Post-quantum cryptography standards NIST FIPS 203, 204, and 205 finalized in 2024 signal a 2030 RSA sunset, urging enterprises to act now against harvest-now-decrypt-later threats.

10년 뒤 풀리는 암호, NIST 양자내성암호 표준 3종 완벽 가이드

작성자:
💡 Key Takeaways

  • NIST는 2024년 8월 13일 FIPS 203(ML-KEM)·204(ML-DSA)·205(SLH-DSA) 3대 양자내성암호 표준을 공식 확정했습니다.
  • NIST IR 8547 초안은 2030년 RSA-2048·ECC-256 deprecate, 2035년 완전 금지 시점을 못박았고, NSA CNSA 2.0은 2027년부터 신규 국가안보 시스템의 PQC 의무화를 시작합니다.
  • Cloudflare는 2025년 10월 말 사람 주도 웹 트래픽의 50% 이상을 X25519MLKEM768 하이브리드로 보호하는 마일스톤에 도달했고, 기업 마이그레이션은 평균 2~5년이 소요됩니다.

지금 전송한 인터넷 트래픽이 10년 뒤에 해독될 수 있다는 말, 과장이 아닙니다. 미국 NSA·GCHQ·ANSSI가 공식 경고한 ‘harvest-now-decrypt-later(HNDL)’ 공격은 이미 진행 중이고, 국가 행위자들이 암호문을 대량 저장하고 있어 양자내성암호로의 전환이 시급합니다.

이 글은 2024년 8월 NIST가 확정한 양자내성암호(PQC, Post-Quantum Cryptography) 3대 표준을 중심으로 Q-Day 위협의 실체, 2030·2035 마감 시계, Cloudflare·Chrome·Apple의 실전 배포 현황, 그리고 기업 마이그레이션 6단계 로드맵까지 1차 출처 기반으로 정리한 가이드입니다. RSA가 깨지는 날이 아니라 “지금 뭐부터 해야 하는가”에 답하기 위해 씁니다.

양자내성암호(PQC) 개념 일러스트 (AI-generated)
양자 컴퓨터와 기존 암호 체계의 교차점 — NIST PQC 표준이 RSA/ECC 시대의 종결자로 등장했다. Generated by OpenAI DALL-E 3

Q-Day 카운트다운: 양자 컴퓨터가 RSA를 깨는 순간

현대 인터넷 보안의 기둥인 RSA와 타원곡선 암호(ECDH, ECDSA)는 소인수분해와 타원곡선 이산로그 문제를 고전 컴퓨터가 풀기에 천문학적 시간이 걸린다는 가정 위에 서 있습니다. 그런데 1994년 Peter Shor가 발표한 양자 알고리즘(Shor’s algorithm)은 충분히 큰 양자 컴퓨터에서 이 두 문제를 다항 시간(polynomial time)에 풉니다. 쉽게 말해 오늘날 RSA-2048이 수천 년 걸려야 풀리는 수학 문제가, Q-Day 이후에는 몇 시간 혹은 며칠 안에 풀리게 된다는 뜻입니다.

문제는 “그 Q-Day가 언제 오느냐”입니다. 2025년 MDPI 연구와 복수 전문가 자료를 종합하면, RSA-2048과 타원곡선을 무력화할 규모의 양자 컴퓨터 등장 시점은 2029~2033년으로 추정됩니다. NIST 자체 자료는 조금 더 보수적으로 “10년 내”라는 표현을 씁니다.

어느 쪽이든 신기술 교체에 통상 2~5년이 걸리는 엔터프라이즈 환경에서는 이미 ‘지금 당장’ 시작해야 하는 시간표입니다. Q-Day 예측치는 각종 변수에 의해 앞뒤로 움직일 수 있지만, 전환 리드타임의 길이는 거의 고정된 변수이기 때문입니다.

Dustin Moody NIST 수학자가 FIPS 표준 발표 당일 남긴 문장이 이 긴장감을 정확히 요약합니다. “시스템 관리자는 즉시 통합을 시작해야 합니다. 완전한 통합은 시간이 걸리기 때문입니다.” 즉, Q-Day 직전에 대응을 시작한다는 플랜은 사실상 존재할 수 없고, 그래서 2024년의 표준화가 2026년 오늘의 로드맵으로 곧장 이어지는 겁니다.

핵심: Q-Day 예상 시점은 2029~2033년, 그러나 엔터프라이즈 PQC 전환에 2~5년이 걸리므로 실질 데드라인은 이미 ‘어제’입니다.

NIST FIPS 203·204·205: 3대 양자내성암호 표준 완벽 정리

NIST는 장기간 진행한 공모 심사 끝에 2024년 8월 13일 3개의 연방정보처리표준(FIPS)을 공식 확정했습니다. 각 표준은 역할이 다르므로 “ML-KEM만 쓰면 된다”거나 “ML-DSA 하나로 해결된다”는 접근은 잘못입니다. 키 교환과 서명은 본질적으로 다른 작업이고, 서명 안에서도 정체성 증명과 장기 보관용 서명은 선택지가 갈립니다.

FIPS 203 ML-KEM(Module-Lattice-Based Key-Encapsulation Mechanism)은 CRYSTALS-Kyber에서 개명된 격자 기반 키 캡슐화 메커니즘입니다. TLS·IKE·SSH처럼 두 당사자가 세션 키를 안전하게 공유해야 하는 모든 프로토콜이 대상이고, NIST가 “범용 암호화의 주 표준(primary standard for general encryption)”으로 명시한 FIPS입니다. 작은 키 크기와 빠른 연산 속도가 특징이라 ML-KEM-512/768/1024 3단계 보안 수준 중 보통 ML-KEM-768이 기본 선택지입니다.

FIPS 204 ML-DSA(Module-Lattice-Based Digital Signature Algorithm)는 CRYSTALS-Dilithium에서 개명된 디지털 서명 주 표준입니다. 인증서 체인, 코드 서명, 문서 서명, API 토큰 검증 등 “누가 서명했는지 증명하는” 모든 작업이 대상입니다. 격자 기반이라 서명 크기가 기존 RSA 서명 대비 커지지만, 검증 속도는 실무에서 쓸 만한 수준으로 평가받습니다.

FIPS 205 SLH-DSA(Stateless Hash-Based Digital Signature Algorithm)는 Sphincs+에서 개명된 해시 기반 서명 백업 표준입니다. ML-DSA와는 완전히 다른 수학적 기반(해시 함수)을 사용하기 때문에, 만에 하나 격자 기반 알고리즘에서 예상치 못한 구현 취약점이 발견돼도 SLH-DSA는 독립적으로 안전합니다. NIST가 ‘구조적 다양성(structural diversity)’을 위해 명시적으로 남겨둔 백업 카드입니다.

NIST가 같은 발표에서 강조한 메시지는 명확합니다. ML-KEM과 ML-DSA, 그리고 백업용 SLH-DSA 세 표준을 지금 당장 시스템에 통합하라는 것이고, 이는 이 세 조합만으로 대부분의 실무 사용 사례를 커버한다는 판단에 근거합니다.

핵심: 키 교환은 FIPS 203(ML-KEM), 서명은 FIPS 204(ML-DSA)가 기본, FIPS 205(SLH-DSA)는 격자 암호가 깨질 경우를 대비한 해시 기반 백업입니다.
양자 연구실 전시 장비
양자 컴퓨터 규모 확대는 2029~2033년 Q-Day 추정의 전제가 된다 — Photo by Farai Gandiya on Unsplash

Harvest Now, Decrypt Later: 이미 진행 중인 암호 수집전

양자 컴퓨터가 “언제 등장하느냐”와 별개로, Harvest-Now-Decrypt-Later(HNDL)는 이미 현재 진행형 위협입니다. 개념 자체는 단순합니다. 적대국 정보기관이나 국가 행위자가 지금 TLS 암호 트래픽을 통째로 수집·저장해 두었다가, Q-Day 이후 ML-KEM이 아닌 RSA/ECDH로 보호된 과거 데이터를 해독한다는 시나리오입니다.

NSA, GCHQ(영국), ANSSI(프랑스)가 공식 문서로 경고했고, Palo Alto Networks와 State of Surveillance의 최근 분석은 중국·러시아·그리고 가능성 높게 NSA 자신도 이 작전을 수행 중이라고 지적합니다. Cloudflare는 자사 블로그에서 이 위협을 한 줄로 정의합니다. “암호화된 트래픽은 오늘 수집될 수 있고, Q-Day 이후 해독됩니다.” 표현은 건조하지만 함의는 명확합니다 — 오늘 전송한 데이터의 수명이 오늘 끝나지 않는다는 뜻입니다.

HNDL이 특히 치명적인 표적은 10년 이상 가치가 유지되는 데이터입니다. 의료 기록, 유전체 데이터, 외교 전문, 특허·영업비밀, 지적재산, 중앙은행 스왑라인 통신, 장기 신원 인증 자료 등이 대표적입니다. “수명이 짧은 세션 쿠키까지 다 숨겨야 하나”라는 과장된 공포가 아니라, 장기 가치 데이터를 다루는 조직부터 우선순위를 매기는 것이 핵심입니다.

여기서 핵심은 방어자와 공격자의 시간 비대칭성입니다. 공격자는 오늘 암호문을 수집해 10년 뒤 해독하면 되지만, 방어자는 10년 뒤 지켜야 할 데이터를 오늘 이미 PQC로 암호화해 두었어야 합니다. 즉 “Q-Day 직전에 대응하면 된다”는 플랜은 HNDL 시나리오에서 구조적으로 실패합니다.

쉽게 말하면: HNDL은 택배 상자를 지금 훔쳐가서 10년 뒤 열쇠 복제 기술이 나왔을 때 여는 것과 같습니다. 상자가 튼튼했더라도, 그동안 안에 넣어둔 물건의 가치가 유지된다면 피해는 그대로입니다.

2030·2035 마감 시계: NIST IR 8547과 NSA CNSA 2.0

2024년 11월 공개된 NIST IR 8547 초안(‘Transition to Post-Quantum Cryptography Standards’)은 지금까지 업계가 추측에 의존해 온 deprecation 시간표를 문서화했습니다. 2030년까지 112비트 보안 수준 이하 알고리즘(RSA-2048, ECC P-256 포함)을 deprecate하고, 2035년까지는 모든 양자 취약 알고리즘을 NIST 표준에서 완전히 제거한다는 내용입니다. 새 시스템에 대한 사용 금지가 2030년, 기존 시스템 포함 전면 금지가 2035년입니다.

국가안보 시스템 축에서는 NSA의 CNSA 2.0(Commercial National Security Algorithm Suite 2.0) 로드맵이 더 이른 시계를 들이댑니다. 2027년부터 신규 국가안보시스템(NSS) 획득에 PQC 준수를 의무화하고, 2033~2035년 사이에 기존 시스템까지 완전 전환을 요구합니다. 미국 방산·정보 공급망에 제품을 파는 글로벌 벤더는 2026~2027년이 사실상 준비 마감선입니다.

행정 쪽에서도 움직임이 선명합니다. CISA는 2026년 1월 PQC 지원 제품 카테고리 리스트를 공개해 연방기관이 조달할 때 우선 참고할 수 있도록 했고, Google은 2026년 3월 25일 “2029년까지 자사 시스템 전반의 PQC 마이그레이션을 완료하겠다”는 사내 데드라인을 공식화했습니다. CISA·NSA·NIST 공동 가이드 ‘Quantum-Readiness’도 quantum-readiness 로드맵 수립, 암호 인벤토리 작성, 공급망 이해, 벤더 참여를 단계별로 권장합니다.

포인트는 이 세 시간표가 각기 다른 법적 구속력을 가진다는 점입니다. NIST IR 8547은 표준 deprecation, NSA CNSA 2.0은 연방 계약 의무, Google·Cloudflare 자체 데드라인은 산업 표준 형성입니다. 민간 기업이라도 정부 납품이 있거나 Cloudflare·AWS 같은 인프라를 쓰면 이 중 2개 이상에 직간접으로 노출됩니다.

키보드 위에 놓인 자물쇠와 열쇠
HSM·TLS 라이브러리·CA 체인·VPN 등 암호 스택 전역이 PQC 전환 대상이다 — Photo by Sasun Bughdaryan on Unsplash

실전 배포 현황: Cloudflare·Chrome·Apple이 달리는 속도

표준과 규제는 이론이지만 실제 인터넷에서 PQC는 이미 눈에 보이는 속도로 확산 중입니다. Cloudflare는 2025년 10월 마지막 주에 사람 주도(human-initiated) 웹 트래픽의 50% 이상이 X25519MLKEM768 하이브리드 키 교환으로 보호받는 마일스톤에 도달했습니다. 자사 블로그는 이 시점을 “post-quantum 키 합의가 인터넷의 새로운 보안 기준(new security baseline)이 됐다”고 선언했습니다.

X25519MLKEM768이라는 이름은 기존 X25519(타원곡선 ECDH)와 신규 ML-KEM-768을 동시에 수행하는 하이브리드 모드입니다. 하나가 깨져도 다른 하나가 버틴다는 원리로, 실전 투입 초기 단계에서 ML-KEM 구현 취약점 리스크를 방어하는 안전장치 역할을 합니다. Cloudflare는 초기 배포에 쓰던 프리표준 X25519Kyber768 버전을 최종 ML-KEM 표준 기반으로 교체하는 전환을 순차 진행 중입니다.

클라이언트 측 지원도 지난 2년 사이 빠르게 채워졌습니다. Chrome Desktop은 2024년 3월 기본 활성화, Chrome Android와 Firefox Desktop은 2024년 11월, OpenSSL은 2025년 4월, Apple은 2025년 10월 iOS·iPadOS·macOS 26에서 하이브리드 키 교환을 기본값으로 켰습니다. 2026년 현재 주요 브라우저와 OS 중 PQC 하이브리드를 기본 지원하지 않는 플랫폼을 찾기가 더 어렵습니다.

서버 측은 여전히 과도기입니다. Cloudflare 블로그는 2025년 9월 기준 공개 웹서버의 39%가 post-quantum TLS를 지원하고, Cloudflare 뒤편 origin 서버의 X25519MLKEM768 지원률은 2023년 0.5%에서 2025년 3.7%로 상승했다고 보고합니다.

클라이언트(50% 이상)와 오리진(3.7%) 사이의 격차가 향후 2~3년간 가장 큰 마이그레이션 프론트입니다. 정리하면, 엣지·CDN 레이어는 이미 PQC 시대지만 백엔드 서버는 이제 시작이라는 뜻입니다.

기업 PQC 마이그레이션 6단계 로드맵

엔터프라이즈 PQC 전환이 까다로운 가장 큰 이유는 “단일 소프트웨어 업데이트”가 아니라는 점입니다. 암호 알고리즘은 HSM(Hardware Security Module), TLS 라이브러리, 인증서 체인, VPN 어플라이언스, 코드 서명 인프라, 인증 토큰, 프로토콜 핸드셰이크까지 스택 전역에 박혀 있습니다.

이 전체 스택을 손봐야 하므로 평균 전환 기간이 2~5년이라는 추정치가 나옵니다. CISA·NSA·NIST 공동 가이드와 업계 실무에서 공통으로 권장하는 6단계를 정리하면 다음과 같습니다.

1단계는 암호 인벤토리(Cryptographic Inventory) 구축입니다. 내부 시스템 전역에서 어떤 알고리즘이 어디에 쓰이는지 목록을 만드는 작업으로, 정적 코드 스캔·TLS 핸드셰이크 모니터링·인증서 감사 등이 수단이 됩니다. 인벤토리 없이 마이그레이션에 들어가는 것은 지도 없이 이사를 하는 것과 같아, 실제 현장에서 가장 오래 걸리는 단계이기도 합니다.

2단계는 위험 자산 우선순위 선정입니다. HNDL 관점에서 10년 이상 가치가 유지되는 데이터를 다루는 시스템, 그리고 국가안보·금융·의료처럼 규제 준수 압력이 높은 영역이 우선이고, 반대로 수명 짧은 세션 쿠키만 다루는 영역은 순위를 뒤로 미룹니다. “모든 것을 한꺼번에”는 예산과 시간 양쪽에서 실패 공식입니다.

3단계는 공급망 점검입니다. 직접 보유한 시스템뿐 아니라 HSM 벤더, CA 발급기관, SaaS 공급사, 칩 제조사의 PQC 로드맵을 확인하고, 벤더가 2030년까지 PQC 지원을 공약하지 않으면 해당 제품은 교체 후보가 됩니다. CISA·NSA·NIST 공동 가이드가 로드맵 초기부터 벤더와의 대화를 권장하는 이유도, 벤더 교체가 진행되면 조직 내부 전환에 상당한 시간이 추가로 붙기 때문입니다.

4단계는 하이브리드 도입입니다. X25519+ML-KEM처럼 고전 암호와 PQC를 동시에 쓰는 모드를 외부 경계(TLS, VPN, 메신저)부터 적용하며, 이는 “ML-KEM이 만약 구현 취약점을 안고 있어도 X25519가 버텨준다”는 이중 안전망이므로 전환 초반의 표준 경로입니다. Cloudflare·Chrome·Apple이 모두 이 길을 택했습니다.

5단계는 내부 암호 인프라 전환입니다. HSM 펌웨어, 내부 CA 체인, 코드 서명 파이프라인, 장기 아카이브 암호화를 순차적으로 ML-DSA·SLH-DSA 기반으로 교체합니다. 이 단계에서 키 로테이션, 인증서 재발급, 구형 클라이언트 호환성(downgrade 공격 방어) 설계가 핵심 과제가 됩니다.

6단계는 레거시 폐기와 크립토 애자일(Crypto-agility) 문화 정착입니다. 2030년 이후에도 RSA-2048에 의존하는 시스템은 기술 부채가 아니라 규제 리스크이고, 이번 전환에서 배운 교훈 — 알고리즘을 하드코딩하지 않고 쉽게 교체 가능한 구조로 설계하는 것 — 을 아키텍처 원칙으로 굳혀야 합니다.

PQC 이후에도 또 다른 암호 전환이 올 수 있고, 크립토 애자일은 그 다음 라운드를 위한 보험입니다. 한 번 고생한 조직이 두 번째 라운드에서는 크게 앞서갑니다.

서버 랙이 늘어선 데이터센터
백엔드 서버 origin의 PQC 지원률은 2023년 0.5%에서 2025년 3.7%로 — 향후 2~3년 마이그레이션의 최대 전선 — Photo by imgix on Unsplash

관련해서 양자 컴퓨터 규모 발전 속도가 실제로 얼마나 빨라지고 있는지 궁금하다면 양자컴퓨터 큐빗 200배 감축, 9분 해킹 시나리오 글에서 Q-Day 시나리오를 더 구체적으로 정리했습니다. PQC 전환의 시급성은 결국 이 큐빗 발전 곡선의 기울기에 달려 있습니다.

정리하면, 지금 2026년에 해야 할 일은 “양자 컴퓨터가 언제 올까”라는 예측 게임이 아니라 “우리 조직의 암호 인벤토리가 존재하는가”라는 실무 질문에 답하는 것입니다. Dustin Moody NIST 수학자의 말대로 “지금 통합을 시작해야 합니다. 완전한 통합은 시간이 걸리기 때문입니다.”

자주 묻는 질문(FAQ)

Q1. 양자내성암호(PQC)는 기존 RSA·ECC와 무엇이 다른가요?

PQC는 양자 컴퓨터가 풀기 어려운 수학 문제(격자·해시 기반)에 기반한 차세대 공개키 암호입니다. RSA·ECDH·ECDSA가 의존하는 소인수분해와 타원곡선 이산로그 문제는 Shor 알고리즘으로 풀리지만, NIST가 확정한 ML-KEM(격자 기반)과 SLH-DSA(해시 기반)는 이 공격을 견디도록 설계됐습니다. 목적(키 교환·서명)과 API는 비슷하지만 키·서명 크기와 성능 특성이 달라 구현 단계에서 재설계가 필요합니다.

Q2. 양자 컴퓨터가 RSA를 깨는 ‘Q-Day’는 언제 오나요?

전문가들은 대체로 2029~2033년을 임계 구간으로 추정하고, NIST 자료 일부는 ’10년 내’를 언급합니다. 다만 정확한 시점은 양자 오류 보정과 큐빗 규모 발전 속도에 달려 있어 단언하기 어렵습니다. 중요한 것은 ‘언제’가 아니라 HNDL 공격이 이미 시작됐기 때문에 오늘 전송된 암호문이 10년 뒤에 깨질 수 있다는 시간 비대칭입니다.

Q3. 일반 사용자도 지금 당장 무엇을 해야 하나요?

일반 사용자는 브라우저(Chrome·Firefox)와 OS(iOS 26·macOS 26)를 최신 버전으로 유지하면 Cloudflare 같은 CDN과 연결할 때 자동으로 X25519MLKEM768 하이브리드 키 교환이 적용됩니다. 2025년 10월 기준 Cloudflare 인간 트래픽의 50% 이상이 이미 이렇게 보호받고 있습니다. 기업 환경이라면 VPN 클라이언트·보안 메신저·HSM의 PQC 지원 여부를 관리자에게 확인하는 것이 출발점입니다.

Q4. ML-KEM과 ML-DSA는 어떻게 선택해야 하나요?

용도가 다릅니다. ML-KEM(FIPS 203)은 TLS·IKE 같은 세션 키 교환에 쓰이고, ML-DSA(FIPS 204)는 코드 서명·인증서·문서 서명처럼 정체성을 증명하는 데 쓰이므로, 대부분 조직은 둘 다 필요합니다. 서명 알고리즘 선택 시 ML-DSA가 기본이며, 구조적 다양성을 위해 SLH-DSA(FIPS 205, 해시 기반)를 백업으로 준비하는 것이 NIST 권장 방향입니다.

Q5. 왜 ‘X25519+ML-KEM’ 같은 하이브리드 방식을 쓰나요?

하이브리드는 기존 X25519(ECDH)와 신규 ML-KEM을 동시에 수행해 둘 중 하나가 깨져도 안전을 유지하는 안전망입니다. ML-KEM이 NIST 승인을 받았지만 실전 투입 기간이 짧아 잠재적 구현 취약점이 있을 수 있고, X25519는 양자 내성은 없지만 20년간 검증된 고전 암호이기 때문에 두 알고리즘의 안전성을 AND 조건으로 묶는 전략입니다. Cloudflare·Chrome이 채택한 X25519MLKEM768이 대표 사례입니다.

Q6. 엔터프라이즈 PQC 마이그레이션은 얼마나 걸리나요?

일반적으로 2~5년이 소요됩니다. 단순한 소프트웨어 패치가 아니라 HSM 펌웨어, TLS 라이브러리, CA 인증서 체인, VPN 어플라이언스, 코드 서명 인프라, 인증 토큰 등 스택 전체를 건드려야 하기 때문입니다. NSA CNSA 2.0은 2027년부터 신규 국가안보 시스템의 PQC 의무화를 시작하고 2033~2035년 완전 전환을 요구하므로, 2026년에 시작하는 기업은 시간표가 빠듯하지만 실행 가능한 수준입니다.

Q7. 블록체인과 비트코인은 양자 컴퓨터에 안전한가요?

완전 안전하지는 않습니다. 비트코인은 ECDSA(P-256) 서명을 사용하는데 Shor 알고리즘으로 깨질 수 있어, 재사용된 주소나 공개키가 온체인에 노출된 주소는 양자 공격에 취약하며, 이더리움 재단과 다수 블록체인 프로젝트가 PQC 전환(예: ML-DSA·SLH-DSA 기반 서명)을 연구 중이지만 체인 업그레이드와 사용자 마이그레이션이 필요해 수년이 걸립니다. HNDL 관점에서 현재 거래 데이터는 Q-Day 이후 취약점이 드러날 수 있습니다.

💡 함께 읽으면 좋은 글
양자컴퓨터 큐빗 200배 감축, 9분 해킹이 현실로 다가왔다
💡 함께 읽으면 좋은 글
Q-Day 시나리오와 2029~2033 임계 구간 분석

References

트렌드를 먼저 읽는 사람들

AI, 테크, 경제의 핵심 인사이트를 한국어와 영어로 동시에 제공합니다.

더 많은 글 보기