최근 암호 업계에서는 "양자컴퓨터 시대가 오면 AES-128도 위험한가"라는 질문이 다시 커졌습니다. 하지만 지금 더 정확한 결론은 이겁니다. 양자 위협의 중심은 RSA, ECC, Diffie-Hellman 같은 공개키 암호이고, AES-128 같은 대칭키 암호는 같은 급으로 흔들리지 않습니다.12
이게 중요한 이유는 간단합니다. 많은 팀이 AES-128 대신 AES-256을 쓸지에 에너지를 쓰지만, 실제 사고는 대개 키 길이보다 운영 방식에서 납니다. 모드 선택, nonce 재사용, 비밀번호 기반 키 생성, 키 보관, 라이브러리 기본값 같은 것들 말입니다.
AES-128은 대체로 충분하고, 보통은 가장 약한 고리가 아니다
확인된 사실부터 보죠. AES는 128/192/256비트 키를 쓰는 표준 대칭키 블록 암호이고, 실용적인 수준에서 AES-128 자체를 깨는 공격은 알려져 있지 않습니다.3 이론적 공격은 있어도 현실적인 복호화 수단과는 거리가 멉니다.3
양자컴퓨터가 여기서 바꾸는 것은 "완전 붕괴"가 아니라 "탐색 비용 감소"에 가깝습니다. 공개키 암호는 Shor 알고리즘 때문에 구조적으로 깨질 수 있지만, AES 같은 대칭키는 Grover 알고리즘의 영향을 받더라도 성격이 다릅니다. 널리 퍼진 단순화는 "128비트가 양자 앞에서 64비트가 된다"는 말인데, 실제 공격 비용은 그렇게 직선적으로 이해하면 틀립니다.14 NIST도 최소 128비트 고전적 보안을 주는 대칭키 계열은 여전히 포스트퀀텀 보안 범주 안에 둡니다.15
실무 함의는 분명합니다. TLS, 앱 데이터 저장, 디스크 암호화, 클라우드 워크로드에서 AES-128을 썼다는 사실만으로 급히 교체할 이유는 보통 없습니다. 오히려 지금 당장 바꿔야 할 것은 RSA/ECDH 기반 키 교환과 서명 체계일 가능성이 큽니다.25
AES-128과 AES-256 사이, 진짜 선택 기준은 따로 있다
AES-256이 "더 강하다"는 말 자체는 맞습니다. 키 공간은 더 크고, 양자 시대의 안전 여유도 더 큽니다. 다만 그게 곧 모든 환경에서 더 나은 선택이라는 뜻은 아닙니다.
AES-128은 여전히 빠르고, 하드웨어 가속이 잘 붙고, 모바일·엣지·고성능 네트워크 환경에서 지연과 전력 면에서 유리할 수 있습니다.3 반대로 AES-256이 더 적합한 경우도 있습니다. 장기 보관 데이터, 보수적 표준화가 필요한 조직, 또는 규제·조달 문서가 256비트를 선호하는 환경입니다. 미국 정부 분류 체계에서도 더 높은 등급에는 AES-192/256이 요구됩니다.6
여기서 중요한 반론 하나. "그럼 그냥 전부 AES-256으로 통일하면 끝 아닌가?" 꼭 그렇진 않습니다. 보안은 키 길이 하나로 결정되지 않습니다. 설계가 복잡해지고, 시스템마다 성능·배터리·호환성 비용이 생기며, 정작 더 큰 위험인 키 관리 문제는 그대로 남을 수 있습니다. AES-256 채택은 합리적 선택일 수 있지만, 그것만으로 미래 대비를 했다고 보는 건 보안 연극에 가깝습니다.
실제로 보안을 망치는 건 GCM, IV, 비밀번호, 키 저장소다
현장에서 더 자주 문제를 만드는 건 암호 알고리즘 이름이 아니라 주변 결정입니다.
가장 먼저 볼 것은 모드입니다. 오늘 기준 기본값은 대체로 AES-GCM 같은 인증된 암호화(AEAD)입니다. 예전 CBC처럼 "암호화"와 "무결성 보호"를 따로 붙여야 하는 구성보다 실수 여지가 적습니다.6 하지만 GCM도 nonce를 재사용하면 큰 문제가 됩니다. 키 길이가 128이든 256이든, nonce 재사용 한 번이 설계를 무너뜨릴 수 있습니다.
비밀번호 기반 암호화도 마찬가지입니다. 사용자가 만든 약한 비밀번호를 바로 AES 키처럼 쓰면 AES-256도 별 의미가 없습니다. KDF로 늘리고, salt를 쓰고, 추측 저항성을 높여야 합니다. 키는 코드에 박아두기보다 KMS, HSM, 보안 영역 같은 별도 저장소로 분리하는 편이 현실적입니다.
또 하나는 사이드채널입니다. 캐시 타이밍 같은 구현 이슈는 "AES가 약해서"가 아니라 "AES를 돌리는 방식이 새서" 생깁니다.6 하드웨어 AES 명령어와 검증된 라이브러리를 쓰는 이유가 여기 있습니다.
미래 대비는 AES 교체보다 암호 체계 전환이 먼저다
장기 보관 데이터에는 예외가 있습니다. 지금 암호화한 정보가 10년, 20년 뒤에도 민감하다면 "수집 후 나중에 복호화" 위험을 봐야 합니다.25 다만 여기서도 우선순위는 대개 AES-128을 AES-256으로 바꾸는 것보다, 양자에 취약한 키 교환과 서명을 PQC로 옮기고 crypto-agility를 확보하는 일입니다.
정리하면 이렇습니다. AES-128은 지금도 대체로 좋은 기본값입니다. 하지만 안전성은 키 길이 토론보다 훨씬 넓은 맥락에서 결정됩니다. 규제, 데이터 수명, 성능 예산, nonce 정책, 키 저장 방식, 라이브러리 선택이 더 큰 차이를 만듭니다.
지금 신경 써야 하는 사람은 두 부류입니다. 장기 기밀 데이터를 다루는 조직, 그리고 아직도 공개키 인프라 전환 계획이 없는 조직입니다. 그들에게 중요한 질문은 "AES-128이 약한가?"가 아니라 "우리 시스템에서 진짜 먼저 무너질 부분이 어디인가?"입니다.
참고
1Quantum Computers Are Not a Threat to 128-bit Symmetric Keys
2How Quantum Computing Affects Cryptography
3Advanced Encryption Standard - Wikipedia
4Grover's algorithm - Wikipedia
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.