 인증서, 그리고 그 기계나중에
PQC 칩 공격실리콘 내 PQC 검증지금물리적 접근과 오류 주입 장비지금
위조 인증서, 미래의 MITM신뢰 체인CRQC 등장 시그 기계, 그리고 회선상의 위치나중에

위에서 굵게 표시된 두 항목이 진정한 의미의 HNDL이며, 공격자가 훨씬 나중의 수확을 위해 오늘 행동해야 하는 유일한 두 가지입니다. 바로 이 점 때문에 지금 조사하고 논의할 가치가 있습니다. 또한 오늘 행동하면 흔적이 남기 때문에, 이를 확인할 수 있다는 점에서도 중요합니다.

3. 첫 번째 관문: 접근 자체가 가능한가?

광섬유 같은 케이블을 도청하는 것은 고된 작업입니다. 침실에서 노트북으로 할 수 있는 일이 아닙니다. 실제 광섬유에 직접 손을 대거나, 그 광섬유를 소유한 곳을 겨냥한 법원 명령이 필요합니다. 그것만으로도 거의 모든 이들이 걸러집니다. 남는 것은 정부이며, 그것도 극소수입니다.

가장 잘 기록된 사례는 가장 오래된 것 중 하나이기도 하며, 실로 경이롭습니다. 1971년 미국은 개조된 잠수함 USS Halibut을 오호츠크해로 파견하여 수심 120미터에 놓인 소련 군사 케이블을 찾아냈습니다: 아이비 벨스 작전7. 잠수부들은 손목 굵기의 케이블 주위에 6미터짜리 유도 장치를 감아, 케이블을 절단하지 않고도 신호를 읽을 수 있었습니다. 이 작전은 거의 10년 동안 유효했습니다.

스파이 소설 같은 이야기보다 더 중요한 세부 사항이 두 가지 있습니다. 첫째, 그들이 케이블을 찾을 수 있었던 이유는 해변에 케이블 매설. 닻 투하 금지라고 적힌 표지판이 있었기 때문입니다. 둘째는 물류: 수년 동안 정보를 수집하는 방법은 잠수부들이 직접 내려가서 테이프를 교체하는 것이었으며, 매달 그 작업이 이루어졌습니다. 누군가가 직접 가서 가져와야 했습니다. 이후 버전은 핵 동위원소 발전기로 구동되어 1년치 분량을 저장할 수 있었는데, 1년에 한 번만 가면 된다는 의미였기에 엄청난 발전으로 여겨졌습니다. 이 점을 기억해 두십시오. 수집에서 가장 어려운 부분은 도청 자체가 아니라, 이후에 쌓인 데이터를 어떻게 처리하느냐였습니다.

현대판 도청

광섬유는 방법을 바꾸었을 뿐, 제약 조건은 바꾸지 못했습니다. 2006년 AT&T 기술자 마크 클라인은 샌프란시스코 폴섬 스트리트 611번지(641A호)의 잠긴 방을 공개했는데, 그곳에는 광분배기가 백본 트래픽을 심층 패킷 검사용 Narus STA 6400이 탑재된 랙으로 복사하고 있었습니다8. 2003년부터 운영되어 왔습니다. 분배기는 약 16개의 백본 회선(약 15Gbit/s의 트래픽)에서 전체 광선을 복제했고, Narus 장비는 실시간으로 심층 패킷 검사를 수행했습니다. 클라인의 문서는 전자프론티어재단의 AT&T 소송 증거가 되었으며, 이후 보도에서 미국의 다른 도시들에도 유사한 방들이 있다는 사실이 밝혀졌습니다9. 역사적 거울을 주목할 만합니다: 2003년에는 그 분배기들이 복사한 대부분의 데이터가 평문이었습니다. 오늘날 같은 도청 장치는 암호문을 복사하며, 이것이 바로 HNDL이 우려 대상이 되는 근본 이유입니다.

구조적 핵심은 명확합니다. 광섬유의 분배기는 광학 계층에서 트래픽을 복사합니다. 방화벽도 이를 감지하지 못하고, 침입 탐지 시스템도 잡아내지 못하며, 엔드포인트는 전혀 알지 못합니다. 그러나 — 이것이 게임의 전부인데 — 회선에 있는 것을 복사하며, 회선에 있는 것은 이미 암호화되어 있습니다. 분배기는 암호화를 무력화하지 못합니다. 단지 그 복사본을 저장소에 넣고 기다릴 뿐입니다.

영국의 사례는 그 규모를 잠시 멈춰 생각해볼 만합니다. 2011년 중반까지 GCHQ는 TEMPORA로 알려진 프로그램 하에 200개 이상의 광섬유 링크에 각각 10Gbit/s 속도의 프로브를 설치했으며10, 동시에 최소 46개를 처리할 수 있었습니다. 이론적으로는 하루 21페타바이트 이상의 데이터 흐름에 접근할 수 있었습니다. 가디언은 이를 대영도서관 전체 장서의 192배를 매 24시간마다 처리하는 것에 비유했습니다. 그러나 아래의 모든 논의에서 중요한 부분이 있습니다: 그들은 그것을 보관할 수 없었습니다. 콘텐츠는 불과 3일, 메타데이터는 30일만 버퍼링되었습니다. 국가 규모로 운영되는 국가 행위자조차, 절반쯤 소유한 인프라에서, 콘텐츠에 대해 3일짜리 롤링 윈도우로 축소되었습니다. 이 점을 기억해 두십시오. 이것은 두 번째 관문이 일찍 등장하는 것입니다. 이와 관련된 공동 작전은 당시 내부 경계 안에서 암호화되지 않았던 대형 클라우드 제공업체의 데이터 센터 간 링크를 노렸습니다11. 보도에 따르면 TLS는 공개 엣지에서 추가되고 제거되었습니다. 이것이 기록에서 가장 교훈적인 부분입니다. 그들은 암호화를 깨지 못했습니다. 데이터가 잠시 평문 상태인 단 하나의 지점을 우회했습니다. 제공업체들이 이를 인지하고 내부 링크를 암호화했고, 그 허점은 닫혔습니다.

케이블이 항상 필요한 것은 아니다

여기서 관문을 넓혀야 합니다. 위의 모든 내용이 유선에 관한 것이지만, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 거치지 않기 때문입니다. 무선은 방송입니다. 범위 내 누구나 수신할 수 있으며, 접속 없이도, 상륙 지점 없이도, 영장 없이도 가능합니다12. 이는 공중을 통과하는 모든 것에 대한 물리적 접근 장벽을 바닥으로 낮추며, 실제로 그런 트래픽이 상당히 많습니다.

가장 명백한 것부터 시작합시다: WiFi. 노트북이 전송하는 모든 프레임은 사방으로 방사되며, 모니터 모드의 저렴한 어댑터를 가진 범위 내 누구나 전부 캡처할 수 있습니다. 두 가지가 여러분을 보호합니다. WiFi 계층 자체의 암호화(WPA2, WPA3)는 공중에서 프레임을 암호화하지만, 이는 내부의 TLS와 달리 별도의, 수명이 짧은 자물쇠입니다. 기기에서 액세스 포인트까지의 홉을 보호할 뿐, 엔드투엔드 세션을 보호하지 않으며, 반복적으로 다운그레이드, 크랙, 우회되어 왔습니다(WPA2에 대한 KRACK, WPA3에 대한 Dragonblood, 모든 것을 공격자를 통해 중계하는 이블 트윈 액세스 포인트)22. WiFi 계층을 벗겨내면 그 아래의 TLS가 남으며, 이는 다시 수집 문제로 돌아갑니다. 깨진 WiFi 위의 현대 TLS 1.3은 여전히 순방향 비밀성을 가지며 여전히 양자 기계가 필요하지만, 개방된 카페 네트워크나 공격자가 키를 가진 WPA2 네트워크는 암호화된 TLS 스트림을 무료로 넘겨줍니다. HNDL 관점에서 WiFi 스니핑은 암호문을 수집하는 저렴한 방법입니다. TLS를 무력화하지는 못하지만, 목표물 수백 미터 이내의 누구에게나 “물리적 접근이 가능한가”라는 관문을 사실상 제거합니다.

그 다음은 모바일입니다. 2G는 도청자에게 선물이었습니다. IMSI 캐처(가짜 기지국, “스팅레이”)는 휴대폰을 깨진 암호로 다운그레이드하도록 강제하고 트래픽을 평문으로 읽을 수 있었습니다. 4G와 5G는 훨씬 낫지만, 이에 대한 다운그레이드 공격은 활발한 연구 분야이며, 같은 원칙이 적용됩니다. 무선 계층이 취약한 부분이며, 그 위에 올라타는 엔드투엔드 암호화가 실질적인 보호를 제공합니다. 여기서도 수집은 저렴하며, 그 아래의 암호화가 점점 더 공격자와 평문 사이의 유일한 장벽이 되고 있습니다.

그리고 특정 고가치 트래픽에 대해 “도청(가로채기)은 어렵다”는 전제 전체를 뒤집기 때문에 놀라운 사례가 있습니다: 위성입니다. 2025년 10월, UC 샌디에이고와 메릴랜드 대학교의 연구자들이 Don’t Look Up을 발표했습니다(ACM CCS에서 우수 논문상 수상). 그 결과는 거의 믿기 어렵습니다. 그들은 샌디에이고의 한 옥상에서 3년 동안 800달러짜리 기성품 위성 안테나를 하늘로 향했고21, 볼 수 있었던 정지 궤도 위성 링크의 약 절반이 민감한 데이터를 완전히 암호화하지 않은 채 전송하고 있다는 사실을 발견했습니다. TLS도, VPN도, 아무것도 없었습니다. 나중에 해독해야 할 스크램블된 데이터가 아니라 지금 당장 읽을 수 있는 것이었습니다. 평문으로는 주요 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 WiFi 트래픽, 군사 자산 추적, 그리고 (HNDL의 실제 대상에서 중요한 부분으로) 유틸리티 인프라를 운영하는 산업 제어 및 SCADA 트래픽이 포함되어 있었습니다. 그들은 캘리포니아의 한 고정 지점에서 궤도상 위성의 약 15%만 볼 수 있었습니다. 여러 대륙에 안테나를 가진 국가 행위자는 훨씬 더 많이 볼 수 있습니다.

이것은 두 가지 면에서 케이블 이야기와 다른 위협이며, 두 가지 모두 첫 번째 관문의 안락한 버전에 반합니다. 첫째, 접근이 사소합니다. 잠수함이 아니라 수백 달러와 하늘이 보이는 위치면 됩니다. 둘째, 피해자들에게 더욱 심각한 것은, 이 트래픽 대부분이 수집-나중-해독 문제조차 아니라는 점입니다. 미래의 양자 기계가 필요 없습니다. 이미 평문이기 때문입니다. 양자의 측면은 암호화된 위성 링크에만 해당됩니다. 암호화되지 않은 절반의 경우, 해독할 것이 없으므로 나중에 해독한다는 것 자체가 무의미합니다.

첫 번째 관문 평결. 백본 광섬유의 경우 관문이 높습니다. 소수의 국가, 물리적 접근 또는 법적 수단, 실질적인 비용이 필요합니다. 그러나 “가로채기는 어렵다”는 말은 항상 케이블에 관한 말이었으며, 많은 트래픽은 중요한 지점에서 케이블을 통하지 않습니다. 무선은 범위 내 누구에게나 스스로를 방송합니다. WiFi와 모바일은 공격자에게 암호화된 스트림을 저렴하게 넘겨주어, TLS만이 실질적인 작업을 하게 됩니다. 위성은 놀랍게도 링크의 약 절반에서 평문을 직접 넘겨줍니다. 따라서 관문의 정직한 버전은 이렇습니다. 광섬유 백본에는 높지만, 공중을 통과하는 모든 것에는 낮거나 사실상 존재하지 않습니다. 이는 논거를 약화시키기보다 오히려 날카롭게 합니다. 이 글 전체가 다루는 장기 보존 대상(VSAT 링크의 대사관, 위성 SCADA의 유틸리티, 마이크로웨이브 중계의 방위 시설)의 경우, 가로채기 관문이 종종 활짝 열려 있으며, 공격자와 페이로드 사이에 서 있는 유일한 것은 나머지 이 글에서 살펴볼 바로 그 암호화입니다.

4. 두 번째 관문: 충분히 큰 저장소를 갖추고 있는가?

수도꼭지를 확보했다고 가정하자. 이제 언젠가 그 기계가 등장할 경우를 대비해 그 데이터를 최대 15년간 보관해야 한다. 바로 이 지점에서 이야기는 산술과 맞닥뜨리고, 그 산술은 가혹하다.

막연한 추정 대신 실제 수치를 써보자. 네트워크 간 트래픽을 교환하는 주요 공개 피어링 포인트 중 하나인 암스테르담 인터넷 익스체인지 AMS-IX는 2025년 수치를 공개했다13. 연간 트래픽 총량 35.66 엑사바이트, 최대 14.2 Tbit/s. 프랑크푸르트의 DE-CIX도 같은 종류의 교환소로, 약 48 엑사바이트를 처리했다14. 이것은 추정치가 아니라 운영자가 직접 공개한 수치다. 그리고 AMS-IX는 단 하나의 교환소일 뿐이다. 전 세계에는 천 개가 넘는다.

AMS-IX를 1년간 전량 수집하기로 했다고 치자. 무엇이 필요할까?

아무도 비용을 따지지 않는 두 가지 병목. 왼쪽: 교환소 하나를 1년간 전량 수집했을 때의 테이프 용량. 오른쪽: 끝에 있는 기계가 마법 지팡이가 아니라 병목인 이유 — 임시 키 교환은 세션마다 별개의 작업을 강제한다.

카트리지당 18 TB인 LTO-9 테이프를 기준으로, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 $100이면 드라이브 한 대, 인건비 한 푼 들이기 전에 이미 빈 테이프값만 연간 1억 9800만 달러다. LTO-9 드라이브의 기록 속도는 약 400 MB/s. 들어오는 데이터 흐름을 따라가려면 드라이브 2,826대가 연중무휴, 매 순간 쉬지 않고 돌아야 한다. 이것은 서버실이 아니라 공장이다.

그리고 아무도 비용에 넣지 않는 부분이 있다. 테이프는 순차 접근 방식이라 무언가를 찾으려면 테이프를 감아 넘겨야 한다. 같은 드라이브 2,826대가 읽기만 한다면, 1년치 테이프를 다시 읽는 데 꼭 1년이 걸린다. 쓰기 속도와 읽기 속도가 같기 때문이다. 결국 이 아카이브는 딱 한 번만 읽을 수 있고, 그것도 수집을 멈추는 동안에만 가능하다. 두 번 검색하고 싶은가? 공장을 하나 더 지어라.

디스크도 구원책이 아니다. 드라이브당 24 TB라면 약 150만 개의 하드드라이브가 필요하고, 가격으로는 약 6억 달러, 냉각까지 포함하면 약 11 MW의 전력이 소모된다. 작은 도시 하나가 쓸 만한 전기로 교환소 하나의 1년치 데이터를 돌려야 한다. 글로벌 트래픽의 1%로 규모를 키우면 말이 안 되는 수준이 된다. AMS-IX 여러 개 분량을, 매년, 영원히, 아직 존재하지도 않는 기계가 언젠가 한 번 읽어줄 것이라는 기대 하나로 쌓아야 한다.

이 글의 산술에서 다루지 않은 요소들도 있다. 데이터 압축·해제에 드는 시간, 테이프 적재·탈재 작업 등이다. 물론 다른 저장 매체도 있고, 이것은 단일 지점에서 1년치 데이터를 전량 수집하는 극단적인 예시다. 그러나 이 예시는 데이터의 순수한 규모(말 그대로의 volume)와 그 저장·처리에 따른 경제성이 어떤 것인지를 잘 보여준다.

여기서 나는 이 경제성에 대한 가장 신중한 선행 연구와 결론을 달리한다. Blanco-Romero 외17는 동일한 저장 문제를 모델링하고, 보관 비용이 “경제적으로 사소한” 수준이라고 결론 내린다. 원시 미디어 가격(LTO 테이프 약 $5/TB를 인용)을 기준으로 전 세계 트래픽의 1%를 수집해도 연간 약 10억 달러 수준으로, 국가 예산 안에 충분히 들어온다는 것이다. 그들의 산술은 타당하고, 미디어 비용에는 이의가 없다. 내가 이의를 제기하는 것은 미디어 비용이 핵심 제약이라는 주장이다. 원시 테이프는 예산에서 가장 저렴한 항목이다. 실시간으로 데이터를 기록하기 위한 드라이브 공장, 그것을 단 한 번이라도 다시 읽기 위한 두 번째 공장, 해독 불가능한 암호문 더미에서 무언가를 찾기 위한 인덱싱, 그리고 이 모든 것을 15년간 유지하기 위한 물리적 시설이 실제로 부담이 되는 항목들이다. 그들의 모델은 스스로 밝히듯 정지 상태의 미디어만을 다루며, 수집 및 검색 기계에 드는 비용은 제외한다. 그것은 그들이 다루는 질문, 즉 프로토콜 수준의 방어에 관한 질문에서는 합리적인 범위 설정이다. 하지만 제외된 비용들을 다시 포함하면, “사소하다”는 표현은 “이 특정 트래픽이 15년간의 산업적 투자를 감수할 만한 가치가 있다고 이미 결정한 경우에만 감당 가능하다”는 말로 바뀌는데, 이는 다른 이름의 선별에 불과하다. 우리는 저장 비용 항목을 반대 방향에서 읽었음에도 그들과 같은 결론에 도달한다. 즉, 수집은 무차별적이 아니라 선별적이라는 것이다. 그들의 결론, 방어자는 생애 가치가 높은 데이터부터 우선적으로 분류해야 한다는 것, 은 정확히 나의 결론이기도 하다.

두 번째 관문 판정. 무차별 수집은 공상이다. 어렵거나 비싼 것이 아니라, 산술적으로 말이 안 된다. 실제 공격자는 반드시 무엇을 보관할지 선택해야 하고, 선택하는 순간 그 위협은 모든 사람에 관한 것이 아니라 특정 누군가에 관한 것이 된다. 자신이 수집 대상인지 알고 싶다면, 그들이 무엇을 가져갈 수 있는지 묻는 것을 멈추고 그들이 15년간 보관하기 위해 얼마를 지불할 것인지 묻기 시작하라. (15년은 임의적이지만 직관적인 기준으로 사용된 것으로, 데이터를 불확실한 목적으로 보유하기에는 긴 시간이다.)

5. 세 번째 관문: 데이터가 실제로 복호화될까?

수집도 했고 보관 비용도 지불했다고 가정하자. 마침내 그 기계가 도착했다. 쌓인 데이터가 열릴까? 이것은 전적으로 키가 어떻게 합의되었느냐에 달려 있으며, 이것이 HNDL 논의 전체에서 가장 제대로 설명되지 않는 부분이다.

수집한 데이터가 가치 있는지는 키가 어떻게 합의되었느냐에 달려 있다. RSA 키 전송은 HNDL에 완전히 노출되어 있고, 임시 (EC)DHE는 세션마다 별개의 CRQC 작업을 강제한다. 어느 쪽이든 핸드셰이크 서명은 여전히 위조 가능하므로 누가 누구와 통신했는지는 여전히 유출된다.

구식 방식인 RSA 키 전송은 최악의 시나리오다. 클라이언트가 서버의 장기 공개키로 세션 비밀을 암호화하는 방식으로, 그 키 하나를 단 한 번 해독하면 그 서버와 나눈 모든 대화가 한꺼번에 열린다. 키 하나로 전체 무리가 풀린다. 이것이 그 슬로건이 암묵적으로 가정하는 시나리오이고, 그래서 그토록 위협적으로 들리는 것이다.

하지만 현대 TLS는 그런 방식으로 작동하지 않는다. TLS 1.3은 임시 Diffie–Hellman을 요구하며, ECDHE를 사용하는 TLS 1.2도 같은 역할을 한다. 이 방식에서는 각 세션이 자체적인 일회용 비밀을 생성한다. 서버의 장기 키는 핸드셰이크에 서명할 뿐 콘텐츠를 암호화하지 않으므로, 그 키를 해독해도 통신 내용에 대해서는 아무것도 알 수 없다. 임시 세션을 읽으려면 해당 세션의 키 교환을 해독하고, 다음 것을 해독하고, 또 그 다음 것을 해독해야 한다. 한 번에 전체를 여는 지름길은 없다. 전단 하나에 양 한 마리씩, 한 마리마다 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추정3에 따르면 RSA-2048 키 하나를 해독하는 데 기계 시간으로 약 일주일이 소요된다. 타원 곡선은 좀 더 저렴하지만 같은 수준이다. 따라서 포착된 임시 세션 100만 개를 해독하려면 “양자 컴퓨터 하나”가 아니라, 100만 번의 별개 양자 작업이 필요하다. 극히 낙관적으로 잡아 작업당 하루씩 걸린다 해도 수천 기계-년이다. CRQC는 망원경처럼 예약표가 있는 희소한 국가 자산이 될 것이다. 아무도 당신의 동영상 스트리밍 세션을 그 기계에 올리지 않는다. 바로 이 지점에서 직관에 반하는 결론이 나오기 시작한다. 물론 양자 기계, 즉 CRQC는 이제 Shor 알고리즘을 실행할 만큼 강력하고 “빠르다”. 하지만 작업 수(각각 양자 알고리즘의 단일 실행)를 고려하면, 해독해야 할 암호화 세션 수에 현재 예상되는 수 시간에서 수 주까지의 양자 컴퓨터 실행 시간을 곱한 값은 여전히 논쟁의 여지가 있으며, Z가 감소할수록 계속 변할 것이다.

그렇다고 안심할 수 없는 이유가 두 가지 있다. 첫째, 순방향 비밀성은 콘텐츠를 보호할 뿐 서명을 보호하지 않는다. 미래의 기계는 캡처된 핸드셰이크의 인증을 여전히 위조할 수 있으므로, 누가 누구와 통신했는지는 유출되며 이것이 종종 더 중요한 정보다. 둘째, 더 심각하게도 인증서 계층은 전혀 이동하지 않았다. 사실상 웹 전체를 인증하는 서명은 여전히 고전적인 RSA와 ECDSA로 이루어져 있으며, 이는 내 측정(10절)으로도 확인된다. 기밀성 측면에서는 이미 마이그레이션이 시작되었지만, 인증 측면은 아직 출발선을 벗어나지 못했다.

세 번째 함정이 있으며, 이것이 많은 좋은 노력을 조용히 무력화한다. “서버가 마이그레이션했다”는 것이 “세션이 안전하다”는 의미는 아니다. 협상된 암호화 알고리즘은 두 통신 끝단 중 더 약한 쪽의 수준을 벗어날 수 없기 때문이다. Dubey와 Varshney15는 명확한 사례를 포착했다. 인도의 한 은행(icici.bank.in)은 최신 기기에는 TLS 1.3, X25519, AES-256을 사용하는 QUIC(양자 내성, 순방향 비밀성, 원하는 모든 것을 갖춘)을 제공했지만, 동일한 도메인에 다른 기기로 접속하자 ECDHE-RSA와 AES-128을 사용하는 TLS 1.2로 폴백했다. 같은 서버, 같은 날, 두 클라이언트, 두 가지 완전히 다른 보안 상태. 이 폴백 세션은 여전히 순방향 비밀성을 갖추고 있어 RSA 전송의 악몽은 아니지만, 아무도 선택하지 않고 아무도 목격하지 못한 폴백이다. 어느 한쪽이 조금 더 구식이었다면 RSA 키 전송으로 떨어져 완전히 수집 가능한 상태가 되었을 것이다. 반대편 끝을 확인할 수 없는 마이그레이션은 신뢰할 수 있는 마이그레이션이 아니다.

6. 네 번째 관문: 그래서 어쩌겠다는 것인가?

이것은 아무도 이야기하지 않는 관문이자, 쌓인 데이터 대부분이 넘지 못하는 관문이다. 상상해보자. 대형 소매 은행 외부의 광섬유를 도청하여 1년간 해당 웹사이트의 모든 TLS 세션을 캡처한다. 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 돈을 이체하는 세션들이다. 전부 저장한다. 15년 후 기계가 도착하고, 막대한 CRQC 시간을 투자해 모든 것을 복호화한다. 축하한다. 무엇을 얻었는가? 2026년에 만료된 세션 쿠키들. 그 이후로 세 번 교체된 비밀번호들, 대부분은 이제 MFA로 보호되고 있다. 10년 전의 계좌 잔액. 막대한 비용을 들여, 누군가가 2026년 화요일 아침에 잔액을 확인했다는 사실을 알아낸 것이다.

거기에는 내구성 있는 정보(이름, 생년월일, 주민등록번호)가 있지만, 그것은 폐석 더미 속의 얇은 광맥에 불과하며, 수백만 개의 개별 세션에서 재조합해야 합니다. 한편 동일한 정보는 은행의 고객 데이터베이스에 구조화되고, 색인이 되어 있으며, 최신 상태로 앉아 있고, 침입 하나면 끝납니다. 그렇다면 훨씬 더 자주 물어봐야 할 질문이 있습니다: 우유 탱크로리에서 한 방울씩 떨어지는 것을 잡으러 10년 동안 문 앞에 서서 언젠가 되돌릴 수 있기를 바라는 것과, 탱크 전체가 저 멀리 공장에 앉아 있는 것 중 어느 쪽이 나을까요?

데이터에는 유통기한이 있으며, 그 범위는 방대합니다. 세션 쿠키는 한 시간 정도 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료될 때까지, 은행 계좌 번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급할 수 없는 평생, 게놈은 평생 더하기 관련된 모든 사람까지 포함하며 절대 만료되지 않습니다. 외교 전문은 40년 동안 당혹스러운 상태로 남아 있습니다. 무기 설계도는 그것을 그린 엔지니어보다 오래 살아남습니다. HNDL은 유통기한이 긴 경우에만 의미가 있습니다. 그 외에는 기계가 도착하기 전에 창고에서 수확물이 썩어버립니다.

7. 다섯 번째 관문: 그렇다면 실제로 누가 신경이나 쓸까?

마지막 두 관문, 즉 규모 대 유통기한을 합쳐보면 그림이 매우 빠르게 명확해집니다. 실제 물류를 설명한 몇 가지 실례를 살펴보겠습니다.

실제로 누가 신경이나 쓸까? 규모 대 유통기한. 왼쪽 상단이 수집이 의미 있는 곳입니다: 양이 적고 영원히 보존됩니다. 오른쪽 하단은 구호가 가장 강하게 팔리지만 가장 의미 없는 곳입니다. 위치는 자릿수 단위의 판단입니다.

대사관 회선. 목표: 외교 공관과 외무부 사이의 암호화된 터널. 도청: 현지 ISP 또는 회선이 통과하는 교환소. 주재국이라면 작전이 아니라 전화 한 통으로 됩니다. 그리고 공관이 많은 경우처럼 위성으로 백홀을 운용하는 오지에 주재하고 있다면, 적은 주재국의 협조조차 필요 없습니다: 접시 안테나와 옥상이면 충분합니다(3절). 규모: 극히 작음, 하루 1~2기가바이트; 50년치도 선반 하나에 들어갑니다. 유통기한: 수십 년. 결론: 교과서적인 사례로, 지금 이 순간 모든 나라의 대사관에 실제로 일어나고 있을 가능성이 높습니다. 외무부를 운영하면서 마이그레이션을 하지 않고 있다면, 바로 당신이 이 구호가 존재하는 이유입니다.

방산 업체. 목표: 원청업체와 하청업체 사이의 사이트 간 VPN. 규모: 연간 수십 테라바이트의 CAD 및 시험 데이터로 관리 가능한 수준. 유통기한: 올해 설계된 기체는 2075년에도 비행 중입니다. 결론: 실현 가능하고 할 만한 가치가 있습니다. 작은 더미, 긴 기억.

소매 은행. 목표: 모든 소비자 트래픽. 규모: 연간 페타바이트. 유통기한: 거의 대부분이 몇 시간에서 몇 달. 결론: 아닙니다. 연간 수억을 테이프에 쏟아부어 결국 2026년 비밀번호나 알아내게 됩니다. 차라리 데이터베이스를 털어가십시오. 이미 누군가가 그렇게 했을 가능성이 높습니다.

유전체 연구소. 목표: 클라우드 스토리지로 전송되는 시퀀싱 데이터. 규모: 적절한 커버리지의 게놈 하나가 원시 데이터로 수백 기가바이트; 바쁜 센터는 연간 페타바이트를 생성합니다. 유통기한: 영원하며, 대상자의 전 가족을 연루시킵니다. 결론: 이 글에서 가장 가치 있는 목표이지만, 순전히 규모 측면에서만 보면 전송 중 가로채기는 여전히 불가능합니다. 그러나 저장된 데이터베이스를 훔치면 갑자기 무한한 유통기한을 가진 60테라바이트가 됩니다. 그것이 위 차트의 화살표이며, 가장 중요한 이동입니다.

8. 양털은 이미 창고에 있다

이제 HNDL에서 훨씬 더 많은 관심을 받아야 마땅한 부분으로 넘어갑니다. 지난 10년간의 모든 대형 데이터 침해는 암호화된 아카이브를 다른 누군가의 스토리지에 남겨두었습니다: 인사 파일, 건강보험사, 신용조회기관, 호텔 체인, 모두 추정컨대 아직도 그곳에 있으며, 도청된 광섬유를 기다리는 바로 그 기계를 기다리고 있습니다. 그리고 이것이 세 가지 이유로 훨씬 더 나은 목표입니다.

첫째, 순방향 비밀성이 없습니다. 저장 중인 데이터는 세션마다 버리는 키가 아닌 장기 키로 보호됩니다; 키를 한 번 해독하면 전체 아카이브가 열립니다. 기본적으로 RSA 키 전송 방식입니다: 전체를 한 번에. 둘째, 선별 문제가 이미 해결되어 있습니다. 게놈 은행을 유출한 적은 산더미를 뒤질 필요가 없었습니다. 다른 누군가가 이미 정렬하고, 색인을 만들고, 중복을 제거했습니다. 두 번째 관문의 어려운 부분은 피해자가 해결한 것입니다. 셋째, 유통기한이 대개 엄청납니다: 훔쳐진 게놈은 2045년에 만료되지 않습니다.

이 모든 것에 잠수함은 필요 없습니다. 방심한 직원에게 전달되는 피싱 이메일 하나면 됩니다. 그렇기 때문에 저장 중 HNDL을 수행할 수 있는 행위자의 수가 케이블을 도청할 수 있는 수보다 훨씬 많으며, 대부분의 마이그레이션 권고에서 우선순위 순서가 정확히 거꾸로 되어 있는 이유입니다. 모두들 산기슭에서 양을 쫓고 있는 동안, 전체 깎은 양털(암호화된 데이터, 데이터베이스)은 문이 열린 채 창고에 포장되어 앉아 있습니다.

9. 우리가 아직 모르는 것들

한계에 대해 솔직히 말하자면: 3절에서 8절까지의 모든 내용은 설계상 불완전한 공개 기록에서 추론한 것입니다. 기밀 프로그램은 기밀입니다. 공개된 자료는 오래됐으며, 대부분 2013년 것이고, 기술은 변했습니다. 저장 비용은 하락하고 있으며, 양자 자원 추정치는 더 빠르게 하락하고 있습니다. 여기에 있는 계산 중 어느 것이든 자릿수 단위로 바뀔 수 있고, 그에 따른 결론도 일부 바뀔 수 있습니다. 추측의 여지가 없는 것은 현재 실제로 네트워크에 배포된 것들입니다. 측정이 가능하기 때문입니다. 그래서 저는 측정했으며, 이는 방어가 어느 관문을 이기고 있고 어느 것을 아직 시작조차 못 했는지 알려주며 전체 논거를 날카롭게 합니다.

10. 목초지 측정하기

현재 양자 안전 보안 태세에 관한 이 글의 연구를 위해 인터넷 스캔을 시작했을 때, 제가 찾은 유일한 유사 공개 연구는 약 32,000개 도메인에 대한 단일 거점 연구15였습니다. (여기서 거점이란 단순히 스캔하는 위치를 의미합니다. 단일 거점 스캔은 한 곳에서 모든 서버에 질문하고, 다중 거점 스캔은 여러 곳에서 질문하여 요청이 오는 위치에 따라 다르게 응답하는 서버를 포착합니다. 일반적으로 전 세계 CDN이 지역별로 설정을 순차적으로 배포하고 있기 때문입니다.) 저의 계획은 더 넓게, 그리고 여러 거점에서 동시에 스캔하여 서비스의 응답이 어느 지역 프론트엔드가 연결을 받는지에 따라 달라지는지 확인하는 것이었습니다. 그 작업을 하는 동안, Wickramasinghe et al.16이 인터넷 규모의 종단 연구를 발표했습니다: 2025년 7월부터 2026년 3월까지 세 차례에 걸쳐, 11개 거점에서 100만 도메인 전반의 20억 건 이상의 TLS 핸드셰이크. 이것은 모든 면에서 qgrove보다 더 크고 세심한 측정입니다. 따라서 저는 이후 내용을 독립적인 확인으로 제시합니다: 다른 인프라 위에서 구축되어 동일한 수치에 도달하는, 더 작은 단일 라운드 스캔입니다.

저는 qgrove20를 구축했습니다. 이는 전 세계 엣지 네트워크에서 실행되며 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽는 스캐너입니다. 그 단일 값이 캡처된 세션의 HNDL 노출 여부를 결정하며, 아무것도 복호화하지 않고 핸드셰이크의 평문 부분에서 바로 읽을 수 있습니다. 이 스캐너는 오픈 소스이며 아래의 모든 수치는 공개된 데이터셋에서 재현 가능합니다. 116,589개의 도메인이 다양한 방법과 출처를 사용하여 스캔 대상으로 선정되었습니다.

움직이고 있는 것: 핸드셰이크(기밀성을 위한 키 교환)

최신 TLS를 지원하는 도달 가능한 서버 중 35.5%가 이미 하이브리드 양자 후 키 교환을 협상합니다: 고전적인 X25519 곡선과 ML-KEM-768의 쌍으로, 현재 버전의 Chrome이 설정하는 바로 그것입니다. 이것은 최근에 확정된 표준치고는 큰 수치이며, 계속 오르고 있습니다. 그러나 35.5%는 엣지에서 측정된 것이며, 엣지는 대형 CDN 뒤의 사이트를 볼 수 없습니다. 다른 방법으로 해당 사이트를 다시 프로빙하여 이 맹점을 채웠을 때, 그림이 크게 바뀌었습니다: CDN 프론트엔드 코호트는 거의 100% 하이브리드인데, CDN이 모든 사람에게 동시에 PQC를 켰기 때문입니다. 두 수치를 합산하면 모집단 추정치는 61.1%로 올라갑니다. 두 수치 모두 사실이며 서로 다른 것을 의미합니다. 솔직한 헤드라인은 그 CDN의 엣지에서만 실행된 스캔은 PQC를 체계적으로 과소평가한다는 것입니다. 인터넷에서 PQC가 가장 많이 적용된 사이트들이 구조적으로 볼 수 없는 것들이기 때문입니다.

두 계층은 완전히 다른 속도로 움직입니다. 왼쪽: 엣지 측정 가능 대 합산 모집단 추정치의 하이브리드 PQC 키 교환. 오른쪽: 마이그레이션이 시작되지 않은 인증서 서명. 출처: qgrove, 2026년 7월.

움직이지 않는 것: 서명(인증을 위한)

이제 나머지 절반, 그리고 사람들이 걱정해야 할 부분입니다. 저는 31,839개의 인증서에서 서명 알고리즘을 살펴봤습니다. 양자 후 서명을 사용하는 수는 0이었습니다. “낮음”이 아니라 0입니다. 웹은 고전적인 ECDSA와 RSA에 전적으로 의존하여 자신을 인증하며, 미래의 양자 기계는 두 가지 모두 예전 키 교환을 깨는 것만큼 쉽게 위조할 것입니다. 기밀성 계층은 마이그레이션을 시작했지만, 인증 계층은 단 한 걸음도 내딛지 않았습니다. 이것은 제 샘플의 특이점이 아닙니다: 이전의 단일 거점 연구15와 함께 진행된 인터넷 규모 연구16 모두 양자 후 인증서에서 동일한 평평한 0을 보고하며, 아키텍처 검토18는 서명 측이 더 어렵고 느린 작업인 이유를 설명합니다: 전체 인증 기관 계층 구조와 모든 검증 클라이언트를 그 뒤에 끌고 가야 하기 때문입니다. 이것이 기억해야 할 분열입니다: 대화를 암호화하는 것과 상대방이 누구인지 증명하는 것은 서로 다른 수학 조각이 하는 두 가지 다른 작업이며, 현재는 그 중 하나만 수정되고 있습니다.

두 가지 추가 발견, 둘 다 조용히 유용한

첫째, 분야별 현황입니다. 보안에 민감한 산업(은행, 국방, 정부)이 앞서나갈 것이라고 예상하겠지만, 그렇지 않습니다. 하이브리드 PQC 도입률은 제가 분류한 모든 분야에서 약 27%에서 39% 사이에 분포했으며, 선두 주자는 금융(28%)이나 국방(29%)이 아니라 일반 대중적 웹사이트와 CDN 제어 플레인이었습니다. 도입을 이끄는 것은 누가 이를 필요로 하는가가 아니라, 누구의 CDN이 이 기능을 켰는가입니다. 이는 모든 독립적 측정에서 일관되게 나타나는 결과입니다. 대규모 동시 연구가 이를 가장 명확하게 수치화합니다: 전체 포스트 양자 TLS의 약 70%가 Cloudflare와 Fastly, 단 두 공급업체에 귀속됩니다16. 그리고 2030–31년 전환 기한이 가장 이른 국가들이 기한이 더 늦은 국가들보다 낮은 도입률을 보이는데, 정책적 긴박감과 CDN 시장 점유율은 서로 무관하기 때문입니다. 별도의 연구에서는 프로토콜 버전이라는 한 단계 아래 계층에서도 동일한 지연을 발견합니다: 일반 TLS 1.3 도입조차 정부(70%), 국방(68%), 에너지·핵심 인프라(76.5%), 통신(78.6%)15에서 뒤처지는 반면, 클라우드와 소셜 미디어는 95–100%에 달합니다. 세 가지 다른 스캔 결과, 동일한 패턴이 나타납니다. 공급업체가 설정을 바꿨다면 보호받고 있는 것이고, 그렇지 않다면 보호받지 못하는 것이며, 속해 있는 산업은 거의 무관합니다.

둘째, 제가 다중 관측 장치를 구축하여 측정하려 했던 것, 즉 지구상 어디서 질의하느냐에 따라 서버의 응답이 달라지는지 여부입니다. 저는 북미, 유럽, 일본, 뉴질랜드에 걸친 여덟 곳의 위치에서 1,787개 도메인을 탐색했습니다. 위치에 따라 다른 응답을 반환한 도메인의 비율은 0.17%, 즉 세 개 도메인에 불과했으며, 재테스트 결과 그 중 두 개는 지역이 아닌 일반적인 로드 밸런서 불안정으로 판명되어, 1,787개 도메인 중 진정하고 안정적인 지역적 변이를 보인 것은 약 하나에 그쳤습니다. 여기서 독립적인 검증은 의미가 있습니다. 백만 개 도메인을 대상으로 열한 곳의 관측 지점에서 수행된 대규모 연구도 동일한 규모에서 같은 효과를 보고합니다: 안정적인 패널의 0.05%가 클라이언트 위치에 따라 다른 기본값을 협상합니다16. 그리고 저와 마찬가지로, 이를 CDN 설정이 지역에 걸쳐 점진적으로 전파되는 것에서 기인한다고 분석합니다. 두 그룹이 완전히 다른 장비로, 0.05%와 0.06%라는 결과를 냈습니다. 어디서 스캔하느냐는 사실상 중요하지 않습니다.

qgrove 스캔 결과 수치와 그 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 202,258회(전체 도메인 광범위 탐색과 4,000개 도메인 하위 샘플에 대한 다중 관측 심층 탐색), 2026년 7월, 전체 공개. 미리 밝혀둘 주의 사항: (1) 엣지 전용 수치(35.5%)는 구조적으로 과소 집계되며, 통합 수치(61.1%)는 풀링 전 99.9% 일치율로 보정된 두 가지 측정 방법을 결합한 것입니다; (2) 도달 가능한 서버의 약 4분의 1은 여전히 구버전 TLS만 사용하여 PQC를 전혀 수행할 수 없으며, 이것이 하이브리드 비율이 최신 TLS 서버의 35.5%이지만 전체 도달 가능한 서버의 27%인 이유입니다. 두 수치 모두 보고되며, 어느 쪽도 다른 것으로 포장되지 않습니다; (3) 인증서 및 순방향 비밀성 없는 수치는 모든 도메인이 아닌 대규모 샘플에서 도출됩니다; (4) 선별된 분야 목록은 타당한 핵심 집합이며, 완전한 목록이 아닙니다.

11. 결론

“지금 수집하고 나중에 복호화하기(Harvest Now, Decrypt Later)” 슬로건은 방향은 맞지만 규모를 과장하고 있습니다. HNDL은 실재합니다: 국가들이 탭을 보유하고 있다는 것은 명백하고, 선택한 것을 보관한다는 것도 명백하며, 그들이 기다리고 있는 기계는 아직 아무도 만들지 않았지만 매년 이론상으로는 점점 가까워지고 있습니다. 그러나 HNDL은 데이터 더미가 한 세대 동안 저장하기에 충분히 작고, 열렸을 때 내용이 여전히 중요한 경우에만, 즉 외교 통신, 국방 프로그램, 생체 인식 또는 유전체 정보, 소량의 장기 기밀처럼 좁은 범위의 사례에서만 다섯 가지 관문을 모두 통과합니다. 인터넷과 그 사용자의 상당 부분에 대해서는, 위협이 두 번째 또는 네 번째 관문에서 사라집니다. 암호화가 버텨서가 아니라 경제성이 맞지 않기 때문입니다. 저장 비용이 평문 가치보다 비싸고, 읽을 수 있게 될 때쯤이면 이미 쓸모가 없어집니다.

한편, 실제로 우려해야 할 HNDL의 버전은 광섬유 탭도 아니고 좋은 슬라이드 소재도 아니라는 이유로 거의 주목받지 못합니다. 바로 누군가가 이미 들고 나간 암호화된 아카이브입니다. 순방향 비밀성도 없고, 용량 문제도 없고, 잠수함도 필요 없으며, 유효 기간은 수십 년 단위입니다.

따라서 실용적인 조언은, 이를테면 이렇습니다. 귀사 데이터 중 수십 년 단위로 측정되는 X를 가진 것이 무엇인지 파악하십시오. 대부분의 조직에서 이것은 짧은 목록이며, 보통 벤더가 견적을 내는 목록과 다릅니다. 그것부터 먼저 마이그레이션하고(장기 키 하에 저장된 데이터와 전송 중에 여전히 RSA 키 전송을 사용하는 것), 나머지는 합리적인 속도로 진행하십시오. 그리고 아직 시작하지 않은 부분을 주시하십시오. 현재 문헌의 모든 측정 결과, 제 것도 포함하여, 포스트 양자 키 교환이 웹의 상당 부분에서 활성화되어 증가하고 있음을 발견하지만, 포스트 양자 인증서 서명은 단 하나도 의미 있게 집계되지 않습니다. 마이그레이션의 기밀성 절반은, 주로 몇몇 대형 CDN이 스위치를 켰기 때문에, 순조롭게 진행 중입니다. 그러나 인증 절반은 시작조차 되지 않았습니다. 양자 기계가 등장하면 서명을 키 해독만큼이나 쉽게 위조할 것이므로, 핸드셰이크는 마이그레이션했지만 인증서는 마이그레이션하지 않은 웹은, 누구나 이제 곧장 걸어 들어올 수 있는 문에 새 자물쇠를 단 집과 같습니다. 그것이 다음 과제이며, 지금 당장은 울타리가 전혀 없는 상태입니다.

이것은 아무것도 하지 말라는 주장이 아닙니다. 양을 사기 전에 떼 수를 세라는 주장입니다. 실제 노출에 기반한 마이그레이션은 잘 쓰인 돈입니다. 슬로건을 따르는 마이그레이션은 매우 비싼 구충제로 벌레 가득한 목초지를 얻는 방법입니다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 그리고 202,258행 데이터셋은 github.com/spinsphere/qgrove에서 이용 가능합니다. 모든 수치는 저자 본인의 것입니다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록, 비밀 해제 자료에 근거하며, 저자는 비공개 정보를 보유하지 않으며 그러한 암시도 없습니다.

Kaysec은 포스트 양자 준비성과 암호화 민첩성에 대해 자문을 제공하며, 주로 이 글에서 실제로 중요하다고 말하는 종류의 데이터 유효 기간을 가진 조직을 대상으로 합니다. kaysec.spinsphere.xyz

참고문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비되어 있는가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “백만 개 미만의 잡음 있는 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “피너클 아키텍처: 양자 LDPC 코드를 사용하여 RSA-2048 해독 비용을 물리적 큐비트 100,000개로 절감.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 자원 추정이며, 하드웨어 시연이 아닙니다. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “양자 취약성으로부터 타원 곡선 암호화폐 보호: 자원 추정 및 완화 방안.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; 영국 NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장 문서.
  7. 작전명 아이비 벨스(Operation Ivy Bells), 1971–1981. USS Halibut, 오호츠크해. 비침습적 유도 탭; 월간 잠수부 회수, 이후 RTG 구동 방식. Sontag & Drew, Blind Man’s Bluff (1998) 참조.
  8. M. Klein, 선서 진술 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 사건 자료. 641A호 룸, 611 Folsom St; 2003년 운영 개시, 2006년 공개; 백본 회선 약 16개 분기(합계 약 15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시의 NSA 숨겨진 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 공개, 2013–2014 (The Guardian; Der Spiegel). 10 Gbit/s의 200개 이상 프로브, 이론적 용량 약 21.6 PB/일; 콘텐츠 약 3일, 메타데이터 약 30일 버퍼링.
  11. MUSCULAR 공개, 2013 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료됨.
  12. Lawfare, “해저 케이블에 대한 러시아의 위협 평가”, 육상 착지 지점 접근이 일상적인 심해 탭을 비매력적으로 만드는 이유.
  13. AMS-IX 2025 수치: 연간 트래픽 35.66 EB, 최대 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최대 18.22 Tbit/s; 글로벌 플랫폼 최대 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷 포스트 양자 준비성 측정 연구: 2026.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인에 대한 단일 관측 지점 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에 대한 클라이언트 측 TLS 버전 폴백 문서화. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “격차를 주목하라: 포스트 양자 TLS 배포에서의 정책과 현실.” arXiv:2607.29005, 2026년 7월. UNSW 시드니 및 조지아 공과대학. 2025년 7월–2026년 3월 3라운드 종단 연구; 20억 회 이상 핸드셰이크, 100만 개 도메인, 11개 관측 지점. arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks.” arXiv:2603.01091, 2026년 3월. Universidad Carlos III de Madrid. arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey.” arXiv:2510.10436, 2025. Texas State University. arxiv.org/abs/2510.10436
  • qgrove: 분산형 다중 관측점 TLS 포스트 양자 태세 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 대만 타이베이, 2025년 10월 (우수 논문상). 약 800달러짜리 수신기를 사용하여 관측된 GEO 위성 링크의 50%가 평문 IP 트래픽을 전송하고 있었으며, 여기에는 통화 및 문자 내용을 포함한 셀룰러 백홀, 유틸리티 산업 제어/SCADA 시스템, 군사 자산 추적, 기내 WiFi 등이 포함되었다. satcom.sysnet.ucsd.edu
  • WiFi 도청과 그 한계에 대하여: WPA2/WPA3는 무선 구간만을 보호할 뿐, 종단 간 세션을 보호하지는 않는다. KRACK (Vanhoef & Piessens, 2017) 및 Dragonblood (Vanhoef & Ronen, 2020) 공격, 그리고 이블 트윈/다운그레이드 공격 계열을 참고하라. 무선의 브로드캐스트 특성으로 인해 암호문 수집 비용이 저렴하며, TLS가 핵심적인 보안 계층으로 남아 있다.