보안 웹 접속을 상징하는 자물쇠 아이콘 뒤편에서는 수많은 암호학적 검증이 실시간으로 이뤄집니다. 하지만 미래에 등장할 양자 컴퓨터는 현재 웹 생태계의 기반인 공개키 암호 체계를 무력화할 잠재적 위협으로 꼽힙니다. 이에 대응하기 위해 Cloudflare는 2027년 1분기 발급 개시를 목표로 양자 저항성을 갖춘 TLS 인증서 발급 계획을 구체화하고 있습니다12. Google이 2월에 발표하고 양사가 제한된 파일럿 환경에서 검증 중인 이 방식은 머클 트리(Merkle Trees) 기반의 아키텍처를 적용해 핸드셰이크 데이터 전송량을 약 40킬로바이트 수준으로 억제하는 설계를 취하고 있습니다1.
이번 계획이 웹 인프라 운영자와 보안 엔지니어에게 중요한 이유는 양자 내성 암호로의 전환에서 가장 큰 장벽으로 지목되던 '네트워크 성능 저하' 문제를 직접 다루기 때문입니다. 암호 알고리즘만 단순 교체할 경우 웹 서핑 속도가 체감할 정도로 느려지는 딜레마를 새로운 WebPKI 설계로 돌파하려는 시도입니다23.
양자 암호화가 초래하는 데이터 폭증과 WebPKI의 딜레마
현재 우리가 사용하는 WebPKI는 웹사이트의 진위 여부를 증명하기 위해 여러 인증 기관(CA)의 서명이 사슬처럼 얽힌 다중 링크 체인 구조에 의존합니다1. 이 서명들은 RSA나 ECDSA 같은 고전적인 공개키 암호 방식을 사용하는데, 이 알고리즘들은 쇼어(Shor) 알고리즘을 실행하는 충분한 규모의 양자 컴퓨터 앞에서 보안성을 유지할 수 없습니다4.
문제는 양자 저항성을 갖춘 차세대 디지털 서명의 크기입니다. 미국 국립표준기술연구소(NIST)가 표준화한 포스트 양자 디지털 서명 알고리즘인 ML-DSA-44(FIPS 204)의 서명 크기는 2,420바이트에 달합니다34. 이는 현재 널리 쓰이는 표준 ECDSA-P256의 서명 크기인 64바이트와 비교하면 37배 이상 큽니다3. 통상적인 TLS 핸드셰이크 과정에서는 최대 5개의 서명과 2개의 공개키가 오가기 때문에, 단순 교체 방식을 취하면 핸드셰이크 한 번에 수십 킬로바이트의 오버헤드가 추가됩니다3.
이러한 서명 크기 팽창은 인증서 투명성(CT) 로그 시스템에도 큰 부담을 줍니다. 과거 2011년 네덜란드의 인증 기관 DigiNotar가 해킹당해 Google 등 주요 웹사이트를 겨냥한 500여 개의 위조 인증서가 발급되는 참사가 발생했습니다1. 이 사건을 계기로 인증서 발급 내역을 누구나 감시할 수 있는 공개 로그에 의무적으로 기록하는 CT 로그가 도입되었습니다12. 그러나 포스트 양자 서명이 기존 대비 약 40배 커지면, CT 로그 시스템이 보관하고 동기화해야 할 데이터 총량 역시 40배 폭증해 인프라 확장이 한계에 부딪히게 됩니다2.
머클 트리 인증서(MTC)가 핸드셰이크를 압축하는 원리
이러한 문제를 해결하기 위해 IETF PLANTS 워킹 그룹의 초안 사양으로 논의 중인 기술이 바로 머클 트리 인증서(MTCs, Merkle Tree Certificates)입니다2. MTC의 핵심은 "발급한 뒤에 기록하는 것이 아니라, 기록함으로써 발급한다(issue by logging)"는 패러다임 전환입니다2.
기존 구조에서는 CA가 발급하는 모든 개별 인증서마다 무거운 양자 저항 서명을 직접 부여해야 했습니다. 반면 MTC 구조에서 CA는 일정 기간 동안 발행된 수많은 인증서를 추가 전용(append-only) 머클 트리에 모아 넣습니다12. 그리고 인증 기관은 수백만 개의 인증서를 대표하는 단 하나의 '트리 헤드(Tree Head)'에만 서명합니다1.
웹 서버는 방문자에게 무거운 서명 체인 전체를 전달하는 대신, 자신의 인증서가 해당 머클 트리에 포함되어 있음을 증명하는 해시 경로, 즉 '포함 증명(Inclusion Proof)'만 제공합니다2. 클라이언트의 브라우저가 최신 트리 정보를 보유하고 있다면, TLS 핸드셰이크 과정에서 단 하나의 서명, 하나의 공개키, 그리고 단 1개의 머클 트리 포함 증명만으로 검증이 끝납니다3.
이 아키텍처는 두 가지 형태로 운영됩니다. 브라우저가 최신 랜드마크 정보를 받지 못했거나 네트워크가 단절된 상황을 위해 cosigners의 서명과 포함 증명을 함께 보내는 '독립형(Standalone)' 형태가 지원됩니다2. 반면 브라우저 업데이트 같은 대역외(Out-of-band) 채널을 통해 신뢰할 수 있는 트리 헤드(랜드마크)를 미리 배포받은 클라이언트는 '랜드마크 상대(Landmark-relative)' 형태로 통신하여 거대한 양자 서명 데이터 교환 자체를 생략할 수 있습니다12. 서버 장애 등으로 최신 랜드마크 갱신이 불가능할 경우에도 브라우저 업데이트 경로를 통해 대역외로 서명을 전송받아 연결을 유지합니다1.
2027년 상용화 일정과 Cloudflare의 포스트 양자 전환 로드맵
Cloudflare는 자사 제품군 전반에서 2029년까지 완전한 양자 보안을 달성한다는 중장기 로드맵을 추진하고 있습니다4. 이미 전송 중인 암호화 데이터를 도청해 저장한 뒤 미래의 양자 컴퓨터로 해독하려는 이른바 '선 수집 후 해독(Harvest-now, decrypt-later)' 공격을 차단하기 위해, 권장 식별자 0x11ec의 하이브리드 키 합의(X25519MLKEM768)를 네트워크에 배포했습니다4. 또한 오리진 서버와의 백엔드 연결 인증에는 NIST가 선정한 ML-DSA 알고리즘을 적용하고 있습니다4.
다음 단계가 바로 일반 방문자와 엣지 서버 간의 인증을 포스트 양자로 전환하는 작업이며, 그 중심에 MTC가 있습니다. Cloudflare는 자체 CA를 구축해 표준 MTC 발급을 무료로 제공할 방침입니다2. 발급 및 만료 직전의 지속적 자동 갱신에는 Let's Encrypt를 구동하는 검증된 오픈 소스 인프라인 Boulder를 포크하여 ACME(Automated Certificate Management Environment) 프로토콜을 활용합니다12.
도입 일정은 2027년 초 크롬(Chrome)의 '양자 저항 루트 저장소(Quantum-resistant Root Store)' 포함을 목표로 하고 있으며, 2027년 1분기부터 본격적인 인증서 발급이 개시될 것으로 예상됩니다12.
대역외 모델의 현실적 한계와 인프라 운영자의 판단 기준
MTC 기반의 새로운 암호 체계는 지연 시간을 대폭 줄일 수 있다는 장점이 있지만, 실제 적용 환경에서는 몇 가지 고려할 점이 존재합니다.
가장 먼저 제기되는 문제는 브라우저 생태계에 대한 의존성입니다3. 대역외 업데이트 모델은 구글 크롬처럼 지속적으로 자동 업데이트되는 '에버그린 브라우저' 환경에서는 원활히 작동하지만, 업데이트 주기가 매우 길거나 폐쇄망에 위치한 cURL, 사물인터넷(IoT) 기기, 임베디드 장비, 커스텀 HTTP 라이브러리 환경에서는 랜드마크 갱신이 지연될 수 있습니다3. 이 경우 상대적으로 무거운 독립형(Standalone) 방식으로 폴백되어 네트워크 부하가 다시 커질 수 있습니다2.
또한 클라이언트가 어떤 트리 헤드를 보유하고 있는지 서버에 전달하는 과정에서 브라우저의 최근 업데이트 시점이 노출되어 핑거프린팅(사용자 식별) 수단으로 악용될 수 있다는 우려도 보안 커뮤니티에서 지적된 바 있습니다3. 운영체제 및 다양한 배포판 수준까지 MTC 지원이 안착하는 데는 10년에서 15년 이상의 긴 호흡이 필요할 것이라는 평가도 나옵니다3.
따라서 시스템 엔지니어와 인프라 관리자는 무조건적인 조기 전환을 서두르기보다 점진적인 대응 기준을 세울 필요가 있습니다.
키 교환 우선 점검: 현재 시점에서는 데이터 도청 후 사후 해독 위협을 막기 위해 하이브리드 포스트 양자 키 교환(X25519MLKEM768)이 엣지 및 클라이언트 경로에서 활성화되어 있는지 먼저 확인해야 합니다4.
클라이언트 풀 특성 분석: 웹 서비스의 주 트래픽이 최신 브라우저 기반 사용자라면 2027년 MTC 상용화에 맞춰 마이그레이션을 준비하는 것이 유리하지만, 레거시 API 클라이언트나 임베디드 기기 접속 비중이 높다면 독립형 인증서 처리 시 발생하는 40KB 수준의 핸드셰이크 오버헤드를 견딜 수 있는지 대역폭을 점검해야 합니다13.
자동화 인프라 준비: MTC 체계에서는 수명 주기가 짧아지고 CT 로그와의 결합이 필수적이므로, 현재 시스템이 ACME 기반의 무중단 자동 갱신 파이프라인을 지원하고 있는지 점검하는 것이 선결 과제입니다12.
참고
1Cloudflare plans to issue quantum-safe TLS certificates
2Building a post-quantum certificate authority with Merkle Tree Certificates
3Cloudflare Proposes Merkle Tree Certificates to Solve Post-Quantum TLS Performance Issue
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.