양자내성암호 전환, ‘언제 뚫리나’보다 먼저 봐야 할 4가지

짧은 결론

양자내성암호를 둘러싼 질문은 흔히 “양자컴퓨터가 언제 지금 암호를 깨는가”로 시작합니다. 하지만 실무적으로는 그 질문이 첫 번째가 되기 어렵습니다. 더 먼저 해야 할 일은 “우리 시스템에서 무엇을 바꿔야 하는가”를 찾는 것이죠.

NIST의 양자내성암호(Post-Quantum Cryptography, PQC) 표준화 흐름을 보면 이 점이 분명합니다. NIST는 2024년에 세 가지 주요 PQC 표준을 공개했고, 조직들이 이 표준을 바탕으로 이전을 시작해야 한다고 설명합니다. 2025년 3월에는 HQC를 추가 암호화 알고리즘으로 선정했는데요. 이는 표준화가 끝났다는 신호라기보다, 핵심 표준을 적용하면서도 백업과 대안을 계속 마련하는 과정에 가깝습니다.

제가 이 주제를 읽을 때 가장 먼저 바꾸는 관점은 하나입니다. “위협의 날짜”를 맞히려 하지 말고, “교체해야 할 암호의 위치”를 찾는 것이죠. 암호는 눈에 잘 보이지 않지만 인증서, TLS, 저장 데이터, 소프트웨어 서명, 내부 API, 장기 보관 문서 같은 곳에 넓게 숨어 있거든요.

무엇이 발표됐나

NIST의 PQC 프로젝트는 미래의 양자컴퓨터가 오늘날 널리 쓰이는 여러 암호 시스템을 깰 가능성에 대비해 전자 정보를 보호하려는 표준화 작업입니다. NIST는 다년간의 국제 경쟁과 평가를 거쳐 2024년에 주요 세 가지 표준을 공개했습니다.

표준	알고리즘	주된 역할
FIPS 203	ML-KEM	키 설정·일반 암호화 기반
FIPS 204	ML-DSA	디지털 서명
FIPS 205	SLH-DSA	디지털 서명

NIST는 ML-KEM, ML-DSA, SLH-DSA가 대부분의 양자내성암호 배포의 기반이 될 것으로 보고, 지금 사용할 수 있고 사용해야 한다고 설명합니다. 여기서 중요한 점은 “양자컴퓨터가 이미 모든 암호를 깼다”가 아니라는 점입니다. 표준과 이전 경로가 나왔으니, 보안 인프라를 점검하고 바꿀 준비를 시작하라는 뜻에 가깝습니다.

이후 NIST는 2025년 3월 HQC를 다섯 번째 양자내성 암호화 알고리즘으로 선정했습니다. HQC는 일반 암호화의 주된 알고리즘인 ML-KEM을 대체하려는 선택지가 아니라, 다른 수학적 접근을 쓰는 백업 성격의 알고리즘입니다. NIST 발표에 따르면 HQC 기반 초안 표준은 약 1년 뒤 공개될 예정이고, 최종 표준은 2027년에 나올 것으로 예상됩니다.

증거 수준: 표준, 발표, 진행 중인 검토를 나눠 읽기

이 사안은 과학 뉴스라기보다 표준기관의 기술 전환 공지에 가깝습니다. 그래서 증거 수준도 다음처럼 나눠 보는 편이 정확합니다.

구분	현재 읽을 수 있는 의미	해석할 때 조심할 점
2024년 FIPS 203·204·205	NIST가 확정한 주요 PQC 표준	모든 제품과 시스템이 자동으로 전환됐다는 뜻은 아님
HQC 선정	ML-KEM과 다른 수학 기반의 백업 알고리즘을 표준화 대상으로 선택	ML-KEM을 지금 쓰면 안 된다는 뜻은 아님
추가 디지털 서명 검토	특정 용도나 백업을 위한 서명 알고리즘 검토가 계속됨	표준화 과정이 완전히 종료됐다고 볼 수 없음
2035년 전환 흐름	양자에 취약한 알고리즘을 NIST 표준에서 단계적으로 폐기·제거하는 일정	모든 조직이 같은 속도로 움직여도 된다는 의미는 아님

이 표에서 핵심은 “확정된 것”과 “진행 중인 것”을 섞지 않는 데 있습니다. ML-KEM, ML-DSA, SLH-DSA는 이미 최종 표준으로 공개된 축입니다. HQC는 선정됐지만, NIST 발표 기준으로 초안과 최종 표준 절차가 남아 있습니다. 따라서 실무자는 ‘PQC가 아직 전부 미완성이다’라고 멈출 필요도 없고, ‘이제 알고리즘 고민은 끝났다’라고 단정할 필요도 없습니다.

왜 ‘언제 뚫리나’보다 ‘무엇을 바꿔야 하나’인가

양자컴퓨터 위협은 날짜를 정확히 맞히기 어려운 문제입니다. NIST도 미래의 충분히 강력한 양자컴퓨터가 몇 년 또는 몇십 년 뒤일 수 있다고 표현합니다. 반면 시스템 안에서 현재 어떤 암호가 쓰이는지는 조사할 수 있죠. 그래서 전환의 첫 질문은 예측이 아니라 목록화가 되어야 합니다.

실무적으로는 다음 네 가지를 먼저 분리해 보는 것이 좋습니다.

점검 대상	왜 중요한가	먼저 물어볼 질문
공개 네트워크 통신	인터넷 트래픽 보호와 관련됨	어떤 TLS·VPN·API 통신이 있는가
저장 데이터	의료·금융·기업·국가안보 정보처럼 오래 보호해야 할 수 있음	지금 암호화된 데이터의 보호 기간은 얼마나 긴가
디지털 서명	발신자 신원과 무결성 확인에 쓰임	소프트웨어, 문서, 인증서 서명은 어디에 쓰이는가
제품·서비스 의존성	실제 교체는 라이브러리와 벤더 업데이트에 묶임	내가 직접 바꿀 수 있는 부분과 공급자를 기다려야 하는 부분은 무엇인가

가정의 공유기 설정을 바꾸는 일과 기업의 인증서·서명·암호화 정책을 바꾸는 일은 난이도가 완전히 다릅니다. 회사나 기관에서는 “알고리즘 이름을 바꾸면 끝”이 아니라, 호환성, 성능, 인증, 배포 순서, 장애 복구까지 따라오거든요. 그래서 PQC 전환은 암호학 논문을 읽는 일만큼이나 자산 관리와 변경 관리의 문제입니다.

HQC 선정이 말해주는 것

HQC 선정에서 흥미로운 지점은 ‘백업’이라는 표현입니다. NIST는 HQC가 ML-KEM을 대체하려는 것이 아니며, ML-KEM과 다른 수학적 접근을 쓰는 백업 표준이 필요하다고 설명합니다. ML-KEM은 구조화 격자에 기반하고, HQC는 오류정정 코드에 기반하죠.

이 차이는 단순한 학술적 취향 문제가 아닙니다. 암호 표준은 한 알고리즘을 고른 뒤 영원히 고정하는 방식으로 운용되기 어렵습니다. 시간이 지나며 암호분석이 발전할 수 있고, 구현 환경도 달라지거든요. 따라서 표준화 기관이 백업 알고리즘을 준비한다는 것은 “지금 표준을 믿을 수 없다”는 신호가 아니라, 장기간 운용할 보안 인프라에는 대체 경로가 필요하다는 신호로 읽는 편이 더 정확합니다.

다만 HQC에는 비용도 따릅니다. NIST 발표는 HQC가 ML-KEM보다 더 긴 알고리즘이며 더 많은 컴퓨팅 자원을 요구한다고 설명합니다. 이 대목은 실무 전환에서 자주 놓치기 쉽습니다. 양자내성암호 전환은 보안 강도만 비교하는 문제가 아니라, 메시지 크기, 처리 자원, 프로토콜 호환성, 장비 성능까지 함께 보는 문제니까요.

기존 이해와 달라진 점

예전에는 양자내성암호를 “언젠가 필요할 기술” 정도로 보는 경우가 많았습니다. 하지만 2024년 주요 표준 공개 이후에는 이야기가 조금 달라졌습니다. 이제는 적어도 일부 영역에서 “무엇을 기준으로 이전할 것인가”를 말할 수 있게 된 거죠.

바뀐 점은 크게 세 가지입니다.

첫째, 논의의 중심이 추상적 위협에서 표준 이름으로 옮겨왔습니다. ML-KEM, ML-DSA, SLH-DSA라는 구체적 표준 축이 생겼습니다.

둘째, 전환 대상이 암호화만이 아니라 서명까지 포함된다는 점이 분명해졌습니다. 데이터가 안전하게 암호화되어도, 소프트웨어 업데이트나 문서 서명 체계가 낡은 방식에 묶여 있으면 별도의 위험이 남습니다.

셋째, 표준화는 고정된 목록이 아니라 계속 보강되는 체계라는 점이 드러났습니다. HQC 선정과 추가 디지털 서명 알고리즘 검토는 PQC 전환이 단발성 교체 작업이 아니라는 사실을 보여줍니다.

아직 모르는 점과 과장되기 쉬운 부분

이 주제에서 과장되기 쉬운 표현은 “현재 암호가 곧 모두 무너진다”는 식의 단정입니다. NIST의 설명은 미래의 충분히 강력한 양자컴퓨터가 널리 쓰이는 암호 시스템을 깰 수 있다는 가능성에 대비하는 것입니다. 지금 모든 시스템이 이미 깨졌다는 뜻은 아닙니다.

반대로 “아직 그런 양자컴퓨터가 없으니 기다리면 된다”는 해석도 좁습니다. 저장 데이터와 장기 기밀은 보호 기간이 길 수 있고, 보안 인프라 전환은 시간이 오래 걸리거든요. 특히 인증서, 프로토콜, 라이브러리, 하드웨어 장비, 외부 서비스가 얽힌 환경에서는 표준이 나온 뒤에도 실제 교체까지 긴 준비가 필요합니다.

또 하나의 오해는 “PQC 알고리즘 하나만 고르면 끝”이라는 생각입니다. NIST가 HQC를 백업으로 선정한 이유는 암호 표준이 대체 경로를 가져야 하기 때문입니다. 실제 운영에서는 알고리즘 자체뿐 아니라 암호 민첩성, 즉 필요할 때 암호 구성요소를 교체할 수 있는 구조가 중요해집니다.

실무형 판단 기준: 네 칸으로 나누기

PQC 전환을 처음 검토한다면 거대한 로드맵부터 그리기보다 네 칸짜리 표를 만드는 편이 낫습니다.

분류	예시 질문	판단 방향
이미 표준이 있는가	ML-KEM, ML-DSA, SLH-DSA 적용 대상인가	전환 검토를 시작할 수 있음
아직 표준화 중인가	HQC처럼 초안·최종 절차가 남았는가	백업 또는 향후 선택지로 추적
보호 기간이 긴가	지금 저장한 데이터가 수년 이상 민감한가	우선순위를 높게 둠
교체가 어려운가	펌웨어, 레거시 장비, 외부 벤더에 묶였는가	조기 목록화와 테스트가 필요

이 표의 장점은 공포를 줄이고 일을 작게 쪼갠다는 데 있습니다. “양자컴퓨터 시대가 오면 어떻게 하지”라는 질문은 너무 크죠. 반면 “우리 인증서 발급·갱신 체계에서 어떤 서명 알고리즘을 쓰는가”, “저장 데이터 암호화 키 교환은 어디에서 일어나는가”, “벤더가 PQC 업데이트 계획을 갖고 있는가”는 답을 찾을 수 있는 질문입니다.

다음 관찰 포인트

앞으로 볼 지점은 크게 세 가지입니다.

첫째, HQC의 초안 표준 공개와 최종 표준화 일정입니다. NIST 발표는 HQC 기반 초안 표준을 약 1년 뒤 공개하고, 90일 의견 수렴 뒤 2027년 최종 표준을 예상한다고 밝혔습니다.

둘째, FALCON 기반 FIPS 206의 진행 상황입니다. NIST PQC 프로젝트 페이지는 Falcon 디지털 서명 알고리즘도 계속 표준화 대상에 포함되어 있음을 보여줍니다.

셋째, 실제 제품과 프로토콜의 지원 속도입니다. 표준 문서가 있어도 운영 환경에서 쓰려면 라이브러리, 보안 제품, 클라우드 서비스, 인증서 체계가 따라와야 합니다. 이 부분은 알고리즘 평가와는 다른 층위의 문제입니다.

양자내성암호 전환을 잘 읽는 방법은 위협을 작게 보는 것도, 크게 부풀리는 것도 아닙니다. 표준화된 것, 표준화 중인 것, 아직 조직 내부에서 찾아야 할 것을 분리해 보는 것이죠. 그렇게 보면 질문은 자연스럽게 바뀝니다. “언제 뚫릴까”보다 “우리는 무엇을 어디서부터 바꿀 수 있을까”가 먼저입니다.