양자 키 분배와 포스트 양자 암호의 차이: 각각 무엇을 막아주나

양자 키 분배와 포스트 양자 암호가 목표, 전제, 배치상의 절충점, 그리고 각각이 대응하는 위협 측면에서 어떻게 다른지 살펴본다.

이 페이지는 영어에서 번역되었습니다. 기업명, 제품명, 출처 링크는 변경되지 않았습니다. 영문 원문 보기

양자 키 분배(QKD)와 포스트 양자 암호(PQC)는 흔히 ‘양자 안전(quantum-safe)’ 기술로 함께 묶이지만, 서로 다른 문제를 서로 다른 방식으로 해결한다. QKD는 보안성이 양자역학적 거동에 연결된 공유 비밀키를 생성하는 방법이고, PQC는 미래의 양자 컴퓨터에 맞서 오늘날의 디지털 시스템을 안전하게 유지하기 위한, 주로 공개키 기반 알고리즘군이다.

실제 선택은 대개 둘 중 하나를 고르는 문제가 아니다. QKD는 특정한 물리적·네트워크 전제 아래에서 도청 탐지 기능을 갖춘 키 설정에 관한 것이고, PQC는 기존 인프라 전반에서 취약한 암호 구성 요소를 교체하는 데 초점이 있다. 각각이 무엇을 보호하는지 이해하려면, 먼저 이 구분에서 출발해야 한다.

양자 위협에 대한 두 가지 다른 해법

두 접근법의 공통된 핵심 우려는 양자 컴퓨팅이 널리 사용되는 많은 공개키 시스템을 위협한다는 점이다. Wikipedia의 포스트 양자 암호 요약에 따르면, 현재 배치된 대부분의 공개키 알고리즘은 정수 인수분해, 이산 로그, 또는 타원곡선 이산 로그에 의존하며, 충분히 강력한 양자 컴퓨터가 Shor 알고리즘을 실행하면 이런 문제를 효율적으로 풀 수 있다.

그렇다고 해서 모든 암호가 한꺼번에 무너진다는 뜻은 아니다. Wikipedia의 요약은 또한 현재의 대칭키 암호와 해시 함수는 양자 공격에 대해 비교적 안전한 것으로 간주되지만, Grover 알고리즘이 무차별 대입 탐색을 가속할 수 있으며, 실제로는 키 길이를 두 배로 늘려 대응할 수 있다고 설명한다.

여기서부터 QKD와 PQC는 갈라진다.

QKD는 두 당사자가 양자 상태를 이용해 공유된 무작위 비밀키를 생성하도록 하는 것을 목표로 한다.
PQC는 현재는 양자 공격에 견딘다고 여겨지지만 증명되지는 않은 새로운 알고리즘으로, 취약한 고전적 공개키 알고리즘을 대체하는 것을 목표로 한다.

이 범위의 차이는 중요하다. QKD는 그 자체로 애플리케이션 데이터를 암호화하지 않는다. 키를 분배할 뿐이다. 반면 PQC는 키 설정과 디지털 서명을 위해 이미 공개키 암호가 쓰이고 있는 자리에 들어가도록 설계됐다.

QKD가 보호하는 것

QKD는 측정-교란 원리와 복제 불가능 정리(no-cloning theorem)를 포함한 양자역학에 기반한 안전한 통신 방식이다. 목적은 두 당사자가 오직 서로만 아는 공유 비밀키를 만드는 데 있다.

QKD의 두드러진 보안 특성은 도청 탐지다. 일반적으로 양자 시스템을 측정하면 그 상태가 교란된다. 따라서 제3자가 전송된 양자 상태를 측정해 키를 알아내려 하면, 그 간섭으로 인해 정당한 당사자들이 감지할 수 있는 이상 징후가 생긴다. 관측된 교란이 임계값 아래라면 여전히 안전한 키를 도출할 수 있지만, 너무 높다면 절차를 중단한다.

Wikipedia의 양자 키 분배 문서는 QKD의 보안이 수학적 문제의 난이도 가정이 아니라 물리학에 기반한다고 설명한다. 또한 정보이론에 기반한 증명 가능한 보안성과 전방향 비밀성(forward secrecy)을 제공한다고도 서술한다.

다만 많은 사람이 생각하는 것보다 QKD가 보호하는 범위는 더 좁다.

QKD는 키를 분배하는 과정을 보호한다.
메시지 데이터를 직접 전송하지는 않는다.
생성된 키는 일회용 패드(one-time pad)나 AES 같은 대칭 알고리즘과 같은 암호화 방식과 함께 여전히 사용돼야 한다.

따라서 “QKD는 무엇을 방어하나?”라는 질문에 대한 답은 이렇다. QKD는 프로토콜과 구현의 전제 아래에서, 양자 채널 도청을 탐지 가능하게 함으로써 키 교환 자체의 기밀성을 방어한다.

QKD는 높은 수준에서 어떻게 작동하나

Wikipedia의 양자 키 분배 문서는 QKD 프로토콜을 크게 두 계열로 설명한다.

준비-측정형

이 모델에서는 한쪽 당사자가 양자 상태를 준비해 안전하지 않은 양자 채널로 보내고, 수신자가 이를 측정한다. 이후 인증된 고전 채널을 통해 양측은 제한된 정보만 비교하면서, 측정 결과가 교란 없는 전송과 일치하는지 확인한다.

일치하지 않으면, 도청 가능성이나 과도한 잡음을 추론하고 절차를 중단할 수 있다.

가장 잘 알려진 예는 Charles H. Bennett와 Gilles Brassard가 1984년에 제안한 BB84다. BB84에서는 송신자가 두 개의 가능한 기저 중 하나에 무작위 비트를 부호화하고, 수신자는 무작위로 선택한 기저를 사용해 들어오는 각 양자 상태를 측정한다. 이후 양측은 공개적으로 기저 선택을 비교하고, 서로 다른 기저를 사용한 위치는 버린다. 그런 다음 남은 비트 중 일부를 골라 오류를 검사하며, 오류가 너무 많으면 보안을 보장할 수 없다고 판단한다.

얽힘 기반

이 프로토콜들은 두 당사자가 공유하는 얽힘 상태를 사용한다. Wikipedia는 얽힌 쌍의 한쪽 절반을 측정하면 전체 시스템에 영향을 주며, 중간 가로채기가 상관관계를 감지 가능한 방식으로 바꾼다고 설명한다. 인용된 예로는 Artur Ekert가 1991년에 제안한 E91이 있다.

비전문가에게 중요한 점은 두 계열 모두 같은 목표를 추구한다는 것이다. 가로채기를 드러내면서 비밀 공유 키를 생성하는 것이다.

QKD의 숨은 의존성: 인증

QKD의 대표적인 특징은 중요한 요구사항 하나를 가리기 쉽다. Wikipedia의 양자 키 분배 문서는 QKD가 보통 인증된 고전 채널에 의존한다고 밝힌다. 공개 논의 단계에서 양 당사자가 실제로 서로와 통신하고 있는지, 아니면 사칭자와 통신하고 있는지를 확인하는 수단이 바로 이것이다.

이로 인해 중요한 실무적 한계가 생긴다.

그 고전 채널을 인증하려면, 당사자들은 이미 이전에 교환한 대칭키나 충분히 안전한 공개키 같은 신뢰 가능한 암호 기반을 갖고 있어야 한다.

즉, QKD는 인증 문제를 없애주지 않는다. 인증이 이미 가능하다는 가정 아래에서 키 분배 문제를 해결할 뿐이다.

Wikipedia 문서는 그 결과를 이례적으로 직접적으로 짚는다. 이미 안전하게 인증할 수 있는 조건을 갖추고 있다면, 실제로는 기존의 대칭키 암호만으로도 안전한 통신을 구현할 수 있을 수 있다는 것이다. 나아가 QKD를 훨씬 더 높은 비용으로 스트림 암호의 역할을 수행하는 것으로까지 묘사한다.

이 점은 QKD를 둘러싼 논쟁의 핵심 절충점 가운데 하나다. 보안 모델은 매력적이지만, 시스템 차원의 배치 부담은 상당하다.

PQC가 보호하는 것

PQC는 다른 공격 표면을 다룬다. 이는 현재로서는 양자 컴퓨터 공격에도 안전할 것으로 여겨지는 암호 알고리즘, 보통 공개키 알고리즘을 개발하는 분야다.

주요 목표는 오늘날의 공개키 시스템이 미래에 실패하는 위험에 대응하는 것이다. Wikipedia의 포스트 양자 암호 요약은 또한 대규모 양자 컴퓨터가 등장하기 전에 마이그레이션이 시급한 이유 두 가지를 강조한다.

마이그레이션에는 시간이 걸린다.
지금 수집해 나중에 복호화(harvest now, decrypt later) 하는 위협은 실제다. 오늘 수집한 데이터가 수년 뒤에도 여전히 민감할 수 있다.

따라서 PQC는 서로 연관된 두 가지 위험으로부터 보호한다.

오늘날 양자 취약 공개키 방식으로 보호된 데이터가 미래에 복호화되는 위험.
같은 취약한 방식에 의존하는 진위성 메커니즘이 미래에 위조되거나 무력화되는 위험.

QKD와 달리 PQC는 양자 통신 하드웨어에 기반하지 않는다. 이는 소프트웨어, 하드웨어, 프로토콜, 표준 내부의 알고리즘을 교체하는 고전적 암호 전환이다.

PQC는 하나의 알고리즘 계열에 그치지 않는다

Wikipedia의 포스트 양자 암호 요약은 PQC의 여러 연구 방향으로 격자 기반, 다변수, 해시 기반, 코드 기반, 아이소제니 기반 암호와 함께, 충분히 큰 키를 사용하는 대칭키 접근법을 열거한다.

중요한 미묘함은 PQC가 포괄적인 의미에서 보안이 증명된 것은 아니라는 점이다. Wikipedia는 이 시스템들을 반복해서 현재 안전하다고 여겨지는 것으로 설명하며, 일부 후보가 실패했다고도 언급한다. 눈에 띄는 사례가 2022년에 깨진 SIDH/SIKE다.

그렇다고 PQC 전체가 흔들리는 것은 아니지만, ‘양자 내성’이 영구적인 꼬리표는 아니라는 점은 분명해진다. 이는 지속적인 암호해석에 기반한 연구 및 표준화 과정이다.

일부 계열은 다른 계열보다 더 강한 형식적 환원을 갖고, 어떤 계열은 더 큰 키, 서명, 또는 암호문 같은 실용적 절충점을 수반한다. Wikipedia는 많은 PQC 알고리즘이 포스트 양자 이전의 공개키 시스템보다 더 큰 키 크기를 요구하며, 이것이 전송 크기와 계산 효율성에서 절충을 만들 수 있다고 지적한다.

표준화와 실제 배치 현실

PQC의 실질적 상태를 보여주는 가장 분명한 신호는 NIST에서 나온다.

NIST는 2024년에 주요 PQC 표준을 발표했으며, 조직들이 지금 마이그레이션을 시작해야 한다고 밝혔다. 제시된 표준은 다음과 같다.

FIPS 203: ML-KEM
FIPS 204: ML-DSA
FIPS 205: SLH-DSA

NIST는 또한 이 표준들이 대부분의 배치의 기반이 돼야 하며, Falcon과 HQC를 포함한 추가 표준도 진행 중이라고 밝혔다. 더 나아가 NIST IR 8547의 전환 일정에 따라 양자 취약 알고리즘은 2035년까지 NIST 표준에서 단계적으로 사용 중단되고 최종적으로 제거될 것이며, 위험이 더 높은 시스템은 더 이르게 움직이게 된다고 설명한다.

이 점은 QKD와의 중요한 대비를 이룬다. 어느 접근법의 장기적 장점에 대해 어떤 견해를 갖고 있든, PQC는 이미 일반적인 디지털 인프라 전반에 널리 배치되도록 설계된 표준 기반 마이그레이션 경로 위에 올라 있다.

나란히 비교: 각각 무엇을 보호하나

Aspect	Quantum key distribution	Post-quantum cryptography
Primary purpose	공유 비밀키 생성	취약한 공개키 알고리즘 대체
Security basis	양자역학과 감지 가능한 교란	양자 공격에 견딘다고 여겨지는 고전 알고리즘
What it directly protects	키 분배의 기밀성	디지털 시스템의 키 설정, 서명, 기타 공개키 기능
Eavesdropping detection	있음, 프로토콜에 내장된 속성	이에 대응하는 물리적 탐지 속성 없음
Hardware requirement	양자 채널과 고전 채널 모두 필요	고전적 디지털 인프라에서 동작
Authentication need	인증된 고전 채널 필요	서명/KEM 표준을 통해 자체적으로 인증 메커니즘 제공
Deployment model	특수한 링크와 프로토콜 설정	기존 시스템 전반의 소프트웨어·하드웨어·프로토콜 마이그레이션
Main trade-off in evidence	높은 비용과 사전 인증 의존성	더 큰 키/서명과 지속적인 알고리즘 평가 위험

그래서 어느 쪽이 더 많이 보호하나?

어느 한쪽이 보편적으로 더 많이 보호하는 것은 아니다. 보호하는 대상이 다르다.

QKD는 키 분배에 대해 독특한 보안 주장을 제공한다. 양자 채널에서의 가로채기 시도는 원리적으로 탐지 가능하다는 것이다. 이 특성이 결정적인 애플리케이션이라면 QKD는 매력적일 수 있다. 그러나 인증된 고전 채널과 특수한 통신 인프라가 필요하다는 점을 비롯해 까다로운 전제를 수반한다.

PQC는 더 넓고 더 시급한 시스템 문제를 다룬다. 미래의 양자 컴퓨터가 깨뜨릴 수 있는 공개키 암호를 대체하는 것이다. QKD 같은 물리학 기반의 도청 탐지 기능은 제공하지 않지만, 현대 네트워크가 실제로 대규모로 의존하는 암호 기능을 안전하게 만드는 데 맞춰져 있다.

다르게 표현하면 다음과 같다.

관심사가 두 엔드포인트가 양자적으로 관측 가능한 채널 위에서 어떻게 키를 설정하느냐라면, 적절한 도구는 QKD다.
관심사가 인터넷, 소프트웨어 공급망, 신원 시스템, 장기간 보관되는 암호화 데이터가 양자 공격의 도래를 어떻게 견디느냐라면, 핵심 해답은 PQC다.

남아 있는 질문과 절충점

균형 잡힌 시각을 가지려면 몇 가지 불확실성을 함께 봐야 한다.

QKD의 경우:

이론적 보안성 서사는 강하지만, 올바른 구현에 의존한다.
인증의 필요성을 없애주지는 않는다.
Wikipedia는 고전적 인증 암호화만으로도 이미 요구사항을 충족할 수 있을 때, 추가 비용이 정당화되는지라는 실용적 질문을 명시적으로 제기한다.

PQC의 경우:

이 알고리즘들은 양자 공격에 안전하다고 여겨질 뿐, 증명된 것은 아니다.
일부 후보 계열이나 방식은 암호해석에 의해 실패했다.
실제 배치에는 더 큰 키와 기타 성능상 절충이 수반될 수 있다.

그럼에도 NIST는 현재의 운영상 공감대를 제시한다. 완전히 성숙한 양자 컴퓨터를 기다리면 장기 기밀성과 진위성을 보호할 시간이 부족해질 수 있으므로, 지금 표준화된 PQC로 마이그레이션해야 한다는 것이다.

핵심 요점

QKD와 PQC는 단순한 의미의 대체재가 아니다. QKD는 비밀키를 분배하고, PQC는 취약한 공개키 암호를 대체한다.
QKD의 가장 두드러진 특징은 양자 채널에서의 도청이 탐지 가능하다는 점이며, 이는 양자 측정 교란에 뿌리를 둔다.
QKD는 그 자체로 메시지를 암호화하지 않으며, 보통 인증된 고전 채널이 필요하므로 어떤 형태로든 신뢰 기반이 이미 존재해야 한다.
PQC는 현재 공개키 시스템에 대한 양자 위협이 만들어낸 더 넓은 마이그레이션 문제를 겨냥한다.
현재의 대칭키 암호는 현재의 공개키 암호보다 양자 컴퓨팅의 충격이 덜하다. 다만 더 큰 키 크기가 바람직할 수는 있다.
PQC는 이미 주류 표준에 진입하고 있다. NIST는 2024년에 FIPS 203, 204, 205를 발표했고, 조직들이 지금 마이그레이션을 시작해야 한다고 말한다.
어느 경로도 비용이 없다시피 하지는 않다. QKD는 인프라와 인증 부담을, PQC는 알고리즘 불확실성과 더 큰 키 같은 성능상 절충을 수반한다.
대부분의 조직에게 PQC는 양자 위험에 대한 1차적인 단기 대응책이며, QKD는 더 좁고 특수한 보안 목표를 다룬다.