보고서

양자 봄의 계절: 지금 수확하고, 나중에 해독하라 — 당신의 암호화된 데이터를 실제로 수집하는 방법과 주체, 그리고 대부분의 데이터가 결국 썩어버리는 이유

by Simon McCorkindale

암호화된 데이터를 “수집”하는 것이 공격자에게 실제로 얼마나 큰 비용을 치르게 하는지, 그 비축분을 읽으려면 무엇이 필요한지, 그리고 실제 위협이 어디에 숨어 있는지를 다룹니다. 이 글은 다섯 가지 관문 프레임워크(물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효 기간, 공격자 동기)를 기본 원리에서부터 단계적으로 살펴보고, 오늘날 실제로 배포된 포스트 양자 암호화의 현황을 파악하기 위한 독자적인 인터넷 전수 스캔 결과를 토대로 논의합니다.

요약. “지금 수집하고 나중에 복호화한다”(HNDL)는 포스트 양자 암호화로의 전환을 서둘러야 하는 이유로 모두가 꼽는 근거입니다. NIST(미국 국립표준기술원)도, CISA(미국 사이버보안 및 인프라 보안국)도, 영국의 NCSC(국가사이버보안센터; 뉴질랜드에도 같은 이름의 기관이 있습니다)도, 그리고 벤더들은 훨씬 더 큰 목소리로 이를 주장하지만, 그 근거를 실제로 따져보는 사람은 거의 없습니다. 실제로 누가 수집하고 있는가? 어디서? 얼마나 저장해야 하며, 비용은 얼마나 드는가? 그리고 양자 컴퓨터가 마침내 등장할 때, 그 데이터 중 읽을 만한 것이 남아 있기는 할 것인가? 이 글은 HNDL을 되풀이해야 할 사실이 아닌, 검증해야 할 주장으로 다룹니다. 위협은 실재하지만 그 범위는 좁습니다. 데이터가 수십 년간 가치를 유지하고 비축량이 소규모로 유지되는 경우에만 유효합니다. 대부분의 트래픽에서는 암호학적 문제가 불거지기 훨씬 전에 경제성에서 먼저 실패합니다. 더 크고 조용한 문제는 이미 다른 누군가의 저장소에 쌓여 있는 암호화 데이터입니다. 이 연구는 독립적인 가설에서 출발했습니다. 초고를 작성하는 과정에서 이와 관련된 2026년의 여러 연구들을 발견했습니다. 일부는 제 결론을 뒷받침했고, 하나는 이의를 제기했으며, 저는 각각의 연구를 사후에 꿰맞추기보다는 관련 부분에서 투명하게 다루었습니다. 저의 독자적인 스캔은 동시에 진행된 가장 대규모 측정 연구와 일치합니다. 포스트 양자 키 교환은 인터넷의 상당하고 증가하는 비율에서 실제로 운용 중이며, 이는 압도적으로 소수의 인프라 제공업체들에 의해 주도되고 있습니다. 반면 신원을 증명하는 포스트 양자 서명은 31,839개의 인증서 전체에서 여전히 0에 머물러 있습니다. 핸드셰이크는 수정되고 있지만, 인증은 그렇지 않습니다.

1. 이름에서 틀린 부분

모든 농부는 수확이 무엇을 의미하는지 압니다. 그것은 좋은 부분입니다. 일이 끝나고 그 해가 보람 있었는지 알게 되는 마지막 보상입니다. 그렇기에 “지금 수집하고 나중에 복호화한다”는 표현은 실제로 일어나고 있는 일에 비해 묘하게 어울리지 않는 이름입니다. 지금 일어나고 있는 것은 수확이 아니기 때문입니다. 지금 일어나고 있는 것은 파종입니다. 누군가가 조용히 암호화된 트래픽을 모아 저장소에 쌓아두고 기다리고 있습니다. 그들은 아무것도 거두고 있지 않습니다. 씨를 뿌리며 날씨가 바뀌기를 바랄 뿐입니다.

그들이 기다리는 것은 암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC입니다. 오늘날의 키 교환과 서명(RSA, Diffie–Hellman, 타원 곡선)을 보호하는 수학에 대해 Shor의 알고리즘을 실행할 만큼 충분히 큰 기계입니다. 그 기계가 존재하는 순간, 암호문으로 가득 찬 저장소는 읽을 수 있게 됩니다. 그때까지 그것은 매우 값비싼 잡음의 더미일 뿐입니다. 그 순간을 양자의 봄이라 부르고, 기다리는 기간을 양자의 겨울이라 부릅시다. AI 겨울처럼 기다리던 것이 결코 오지 않는 종류가 아니라, 계절이 올 것임을 알면서 추위를 견뎌야 하는 농사의 겨울 같은 것입니다.

포스트 양자 암호화, PQC는 방어자의 답입니다. NIST가 내놓은 새로운 종자(암호화 알고리즘)인 ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1와 현재 평가 중인 추가 후보들입니다. 양자 수집자는 이것을 처리할 수 없습니다. 단, 이는 중요한 단점이 있는데, PQC는 이미 저장소에 있는 것에 대해서는 아무런 효력이 없습니다. 어제 수집된 것은 여전히 수집된 상태로 남습니다. PQC는 지금부터 파종하는 것만 보호합니다. 따라서 두 개의 시계가 동시에 흐르고 있습니다. 기계가 도착하기 전에 품종을 바꾸려는 당신의 시계, 그리고 당신이 여전히 노출된 상태로 파종하는 동안 최대한 많은 구식 데이터를 비축하려는 그들의 시계입니다.

암호학 비전문가를 위한 한 문단 요약. 데이터를 보호하는 수학에는 두 가지 종류가 있습니다. 하나는 실제 내용을 뒤섞는 것(주로 AES)으로, 양자 컴퓨터가 거의 손대지 못하며 AES-256은 문제없습니다. 다른 하나는 두 컴퓨터가 처음부터 비밀 키(AES로 내용을 암호화하는 데 사용되는 암호)를 합의하는 방법과 서로가 누구인지 증명하는 방법입니다. 그것이 RSA와 타원 곡선이며, 양자 컴퓨터는 이것을 간단히 해결합니다(흔히 공개/개인 키 암호화라고도 불립니다). 따라서 누군가 “양자가 암호화를 깬다”고 말할 때, 그것은 자물쇠 자체가 아닌 시작 시의 핸드셰이크를 깬다는 의미입니다. 그래서 HNDL이 기록된 핸드셰이크에 관한 것인 이유가 여기 있습니다. 핸드셰이크를 얻으면 키를 얻고, 그 이후의 모든 것을 얻게 됩니다.

대부분의 사람들이 사용하는 틀은 Michele Mosca의 부등식2입니다. X(데이터가 기밀을 유지해야 하는 기간)에 Y(마이그레이션 완료에 걸리는 기간)를 더하고, 이를 Z(기계가 존재하기까지 걸리는 기간)와 비교합니다. X + Y > Z이면, 오늘 전송하는 모든 것에 대해 이미 경쟁에서 뒤처진 것입니다. 훌륭한 산술입니다. 문제는 Z가 계속 움직이며(줄어들며), 한 방향으로만 움직인다는 것입니다. 2019년에 RSA-2048을 깨는 데 드는 비용은 약 2,000만 개의 잡음 있는 큐비트로 8시간 동안 실행하는 것으로 추정되었지만, 2025년 5월에는 같은 연구자가 그 수치를 100만 큐비트 미만에 약 일주일로 줄였습니다3. 6년 만에 20배 감소했으며, 이는 더 나은 하드웨어가 아닌 더 나은 알고리즘에서 비롯되었습니다. 아직 아무도 기계를 만들지 않았습니다. 그러나 목표는 계속 가까워지고 있으며, 이것이 바로 인내심 있는 공격자가 파종이 수고할 만한 가치가 있다고 판단하는 조건입니다.

그 이후로도 두 번 더 움직였지만, 같은 조건은 아닙니다. 2026년 2월에는 qLDPC 아키텍처4가 등장하여 100,000개 미만의 물리적 큐비트로 RSA-2048을 깰 수 있다고 주장했고, 3월에는 Google, 이더리움 재단, 스탠퍼드 대학의 공동 논문5이 두 암호 중 훨씬 약한 256비트 타원 곡선을 500,000개의 물리적 큐비트로 수 분 내에 깰 수 있다고 발표했습니다. 두 논문 모두 가정을 유지하는 대신 변경함으로써 결론에 도달했으며, 큐비트 수를 줄이는 대신 아직 규모에서 실현된 적 없는 연결성과 디코딩 기법에 의존합니다. 이는 유예가 아닌 주의 사항입니다. Z는 계획 수립을 위한 숫자이며, 이 논문들은 실제로 아무것도 만들지 않은 채 계속해서 그 숫자를 흔들고 있습니다.

PQC에 대해 이야기할 때 자주 언급되는 양자 키 분배(QKD)에 대해 한마디 덧붙이겠습니다. 이 분야에서는 많은 연구 개발이 진행 중이며 가능성도 있지만, 이 글의 범위를 벗어납니다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스 ANSSI 모두 QKD보다 PQC를 사용할 것을 명시적으로 권고하고 있습니다6. QKD는 특수 하드웨어가 필요하고 지점 간에서만 작동하며, 이미 가득 찬 저장소에 대해서는 아무런 효과가 없습니다. 하나의 전용 회선에서 미래의 통신만 보호합니다. 이상적인 보안의 미래는 두 가지 접근 방식의 조합일 수 있습니다.

동시 연구에 대한 참고 사항. 이 글은 2026년 현재 암호화된 데이터 수집의 실질적인 현실과 어려움, 그리고 데이터를 수집하기 위한 스캔 활동에 대한 독립적인 연구 관심에서 시작되었습니다. 초고를 작성하는 과정에서 2026년이 이 분야에서 매우 활발한 해였음을 알게 되었습니다. Blanco-Romero 등17은 수집의 저장 경제성을 모델링하여 제가 부분적으로 반박하는 결론에 도달했습니다(4절). Wickramasinghe 등16은 인터넷 규모의 종단적 포스트 양자 TLS 측정을 실시하여 제 스캔 결과를 예기하고 확인했습니다(10절). 더 넓은 조사는 주변 환경을 지도화합니다(Bertino 등18; Chhetri 등19). 이 연구들을 중심으로 논지를 사후에 맞추기보다는, 원래 구조를 유지하며 각 연구가 본문과 관련되는 부분에서 다루었습니다. 다른 연구가 먼저 도달한 곳에서는 투명하게 밝혔고, 제 독자적인 데이터가 그들과 일치하는 경우에는 그 일치 자체를 독립적인 결과로 취급했습니다.

“지금 수집하고 나중에 복호화한다”는 슬로건이 이름을 딴 계절은 가장 마지막에 찾아옵니다. 위험한 작업은 몇 년 앞서, 파종 단계에서 일어납니다. 역량 곡선의 형태는 예시적인 것으로, 그 위치는 누구도 알 수 없습니다(즉, 실제 시점은 불확실합니다. 2032년까지 CRQC가 등장한다는 보장은 없습니다!). 다만 방향만큼은 분명합니다.

2. 다섯 개의 관문

바로 이 지점에서 논의가 보통 엇나갑니다. 사람들은 HNDL을 하나의 단일한 것으로, 즉 당신에게 일어나거나 일어나지 않거나 하는 것으로 취급합니다. 하지만 그것은 하나의 단일한 것이 아닙니다. 그것은 순서이며, 공격자가 원하는 모든 바이트는 그 전부를 통과해야 합니다. 가축을 이동시키는 것을 생각해 보십시오. 첫 번째 관문, 목초지에 접근할 수 있는가. 두 번째 관문, 가축을 둘 공간이 있는가. 세 번째 관문, 우리에 들어온 후 실제로 무언가를 할 수 있는가. 네 번째 관문, 결국 처리할 시점에 가축이 가치 있는 상태인가. 다섯 번째 관문, 이 모든 것을 감안했을 때, 처음부터 그럴 가치가 있었는가. 어느 관문에서든 실패하면 전체 과정은 연료와 개 사료 낭비입니다(양 몰이에 비유하자면).

이 글의 나머지 부분은 관문 하나하나를 순서대로 살펴봅니다. 그에 앞서, 아래에 양자 시대 보안 문제의 더 넓은 범주에 대한 개요를 제시합니다.

문제공격 대상피해 발생 시점실행에 필요한 것대응 시기
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 방대한 저장 공간, 아직 존재하지 않는 기계지금 당장
HNDL, 저장된 데이터저장 데이터의 장기 키CRQC 등장 시침해 성공 사례 하나, 그리고 동일한 기계지금 당장
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시수집된 인증서, 그리고 기계나중에
PQC 칩 공격실리콘 내 PQC 검증현재물리적 접근 및 결함 주입 장비지금
위조 인증서, 미래의 MITM신뢰 체인CRQC 등장 시기계, 그리고 회선상의 위치나중에

위에서 굵게 표시된 두 항목이 진정한 의미의 HNDL이며, 이 둘만이 훨씬 나중에 성과를 거두기 위해 적이 오늘 행동해야 하는 경우입니다. 바로 그렇기 때문에 지금 조사하고 논의할 가치가 있습니다. 또한 오늘의 행동이 흔적을 남기기 때문에 확인이 가능하다는 점에서도 의미가 있습니다.

3. 첫 번째 관문: 접근 자체가 가능한가?

광섬유 같은 케이블을 도청하는 것은 쉬운 일이 아닙니다. 침실의 노트북으로 할 수 있는 일이 아니며, 실제 유리섬유에 직접 손을 대거나 유리섬유를 소유한 자를 향한 법원 명령이 필요합니다. 그것만으로도 거의 모든 이들이 배제됩니다. 남는 것은 정부이며, 그것도 극소수입니다.

가장 잘 기록된 사례는 가장 오래된 것이기도 하며, 실로 대단한 작전입니다. 1971년 미국은 개조된 잠수함 USS Halibut을 오호츠크해로 파견하여 수심 120미터에 놓인 소련 군사 케이블을 찾았습니다: 이것이 작전명 아이비 벨즈(Operation Ivy Bells)7입니다. 잠수부들은 손목만 한 굵기의 케이블 주위에 6미터 길이의 유도 장치를 감아, 케이블을 절단하지 않고도 신호를 읽어냈습니다. 이 작전은 거의 10년 가까이 지속되었습니다.

스파이 소설 같은 이야기보다 두 가지 세부 사항이 더 중요합니다. 첫째는 해변의 표지판에 케이블 매설 구역. 닻 투하 금지라고 쓰여 있었기에 케이블을 찾을 수 있었다는 것입니다. 둘째는 물류의 문제입니다. 수년간 정보를 수집하는 방법은 잠수부가 직접 물속으로 내려가 테이프를 교체하는 것이었으며, 매달 그렇게 했습니다. 누군가가 직접 가서 가져와야 했습니다. 이후 버전은 핵동위원소 발전기로 가동되어 1년치 데이터를 저장할 수 있었는데, 연 1회만 방문하면 된다는 점에서 큰 발전으로 여겨졌습니다. 이 점을 기억해 두십시오. 수집에서 가장 어려운 부분은 도청 자체가 아니라 그 이후 쌓인 데이터를 어떻게 처리하느냐였습니다.

현대적 방식

광섬유는 방법을 바꿨을 뿐, 제약은 그대로였습니다. 2006년 AT&T 기술자 마크 클라인(Mark Klein)은 샌프란시스코 폴섬 스트리트 611번지(641A호)에 있는 잠긴 방을 공개했는데, 그곳에서 광학 스플리터가 백본 트래픽을 복사하여 심층 패킷 검사(DPI)용 Narus STA 6400이 담긴 랙으로 전송하고 있었습니다8. 2003년부터 운영 중이었습니다. 스플리터는 약 16개의 백본 회선(약 15 Gbit/s 규모의 트래픽)에서 전체 광선을 복제했으며, Narus 장비가 실시간으로 심층 패킷 검사를 수행했습니다. 클라인의 문서는 전자프런티어재단(EFF)이 AT&T를 상대로 제기한 소송의 증거가 되었고, 이후 보도에서 미국의 다른 도시들에도 유사한 방이 존재한다는 사실이 밝혀졌습니다9. 역사적 대칭을 짚고 넘어갈 필요가 있습니다. 2003년에는 스플리터가 복사한 트래픽 대부분이 평문이었습니다. 오늘날 동일한 도청 장치는 암호문을 복사하며, 그것이 바로 HNDL이 우려 사항으로 존재하는 이유입니다.

구조적 핵심은 변함이 없습니다. 광섬유의 스플리터는 광학 계층에서 트래픽을 복사합니다. 어떤 방화벽도 이를 감지하지 못하고, 침입 탐지 시스템도 포착하지 못하며, 엔드포인트는 전혀 알지 못합니다. 그러나 — 이것이 핵심입니다 — 스플리터는 회선에 있는 것을 복사하며, 회선에 있는 것은 이미 암호화되어 있습니다. 스플리터는 암호화를 뚫지 못합니다. 다만 그 복사본을 저장소에 넣고 기다립니다.

영국도 같은 이야기이며, 잠시 멈춰 그 규모를 살펴볼 필요가 있습니다. 2011년 중반까지 GCHQ는 TEMPORA10라는 프로그램 하에 각각 10 Gbit/s를 전송하는 200개 이상의 광섬유 링크에 탐침을 설치했으며, 동시에 최소 46개를 처리할 수 있었습니다. 이론적으로는 하루 21페타바이트 이상의 흐름에 접근 가능했습니다. 가디언지는 이를 영국 도서관의 전체 장서를 매 24시간마다 192번 복사하는 것에 비유했습니다. 그러나 아래의 모든 내용에서 핵심이 되는 부분이 있습니다. 그들도 이를 보관할 수 없었습니다. 콘텐츠는 단 3일, 메타데이터는 30일간만 버퍼링되었습니다. 국가 규모로 운영되며 인프라의 절반을 소유한 국가 행위자조차 콘텐츠에 대해 3일짜리 롤링 윈도우로 제한되었습니다. 이 점을 기억해 두십시오. 이것이 일찍 등장한 2번째 관문입니다. 관련된 공동 작전은 대형 클라우드 사업자의 자체 데이터센터 간 링크를 겨냥했는데, 당시 이 링크들은 내부 경계 내에서 암호화되지 않은 상태였습니다11. 보도에 따르면 TLS는 공용 엣지에서 추가되고 제거되었습니다. 이것이 기록에서 가장 교훈적인 대목입니다. 그들은 암호화를 뚫지 못했습니다. 데이터가 잠깐이나마 평문 상태로 존재하는 단 하나의 지점을 우회한 것입니다. 사업자들이 이를 인지하고 내부 링크를 암호화했으며, 그 허점은 닫혔습니다.

케이블이 반드시 필요하지는 않습니다

여기서 관문을 더 넓혀야 합니다. 위의 모든 내용은 유선 이야기인데, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 거치지 않기 때문입니다. 무선은 방송입니다. 범위 안에 있는 누구나 수신할 수 있으며, 스플라이싱도, 상륙국도, 영장도 필요 없습니다12. 이는 공중을 통과하는 구간이 있는 모든 것에 대해 물리적 접근의 장벽을 바닥으로 낮추며, 알고 보면 그런 트래픽이 상당히 많습니다.

가장 명확한 예부터 시작합시다: WiFi입니다. 노트북이 전송하는 모든 프레임은 사방으로 방사되며, 범위 안에 있는 누구든 모니터 모드의 저렴한 어댑터로 전부 수신할 수 있습니다. 두 가지가 여러분을 지켜줍니다. WiFi 계층 자체의 암호화(WPA2, WPA3)가 공중에서 프레임을 암호화하지만, 이는 TLS 내부의 것과는 별개이며 수명이 짧은 자물쇠입니다. 장치에서 액세스 포인트까지의 구간만 보호하며, 종단 간 세션 전체를 보호하지 않습니다. 또한 반복적으로 다운그레이드, 해킹, 우회되어 왔습니다(WPA2 대상 KRACK, WPA3 대상 Dragonblood, 모든 것을 공격자를 통해 중계하는 이블 트윈 액세스 포인트)22. WiFi 계층을 걷어내면 아래의 TLS가 남으며, 이는 수집 문제로 다시 귀결됩니다. 무너진 WiFi 위의 최신 TLS 1.3은 여전히 순방향 비밀성을 갖추고 있으며 여전히 양자 기계가 필요합니다. 그러나 개방된 카페 네트워크나 공격자가 키를 알고 있는 WPA2 네트워크는 암호화된 TLS 스트림을 공짜로 넘겨줍니다. HNDL 관점에서 WiFi 도청은 암호문을 수집하는 저렴한 방법입니다. TLS를 무력화하지는 못하지만, 목표물에서 수백 미터 이내의 누구에게나 ‘물리적으로 접근할 수 있는가’라는 관문을 거의 완전히 제거해 버립니다.

그다음은 모바일입니다. 2G는 도청자에게 선물이나 다름없었습니다. IMSI 캐처(가짜 기지국, ‘스팅레이’)는 단말기를 취약한 암호로 다운그레이드하도록 강제하여 트래픽을 평문으로 읽을 수 있었습니다. 4G와 5G는 훨씬 나아졌지만, 이에 대한 다운그레이드 공격은 현재도 활발히 연구되는 분야이며, 원칙은 동일합니다. 무선 계층이 취약한 부분이며, 그 위에 얹힌 종단 간 암호화가 실질적으로 여러분을 보호하는 것입니다. 역시 수집은 저렴하며, 그 아래의 암호화가 공격자와 평문 사이를 막는 유일한 장벽이 되어가고 있습니다.

그리고 특정하고 고가치인 트래픽 슬라이스에 대해 ‘도청(차단)은 어렵다’는 전제 자체를 뒤집기 때문에 놀라운 사례가 있습니다: 위성입니다. 2025년 10월, UC 샌디에고와 메릴랜드 대학교의 연구진이 Don’t Look Up을 발표했습니다(ACM CCS에서 우수 논문상을 수상했습니다). 그 발견은 거의 믿기 어려운 수준입니다. 연구진은 샌디에고의 한 옥상에서 800달러짜리 시판 위성 안테나를 하늘로 향하게 하여21 3년간 관측한 결과, 관측 가능한 정지위성 링크의 약 절반이 민감한 데이터를 완전히 암호화되지 않은 상태로 전송하고 있다는 사실을 발견했습니다. TLS도, VPN도, 아무것도 없었습니다. 스크램블된 채 나중에 수집해야 할 것이 아니라, 지금 당장 읽을 수 있는 상태였습니다. 평문으로 발견된 것은 주요 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 WiFi 트래픽, 군사 자산 추적, 그리고 (HNDL의 실제 목표물과 관련하여 중요한 부분으로) 유틸리티 인프라를 운영하는 산업 제어 및 SCADA 트래픽이었습니다. 그리고 캘리포니아의 한 고정 지점에서는 궤도상 위성의 약 15%만 관측할 수 있었습니다. 여러 대륙에 안테나를 갖춘 국가 행위자라면 훨씬 더 많은 것을 볼 수 있습니다.

이는 케이블 이야기와 두 가지 면에서 다른 위협이며, 두 가지 모두 1번째 관문의 안일한 해석에 반합니다. 첫째, 접근이 매우 쉽습니다. 잠수함이 아니라 수백 달러와 하늘이 보이는 곳이면 충분합니다. 둘째, 피해자 입장에서 더 나쁜 점은 이 트래픽의 대부분이 수집 후 해독 문제조차 아니라는 것입니다. 읽기 위해 미래의 양자 기계가 필요하지 않기 때문입니다. 이미 평문입니다. 양자의 관점은 암호화된 위성 링크에만 해당되며, 암호화되지 않은 절반에 대해서는 ‘나중에 해독’이라는 개념 자체가 무의미합니다. 해독할 것이 없으니까요.

1번째 관문 평결. 백본 광섬유의 경우 관문은 높습니다. 소수의 국가, 물리적 접근 또는 법적 수단, 실질적인 비용이 필요합니다. 그러나 ‘도청은 어렵다’는 말은 언제나 케이블에 관한 이야기였으며, 많은 트래픽은 중요한 구간에서 케이블을 거치지 않습니다. 무선은 범위 안의 누구에게나 스스로를 방송하고, WiFi와 모바일은 공격자에게 암호화된 스트림을 저렴하게 넘겨주어 실제 작업을 TLS에만 맡기며, 위성은 놀랍게도 전체 링크의 약 절반에서 평문을 직접 내어줍니다. 따라서 관문의 솔직한 평가는 이렇습니다. 광섬유 백본에 대해서는 높고, 공중 구간이 있는 모든 것에 대해서는 낮거나 사실상 없습니다. 이는 논거를 약화시키는 것이 아니라 오히려 강화합니다. 이 글 전체가 다루는 장기 보존 대상(VSAT 링크의 대사관, 위성 SCADA의 유틸리티, 마이크로파 중계의 방위 시설)에 있어 차단 관문은 종종 활짝 열려 있으며, 적과 페이로드 사이를 막는 유일한 것이 바로 이 글의 나머지에서 살펴볼 암호화입니다.

4. 두 번째 관문: 충분히 큰 저장소가 있는가?

탭을 확보했다고 가정해 보자. 이제 그 데이터를, 양자 컴퓨터가 언젠가 등장할 경우에 대비해 15년간 보관해야 한다. 여기서 이야기는 수학과 충돌하고, 그 수학은 가혹하다.

막연한 추측 대신 실제 숫자를 사용해 보자. 네트워크들이 서로 트래픽을 주고받는 주요 공개 피어링 포인트 중 하나인 암스테르담 인터넷 익스체인지 AMS-IX는 2025년 수치를 공개했다13: 연간 총 트래픽 35.66 엑사바이트, 최대 14.2 Tbit/s. 프랑크푸르트의 DE-CIX 역시 약 48 엑사바이트14를 기록했다. 이는 추정치가 아니라 운영사 자체 수치다. 그리고 AMS-IX는 단 하나의 교환 지점일 뿐이다. 전 세계에는 천 개가 넘는다.

자, AMS-IX의 트래픽을 1년간 전량 수집하기로 했다고 치자. 무엇이 필요할까?

아무도 비용을 계산하지 않는 두 가지 병목. 왼쪽: 교환 지점 하나의 1년치 전량 수집분을 테이프로 보관했을 때. 오른쪽: 최종 분석 장비가 마법 지팡이가 아닌 병목인 이유 — 임시 키 교환은 세션마다 별도의 작업을 요구한다.

LTO-9 테이프 카트리지 한 개의 용량이 18 TB이므로, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 100달러면 공테이프만 연간 1억 9,800만 달러로, 드라이브 한 대, 인건비 한 푼 들어가기 전 금액이다. LTO-9 드라이브의 쓰기 속도는 약 400 MB/s로, 유입되는 데이터 흐름을 따라잡으려면 2,826대의 드라이브가 1년 365일, 매초 쉬지 않고 가동돼야 한다. 이건 서버실이 아니라 공장이다.

그런데 아무도 계산하지 않는 부분이 있다. 테이프는 순차 접근 방식이라 원하는 데이터를 찾으려면 테이프를 감아서 탐색해야 한다. 같은 2,826대의 드라이브가 읽기만 한다면, 1년치 테이프를 전부 읽는 데 정확히 1년이 걸린다. 쓰기와 읽기 속도가 같기 때문이다. 즉, 수집을 중단해야만 보관된 내용을 단 한 번 읽을 수 있다. 두 번 검색하고 싶다면? 공장을 하나 더 지어야 한다.

디스크도 해결책이 아니다. 드라이브 한 개 용량이 24 TB이면 약 150만 개의 하드 드라이브가 필요하고, 비용은 약 6억 달러에 달하며, 냉각까지 포함하면 약 11 MW의 전력을 소비한다. 이는 작은 도시 하나가 쓸 만한 전력으로, 단 하나의 교환 지점에서 1년치 데이터를 돌리기 위한 것이다. 전 세계 트래픽의 1%만 확대해도 터무니없어진다. AMS-IX 여러 개 분량의 데이터를 매년, 영원히, 아직 존재하지도 않는 기계가 언젠가 한 번 읽어줄 것이라는 가정 하에 저장해야 한다.

이 글의 계산에서 다루지 않은 요소들도 있다. 데이터 압축과 해제에 드는 시간, 테이프를 넣고 빼는 시간이 그것이다. 물론 다른 저장 매체도 존재하고, 이것은 단일 지점에서 1년치 데이터를 전량 수집하는 극단적인 예시다. 그러나 이를 통해 저장하고 처리해야 할 데이터의 방대한 규모(말 그대로 규모)와 그에 따르는 경제적 현실을 실감하는 데 도움이 된다.

여기서 나는 이 경제학을 가장 신중하게 다룬 선행 연구와 견해를 달리한다. Blanco-Romero 등17은 동일한 저장 문제를 모델링하면서 데이터 보존이 “경제적으로 사소한” 수준이라고 결론짓는다. 원시 매체 가격 기준(LTO 테이프를 TB당 약 5달러로 인용)으로 전 세계 트래픽의 1%를 수집하면 연간 약 10억 달러로, 국가 예산 안에 충분히 들어온다는 것이다. 그들의 계산은 타당하고 매체 비용 자체는 부정하지 않는다. 다만 나는 매체 비용이 핵심 제약이라는 주장에 동의하지 않는다. 생테이프는 예산에서 가장 저렴한 항목이다. 실시간으로 기록하기 위한 드라이브 공장, 그것을 한 번이라도 읽어내기 위한 두 번째 공장, 압축 불가능한 암호문 더미에서 무언가를 찾기 위한 인덱싱, 그리고 이 모든 것을 15년간 운영하기 위한 물리적 시설이 실제로 발목을 잡는 항목들이다. 그들의 모델은 자신들의 설명대로 정지 상태의 매체만을 다루고, 수집 및 검색 장비는 제외한다. 이는 프로토콜 수준의 방어를 다루는 그들의 연구 질문에 맞는 합당한 범위 설정이다. 그러나 그 제외된 비용까지 포함하면, “사소하다”는 표현은 “특정 트래픽이 15년짜리 산업적 헌신을 감수할 만큼 가치 있다고 이미 결정한 경우에만 감당 가능하다”로 바뀌는데, 이는 달리 표현된 선택의 문제일 뿐이다. 우리는 저장 비용 항목에 대한 정반대의 해석을 통해 그들과 같은 결론에 도달한다: 수집은 선택적이지 무차별적이지 않다. 그들 스스로의 결론인, 방어자들은 수명이 긴 데이터를 우선순위로 분류해야 한다는 것도 정확히 내 주장과 일치한다.

두 번째 관문 평결. 무차별적 수집은 환상이다. 어렵거나 비싼 수준이 아니라, 수학적으로 터무니없다. 실질적인 적은 무엇을 보관할지 선택해야 하며, 선택하는 순간 위협은 모든 사람의 문제에서 특정 누군가의 문제로 바뀐다. 자신이 수집 대상인지 알고 싶다면, 그들이 가져갈 수 있는 것을 묻지 말고, 15년간 보관하기 위해 얼마를 지불할 것인지를 물어보라. (15년은 임의적이지만 시사적인 기준이다: 불확실한 미래를 위해 데이터를 오랫동안 보유해야 하는 시간이다.)

5. 세 번째 관문: 수집한 데이터가 실제로 복호화되는가?

탭을 설치하고 보관 비용도 지불했다고 가정하자. 마침내 양자 컴퓨터가 도착했다. 그 데이터 더미가 열릴까? 이는 전적으로 키가 어떻게 협상되었느냐에 달려 있으며, 이것이 HNDL 논의 전체에서 가장 설명이 부족한 부분이다.

수집된 데이터의 가치는 키가 어떻게 협상되었느냐에 달려 있다. RSA 키 전송 방식은 HNDL에 완전히 노출되어 있고, 임시 (EC)DHE는 세션마다 별도의 CRQC 작업을 요구한다. 어느 방식이든 핸드셰이크 서명은 여전히 위조 가능하므로, 누가 누구와 통신했는지는 계속 노출된다.

구식 방식인 RSA 키 전송은 최악의 시나리오다. 클라이언트가 서버의 장기 공개키로 세션 비밀을 암호화하면, 그 하나의 키만 크래킹하면 해당 서버와의 모든 과거 대화가 동시에 열린다. 키 하나로 전체 군중을 열어젖히는 것이다. 이것이 바로 슬로건이 암묵적으로 가정하는 시나리오이며, 그토록 경보적으로 들리는 이유다.

그러나 현대 TLS는 그렇게 작동하지 않는다. TLS 1.3은 임시 디피-헬만을 요구하며, ECDHE를 사용하는 TLS 1.2도 동일한 역할을 한다. 이 방식에서는 모든 세션이 자체적인 일회용 비밀을 생성한다. 서버의 장기 키는 핸드셰이크에 서명할 뿐 내용을 암호화하지 않으므로, 그 키를 크래킹해도 대화 내용에 대해서는 아무것도 얻지 못한다. 임시 세션을 읽으려면 해당 세션의 키 교환을 크래킹하고, 다음 것을 크래킹하고, 또 그다음 것을 크래킹해야 한다. 전체를 한꺼번에 여는 지름길은 없다. 한 번에 한 마리씩, 그리고 한 마리마다 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추정치3에 따르면 RSA-2048 키 하나를 크래킹하는 데 약 일주일의 기계 시간이 필요하다. 타원 곡선은 다소 저렴하지만 같은 수준이다. 따라서 100만 개의 포착된 임시 세션을 크래킹하려면 “양자 컴퓨터 한 대”가 필요한 게 아니라, 약 100만 개의 개별 양자 작업이 필요하다. 낙관적으로 작업당 하루가 걸린다고 해도 수천 기계-년에 해당한다. CRQC는 망원경처럼 예약 일정이 있는 희소한 국가 자산이 될 것이다. 아무도 당신의 동영상 스트리밍 세션을 그 장비에 넣어 돌리지 않는다. 여기서부터 직관에 반하는 결론이 나오기 시작한다. 분명히 양자 컴퓨터, CRQC는 이제 우리를 위해 쇼어 알고리즘을 실행할 만큼 강력하고 “빠르다”. 그러나 작업의 수(각각이 양자 알고리즘의 단일 실행)를 고려하면, 경제학이 얼마나 축소되는지 실감하기 시작한다. 크래킹해야 할 암호화 세션 수에 양자 컴퓨터에서 알고리즘을 실행하는 시간(현재 예상되는 수 시간에서 수 주)을 곱한 값은 여전히 논쟁 중이며, Z가 감소할수록 변화할 것이다.

이것이 좋은 소식이 되지 못하는 이유가 두 가지 있다. 첫째, 순방향 비밀성은 내용을 보호하지 서명을 보호하지 않는다. 미래의 기계는 포착된 핸드셰이크의 인증을 위조할 수 있으며, 누가 누구와 통신했는지는 노출되는데, 그것이 종종 더 중요한 정보다. 둘째, 더 심각하게도, 인증서 계층은 전혀 변하지 않았다. 내 자체 측정(10절)이 확인하듯, 사실상 전체 웹을 인증하는 서명들은 여전히 고전적인 RSA와 ECDSA다. 기밀성 측면은 마이그레이션을 시작했지만, 인증 측면은 출발선에서 벗어나지 못했다.

세 번째 함정이 있는데, 많은 좋은 노력을 조용히 무산시키는 것이다. “서버가 마이그레이션했다”는 것은 “세션이 안전하다”는 것과 다르다. 협상된 암호화 알고리즘은 항상 양 끝단 중 더 약한 쪽만큼만 현대적이기 때문이다. Dubey와 Varshney15는 명확한 사례를 포착했다. 인도의 한 은행(icici.bank.in)이 현대 기기에는 TLS 1.3, X25519, AES-256을 사용한 QUIC(양자-순방향, 순방향 비밀, 원하는 모든 것)으로 응답하면서, 동일한 도메인에 두 번째 기기로 접속하면 ECDHE-RSA와 AES-128을 사용한 TLS 1.2로 폴백했다. 같은 서버, 같은 날, 두 클라이언트, 완전히 다른 두 가지 보안 상태. 폴백 세션은 여전히 순방향 비밀이므로 RSA 전송 방식의 악몽은 아니지만, 아무도 선택하지 않고 아무도 인지하지 못한 폴백이며, 어느 한쪽이 조금만 더 오래된 버전이었다면 RSA 키 전송으로 떨어져 완전히 수집 가능한 상태가 되었을 것이다. 상대편을 확인할 수 없는 마이그레이션은 신뢰할 수 있는 마이그레이션이 아니다.

6. 네 번째 관문: 그래서 어떻게 되는가?

이것은 아무도 이야기하지 않는 관문이자, 대부분의 수집 데이터가 걸려 넘어지는 관문이다. 상상해 보라. 대형 소매 은행 외부의 광섬유를 탭하고 1년간 해당 웹사이트로의 모든 TLS 세션을 수집한다. 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 송금한다. 전부 저장한다. 15년 후 양자 컴퓨터가 도착하고, 막대한 CRQC 시간을 쏟아부어 전부 복호화한다. 축하한다. 무엇을 얻었는가? 2026년에 만료된 세션 쿠키들. 그 이후 세 번이나 교체된 비밀번호들, 대부분 이제 MFA까지 적용된. 10년 전의 계좌 잔액. 엄청난 비용을 들여 알아낸 것은, 누군가가 2026년 어느 화요일 아침에 잔액을 확인했다는 사실이다.

거기에는 내구성 있는 정보(이름, 생년월일, 주민등록번호)도 있지만, 이는 폐석 더미 속의 얇은 광맥에 불과하며, 수백만 개의 개별 세션에서 재조합해야 한다. 그러는 동안 동일한 정보는 은행의 고객 데이터베이스 안에 구조화되고, 색인되고, 최신 상태로 정리된 채, 단 한 번의 침입만을 기다리며 앉아 있다. 그렇다면 훨씬 더 자주 제기되어야 할 질문이 있다. 언젠가 쏟아진 것을 다시 담을 수 있기를 바라며 우유 탱크로리에서 떨어지는 방울을 10년 동안 문 앞에서 받아내는 것보다, 그 탱크 전체가 길 위의 공장에 그대로 있을 때 왜 거기로 가지 않는가?

데이터에는 유통기한이 있으며, 그 편차는 매우 크다. 세션 쿠키는 한 시간 정도 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료일까지, 은행 계좌번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급이 불가능한 평생이다. 유전체 정보는 평생은 물론 혈연관계에 있는 모든 사람에게도 영향을 미치며 절대 만료되지 않는다. 외교 전문은 40년이 지나도 여전히 당혹스러울 수 있고, 무기 설계도는 그것을 그린 엔지니어보다 오래 살아남는다. HNDL은 유통기한이 긴 데이터에서만 의미가 있다. 그 외의 경우, 수확물은 기계가 도착하기도 전에 창고에서 썩어버린다.

7. 다섯 번째 관문: 실제로 누가 굳이 그렇게 하겠는가?

마지막 두 관문, 즉 데이터 양과 유통기한을 함께 놓으면 그림은 매우 빠르게 선명해진다. 실제 물류를 상세히 설명한 몇 가지 실제 사례를 살펴보자.

실제로 누가 굳이 그렇게 하겠는가? 데이터 양 대 유통기한. 좌측 상단은 수집이 의미 있는 영역으로, 양이 적고 영구 보존된다. 우측 하단은 슬로건이 가장 강하게 팔리지만 실제로는 가장 의미 없는 영역이다. 각 위치는 대략적인 크기 순서의 판단이다.

대사관 링크. 표적: 외교 공관과 외무부 사이의 암호화된 터널. 도청: 로컬 ISP 또는 회선이 통과하는 교환소. 만약 당신이 주재국이라면, 이는 작전이 아니라 전화 한 통이면 된다. 그리고 공관이 오지에 위치해 많은 경우처럼 위성을 통해 백홀을 처리한다면, 적은 주재국의 협조조차 필요하지 않다. 안테나와 옥상 하나면 충분하다(3절). 데이터 양: 매우 적어, 하루 1~2기가바이트에 불과하며, 50년치를 모아도 선반 하나에 들어간다. 유통기한: 수십 년. 결론: 교과서적인 사례로, 지금 이 순간에도 모든 국가의 대사관에서 이루어지고 있을 가능성이 높다. 외무부를 운영하면서도 이전을 미루고 있다면, 당신이야말로 이 슬로건이 존재하는 이유다.

방위 산업체. 표적: 주계약업체와 하청업체 사이의 사이트 간 VPN. 데이터 양: 연간 수십 테라바이트의 CAD 및 시험 데이터로 관리 가능한 수준. 유통기한: 올해 설계된 기체는 2075년에도 비행 중이다. 결론: 실행 가능하고 충분히 가치 있다. 작은 더미, 긴 기억.

소매 은행. 표적: 모든 소비자 트래픽. 데이터 양: 연간 페타바이트 단위. 유통기한: 대부분의 데이터가 몇 시간에서 몇 달 사이. 결론: 아니다. 연간 1억 달러를 테이프에 쏟아부어 결국 2026년의 비밀번호 몇 개를 알아내는 셈이다. 그냥 데이터베이스를 털어라. 누군가는 이미 그렇게 했을 것이다.

유전체 연구소. 표적: 클라우드 스토리지로 향하는 시퀀싱 데이터. 데이터 양: 적절한 커버리지의 유전체 하나가 압축 전 수백 기가바이트이며, 바쁜 연구소는 연간 페타바이트를 생성한다. 유통기한: 영원하며, 당사자의 전체 가족에게도 영향을 미친다. 결론: 이 글에서 가장 가치 있는 표적이지만, 순전히 데이터 양 때문에 전송 중 도청은 여전히 불가능하다. 그러나 저장된 데이터베이스를 훔치면 갑자기 무한한 유통기한을 가진 60테라바이트가 된다. 이것이 위 차트의 화살표가 가리키는 방향이며, 가장 중요한 이동이다.

8. 양모는 이미 창고에 있다

이제 HNDL에서 훨씬 더 많은 주목을 받아야 마땅한 부분으로 넘어가자. 지난 10년간의 모든 대형 데이터 침해는 누군가의 스토리지에 암호화된 아카이브를 남겼다. 인사 파일, 건강보험사, 신용평가사, 호텔 체인 등이 도청된 광섬유와 똑같은 기계에서 기다리고 있다고 추정할 수 있다. 그리고 이것이 훨씬 더 나은 표적인 데는 세 가지 이유가 있다.

첫째, 순방향 비밀성이 없다. 저장 데이터는 세션별 임시 키가 아닌 장기 키로 보호되므로, 키를 한 번만 해독하면 전체 아카이브가 열린다. 이는 기본적으로 RSA 키 전송 방식의 경우다. 한 번에 전부. 둘째, 선별 문제가 이미 해결되어 있다. 유전체 은행을 빼낸 적은 산더미를 뒤질 필요가 없었다. 피해자가 이미 분류하고, 색인하고, 중복을 제거해 놓았다. 두 번째 관문의 어려운 부분은 피해자가 이미 해결해 놓은 것이다. 셋째, 유통기한이 대개 매우 길다. 훔쳐진 유전체 정보는 2045년에도 유효하다.

이를 위해 잠수함은 필요 없다. 아무런 의심 없는 직원에게 전달되는 피싱 이메일 한 통이면 충분하다. 그렇기 때문에 저장 데이터 HNDL이 가능한 행위자의 수는 케이블을 도청할 수 있는 행위자의 수보다 훨씬 많으며, 대부분의 마이그레이션 권고안에서 우선순위 순서가 정확히 뒤바뀐 이유가 여기에 있다. 모두가 언덕 위의 양을 쫓아다니는 동안, 양모 전체(암호화된 데이터, 데이터베이스)는 문이 열린 창고에 묶음째 쌓여 있다.

9. 우리가 아직 모르는 것

한계에 대해 솔직하게 말하자면, 3절부터 8절까지의 내용은 설계상 불완전한 공개 기록을 바탕으로 추론한 것이다. 기밀 프로그램은 기밀이다. 공개된 자료는 대부분 2013년으로 오래되었고, 기술은 발전했다. 저장 비용은 낮아지고, 양자 자원 추정치는 더 빠르게 낮아지고 있다. 여기의 계산 중 일부는 한 자릿수 규모로 바뀔 수 있으며, 일부 결론도 함께 바뀔 수 있다. 추측의 여지가 없는 것은 현재 회선에 실제로 배포된 내용인데, 이는 측정할 수 있기 때문이다. 그래서 나는 직접 측정했으며, 이를 통해 방어가 어떤 관문에서 이기고 있고 어떤 관문에서는 싸움조차 시작하지 않았는지를 더 선명하게 보여준다.

10. 목초지 측정하기

이 글의 현재 양자 안전 보안 태세 연구를 위해 인터넷을 스캔하기 시작했을 때, 내가 찾을 수 있었던 유일한 비교 가능한 공개 연구는 약 32,000개 도메인에 대한 단일 지점 연구15였다. (여기서 지점이란 스캔을 수행하는 위치를 의미한다. 단일 지점 스캔은 한 위치에서 모든 서버에 질문하고, 다중 지점 스캔은 여러 위치에서 질문한다. 이는 일반적으로 글로벌 CDN이 지역별로 설정을 단계적으로 적용하고 있기 때문에 요청이 어디서 오는지에 따라 다르게 응답하는 서버를 포착하기 위함이다.) 내 계획은 더 넓은 범위를 여러 지점에서 동시에 스캔하여, 서비스의 응답이 어떤 지역 프런트엔드가 요청을 받느냐에 따라 달라지는지를 확인하는 것이었다. 그 작업을 진행하는 동안, Wickramasinghe et al.16이 인터넷 규모의 종단 연구를 발표했다. 2025년 7월부터 2026년 3월까지 세 차례에 걸쳐 11개 지점에서 100만 개 도메인에 대해 20억 건이 넘는 TLS 핸드셰이크를 분석한 연구로, 모든 면에서 qgrove보다 규모가 크고 세밀한 측정이다. 따라서 나는 이하 내용을 독립적인 확인으로 제시한다. 다른 인프라를 기반으로 구축된 더 작은 단일 라운드 스캔이지만 동일한 수치에 도달했다.

나는 글로벌 에지 네트워크에서 실행되는 스캐너 qgrove20를 구축했다. 이 스캐너는 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽는다. 이 단일 값이 캡처된 세션이 HNDL에 노출되는지를 결정하며, 아무것도 복호화하지 않고 핸드셰이크의 평문 부분에서 바로 읽을 수 있다. 스캐너는 오픈 소스이며 아래의 모든 수치는 공개된 데이터셋으로 재현 가능하다. 다양한 방법과 출처를 혼합하여 116,589개의 도메인이 스캔 대상으로 선정되었다.

변화하는 것: 핸드셰이크 (기밀성을 위한 키 교환)

최신 TLS를 지원하는 응답 서버 중 35.5%가 이미 하이브리드 양자 후 키 교환을 협상하고 있다. 즉, 최신 버전의 Chrome이 설정하는 것과 동일한, ML-KEM-768과 쌍을 이루는 고전적인 X25519 곡선이다. 이는 최근에 확정된 표준치고는 상당히 큰 수치이며, 계속 상승하고 있다. 그러나 35.5%는 에지에서 측정된 것이며, 에지는 대형 CDN 뒤에 있는 사이트를 볼 수 없다. 다른 방법으로 해당 사이트를 다시 탐색하여 이 맹점을 채웠더니, 상황이 크게 달라졌다. CDN이 한꺼번에 모든 사람에 대해 PQC를 활성화했기 때문에, CDN 프런트엔드 코호트는 거의 100% 하이브리드에 가깝다. 두 수치를 합산하면 전체 인구 추정치는 61.1%로 올라간다. 두 수치 모두 사실이며 서로 다른 것을 의미한다. 솔직한 헤드라인은, 해당 CDN의 에지에서만 실행된 스캔은 PQC를 구조적으로 과소집계한다는 것이다. 인터넷에서 PQC가 가장 많이 적용된 사이트들이 바로 구조적으로 볼 수 없는 사이트들이기 때문이다.

두 레이어는 완전히 다른 속도로 변화한다. 왼쪽: 하이브리드 PQC 키 교환, 에지 측정치 대 전체 인구 추정치. 오른쪽: 인증서 서명, 마이그레이션이 시작조차 되지 않은 영역. 출처: qgrove, 2026년 7월.

변화하지 않는 것: 서명 (인증을 위한)

이제 나머지 절반, 그리고 사람들이 주목해야 할 부분이다. 나는 31,839개의 인증서에서 서명 알고리즘을 살펴보았다. 양자 후 서명을 사용하는 수는 0이었다. “낮다”가 아니라 0이다. 웹은 전적으로 고전적인 ECDSA와 RSA에 의존하여 자신을 인증하고 있으며, 미래의 양자 기계는 이 두 가지를 기존의 키 교환을 깨는 것만큼이나 쉽게 위조할 수 있다. 기밀성 레이어는 마이그레이션을 시작했지만, 인증 레이어는 단 한 발짝도 내딛지 않았다. 이것은 내 표본의 특이한 결과가 아니다. 내 이전의 단일 지점 연구15와 내 연구와 동시에 발표된 인터넷 규모 연구16 모두 양자 후 인증서에서 동일한 0을 보고하고 있으며, 아키텍처 검토18는 서명 측면이 더 어렵고 느린 이유를 설명한다. 전체 인증 기관 계층 구조와 모든 검증 클라이언트를 그 뒤에서 끌어야 하기 때문이다. 기억해야 할 핵심은 이것이다. 대화를 암호화하는 것과 당신이 누구인지 증명하는 것은 두 가지 다른 수학으로 수행되는 두 가지 다른 작업이며, 현재 둘 중 하나만 수정되고 있다.

두 가지 추가 발견, 모두 조용히 유용한

첫째, 섹터별 현황입니다. 보안에 민감한 산업(은행, 방위, 정부)이 선두를 달릴 것이라 예상하겠지만, 실상은 그렇지 않습니다. 하이브리드 PQC 도입률은 제가 분류한 모든 섹터에서 약 27%~39% 사이에 분포했으며, 선두는 금융(28%)이나 방위(29%)가 아닌 일반 대중 웹사이트와 CDN 컨트롤 플레인이었습니다. 도입을 이끄는 것은 필요성이 아니라, 어느 CDN이 기능을 켰느냐입니다. 이는 모든 독립적 측정에서 일관되게 나타나는 결과입니다. 대규모 동시 연구에서 이를 가장 명확하게 수치화하고 있는데, 포스트 양자 TLS 전체의 약 70%가 단 두 개의 사업자, Cloudflare와 Fastly에 기인한다16고 밝히고 있으며, 2030~31년 전환 기한이 가장 이른 국가들이 오히려 기한이 더 늦은 국가들보다 도입률이 낮은 것은 정책적 긴박감과 CDN 시장 점유율이 무관하기 때문입니다. 별도의 연구에서도 프로토콜 버전 층위에서 동일한 지연 현상이 확인됩니다. 일반 TLS 1.3조차 정부(70%), 방위(68%), 에너지 및 핵심 인프라(76.5%), 통신(78.6%)15에서 도입이 뒤처져 있는 반면, 클라우드와 소셜 미디어는 95~100%에 달합니다. 세 가지 서로 다른 스캔, 동일한 패턴. 사용 중인 제공업체가 설정을 바꿨다면 보호받고 있는 것이고, 그렇지 않다면 보호받지 못하고 있는 것이며, 귀사의 산업 분야는 사실상 무관합니다.

둘째, 제가 다중 관측 지점 장치를 구축해 측정하려 한 것, 즉 지구상 어디서 요청하느냐에 따라 서버의 응답이 달라지는지 여부입니다. 북미, 유럽, 일본, 뉴질랜드에 걸친 8개 위치에서 1,787개 도메인을 탐색했습니다. 위치에 따라 다른 응답을 반환한 비율은 0.17%, 세 개 도메인이었으며, 이 세 개를 재검증한 결과 둘은 지리적 요인이 아닌 일반적인 로드 밸런서 불안정으로 판명되어, 1,787개 도메인 중 진정으로 안정적인 지역별 차이를 보인 것은 약 하나에 불과했습니다. 여기서 독립적 검증은 의미가 있습니다. 백만 개 도메인에 대해 11개 관측 지점을 활용한 대규모 연구에서도 같은 규모로 동일한 효과를 보고합니다. 안정적 패널의 0.05%가 클라이언트 위치에 따라 서로 다른 기본값을 협상한다16는 것이며, 이를 저와 마찬가지로 CDN 설정이 지역에 걸쳐 점진적으로 전파되는 현상으로 귀인합니다. 두 연구 그룹, 전혀 다른 장치, 0.05%와 0.06%: 어디서 스캔하느냐는 사실상 중요하지 않습니다.

qgrove 스캔 결과 수치와 그 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 202,258회(전체 도메인 대상 광범위 패스와 4,000개 도메인 서브샘플에 대한 다중 관측 심층 패스), 2026년 7월, 전체 공개. 미리 밝혀둘 주의 사항: (1) 엣지 전용 수치(35.5%)는 구조적으로 과소 집계되며, 통합 수치(61.1%)는 두 가지 측정 방법을 결합한 것으로, 병합 전 99.9% 일치도로 보정되었습니다; (2) 도달 가능한 서버의 약 4분의 1은 구버전 TLS만 지원하여 PQC를 전혀 사용할 수 없으므로, 하이브리드 비율이 최신 TLS 서버 기준으로는 35.5%이지만 전체 도달 가능 서버 기준으로는 27%인 이유가 여기에 있으며, 두 수치 모두 보고되며 어느 쪽도 과장되지 않았습니다; (3) 인증서 및 순방향 비밀성 미지원 수치는 모든 도메인이 아닌 대규모 샘플에서 도출된 것입니다; (4) 선별된 섹터 목록은 타당한 핵심 집합이며 망라적 목록이 아닙니다.

11. 결론

“지금 수집, 나중에 복호화(HNDL)” 슬로건은 방향은 맞지만 규모를 과장하고 있습니다. HNDL은 실재합니다. 국가들이 도청 장치를 보유하고 있다는 것, 선별한 데이터를 보관한다는 것은 명백히 입증되어 있으며, 그들이 기다리는 기계는 아직 만들어지지 않았더라도 서류상으로는 해마다 더 가까워지고 있습니다. 그러나 HNDL이 다섯 가지 관문을 모두 통과하는 경우는 매우 한정적입니다. 한 세대 동안 보관하기에 충분히 작은 규모이고, 개봉 시점에도 여전히 가치가 있는 내용, 즉 외교 통신, 방위 프로그램, 생체 정보 또는 유전체 관련 정보, 소량의 장기 비밀 등에 해당하는 경우입니다. 인터넷과 그 사용자의 상당 부분에 있어서는 위협이 2단계나 4단계에서 소멸합니다. 암호 기술이 버텨서가 아니라, 경제성이 맞지 않기 때문입니다. 보관 비용이 평문 가치보다 비싸고, 읽을 수 있게 될 즈음에는 이미 유효기간이 지나버립니다.

한편, 실제로 우려해야 할 HNDL 유형은 광케이블 도청이 아니고 그럴듯한 슬라이드 자료도 만들기 어렵기 때문에 거의 주목받지 못합니다. 바로 이미 누군가가 들고 나간 암호화된 아카이브입니다. 순방향 비밀성도 없고, 용량 문제도 없고, 잠수함도 필요 없으며, 유효 기간은 수십 년 단위로 측정됩니다.

따라서 실질적인 조언은 화려하지 않습니다. 어떤 데이터의 X값이 수십 년 단위인지 파악하십시오. 대부분의 조직에서 이는 짧은 목록이며, 대개 벤더가 견적을 제시하는 목록과 다릅니다. 그것부터 먼저 마이그레이션하십시오(장기 키로 저장된 모든 데이터, 그리고 전송 중에 아직 RSA 키 전송을 사용하는 모든 것). 그런 다음 나머지는 합리적인 속도로 진행하십시오. 그리고 아무도 아직 시작하지 않은 부분에 주목하십시오. 제 연구를 포함한 현재 문헌의 모든 측정에서, 포스트 양자 키 교환이 웹의 상당 부분에 적용되어 있고 증가 추세임을 확인하지만, 셀 만한 포스트 양자 인증서 서명은 단 하나도 없습니다. 마이그레이션의 기밀성 절반은 대형 CDN 몇 곳이 스위치를 올리면서 순조롭게 진행 중입니다. 그러나 인증 절반은 아직 시작조차 되지 않았습니다. 양자 컴퓨터가 등장하면 키를 깨는 것만큼 쉽게 서명을 위조할 수 있으므로, 핸드셰이크는 마이그레이션했지만 인증서는 그렇지 않은 웹은 새 자물쇠를 달았지만 누구나 곧장 들어올 수 있는 문이 달린 집과 같습니다. 그것이 다음 과제이며, 지금 당장은 울타리가 전혀 없는 상태입니다.

이것은 아무것도 하지 말라는 주장이 아닙니다. 구충제를 사기 전에 양 떼 수를 먼저 세라는 주장입니다. 실제 노출 위험에 따른 마이그레이션은 잘 쓰인 돈이지만, 슬로건에 따른 마이그레이션은 비싼 약욕조와 기생충 가득한 목장만 남기는 결과를 낳습니다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 그리고 202,258행 데이터셋은 github.com/spinsphere/qgrove에서 이용할 수 있습니다. 모든 수치는 저자 자신의 것입니다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록, 비밀 해제 문서에 근거하며, 저자는 비공개 정보를 보유하지 않으며 그러한 정보가 함의되지도 않습니다.

Kaysec는 포스트 양자 준비 태세 및 암호화 민첩성에 관해 자문하며, 주로 이 글에서 실제로 중요하다고 밝힌 수준의 데이터 유효 기간을 가진 조직들을 대상으로 합니다. kaysec.spinsphere.xyz

참고문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비되어 있는가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “백만 개 미만의 잡음 있는 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “피나클 아키텍처: 양자 LDPC 코드를 사용하여 RSA-2048 해독 비용을 물리적 큐비트 100,000개로 절감.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 자원 추정치이며, 하드웨어 시연이 아님. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “양자 취약점으로부터 타원 곡선 암호화폐 보호: 자원 추정치 및 완화 방안.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; UK NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장 문서.
  7. 아이비 벨 작전, 1971~1981년. USS Halibut함, 오호츠크해. 비침습 유도 도청; 월 1회 잠수부 회수, 이후 RTG 전원 방식. Sontag & Drew, Blind Man’s Bluff (1998) 참조.
  8. M. Klein, 선서 진술서 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 사건 자료. 641A호실, 611 Folsom St; 2003년 가동, 2006년 공개; 분기 백본 회선 약 16개(합산 약 15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시에 숨겨진 NSA 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 폭로, 2013~2014년 (The Guardian; Der Spiegel). 10 Gbit/s 탐침 200개 이상, 이론적 용량 하루 약 21.6 PB; 콘텐츠 약 3일, 메타데이터 약 30일 버퍼링.
  11. MUSCULAR 폭로, 2013년 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료.
  12. Lawfare, “해저 케이블에 대한 러시아의 위협 평가”, 육상 착신국 접근 방식이 일상적인 심해 도청을 비매력적으로 만드는 이유에 대해.
  13. AMS-IX 2025년 수치: 연간 트래픽 35.66 EB, 최대 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최대 18.22 Tbit/s; 글로벌 플랫폼 최대 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷의 포스트 양자 준비 태세 측정 연구: 2026년.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인에 대한 단일 관측 지점 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에서의 클라이언트 측 TLS 버전 폴백 문서화. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “격차에 주목하라: 포스트 양자 TLS 배포에서 정책과 현실의 괴리.” arXiv:2607.29005, 2026년 7월. UNSW 시드니 및 조지아 공과대학교. 2025년 7월~2026년 3월 3회차 종단 연구; 핸드셰이크 20억 회 이상, 100만 도메인, 11개 관측 지점. arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks.” arXiv:2603.01091, 2026년 3월. Universidad Carlos III de Madrid. arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey.” arXiv:2510.10436, 2025년. Texas State University. arxiv.org/abs/2510.10436
  • qgrove: 분산 다중 관측점 TLS 포스트 양자 보안 태세 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 타이베이, 2025년 10월 (우수 논문상 수상). 약 800달러짜리 수신기로 관측된 GEO 위성 링크의 50%에서 평문 IP 트래픽이 확인되었으며, 여기에는 통화 및 문자 내용을 포함한 셀룰러 백홀, 전력망 산업제어/SCADA 시스템, 군사 자산 추적, 기내 WiFi가 포함되었다. satcom.sysnet.ucsd.edu
  • WiFi 도청과 그 한계에 대하여: WPA2/WPA3는 무선 구간만을 보호할 뿐 종단 간 세션 전체를 보호하지 않는다. KRACK(Vanhoef & Piessens, 2017) 및 Dragonblood(Vanhoef & Ronen, 2020) 공격, 그리고 이블 트윈/다운그레이드 공격 계열을 참고하라. 무선의 브로드캐스트 특성으로 인해 암호문 수집 비용은 저렴하며, TLS가 핵심 보안 계층으로 남아 있다.