포스트 양자 암호화 보안 준비태세 — Kaysec와 함께

올바른 질문으로 시작하세요

아마도 “양자 컴퓨터가 오늘날의 암호화를 해독할 것“이라는 내용을 읽으셨을 것이며, 양자 컴퓨터가 그렇게 할 만큼 강력해질 것인지의 문제가 아니라 언제 그렇게 될 것인지의 문제라는 것도 아셨을 것입니다. 이것이 양자 내성 암호(PQC)의 영역이며, 양자 안전 보안이라고도 불립니다. PQC 내에는 지금 수집, 나중에 복호화 – “적대 세력이 귀하의 암호화된 데이터를 지금 수집하여, 나중에 [해당 양자 컴퓨터로] 복호화하기 위해 저장하고 있다”는 개념이 있습니다. 조직 내에서 데이터나 보안을 담당하고 계신다면, “어떻게 양자 컴퓨터로부터 데이터를 보호할 것인가?”라는 질문이 이미 귀하의 책상에 도달했거나, 지금 바로 도달하고 있을 것입니다.

하지만 이 시장에서 회자되는 긴박감이 귀하가 운영하는 모든 시스템을 오늘 당장 PQC로 마이그레이션해야 한다거나, 심지어 양자 컴퓨터가 등장하기 전에 반드시 해야 한다는 것을 의미하지는 않습니다. 연구, 당사의 자체 스캔 및 보고서, 그리고 Kaysec의 서비스를 구축한 방식을 통해, 저희는 그 긴박감을 실제로 중요한 것에 집중시킵니다. 시간, 비용, 노력 측면에서 볼 때, 핵심 과제는 마이그레이션이 필요한 시스템과 데이터만을 올바른 순서로 마이그레이션하는 것입니다. 그것은 아래에 제시된 올바른 질문을 던지는 것에서 시작합니다. 이는 또한 세 단계 중 첫 번째 단계로, 귀하의 조직이 암호화 태세와 민첩성 측면에서 오늘 어디에 서 있는지에 대한 준비 상태 스냅샷입니다.

1. 무엇을 먼저 보호해야 합니까?

Mosca의 정리는 현재 마이그레이션을 시작할 필요가 있는 시스템과 데이터, 그리고 그렇지 않은 것을 걸러냄으로써 이에 대한 답을 도출하는 데 도움을 줍니다. X + Y > Z이면 지금 준비를 시작해야 합니다. 이것은 다음과 같이 읽히는 기본적인 수학입니다:

X – 어떤 데이터이며, 얼마나 오래 기밀로 유지해야 합니까?

모든 PQC 준비의 첫 번째 단계는 보호해야 할 데이터가 무엇인지, 얼마나 오랫동안 보호해야 하는지(보존 기간은 수개월에서 수년에 이를 수 있음), 그리고 그 데이터의 가치가 얼마나 되는지를 파악하는 것입니다.

Y – X 데이터를 보호하는 시스템을 PQC 준비 상태로 마이그레이션하는 데 얼마나 걸립니까?

Y는 X를 알기 전까지는 답할 수 없습니다. 무엇이 기밀로 유지되어야 하는지, 그리고 얼마나 오래 유지되어야 하는지를 파악한 후에야, 이를 보호하는 시스템을 식별하고 마이그레이션 범위를 설정할 수 있습니다: 무엇이 복잡하고 시간이 오래 걸릴 것인지, 그리고 무엇이 스위치를 켜는 것처럼 PQC를 활성화하는 것에 가까운지.

Z – 양자 컴퓨터가 언제 암호화를 해독할 수 있게 됩니까?

이것이 핵심 질문입니다. 업계에는 아직 정확한 답이 없지만, 하드웨어와 알고리즘 연구에서부터 설정되고 있는 정책에 이르기까지 모든 신호들이 더 가까운 미래로 좁혀지고 있습니다: 수십 년이 아닌 수년 앞의 일입니다.

2. 귀하의 산업에 준수해야 할 규정 또는 규제 의무가 있습니까?

일부 국가들은 이미 중요 인프라 운영자, 군대 및 정부 기관과 같은 일부 조직들이 이번 10년이 끝나기 전이나 다음 10년 초에 PQC 마이그레이션을 완료해야 한다고 규정했습니다. 더 많은 국가들과 산업들이 뒤를 이을 것입니다.

파이브 아이즈 국가들은 이미 강제적인 마이그레이션 기한을 설정하고 있습니다. 미국(CNSA 2.0)은 2035년까지 완전한 마이그레이션을 목표로 합니다. 호주의 ASD는 가장 공격적인 범용 일정을 설정했습니다: 2026년 말까지 정제된 전환 계획, 2030년 말까지 완전한 전환. 영국의 NCSC는 2035년을 목표로 합니다. EU는 고위험 시스템에 대해 2030년을 설정했습니다.

뉴질랜드의 NZISM 섹션 2.4는 기관들이 PQC 개발을 모니터링하고, 암호화 시스템을 목록화하며, 마이그레이션 계획을 수립할 것을 의무화하고 있지만, 아직 NZISM 사용을 위해 승인된 PQC 알고리즘이 없으며 마이그레이션 기한도 설정되지 않았습니다.

3. PQC 위협이란 무엇이며 어떻게 작동합니까?

PQC가 무엇인지 이미 전반적인 개념을 갖고 계신다면, 처음 두 질문으로 시작하기에 충분합니다. 하지만 조직 내 다른 구성원들은 무엇이 필요하고 필요하지 않은지, 언제, 그리고 왜 해야 하는지를 이해해야 할 것입니다.

양자 컴퓨팅의 도래는 의료 기록, 금융 거래, 은행 및 암호화폐 시스템, 중요 인프라 제어, 정부 기밀, 개인 메시지 및 통신 등 삶의 모든 영역에서 디지털 보안 시스템에 잠재적인 위협을 제기합니다.

양자 컴퓨터는 아직 이러한 모든 시스템을 보호하는 암호화를 해독할 수 없지만, 적대 세력들은 이미 HNDL(“지금 수집, 나중에 복호화”) 공격을 실행하고 있습니다: 오늘 암호화된 데이터를 캡처하여 그 날이 오면 복호화할 수 있을 것이라는 기대 하에 저장하는 것입니다. 이는 전송 중인 데이터와 저장된 데이터 모두에 적용됩니다.

Shor의 알고리즘은 양자 컴퓨터가 대형 정수를 효율적으로 인수분해하고 이산 로그를 계산하여 RSA 및 ECC 암호화 알고리즘을 해독할 수 있게 합니다. 이것들은 오늘날의 데이터 보호 방법의 수학적 기반입니다.

4. 핵심 요점은 무엇입니까?

핵심 요점은 모든 것이 내일 당장 바뀌어야 한다는 것이 아닙니다. PQC로의 전환은 즉각적이지 않습니다: 평가, 계획, 시스템 업그레이드 및 새로운 표준이 필요하며, 일부 시스템의 경우 이는 다년간의 프로그램입니다. 과제는 어떤 데이터와 시스템이 실제로 이를 필요로 하는지, 그리고 어떤 순서로 해야 하는지를 파악한 다음 거기서부터 시작하는 것입니다. 그것이 위의 세 가지 질문의 목적이며, 준비 상태 스냅샷이 시작되는 지점입니다.

저희와 함께 일하는 것이 다른 이유

저희는 논의하고, 발견하고, 스캔합니다. 일반적인 방법을 적용하지 않습니다. Kaysec은 인터넷 전반의 양자 후 준비도 스캐너를 운영하며 그 결과를 공개적으로 발표합니다. 귀하의 평가는 귀하의 비즈니스, 데이터, 우려 사항 및 질문을 논의하기 위한 첫 만남으로 시작됩니다. 그 이후에는 일반적인 성숙도 설문지가 아닌 귀하의 시스템과 공급업체에 대한 측정된 데이터를 기반으로 작업합니다.

저희는 독립적입니다. Kaysec은 어떤 벤더와도 연계되어 있지 않으며 귀하가 최종적으로 선택하는 제품에서 아무것도 얻지 않으므로, 저희의 권장 사항은 파트너 할당량이 아닌 귀하의 리스크에 답합니다. 저희가 구현을 돕는 경우, 벤더 중립적으로 수행합니다.

저희는 먼저 귀하의 국가 프레임워크에 기반을 두고, 그 다음 관련 국제 프레임워크에 기반을 둡니다. 뉴질랜드의 경우 NZISM에서 시작합니다. 저희의 벤치마킹은 먼저 뉴질랜드 정보 보안 매뉴얼과 현지 규제 상황을 기반으로 구축되고, 그 다음 미국의 CNSA 2.0, 호주의 ASD, NCSC 및 EU로 외부적으로 매핑됩니다.

저희는 우선순위를 정하며, 무작정 서두르지 않습니다. 마이그레이션은 경주가 아닌 순서 결정 문제입니다. 저희는 무엇을 이동하고, 무엇을 남겨두고, 무엇을 주시해야 하는지를 이사회에 제출할 수 있는 이유와 함께 알려드립니다.

저희의 작업 방식: 세 단계, 귀하의 속도에 맞춰

1. 준비 상태 스냅샷

귀하의 양자 노출에 대한 측정되고 증거에 기반한 기준선입니다. 저희는 어떤 시스템과 데이터셋이 잠재적인 양자 후 리스크를 가지고 있는지 식별하고, NZISM 및 프레임워크에 대해 귀하의 태세를 벤치마킹하며, 행동할 가치가 있는 위협이 없는 경우를 포함하여 위협을 솔직하게 특성화합니다. 결과적으로 명확한 그림과 방어 가능한 우선순위를 얻게 됩니다.

2. 마이그레이션 로드맵 & 구현

마이그레이션이 필요한 시스템을 위한 단계별, 비용이 산정된 전환 계획입니다. 저희는 귀하의 운영 제약, 공급업체 의존성 및 규제 일정에 맞춰 작업을 순서대로 진행하며, 전 과정에서 상호 운용성을 유지하는 하이브리드 전략을 사용합니다. 이것은 조직 프로그램이지, 암호화 부품 교체가 아닙니다. PQC 마이그레이션의 어려운 부분은 조정이며, 로드맵이 관리하는 것이 바로 이 조정입니다. 그 이후 저희는 함께 계획을 실행하며, 새롭거나 예상치 못한 도전이 발생할 때 민첩하게 대응합니다. 저희의 유연성과 투명성이 마이그레이션을 원활하게 유지합니다.

3. 지속적인 자문 및 모니터링

표준은 변화하고, 공급업체는 납품하며, 귀사의 시스템도 달라집니다. 정기적인 재스캔과 검토를 통해 기준선을 최신 상태로 유지하고, 공급업체의 준비 상태를 추적하며, 지난 기준점 이후 달라진 사항을 파악할 수 있습니다. 이를 통해 양자 위험은 임시방편적 감사가 아닌 관리 가능한 항목으로 유지됩니다. 저희는 프레임워크, 표준, 규제 정책 및 지침 업데이트를 지속적으로 파악하며, 조치나 변경이 권장되거나 필요한 경우 안내해 드립니다.

첫 번째 단계에서 시작하여 거기서 멈추거나, 여정의 어느 지점에서든 멈출 수 있습니다.

저희가 따르는 암호화 표준

NIST는 2024년에 첫 번째 포스트 양자 표준을 확정했습니다: 키 설립을 위한 ML-KEM(FIPS 203), 서명을 위한 ML-DSA(FIPS 204) 및 SLH-DSA(FIPS 205), 그리고 FN-DSA(FIPS 206) 등이 뒤따릅니다. 저희는 이러한 표준과 그 후보들을 추적하므로, 귀사의 로드맵은 지난해의 명칭이 아닌 확정된 표준을 기반으로 구축되고 향후 동향에 대한 정보를 갖추게 됩니다.

먼저 저희의 연구를 읽어보세요

저희는 주장의 근거가 되는 스캔 결과를 포함하여 분석 내용을 공개적으로 발표하며, 증거가 그 방향을 가리킬 경우 아직 행동하지 않아야 할 근거도 함께 제시합니다. 보고서를 읽고, 저희의 해석이 귀사 편에 두고 싶은 것인지 직접 판단하십시오. 공개 스캔은 빙산의 일각에 불과합니다. 중요한 작업은 내부에서, 귀사의 시스템과 데이터를 알고 지키는 사람들과 함께 시작됩니다. 진정한 조치가 이루어지는 곳은 바로 그곳입니다.