미국 백악관 행정명령 「Securing the Nation against Advanced Cryptographic Attacks」의 핵심은 포스트양자암호(PQC) 전환을 더 이상 추상적인 미래 과제로 두지 않았다는 데 있다. 대규모 양자컴퓨터가 현재 널리 쓰이는 암호 체계를 위협할 수 있고, 공격자가 지금 암호화된 정보를 수집해 훗날 복호화할 수 있다는 위험을 정부 일정으로 다루기 시작한 것이다.1
왜 지금 PQC인가
포스트양자암호(PQC)는 양자컴퓨터와 기존 컴퓨터 양쪽의 공격에 저항하도록 설계된 암호 알고리즘 또는 방식이다.1 아직 실용적인 대규모 양자컴퓨터가 보편화되지 않았더라도, 암호 전환은 미리 시작해야 한다.
이유는 단순하다. 공격자는 오늘 암호화된 데이터를 훔쳐 저장해 둔 뒤, 나중에 양자컴퓨터로 해독할 수 있다. 이른바 “지금 수집, 나중 복호화” 위험이다.1 따라서 장기간 보호해야 하는 정부 정보, 민감한 연구자료, 개인정보, 금융·국방 관련 데이터는 양자컴퓨터가 등장한 뒤가 아니라 그 전에 보호 체계를 바꿔야 한다.
무엇이 전환 대상인가
행정명령의 정책 목표는 연방 정보시스템을 NIST 승인 FIPS 기반 포스트양자암호로 전환하는 것이다.1 다만 모든 시스템을 같은 속도로 바꾸라는 의미는 아니다. 우선순위는 고가치 자산과 고영향 시스템에 놓인다.
고가치 자산(HVA): OMB 메모랜덤 M-19-03 또는 후속 문서에 따라 지정된 연방 정보 또는 연방 정보시스템1
고영향 시스템: 기밀성, 무결성, 가용성 중 하나 이상이 FIPS 199 기준
high영향값을 받는 정보시스템1
이들 시스템에는 명확한 마감 시한이 제시됐다. 키 설정 방식은 2030년 12월 31일까지, 양자 안전 디지털 서명 방식은 2031년 12월 31일까지 전환해야 한다.1
키 설정은 통신에 사용할 암호 키를 안전하게 합의하는 과정이고, 디지털 서명은 데이터의 출처와 무결성을 확인하는 기술이다. 둘 다 공개키 암호에 크게 의존해 왔기 때문에 PQC 전환에서 핵심 영역이 된다.
전환의 출발점은 인벤토리다
PQC 전환에서 가장 먼저 부딪히는 문제는 “어떤 알고리즘을 쓸 것인가”보다 “우리 조직 어디에 암호가 쓰이고 있는가”다. 행정명령도 이 점을 전제로 움직인다.
각 연방 기관장은 행정명령일로부터 30일 안에 PQC 전환 책임자를 지정해야 한다. 이 책임자는 기관 CIO에게 보고하며, 암호 인벤토리 관리와 우선순위 기반 전환 계획을 담당한다.1 또한 OMB는 90일 안에 기관별 고가치 자산과 고영향 시스템 인벤토리 검토 지침을 내야 한다.1
이는 민간 조직에도 중요한 시사점을 준다. PQC 준비는 특정 보안 솔루션을 구매하는 일로 시작되지 않는다. 먼저 TLS, 인증서, VPN, 코드 서명, 클라우드 서비스, API, 데이터베이스, 임베디드 장비 등에서 어떤 암호 기술이 쓰이는지 파악해야 한다. 그래야 어떤 시스템을 먼저 바꿔야 하는지, 어떤 계약과 제품 수명주기를 조정해야 하는지 판단할 수 있다.
2030년은 먼 미래가 아니다
이번 행정명령의 의미는 양자컴퓨터가 정확히 언제 실전 위협이 될지 예측하는 데 있지 않다. 핵심은 암호 전환 자체가 오래 걸리는 작업이라는 점이다. 시스템 식별, 위험 평가, 표준 반영, 제품 교체, 호환성 검증, 운영 전환까지 고려하면 몇 년 단위의 계획이 필요하다.
미국 국가안보국(NSA)도 2022년에 국가안보시스템의 양자 대비 기한을 2030~2033년으로 제시한 바 있다. Google과 Cloudflare는 취약한 시스템에서 벗어나는 전환 일정을 2029년으로 앞당겼다. 정부와 주요 기술 기업이 모두 비슷한 시간대를 보고 있다는 점은, PQC 전환이 단순한 규제 대응이 아니라 장기 보안 전략의 일부라는 신호다.
정부와 거래하는 기업, 장기간 민감 데이터를 보관하는 조직, 인증서와 공개키 인프라에 크게 의존하는 서비스라면 지금 해야 할 일은 분명하다. 암호 사용 현황을 목록화하고, 고위험 시스템을 우선순위화하며, 2030년 전후의 전환 일정을 현재의 기술 로드맵 안에 넣어야 한다.
참고
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.