보고서

양자 봄: 지금 수확하고, 나중에 복호화하라 — 실제로 누가, 어떻게 당신의 암호화 데이터를 수집하는지, 그리고 수확물 대부분이 썩는 이유

by Simon McCorkindale

“수확”된 암호화 데이터가 공격자에게 실제로 얼마나 큰 비용을 치르게 하는지, 비축된 데이터를 해독하려면 무엇이 필요한지, 그리고 실제 위협이 어디에 숨어 있는지를 다룹니다. 이 글은 물리적 접근, 저장 경제성, 복호화 가능성, 데이터 유효 기간, 공격자 동기라는 다섯 가지 관문 프레임워크를 기본 원리부터 살펴보고, 오늘날 실제로 배포된 양자 내성 암호화가 무엇인지에 대한 독자적인 인터넷 전체 스캔 결과를 바탕으로 논의를 전개합니다.

요약. “지금 수집하고 나중에 복호화한다”(HNDL)는 양자 내성 암호화로의 전환을 서둘러야 하는 이유로 모든 사람이 꼽는 논거입니다. NIST(미국 국립표준기술연구소), CISA(미국 사이버보안 및 인프라 보안국), 영국 NCSC(국가사이버보안센터; 뉴질랜드에도 동명의 기관이 있습니다), 그리고 벤더들이 더욱 목소리를 높여 이를 말하지만, 그 근거를 직접 확인하는 사람은 거의 없습니다. 실제로 수집하는 주체는 누구인가? 어디서 수집하는가? 얼마나 저장해야 하며 그 비용은 얼마인가? 그리고 양자 컴퓨터가 마침내 등장했을 때, 수집된 데이터 중 읽을 가치가 남아 있는 것은 무엇인가? 이 글은 HNDL을 반복해야 할 사실이 아니라 검증해야 할 주장으로 다룹니다. 위협은 실재하지만 범위가 좁습니다. 데이터의 가치가 수십 년간 유지되고 비축 규모가 작은 경우에만 유효하며, 대부분의 트래픽에서는 암호학적 한계보다 경제적 한계에 훨씬 먼저 부딪힙니다. 더 크고 조용한 문제는 이미 타인의 저장소에 쌓여 있는 암호화 데이터입니다. 이 연구는 독립적인 가설에서 출발했습니다. 초안을 작성하는 과정에서 이와 관련된 2026년 연구들을 발견했습니다. 일부는 제 발견을 확인해 주었고, 하나는 이의를 제기했으며, 저는 각각에 대해 사후에 논리를 끼워 맞추는 대신 솔직하게 논의했습니다. 저의 독자적인 스캔 결과는 가장 큰 동시대 측정 연구와 일치합니다. 양자 내성 키 교환은 인터넷의 상당하고 증가하는 비율에서 이미 작동 중이며, 이는 압도적으로 소수의 인프라 공급자에 의해 주도되고 있습니다. 반면 신원 증명 역할을 하는 양자 내성 서명은 31,839개의 인증서 전체에서 여전히 제로 상태입니다. 핸드셰이크는 수정되고 있지만, 인증은 그렇지 않습니다.

1. 이름에서 틀린 부분

모든 농부는 수확이 무엇을 뜻하는지 압니다. 그것은 좋은 시기, 즉 일이 끝나고 그 해가 가치 있었는지 알게 되는 보상의 순간입니다. 그러므로 “지금 수집하고 나중에 복호화한다”는 실제로 벌어지고 있는 일에는 묘하게 어울리지 않는 이름입니다. 지금 일어나고 있는 것이 수확이 아니기 때문입니다. 지금 일어나고 있는 것은 파종입니다. 누군가 조용히 암호화된 트래픽을 모아 저장소에 쌓아두고 기다리고 있습니다. 아직 거두는 것이 아니라 심고 있는 것이며, 날씨가 바뀌기를 바라고 있습니다.

그들이 기다리는 것은 암호학적으로 유의미한 양자 컴퓨터, 즉 CRQC입니다. 오늘날의 키 교환과 서명(RSA, 디피-헬만, 타원 곡선)을 보호하는 수학에 대해 쇼어 알고리즘을 실행할 수 있을 만큼 충분히 큰 컴퓨터입니다. 그 기계가 존재하는 순간, 암호문으로 가득 찬 저장소는 해독 가능한 상태가 됩니다. 그때까지는 매우 비싼 노이즈 더미에 불과합니다. 그 순간을 양자의 봄이라 부르고, 그 기다림을 양자의 겨울이라 부릅시다. AI 겨울처럼 기다리던 것이 끝내 오지 않는 종류가 아니라, 농사짓는 겨울처럼 계절이 반드시 온다는 것을 알면서 그저 추위를 버텨야 하는 종류입니다.

양자 내성 암호화(PQC)는 방어자의 해답입니다. NIST에서 나온 새로운 품종(암호화 알고리즘)인 ML-KEM, ML-DSA, SLH-DSA(NIST FIPS 203/204/205)1이 있으며, NIST에 제안된 추가 후보들도 현재 평가 중입니다. 양자 수집자는 이것들을 처리할 수 없습니다. 단, 그 함정은 크기가 상당한데, PQC는 이미 저장소에 있는 것에 대해서는 아무런 효력이 없다는 점입니다. 어제 수집된 것은 여전히 수집 가능한 상태로 남아 있으며, PQC는 지금부터 파종하는 것만 보호합니다. 따라서 두 개의 시계가 동시에 돌아가고 있습니다. 하나는 기계가 도착하기 전에 품종을 바꾸기 위해 달리는 당신의 시계이고, 다른 하나는 당신이 아직 그것을 공개적으로 파종하는 동안 최대한 많은 구식 데이터를 비축하기 위해 달리는 그들의 시계입니다.

암호학을 모르는 분들을 위한 한 단락 요약. 데이터를 보호하는 수학에는 두 종류가 있습니다. 한 종류는 실제 내용을 뒤섞는 것(주로 AES)으로, 양자 컴퓨터가 거의 영향을 미치지 못하며 AES-256은 안전할 것입니다. 다른 종류는 두 컴퓨터가 비밀 키(AES로 내용을 암호화하는 데 사용하는 비밀번호)를 처음에 어떻게 합의하는지, 그리고 서로가 누구인지 어떻게 증명하는지에 관한 것입니다. 그것이 RSA와 타원 곡선이며, 양자 컴퓨터는 이를 아침 식사처럼 해치웁니다(흔히 공개키/개인키 암호화라고 불립니다). 따라서 누군가 “양자가 암호화를 깬다”고 말할 때, 그것은 자물쇠 자체가 아니라 초기 핸드셰이크를 깬다는 뜻입니다. 이것이 HNDL이 기록된 핸드셰이크를 대상으로 하는 이유입니다. 핸드셰이크를 얻으면 키를 얻고, 그 이후의 모든 것을 얻게 됩니다.

대부분의 사람들이 사용하는 프레임은 Michele Mosca의 부등식2입니다. X(데이터가 비밀로 유지되어야 하는 기간)와 Y(마이그레이션에 걸리는 기간)를 더한 후, 이를 Z(기계가 존재하기까지 걸리는 기간)와 비교합니다. X + Y > Z이면, 오늘 전송하는 모든 것에 대해 이미 경쟁에서 진 것입니다. 훌륭한 산수입니다. 문제는 Z가 계속 움직이고 있으며, 그것도 한 방향으로만 줄어들고 있다는 점입니다. 2019년에 RSA-2048을 해독하는 데 필요한 추정치는 약 2,000만 개의 노이즈 있는 큐비트로 여덟 시간이었지만, 2025년 5월에는 동일한 연구자가 100만 큐비트 미만에 약 일주일 수준으로 낮췄습니다3. 6년 만에 20배가 줄었으며, 이는 더 나은 하드웨어가 아니라 더 나은 알고리즘에서 비롯된 것입니다. 아직 기계를 만든 사람은 없습니다. 그러나 목표가 계속 가까워지고 있으며, 이것이 인내심 있는 공격자가 파종할 가치가 있다고 판단하는 조건입니다.

그 이후로 두 번 더 움직였지만 같은 조건에서는 아닙니다. 2026년 2월에는 RSA-2048을 10만 개 미만의 물리적 큐비트로 해결할 수 있다고 주장하는 qLDPC 아키텍처4가 등장했고, 3월에는 Google, 이더리움 재단, 스탠퍼드 공동 논문5이 둘 중 훨씬 약한 256비트 타원 곡선을 50만 개의 물리적 큐비트와 수 분의 실행 시간으로 처리할 수 있다고 발표했습니다. 두 논문 모두 가정을 고정하는 대신 바꾸는 방식으로 목표에 도달하며, 큐비트 수를 연결성과 아직 대규모로 실현된 적 없는 디코딩 기법과 맞바꿉니다. 이는 면죄부가 아니라 경고입니다. Z는 계획 수치이며, 이 논문들은 아무것도 만들지 않은 채 계속 그 수치를 흔들어 놓고 있습니다.

양자 키 분배(QKD)에 대해 한마디 하자면, PQC를 논할 때 자주 함께 거론되기 때문입니다. 이 분야에는 많은 연구와 개발이 이루어지고 있으며 전망도 밝지만, 이 글의 범위를 벗어납니다. NSA의 CNSA 2.0, 영국 NCSC, 프랑스 ANSSI 모두 PQC를 사용하라고 명확히 권고하고 있습니다6. QKD는 특수 하드웨어가 필요하고, 점대점 방식으로만 작동하며, 이미 가득 찬 저장소에 대해서는 아무런 효과가 없습니다. QKD는 하나의 전용 회선에서 향후 대화를 보호합니다. 이상적인 보안 미래는 두 가지 접근 방식의 조합일 수 있습니다.

동시 연구에 대한 메모. 이 글은 2026년 현재 암호화 데이터 수집의 실질적 현실과 어려움, 그리고 데이터를 수집하기 위한 스캔 작업에 대한 독립적인 연구 관심에서 시작되었습니다. 초안을 작성하는 과정에서 2026년이 이 분야에서 활발한 해였음을 알게 되었습니다. Blanco-Romero 외17는 수집의 저장 경제성을 모델링하여 제가 일부 이의를 제기하는 결론에 도달했습니다(4절). Wickramasinghe 외16는 인터넷 규모의 종단적 양자 내성 TLS 측정을 수행하여 제 스캔 결과를 선행하고 확인했습니다(10절). 더 넓은 범위의 조사는 주변 환경을 지도화합니다(Bertino 외18; Chhetri 외19). 이 연구들을 중심으로 논거를 재구성하는 대신 원래 구조를 유지하고, 각 연구가 본문과 관련되는 지점에서 논의했습니다. 다른 연구자들이 먼저 도달한 곳에서는 이를 투명하게 밝히고, 독자적인 데이터가 그들의 것과 일치하는 경우 그 일치 자체를 하나의 결과로 다룹니다.

“지금 수집하고 나중에 복호화한다”는 슬로건이 이름 붙여진 계절은 가장 마지막에 도래합니다. 위험한 작업은 몇 년 앞서 파종 시기에 일어납니다. 역량 곡선의 형태는 예시적이며, 그 위치는 누구도 알 수 없습니다(즉, 실제 시점은 알 수 없으며, 2032년까지 CRQC가 완성된다고 보장하지 않습니다!). 방향만은 확실합니다.

2. 다섯 가지 관문

논의가 보통 잘못되는 지점이 여기입니다. 사람들은 HNDL을 당신에게 일어나고 있거나 일어나고 있지 않거나 하는 하나의 사건으로 취급합니다. 그것은 하나의 사건이 아닙니다. 연속적인 과정이며, 공격자가 원하는 모든 바이트는 그 모든 단계를 통과해야 합니다. 가축 이동에 비유해 봅시다. 첫 번째 관문은 목초지까지 접근할 수 있는가이고, 두 번째는 넣어둘 공간이 있는가이며, 세 번째는 들어온 뒤에 실제로 뭔가를 할 수 있는가이고, 네 번째는 처리할 때쯤 가축에 가치가 남아 있는가이며, 다섯 번째는 이 모든 것을 감안했을 때 처음부터 시도할 가치가 있었는가입니다. 어느 관문에서든 실패하면 기름값과 목양견 먹이값(양몰이를 위한)이 전부 낭비입니다.

이 글의 나머지 부분은 관문을 하나씩 살펴봅니다. 그 전에, 아래에서 양자 시대 보안 문제의 더 넓은 범주를 개괄합니다.

문제공격 대상피해 발생 시점실행에 필요한 것대응 시기
HNDL, 전송 중 데이터키 교환 (RSA, (EC)DHE)CRQC 등장 시도청 장치, 대용량 저장 공간, 그리고 아직 존재하지 않는 기계지금 심어야 함
HNDL, 저장된 데이터저장 데이터의 장기 키CRQC 등장 시단 한 번의 침입 성공, 그리고 동일한 기계지금 심어야 함
과거 서명 위조RSA/ECDSA 서명CRQC 등장 시수집된 인증서와 기계나중에
PQC 칩 공격실리콘 내 PQC 검증현재물리적 접근과 오류 주입 장비지금
위조 인증서, 미래의 MITM신뢰 체인CRQC 등장 시기계와 네트워크 상의 위치나중에

상단에 굵게 표시된 두 항목이 진정한 의미의 HNDL이며, 훨씬 나중에 효과를 발휘하기 위해 오늘 행동해야 하는 유일한 두 가지다. 바로 그것이 지금 이를 조사하고 논의할 가치가 있는 이유다. 또한 오늘의 행동이 흔적을 남기기 때문에 확인이 가능하다는 점에서도 의미가 있다.

3. 첫 번째 관문: 접근 자체가 가능한가?

광섬유 같은 케이블을 도청하는 것은 고된 작업이다. 침실에 앉아 노트북으로 할 수 있는 일이 아니다. 실제 광섬유에 직접 손을 대거나, 광섬유를 소유한 자를 향한 법원 명령이 필요하다. 그것만으로도 거의 모든 사람이 걸러진다. 남은 것은 각국 정부이며, 그마저도 소수에 불과하다.

가장 잘 기록된 사례는 가장 오래된 것 중 하나이기도 하며, 실로 놀랍다. 1971년 미국은 개조된 잠수함 USS Halibut함을 오호츠크해에 파견해 수심 120미터에 잠긴 소련 군사 케이블을 찾아냈다: 작전명 아이비 벨스(Operation Ivy Bells)7. 잠수부들은 손목 굵기만 한 케이블에 6미터짜리 유도 장치를 감아, 케이블을 절단하지 않고도 신호를 읽어냈다. 이 작전은 거의 10년간 지속되었다.

스파이 소설 같은 내용보다 두 가지 세부 사항이 더 중요하다. 첫째, 그들이 케이블을 찾아낸 것은 해변에 세워진 여기에 케이블 있음. 닻 내리지 마시오라는 표지판 덕분이었다. 둘째는 물류다. 수년간 정보를 수거하는 방법은 잠수부가 직접 매달 물속으로 들어가 테이프를 교체하는 것이었다. 누군가가 직접 가서 가져와야 했다. 이후 버전은 핵 동위원소 발전기로 구동되어 1년치 분량을 저장할 수 있었는데, 1년에 한 번만 가면 된다는 이유로 대단한 발전으로 여겨졌다. 이 점을 기억해 두라. 수확에서 가장 어려운 부분은 도청 자체가 아니라, 쌓인 데이터를 어떻게 처리하느냐였다.

현대적 방식

광섬유는 방법을 바꿨을 뿐, 제약 조건은 바꾸지 못했다. 2006년 AT&T 기술자 마크 클라인(Mark Klein)은 샌프란시스코 폴섬 스트리트 611번지(641A호실)의 잠긴 방을 묘사했는데, 그곳에서 광학 분배기가 백본 트래픽을 복사해 심층 패킷 검사(deep packet inspection)를 위한 Narus STA 6400이 설치된 랙으로 전송하고 있었다8. 2003년부터 운영되고 있었다. 분배기는 약 16개의 백본 회로(약 15Gbit/s의 트래픽)에서 전체 광 신호를 복제했고, Narus 장비는 실시간으로 심층 패킷 검사를 수행했다. 클라인의 문서는 전자 프런티어 재단(Electronic Frontier Foundation)의 AT&T 소송 증거가 되었고, 이후 보도에서 미국의 다른 도시들에도 유사한 방이 존재한다는 사실이 밝혀졌다9. 역사적 거울 하나를 주목할 만하다. 2003년에는 분배기가 복사한 내용의 대부분이 평문이었다. 오늘날 같은 도청은 암호문을 복사하며, 이것이 바로 HNDL이 우려의 대상이 된 이유다.

구조적 핵심은 변하지 않는다. 광섬유의 분배기는 광 계층에서 트래픽을 복사한다. 방화벽도 감지하지 못하고, 침입 탐지 시스템도 잡아내지 못하며, 엔드포인트는 전혀 알 수 없다. 그러나, 이것이 핵심인데, 분배기는 회선에 있는 것을 복사하며, 회선에 있는 것은 이미 암호화되어 있다. 분배기는 암호화를 깨지 못한다. 복사본을 저장소에 넣고 기다릴 뿐이다.

영국에서도 같은 이야기가, 잠시 멈춰야 할 규모로 펼쳐졌다. 2011년 중반까지 GCHQ는 TEMPORA라는 프로그램 아래 200개 이상의 광섬유 링크에 각각 10Gbit/s 용량의 프로브를 설치했으며10, 동시에 최소 46개를 처리할 수 있었다. 이론상 하루 21페타바이트 이상의 흐름에 접근할 수 있었다. 가디언지는 이를 영국 도서관 전체 장서의 192배에 해당하는 양이 매 24시간마다 쌓이는 것이라고 표현했다. 그러나 이하 모든 내용에서 중요한 부분이 있다. 그들은 그것을 보관할 수 없었다. 콘텐츠는 3일, 메타데이터는 30일만 버퍼링되었다. 인프라를 절반쯤 소유한 국가 행위자조차, 국가적 규모로 운영하면서도, 콘텐츠에 대해 단 3일짜리 롤링 창으로 제한되었다. 이 점을 기억하라. 이는 두 번째 관문이 일찍 등장하는 것이다. 관련된 공동 작업은 당시 내부 경계에서 암호화되지 않은 채 운영되던 주요 클라우드 제공업체 데이터 센터 간 링크를 노렸다11. 보도에 따르면 TLS는 공개 경계에서 추가되고 제거되었다. 이것이 기록에서 가장 교훈적인 대목이다. 암호화를 뚫은 것이 아니라, 우회한 것이다. 데이터가 잠시 평문 상태로 있던 유일한 곳으로. 제공업체들이 이를 인지하고 내부 링크를 암호화하면서 그 허점은 닫혔다.

케이블이 항상 필요한 것은 아니다

여기서 관문을 더 넓혀야 한다. 위의 내용은 모두 유선에 관한 것인데, 세계 트래픽의 상당 부분은 공격자가 접근할 수 있는 유선을 전혀 통과하지 않기 때문이다. 무선은 방송이다. 범위 내 누구나 수신할 수 있고, 절단도, 육상 기지국도, 영장도 필요 없다12. 이는 공중을 통과하는 구간이 있는 모든 것에 대해 물리적 접근 장벽을 바닥으로 낮추며, 그런 트래픽이 상당히 많다는 것이 밝혀졌다.

가장 명백한 것부터 시작하자: WiFi. 노트북이 전송하는 모든 프레임은 사방으로 방사되며, 모니터 모드의 저렴한 어댑터를 가진 범위 내 누구든 모두 캡처할 수 있다. 두 가지가 우리를 지켜준다. WiFi 계층 자체의 암호화(WPA2, WPA3)가 공중에서 프레임을 뒤섞지만, 이는 내부 TLS와는 별개의 더 단명하는 자물쇠다. 기기에서 액세스 포인트까지의 구간만 보호할 뿐, 종단 간 세션은 보호하지 않는다. 그리고 반복적으로 다운그레이드, 해킹, 우회되어 왔다(WPA2 대상 KRACK, WPA3 대상 Dragonblood, 모든 것을 공격자를 통해 중계하는 이블 트윈 액세스 포인트)22. WiFi 계층을 걷어내면 아래에 TLS가 남으며, 이는 수집 질문으로 되돌아간다. 취약한 WiFi 위의 현대적 TLS 1.3은 여전히 순방향 비밀성을 제공하고 양자 기계가 필요하지만, 개방된 카페 네트워크나 공격자가 키를 알고 있는 WPA2 네트워크는 암호화된 TLS 스트림을 무료로 건네준다. HNDL 관점에서 WiFi 도청은 암호문을 수집하는 저렴한 방법이다. TLS를 무력화하지는 못하지만, 목표물 수백 미터 이내 누구에게나 ‘물리적으로 접근할 수 있는가’라는 관문을 거의 완전히 제거한다.

다음은 이동통신이다. 2G는 도청자에게 선물이었다. IMSI 캐처(가짜 기지국, ‘스팅레이’)는 휴대폰을 취약한 암호로 다운그레이드시켜 트래픽을 평문으로 읽을 수 있었다. 4G와 5G는 훨씬 낫지만, 이에 대한 다운그레이드 공격은 활발한 연구 분야이며, 같은 원리가 적용된다. 무선 계층이 취약한 부분이고, 그 위에서 실행되는 종단 간 암호화가 실질적인 보호를 제공한다. 역시 수집 비용이 저렴하며, 점점 더 그 아래의 암호화만이 공격자와 평문 사이의 유일한 장벽이 되고 있다.

그리고 특정 고가치 트래픽에 대해 ‘도청(감청)은 어렵다’는 전제 전체를 뒤집기 때문에 놀라운 것이 있다. 바로 위성이다. 2025년 10월, UC 샌디에이고와 메릴랜드 대학교 연구진이 Don’t Look Up을 발표했고(ACM CCS에서 Distinguished Paper 상을 받았다), 그 발견은 믿기 어려울 정도다. 그들은 샌디에이고 옥상에서 800달러짜리 시판 위성 안테나를 하늘을 향해 설치하고21 3년간 관측한 결과, 볼 수 있었던 정지궤도 위성 링크의 약 절반이 완전히 암호화되지 않은 채 민감한 데이터를 전송하고 있음을 발견했다. TLS도, VPN도, 아무것도 없었다. 뒤섞여 나중에 해독해야 하는 것이 아니라, 지금 당장 읽을 수 있는 상태였다. 평문으로 발견된 것들: 주요 이동통신사의 위성 백홀을 통한 통화 및 문자 내용, 상공을 지나는 항공기의 기내 WiFi 트래픽, 군사 자산 추적, 그리고(HNDL의 실제 대상에서 중요한 부분) 공공 인프라를 운영하는 산업 제어 및 SCADA 트래픽. 그리고 그들은 캘리포니아의 고정된 한 지점에서 궤도 위성의 약 15%만 볼 수 있었다. 여러 대륙에 안테나를 둔 국가 행위자는 훨씬 더 많이 본다.

이는 케이블 이야기와 두 가지 면에서 다른 위협이며, 두 가지 모두 첫 번째 관문의 편안한 버전에 반한다. 첫째, 접근이 사소하다. 잠수함이 아니라 수백 달러와 하늘이 보이는 위치만 있으면 된다. 둘째, 피해자들에게 더 나쁜 것은, 이 트래픽의 대부분은 수확-후-보관 문제조차 아니라는 점이다. 읽기 위해 미래의 양자 기계가 필요하지 않기 때문이다. 이미 평문이다. 양자적 측면은 암호화된 위성 링크에만 관련이 있다. 암호화되지 않은 절반에 대해서는 나중에 복호화한다는 것이 의미 없다. 복호화할 것이 없으니까.

첫 번째 관문 판정. 백본 광섬유의 경우 관문이 높다. 소수의 국가, 물리적 접근 또는 법적 압박, 상당한 비용이 필요하다. 그러나 ‘감청은 어렵다’는 말은 항상 케이블에 관한 말이었으며, 많은 트래픽은 중요한 지점에서 케이블을 사용하지 않는다. 무선은 범위 내 누구에게나 스스로를 방송하고, WiFi와 이동통신은 공격자에게 암호화된 스트림을 저렴하게 건네며, TLS만이 실질적인 역할을 하도록 남겨둔다. 위성은 놀랍게도 링크의 절반에 대해 평문을 직접 제공한다. 따라서 관문의 솔직한 버전은 다음과 같다. 광섬유 백본에는 높고, 공중에서 시간을 보내는 모든 것에는 낮거나 거의 없다. 이는 논거를 약화시키기보다 날카롭게 한다. 이 글 전체에서 다루는 장기 보관 대상(VSAT 링크의 대사관, 위성 SCADA의 공공시설, 마이크로파 중계의 방위 시설)에 대해 감청 관문은 종종 활짝 열려 있으며, 공격자와 데이터 사이에 남은 유일한 것은 정확히 이 글의 나머지 부분에서 검토하는 암호화다.

4. 두 번째 관문: 충분히 큰 저장소가 있는가?

탭을 확보했다고 가정해 보자. 이제 그 내용물을, 양자 컴퓨터가 등장할 혹시 모를 경우에 대비해, 아마도 15년간 보관해야 한다. 바로 여기서 이야기는 산수와 부딪히고, 그 산수는 가혹하다.

두루뭉술한 추정 대신 실제 수치를 사용해 보자. 네트워크들이 서로 트래픽을 교환하는 주요 공개 피어링 포인트 중 하나인 암스테르담 인터넷 익스체인지 AMS-IX는 2025년 수치를 공개했다13: 연간 총 트래픽 35.66 엑사바이트, 최대 14.2 Tbit/s. 프랑크푸르트의 또 다른 인터넷 교환소 DE-CIX는 약 48 엑사바이트를 기록했다14. 이것은 추정치가 아니라 운영자들이 직접 발표한 수치다. 그리고 AMS-IX는 하나의 교환소에 불과하다. 전 세계에는 천 개가 넘는다.

그렇다면 AMS-IX에서 1년간 전체 트래픽을 수집하기로 결정했다고 해 보자. 무엇이 필요할까?

아무도 비용을 계산하지 않는 두 가지 병목. 왼쪽: 하나의 교환소에서 1년간 전체 수집했을 때 필요한 테이프 용량. 오른쪽: 끝에 있는 기계가 마법 지팡이가 아니라 병목인 이유 — 임시 키 교환은 세션마다 별도의 작업을 요구한다.

카트리지당 18TB인 LTO-9 테이프 기준으로, 35.66 엑사바이트를 저장하려면 연간 약 200만 개의 카트리지가 필요하다. 개당 약 100달러라면 드라이브 한 대, 인건비 한 푼도 들기 전에 테이프 비용만 연간 1억 9,800만 달러다. LTO-9 드라이브의 기록 속도는 약 400 MB/s인데, 유입되는 트래픽을 실시간으로 따라잡으려면 연중무휴 1초도 쉬지 않고 2,826대의 드라이브를 풀가동해야 한다. 이것은 서버실이 아니라 공장이다.

그리고 아무도 계산하지 않는 부분이 있다. 테이프는 순차 접근 방식이라 무언가를 찾으려면 감아서 돌려야 한다. 똑같은 2,826대의 드라이브가 읽기만 한다면, 1년치 테이프를 다 읽는 데 꼭 1년이 걸린다 — 쓰기와 읽기 속도가 같기 때문이다. 즉, 이 아카이브는 정확히 한 번만 읽을 수 있으며, 그것도 읽는 동안 수집을 완전히 중단해야 가능하다. 두 번 검색하고 싶다면? 공장을 하나 더 지어야 한다.

하드 디스크도 구원책이 아니다. 드라이브당 24TB 기준으로 약 150만 개의 하드 드라이브가 필요하고, 금액으로는 약 6억 달러이며, 냉각까지 포함하면 약 11 MW의 전력을 소비한다 — 소도시 하나가 쓸 전기를 교환소 하나의 1년치 데이터를 유지하는 데 쓰는 셈이다. 전 세계 트래픽의 1%만으로도 이야기는 터무니없어진다: 언젠가 존재하지도 않는 기계가 딱 한 번 읽어줄지 모른다는 가정 하에, 매년, 영원히, AMS-IX 규모의 인프라를 수십 배씩 쌓아야 한다.

이 글의 계산에서 다루지 않은 다른 요인들도 있다: 데이터 압축·해제에 드는 시간 비용, 테이프 로딩·언로딩 작업 등. 물론 다른 저장 매체도 존재하며, 이것은 단일 지점에서 1년치 데이터를 전량 수집하는 극단적인 사례이기는 하다. 그러나 이 사례는 데이터의 엄청난 규모와 그것을 저장·처리하는 데 따른 경제적 현실을 잘 보여준다.

이 지점에서 나는 이 경제성 문제를 가장 신중하게 다룬 선행 연구와 견해를 달리한다. Blanco-Romero 외17는 동일한 저장 문제를 모델링하면서, 보유 비용이 “경제적으로 사소한 수준”이라고 결론 내렸다: 원시 미디어 가격(LTO 테이프 약 5달러/TB를 인용)을 기준으로 하면 전 세계 트래픽의 1%를 수집해도 연간 약 10억 달러 수준으로, 국가 예산 안에 충분히 들어온다고 본 것이다. 그들의 계산 자체는 타당하며 미디어 비용에 대해서는 이의가 없다. 내가 이의를 제기하는 것은 미디어 비용이 핵심 제약이라는 전제다. 테이프 원가는 예산에서 가장 싼 항목이다; 실제로 발목을 잡는 것은 실시간으로 데이터를 기록하기 위한 드라이브 공장, 그것을 다시 읽기 위한 두 번째 공장, 해독 불가능한 암호문 더미에서 무언가를 찾아내기 위한 색인 작업, 그리고 이 모든 것을 15년간 유지하기 위한 물리적 시설이다. 그들의 모델은 그들 스스로 밝혔듯 정지 상태의 미디어 비용만을 분리하여 다루고, 수집·검색 기계 비용은 제외했다. 프로토콜 수준의 방어책을 논하는 그들의 연구 목적에는 합당한 범위 설정이다; 그러나 그 제외된 비용을 다시 포함하면, “사소하다”는 표현은 “이 특정 트래픽이 15년간의 산업적 투자를 감수할 만하다고 이미 결정한 경우에만 감당 가능하다”는 말이 된다 — 이는 결국 다른 방식의 선별에 불과하다. 우리는 그들과 같은 결론에 도달한다(수집은 무차별적이지 않고 선별적이다), 다만 저장 항목을 반대로 읽어서다. 그리고 그들의 결론, 즉 방어자는 수명이 가장 긴 고가치 데이터를 우선적으로 분류해야 한다는 주장은 정확히 나의 것이기도 하다.

두 번째 관문 평결. 무차별 수집은 허상이다. 어렵거나 비싼 것이 아니라, 산술적으로 터무니없다. 실제 공격자는 반드시 무엇을 보관할지 선택해야 하며, 선택하는 순간 그 위협은 모두의 문제가 아니라 누군가의 문제가 된다. 당신이 수집 대상인지 알고 싶다면, 그들이 무엇을 가져갈 수 있는지 묻는 것을 멈추고 그들이 무엇을 15년간 보관하는 데 돈을 쓸지 묻기 시작하라. (15년은 임의적이지만 시사적인 기준으로 사용된 것이다: 추정에 기반해 데이터를 다루기에는 긴 시간이다.)

5. 세 번째 관문: 그 내용물이 실제로 복호화될 것인가?

탭을 설치하고 보관 비용도 지불했다고 가정해 보자. 마침내 기계가 도착했다. 쌓인 데이터가 열릴까? 이는 전적으로 키가 어떻게 합의되었느냐에 달려 있으며, 이것이 HNDL 논의 전체에서 가장 설명이 부족한 부분이다.

수집물이 실제로 가치가 있는지는 키가 어떻게 합의되었느냐에 달려 있다. RSA 키 전송은 HNDL에 완전히 노출되어 있고, 임시 (EC)DHE는 세션마다 별도의 CRQC 작업을 강제한다. 어느 경우든 핸드셰이크 서명은 여전히 위조 가능하므로, 누가 누구와 통신했는지는 여전히 노출된다.

구식 방식인 RSA 키 전송은 악몽 시나리오다. 클라이언트가 세션 비밀을 서버의 장기 공개 키로 암호화하기 때문에, 그 키 하나만 한 번 해독하면 해당 서버와 나눈 모든 과거 대화가 동시에 열린다. 키 하나로 전부. 이것이 그 슬로건이 암묵적으로 전제하는 시나리오이며, 그것이 그토록 위협적으로 들리는 이유다.

그러나 현대 TLS는 그런 방식으로 작동하지 않는다. TLS 1.3은 임시 디피-헬만을 의무화하며, ECDHE를 사용하는 TLS 1.2도 동일한 역할을 한다. 이 방식에서는 각 세션이 자체적으로 일회용 비밀을 생성한다. 서버의 장기 키는 핸드셰이크에 서명하지만 내용을 암호화하지 않기 때문에, 그 키를 해독해도 무슨 말이 오갔는지는 알 수 없다. 임시 세션을 읽으려면 해당 세션의 키 교환을 해독하고, 다음 세션을 해독하고, 그 다음 세션을 해독해야 한다. 한꺼번에 다 여는 지름길은 없다: 털깎기 작업대 하나에 양 한 마리씩, 그리고 양 한 마리마다 시간이 걸린다.

얼마나 걸릴까? Gidney의 2025년 추산3에 따르면 RSA-2048 키 하나를 해독하는 데 약 일주일의 기계 시간이 걸린다. 타원 곡선은 더 저렴하지만 같은 범주에 속한다. 따라서 백만 개의 포착된 임시 세션에 필요한 것은 “양자 컴퓨터” 한 대가 아니라, 약 백만 번의 개별 양자 작업이다. 낙관적으로 잡아 하루 한 작업이라 해도 수천 기계-연이 필요하다. CRQC는 망원경처럼 예약 명단이 있는 희귀한 국가 자산이 될 것이다; 아무도 당신의 동영상 스트리밍 세션을 그 기계에 돌리지 않는다. 여기서 역직관이 시작된다: 물론 양자 기계, CRQC는 이제 우리를 위해 쇼어 알고리즘을 실행할 만큼 충분히 강력하고 “빠르지만”, 작업 수(각각 양자 알고리즘의 단일 실행)를 감안하면 경제성이 얼마나 줄어드는지 실감할 수 있다: 해독해야 할 암호화 세션 수에 양자 컴퓨터에서의 알고리즘 실행 시간(현재 예상되는 수 시간에서 수 주까지)을 곱한 값은, Z가 감소함에 따라 분명히 달라지겠지만, 여전히 논쟁의 여지가 있는 부분이다.

두 가지 사실이 이것을 낙관하지 못하게 한다. 첫째, 순방향 비밀성은 내용을 보호하지 서명을 보호하지 않는다: 미래의 기계는 여전히 포착된 핸드셰이크의 인증을 위조할 수 있으므로, 누가 누구와 통신했는지는 노출되며, 이것이 종종 더 중요한 정보다. 둘째, 더 심각한 문제로, 인증서 계층은 전혀 변화가 없다. 사실상 전체 웹을 인증하는 서명은 여전히 고전적인 RSA와 ECDSA다, 내 직접 측정이 이를 확인한다(10절). 기밀성 측면에서는 마이그레이션이 시작되었지만, 인증 측면은 아직 출발선도 떠나지 않았다.

세 번째 함정이 있으며, 이것이 많은 노력을 조용히 무너뜨린다. “서버가 마이그레이션했다”는 것은 “세션이 안전하다”는 것과 다르다. 왜냐하면 협상된 암호화 알고리즘은 언제나 양쪽 끝 중 더 약한 쪽만큼만 현대적이기 때문이다. Dubey와 Varshney15는 명확한 사례를 포착했다: 한 인도 은행(icici.bank.in)이 현대적인 기기에는 TLS 1.3, X25519, AES-256을 사용하는 QUIC(양자 순방향, 순방향 비밀, 원하는 모든 것)을 제공하면서, 동일한 도메인에 다른 기기로 접속하자 ECDHE-RSA와 AES-128을 사용하는 TLS 1.2로 폴백했다. 같은 서버, 같은 날, 두 클라이언트, 완전히 다른 두 가지 보안 수준. 폴백 세션은 여전히 순방향 비밀성을 갖추어 RSA 전송의 악몽은 아니지만, 아무도 선택하지 않았고 아무도 인지하지 못한 폴백이며, 어느 한쪽이 조금만 더 구식이었다면 RSA 키 전송으로 떨어져 완전히 수집 가능한 상태가 되었을 것이다. 상대방 끝을 확인할 수 없는 마이그레이션은 신뢰할 수 있는 마이그레이션이 아니다.

6. 네 번째 관문: 그래서 어쩌겠다는 것인가?

이것은 아무도 이야기하지 않는 관문이며, 대부분의 데이터 더미가 무너지는 지점이다. 상상해 보라. 대형 소매 은행 외부 광케이블에 탭을 설치하고 1년간 해당 웹사이트의 모든 TLS 세션을 포착한다: 수백만 명의 고객이 로그인하고, 잔액을 확인하고, 돈을 이체한다. 전부 저장했다. 15년 후 기계가 도착하고, 막대한 CRQC 비용을 들여 모든 것을 복호화했다. 축하한다. 무엇을 얻었는가? 2026년에 만료된 세션 쿠키. 그 이후로 세 번 바뀐 비밀번호, 대부분 이미 MFA 뒤에 있다. 10년 전 계좌 잔액. 엄청난 비용을 들여, 누군가가 2026년의 어느 화요일 아침에 잔액을 확인했다는 사실을 알아낸 것이다.

거기에는 내구성 있는 정보(이름, 생년월일, 주민등록번호)가 존재하지만, 이는 폐석 더미 속 얇은 광맥에 불과하며, 수백만 개의 개별 세션에서 이를 재조합해야 합니다. 한편 동일한 정보는 은행의 고객 데이터베이스에 구조화되고 색인화된 최신 상태로, 단 한 번의 침입으로 접근 가능한 형태로 보관되어 있습니다. 그렇다면 훨씬 더 자주 제기되어야 할 질문이 있습니다. 우유 탱크 트럭에서 떨어지는 한 방울씩을 잡으려고 10년간 대문 앞에 서서 언젠가 엎질러진 것을 되돌릴 수 있기를 바라는 것이, 탱크 전체가 길 위의 공장에 있는 상황에서 무슨 의미가 있을까요?

데이터에는 유효기간이 있으며 그 범위는 매우 넓습니다. 세션 쿠키는 한 시간 정도 가치가 있고, 비밀번호는 몇 달, 카드 번호는 만료될 때까지, 은행 계좌 번호는 수십 년, 주민등록번호는 평생, 지문이나 홍채는 재발급할 수 없는 평생, 유전체는 평생 더하기 관련된 모든 사람까지이며 결코 만료되지 않습니다. 외교 전문은 40년간 민망함이 지속됩니다. 무기 설계도는 그것을 그린 기술자보다 오래 남습니다. HNDL은 유효기간이 긴 경우에만 의미가 있습니다. 그 외의 경우에는 수확물이 장비가 도착하기도 전에 창고에서 썩어버립니다.

7. 다섯 번째 관문: 그렇다면 실제로 누가 수고를 들일까?

마지막 두 관문인 규모와 유효기간을 합쳐보면, 그림은 매우 빠르게 선명해집니다. 실제 물류를 구체적으로 명시한 몇 가지 실제 사례를 살펴보겠습니다.

실제로 누가 수고를 들일까? 규모 대 유효기간. 좌측 상단은 수집이 의미 있는 곳입니다. 양이 적고 영원히 보존됩니다. 우측 하단은 구호가 가장 강하게 팔리지만 실제로는 가장 의미 없는 곳입니다. 위치는 규모 차수 기준 판단입니다.

대사관 링크. 대상: 외교 공관과 외무부 사이의 암호화된 터널. 도청: 현지 ISP 또는 회선이 통과하는 교환국. 주재국이라면 이는 작전이 아니라 전화 한 통으로 가능합니다. 그리고 해당 공관이 오지에 위치해 많은 곳이 그렇듯 위성을 통해 백홀링하는 경우, 적은 주재국의 협조조차 필요 없습니다. 안테나 하나와 옥상이면 충분합니다(3절). 규모: 극히 적어 하루 1~2기가바이트이며, 50년치가 선반 하나에 들어갑니다. 유효기간: 수십 년. 판정: 교과서적 사례이며, 지금 이 순간 모든 국가의 대사관에서 거의 확실히 일어나고 있습니다. 외무부를 운영하면서 마이그레이션을 하지 않고 있다면, 당신이 바로 이 구호가 존재하는 이유입니다.

방산업체. 대상: 주계약업체와 하청업체 간의 사이트 간 VPN. 규모: 관리 가능한 수준으로 연간 CAD 및 시험 데이터 수십 테라바이트. 유효기간: 올해 설계된 기체는 2075년에도 비행 중입니다. 판정: 실행 가능하며 그만한 가치가 있습니다. 작은 더미, 긴 기억.

소매 은행. 대상: 모든 소비자 트래픽. 규모: 연간 페타바이트. 유효기간: 거의 모든 데이터가 수 시간에서 수 개월. 판정: 불가. 결국 2026년의 비밀번호 몇 개를 알아내기 위해 연간 1억 달러어치의 테이프를 소비하게 됩니다. 차라리 데이터베이스를 털어가십시오. 이미 누군가 그랬을 수도 있습니다.

유전체 연구소. 대상: 클라우드 스토리지로 전송되는 시퀀싱 데이터. 규모: 적정 커버리지의 단일 유전체는 원시 데이터로 수백 기가바이트이며, 바쁜 센터는 연간 페타바이트를 생성합니다. 유효기간: 영구적이며 피험자의 온 가족에게 영향을 미칩니다. 판정: 이 글에서 가장 가치 있는 대상이지만, 순전히 규모 면에서 전송 중 도청은 여전히 가망이 없습니다. 그러나 정지 상태의 데이터베이스를 탈취하면 갑자기 무한한 유효기간을 가진 60테라바이트가 됩니다. 그것이 위 차트의 화살표이며, 차트에서 가장 중요한 움직임입니다.

8. 양모는 이미 창고에 있다

이는 HNDL에서 마땅히 더 많은 주목을 받아야 할 부분으로 이어집니다. 지난 10년간 발생한 모든 대규모 데이터 침해는 암호화된 아카이브를 타인의 스토리지에 남겼습니다. 인사 파일, 의료보험사, 신용조사기관, 호텔 체인 등 모두 추정컨대 여전히 그곳에, 도청된 광케이블과 동일한 장비를 기다리며 있습니다. 그리고 세 가지 이유에서 훨씬 더 나은 대상입니다.

첫째, 순방향 비밀성이 없습니다. 정지 상태의 데이터는 세션별 일회용 키가 아닌 장기 키로 보호되므로, 키를 한 번 해독하면 전체 아카이브가 열립니다. 기본적으로 RSA 키 전송 방식입니다. 전부 한 번에. 둘째, 선별 문제가 이미 해결되어 있습니다. 유전체 은행을 유출한 적은 산 더미를 뒤질 필요가 없었습니다. 다른 누군가가 이미 정렬하고 색인화하고 중복을 제거했습니다. 두 번째 관문의 어려운 부분은 피해자가 대신 해결했습니다. 셋째, 유효기간이 대체로 엄청납니다. 탈취된 유전체는 2045년에도 유효합니다.

이 모든 것에 잠수함은 필요 없습니다. 무방비 상태의 직원에게 전달되는 피싱 이메일 한 통이면 됩니다. 그것이 바로 정지 상태 HNDL을 수행할 수 있는 행위자의 수가 케이블을 도청할 수 있는 수보다 훨씬 많은 이유이며, 대부분의 마이그레이션 권고에서 우선순위가 정확히 거꾸로 되어 있는 이유입니다. 모두가 언덕을 가로질러 양을 쫓는 동안, 전체 양모 클립(암호화된 데이터, 데이터베이스)은 문이 열린 창고에 묶여 있습니다.

9. 우리가 아직 모르는 것

한계에 대해 솔직하게 말하자면, 3절부터 8절까지의 모든 내용은 설계상 불완전한 공개 기록을 바탕으로 추론한 것입니다. 기밀 프로그램은 기밀입니다. 공개된 자료는 오래되었으며 대부분 2013년 것이고, 기술은 변했습니다. 저장 비용은 하락하고, 양자 자원 추정치는 더 빠르게 하락합니다. 여기의 어떤 계산이든 한 자릿수 차이로 바뀔 수 있으며, 일부 결론도 함께 바뀔 수 있습니다. 추측의 여지가 없는 것은 지금 이 순간 실제로 통신망에 배포된 것인데, 이는 측정 가능하기 때문입니다. 그래서 측정해 보았고, 논의 전체가 선명해졌습니다. 방어가 어느 관문에서 이기고 있고 어느 관문에서는 아직 싸움조차 시작하지 않았는지 알 수 있었습니다.

10. 목장을 측정하다

현재 양자 내성 보안 태세에 관한 이 글의 연구를 위해 인터넷 스캔을 시작했을 때, 제가 찾은 유일한 비교 가능한 공개 연구는 약 32,000개 도메인에 대한 단일 관측점 연구15였습니다. (여기서 관측점이란 스캔을 수행하는 위치를 의미합니다. 단일 관측점 스캔은 한 위치에서 모든 서버에 질의하고, 다중 관측점 스캔은 여러 위치에서 질의하여 요청이 어디서 오느냐에 따라 다르게 응답하는 서버를 파악합니다. 일반적으로 글로벌 CDN이 지역별로 설정을 순차적으로 적용하는 경우가 그렇습니다.) 저의 계획은 더 넓게, 그리고 여러 관측점에서 동시에 스캔하여 서비스의 응답이 어느 지역 프런트엔드가 요청을 받느냐에 따라 달라지는지 확인하는 것이었습니다. 그 작업을 수행하는 동안, Wickramasinghe et al.16이 인터넷 규모의 종단 연구를 발표했습니다. 2025년 7월부터 2026년 3월까지 3회에 걸쳐 11개 관측점에서 100만 개 도메인의 20억 건 이상의 TLS 핸드셰이크를 분석한 것입니다. 이는 모든 면에서 qgrove보다 규모가 크고 신중한 측정입니다. 따라서 아래 내용은 독립적인 확인으로 제시합니다. 다른 인프라를 기반으로 구축된 소규모 단일 라운드 스캔이지만 동일한 수치에 도달했습니다.

저는 qgrove20를 구축했습니다. 이는 글로벌 엣지 네트워크에서 실행되며 각 도메인에 대해 원시 연결을 열고 서버가 실제로 선택하는 키 교환 그룹을 읽는 스캐너입니다. 그 하나의 값이 캡처된 세션의 HNDL 노출 여부를 결정하며, 아무것도 복호화하지 않고 핸드셰이크의 평문 부분에서 바로 읽을 수 있습니다. 스캐너는 오픈소스이며 아래의 모든 수치는 공개된 데이터셋에서 재현 가능합니다. 116,589개 도메인이 다양한 방법과 소스를 혼합하여 스캔 대상으로 선정되었습니다.

움직이고 있는 것: 핸드셰이크 (기밀성을 위한 키 교환)

최신 TLS를 지원하는 도달 가능한 서버 중 35.5%는 이미 하이브리드 포스트 양자 키 교환을 협상합니다. 고전적 X25519 곡선과 ML-KEM-768을 쌍으로 사용하는 것으로, 현재 버전의 Chrome이 설정하는 바로 그 방식입니다. 최근에야 최종 확정된 표준치고는 큰 수치이며, 계속 상승하고 있습니다. 그러나 35.5%는 엣지에서 측정한 것으로, 엣지는 대형 CDN 뒤의 사이트를 볼 수 없습니다. CDN이 한꺼번에 모든 사람에게 PQC를 활성화했기 때문에, CDN 프런트 사이트 코호트는 거의 100% 하이브리드입니다. 이 두 수치를 합산하면 모집단 추정치는 61.1%로 상승합니다. 두 수치 모두 사실이지만 서로 다른 의미를 지닙니다. 솔직한 헤드라인은, 해당 CDN의 엣지에서만 실행된 스캔은 PQC를 체계적으로 과소 계산한다는 것입니다. 인터넷에서 PQC를 가장 많이 사용하는 사이트들이 구조적으로 볼 수 없는 사이트들이기 때문입니다.

두 레이어는 완전히 다른 속도로 움직입니다. 왼쪽: 하이브리드 PQC 키 교환, 엣지 측정값 대 합산 모집단 추정치. 오른쪽: 인증서 서명, 마이그레이션이 시작되지 않은 곳. 출처: qgrove, 2026년 7월.

움직이지 않는 것: 서명 (인증을 위한)

이제 나머지 절반, 그리고 사람들이 우려해야 할 부분입니다. 31,839개의 인증서에서 서명 알고리즘을 조사했습니다. 포스트 양자 서명을 사용하는 것은 하나도 없었습니다. “낮은” 수준이 아니라 제로였습니다. 웹은 전적으로 고전적인 ECDSA와 RSA로 자신을 인증하며, 두 알고리즘 모두 미래의 양자 컴퓨터가 과거의 키 교환을 깨는 것만큼 쉽게 위조합니다. 기밀성 레이어는 마이그레이션을 시작했지만, 인증 레이어는 한 걸음도 내딛지 않았습니다. 이것은 제 샘플만의 특이점이 아닙니다. 이전의 단일 관측점 연구15와 함께 진행된 인터넷 규모 연구16 모두 포스트 양자 인증서에서 동일한 제로를 보고하며, 아키텍처 리뷰18는 서명 측이 더 어렵고 느린 작업인 이유를 설명합니다. 전체 인증 기관 계층 구조와 모든 검증 클라이언트를 함께 끌어야 하기 때문입니다. 기억해야 할 핵심은 이것입니다. 대화를 암호화하는 것과 상대방이 누구인지 증명하는 것은 서로 다른 두 가지 작업으로, 서로 다른 두 가지 수학으로 수행되며, 지금 현재 그 중 하나만 수정되고 있습니다.

두 가지 추가 발견, 모두 조용히 유용한 것들

먼저 섹터별로 살펴보겠습니다. 보안에 민감한 산업(은행, 방산, 정부)이 선두를 달릴 것이라 예상하겠지만, 실제로는 그렇지 않습니다. 내가 태그한 모든 섹터에서 하이브리드 PQC 도입률은 약 27%에서 39% 사이였으며, 선두 그룹은 금융(28%)이나 방산(29%)이 아니라 일반 대중 웹사이트와 CDN 제어 플레인이었습니다. 도입을 이끄는 것은 누가 필요로 하느냐가 아니라, 누구의 CDN이 기능을 켰느냐입니다. 이는 모든 독립적 측정에서 일관되게 나타나는 결과입니다. 가장 규모가 큰 동시 연구는 이를 가장 선명하게 수치화합니다. 포스트 양자 TLS의 약 70%가 단 두 제공업체인 Cloudflare와 Fastly에 기인한다16는 것이며, 2030–31년 전환 기한이 가장 이른 지역이 오히려 기한이 늦은 지역보다 낮은 도입률을 보이는데, 이는 정책적 긴박함과 CDN 시장 점유율이 무관하기 때문입니다. 별개의 연구에서도 한 계층 아래인 프로토콜 버전에서 동일한 지연이 발견됩니다. 일반 TLS 1.3 도입조차 정부(70%), 방산(68%), 에너지 및 핵심 인프라(76.5%), 통신(78.6%)15에서 뒤처지는 반면, 클라우드와 소셜 미디어는 95–100%에 달합니다. 세 가지 서로 다른 스캔, 동일한 패턴. 제공업체가 설정을 바꿨다면 보호받는 것이고, 그렇지 않다면 보호받지 못하는 것이며, 귀하가 속한 산업은 거의 아무 관계가 없습니다.

두 번째는 내가 다중 거점 장치를 구축해 측정하려 했던 것입니다. 서버의 응답이 지구상 어디서 묻느냐에 따라 달라지는가? 나는 북미, 유럽, 일본, 뉴질랜드에 걸친 여덟 개 지점에서 1,787개 도메인을 조사했습니다. 위치에 따라 다른 응답을 반환한 비율은 0.17%, 즉 세 개 도메인이었고, 그 세 개를 재테스트한 결과 두 개는 지리적 요인이 아닌 일반적인 로드 밸런서 흔들림으로 밝혀졌습니다. 결국 1,787개 중 한 개 도메인 정도만이 진정한 안정적 지역 편차를 가졌습니다. 여기서 독립적 검증은 의미가 있습니다. 11개 거점에서 백만 개 도메인을 대상으로 한 대규모 연구도 같은 규모에서 동일한 효과를 보고합니다. 안정적 패널의 0.05%가 클라이언트 위치에 따라 다른 기본값을 협상합니다16. 연구진은 나와 마찬가지로 이를 CDN 설정이 지역 전반에 걸쳐 점진적으로 전파되기 때문이라고 설명합니다. 두 연구 그룹, 전혀 다른 장치, 0.05%와 0.06%: 어디서 스캔하느냐는 본질적으로 중요하지 않습니다.

qgrove 스캔 결과의 수치와 한계. 데이터셋: qgrove20, 고유 도메인 116,589개, 총 측정 202,258회(전체 도메인 대상 광범위 패스와 4,000개 도메인 서브샘플에 대한 다중 거점 심층 패스), 2026년 7월, 전문 공개. 미리 밝혀둘 주의 사항: (1) 엣지 전용 수치(35.5%)는 설계상 과소 계산되며, 풀링 수치(61.1%)는 두 가지 측정 방법을 결합한 것으로, 풀링 전 99.9% 일치율로 교정됨; (2) 도달 가능한 서버의 약 4분의 1이 여전히 구버전 TLS만 사용하여 PQC를 전혀 수행할 수 없는데, 이 때문에 하이브리드 비율이 최신 TLS 서버 기준으로는 35.5%이지만 전체 도달 가능 서버 기준으로는 27%이며, 두 수치 모두 보고되고 어느 쪽도 과장되지 않음; (3) 인증서 및 순방향 비밀성 미지원 수치는 모든 도메인이 아닌 대규모 샘플에서 도출됨; (4) 섹터별 엄선 목록은 방어 가능한 핵심이지, 전수 조사가 아님.

11. 결론 도출

“지금 수집, 나중에 복호화(Harvest Now, Decrypt Later)” 슬로건은 방향은 맞지만 규모를 과장하고 있습니다. HNDL은 실재합니다. 국가들은 입증 가능하게 감청 장비를 보유하고 있고, 선별한 것을 입증 가능하게 보관하며, 그들이 기다리는 기계는 아직 아무도 만들지 못했더라도 매년 서류상으로는 가까워지고 있습니다. 그러나 다섯 개의 관문을 모두 통과하는 경우는 좁은 범주에 한정됩니다. 즉 한 세대 동안 보관할 수 있을 만큼 양이 적고, 열었을 때 내용이 여전히 의미가 있는 경우입니다. 외교 통신, 방위 프로그램, 생체정보나 유전체 정보, 소량의 장기 비밀이 그 예입니다. 인터넷과 그 사용자의 상당 부분에서 위협은 2번이나 4번 관문에서 이미 소멸합니다. 암호가 버텨서가 아니라 경제성이 맞지 않아서입니다. 보관 비용이 평문의 가치를 초과하고, 읽을 수 있게 될 때쯤이면 이미 유효기간이 지나 있습니다.

한편 실제로 경각심을 가져야 할 HNDL의 형태는 거의 주목받지 못합니다. 광섬유 감청도 아니고 그럴듯한 슬라이드를 만들기에도 적합하지 않기 때문입니다. 바로 누군가가 이미 들고 나간 암호화된 아카이브입니다. 순방향 비밀성도 없고, 용량 문제도 없고, 잠수함도 필요 없으며, 유효기간은 평생 단위로 측정됩니다.

그러므로 현실적인 조언은, 굳이 말하자면, 화려하지 않습니다. 어떤 데이터가 수십 년 단위로 측정되는 X의 유효기간을 가지는지 파악하십시오. 대부분의 조직에서 그 목록은 짧으며, 대개 벤더가 견적을 내밀던 목록과 다릅니다. 그것부터 먼저 마이그레이션하고(장기 키로 보관 중인 모든 것과 전송 중에 여전히 RSA 키 전송을 사용하는 모든 것), 나머지는 합리적인 속도로 진행하십시오. 그리고 아무도 시작하지 않은 부분을 주시하십시오. 현재 문헌에 있는 모든 측정값—제 것 포함—은 웹의 상당 부분에서 포스트 양자 키 교환이 활성화되어 증가하고 있음을 보여주지만, 집계할 만한 포스트 양자 인증서 서명은 단 하나도 없습니다. 기밀성 절반의 마이그레이션은 몇몇 대형 CDN이 스위치를 올린 덕분에 순조롭게 진행 중입니다. 인증 절반은 시작조차 되지 않았습니다. 양자 컴퓨터가 등장하면 키를 해독하는 것만큼 쉽게 서명도 위조합니다. 따라서 핸드셰이크는 마이그레이션했지만 인증서는 그렇지 않은 웹은, 누구나 곧장 통과할 수 있는 문에 새 자물쇠를 단 집과 같습니다. 그것이 다음 과제이며, 지금 당장은 울타리조차 없습니다.

이것은 아무것도 하지 말라는 주장이 아닙니다. 구충제를 사기 전에 양 떼를 세어보라는 주장입니다. 실제 노출에 따른 마이그레이션은 잘 쓰인 돈입니다. 슬로건을 따른 마이그레이션은 값비싼 약욕조와 기생충으로 가득 찬 목장만 남기는 길입니다.

qgrove 스캐너, 도메인 목록, 전체 방법론, 202,258행 데이터셋은 github.com/spinsphere/qgrove에서 공개되어 있습니다. 모든 수치는 저자 본인의 것입니다. 정보 프로그램에 관한 주장은 공개 보도, 소송 기록, 비밀 해제 계정에 근거합니다. 저자는 비공개 정보를 보유하지 않으며, 그런 정보가 암시되지도 않습니다.

Kaysec는 포스트 양자 준비 태세 및 암호화 민첩성에 대해 자문하며, 주로 이 글에서 실제로 중요하다고 언급한 유형의 데이터 유효기간을 가진 조직을 대상으로 합니다. kaysec.spinsphere.xyz

참고 문헌

  1. NIST. FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA): 포스트 양자 암호화 표준. 2024. csrc.nist.gov
  2. M. Mosca. “양자 컴퓨터 시대의 사이버 보안: 우리는 준비되어 있는가?” IEEE Security & Privacy, 2018. eprint.iacr.org/2015/1075
  3. C. Gidney. “백만 개 미만의 잡음 있는 큐비트로 2048비트 RSA 정수를 인수분해하는 방법.” arXiv:2505.15917, 2025년 5월. arxiv.org/abs/2505.15917
  4. P. Webster, L. Berent, O. Chandra, E. T. Hockings, N. Baspin, F. Thomsen, S. C. Smith, L. Z. Cohen (Iceberg Quantum, 시드니). “Pinnacle 아키텍처: 양자 LDPC 코드를 사용하여 RSA-2048 해독 비용을 물리적 큐비트 100,000개로 절감.” arXiv:2602.11457, 2026년 2월. 시뮬레이션 및 자원 추정치이며, 하드웨어 시연이 아님. arxiv.org/abs/2602.11457
  5. R. Babbush, A. Zalcman, C. Gidney, M. Broughton, I. Khattar, H. Neven, T. Bergamaschi (Google Quantum AI / UC Berkeley), J. Drake (Ethereum Foundation), D. Boneh (Stanford). “양자 취약성으로부터 타원 곡선 암호화폐 보호: 자원 추정 및 완화 방안.” arXiv:2603.28846, 2026년 3월. arxiv.org/abs/2603.28846
  6. NSA, CNSA 2.0; 영국 NCSC, 포스트 양자 암호화 준비를 위한 다음 단계; ANSSI, 포스트 양자 암호화에 관한 입장 문서.
  7. 작전명 아이비 벨스, 1971–1981. USS Halibut, 오호츠크해. 비침습식 유도 도청; 매월 잠수부 회수, 이후 RTG 전력 공급. Sontag & Drew, Blind Man’s Bluff (1998) 참조.
  8. M. Klein, 선서 진술서 및 증거물, Hepting v. AT&T (N.D. Cal. 2006); EFF 사건 자료. Room 641A, 611 Folsom St; 2003년 운영 개시, 2006년 공개; 백본 회선 약 16개 분기(합산 약 15 Gbit/s), Narus STA 6400.
  9. R. Gallagher and H. Moltke. “미국 8개 도시에 숨겨진 NSA 스파이 허브.” The Intercept, 2018년 6월. theintercept.com
  10. GCHQ TEMPORA 폭로, 2013–2014 (The Guardian; Der Spiegel). 10 Gbit/s 속도의 탐침 200개 이상, 이론상 일일 용량 약 21.6 PB; 콘텐츠 약 3일 버퍼링, 메타데이터 약 30일.
  11. MUSCULAR 폭로, 2013 (The Washington Post). 데이터센터 간 링크; TLS는 공개 엣지에서 종료.
  12. Lawfare, “러시아의 해저 케이블 위협 평가”, 착륙국 접근이 일상적인 심해 도청을 비매력적으로 만드는 이유에 관하여.
  13. AMS-IX 2025년 수치: 연간 트래픽 35.66 EB, 최대 14.2 Tbit/s. ams-ix.net
  14. DE-CIX 프랑크푸르트 2025년 약 48 EB; 프랑크푸르트 최대 18.22 Tbit/s; 글로벌 플랫폼 최대 25 Tbit/s, 2025년 4월.
  15. A. Dubey and V. Varshney. “인터넷의 포스트 양자 준비 태세 측정 연구: 2026.” arXiv:2606.16473, 2026년 6월. 32,011개 도메인에 대한 단일 거점 스캔; TLS 1.3 52.41%, TLS 1.2 15.70%, QUIC 31.89%; 하이브리드 KEX 49.3%, PQC 인증서 0%; 고정 도메인에서 클라이언트 측 TLS 버전 폴백 문서화. arxiv.org/abs/2606.16473
  16. N. Wickramasinghe, F. Li, S. Jha, A. Shaghaghi. “간극에 주목: 포스트 양자 TLS 배포에서 정책과 현실의 괴리.” arXiv:2607.29005, 2026년 7월. UNSW 시드니 및 조지아 공대. 2025년 7월~2026년 3월 세 차례 종단 연구; 20억 회 이상의 핸드셰이크, 100만 개 도메인, 11개 거점. arxiv.org/abs/2607.29005
  • J. Blanco-Romero, F. Almenares Mendoza, C. García Rubio, C. Campo, D. Díaz Sánchez. “On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks.” arXiv:2603.01091, 2026년 3월. Universidad Carlos III de Madrid. arxiv.org/abs/2603.01091
  • E. Bertino, R. Kompella, A. Kundu, C. Nita-Rotaru, J. Vaidya, A. A. Yavuz. “Quantum-Resistant Networks: A Review of Primitives, Protocols and Best Practices.” arXiv:2605.04129, 2026년 5월. arxiv.org/abs/2605.04129
  • G. Chhetri, S. Somvanshi, P. Hebli, S. Brotee, S. Das. “Post-Quantum Cryptography and Quantum-Safe Security: A Comprehensive Survey.” arXiv:2510.10436, 2025. Texas State University. arxiv.org/abs/2510.10436
  • qgrove: 분산형 다중 관측점 TLS 포스트 양자 자세 측정. 데이터셋 및 방법론, 2026년 7월. github.com/spinsphere/qgrove
  • W. M. Zhang, A. Dai, K. Ryan, D. Levin, N. Heninger, A. Schulman. “Don’t Look Up: There Are Sensitive Internal Links in the Clear on GEO Satellites.” Proc. 32nd ACM SIGSAC Conf. on Computer and Communications Security (CCS ’25), 대만 타이베이, 2025년 10월 (우수 논문상 수상). 약 800달러짜리 수신기로, 관측된 정지궤도 위성 링크의 50%가 통화·문자 내용을 포함한 셀룰러 백홀, 전력·산업 제어/SCADA, 군사 자산 추적, 기내 Wi-Fi 등 평문 IP 트래픽을 전송하고 있었음. satcom.sysnet.ucsd.edu
  • Wi-Fi 도청과 그 한계에 대하여: WPA2/WPA3는 무선 구간을 보호할 뿐 종단 간 세션 전체를 보호하지 않는다. KRACK(Vanhoef & Piessens, 2017) 및 Dragonblood(Vanhoef & Ronen, 2020) 공격, 그리고 이블 트윈·다운그레이드 공격 유형 전반을 참고하라. 무선의 브로드캐스트 특성상 암호문 수집은 매우 저렴하며, TLS가 실질적인 핵심 보안 계층으로 남아 있다.