분석: 양자 컴퓨팅은 128비트 대칭 키에 위협을 미치지 않으며, '포스트 양자 암호학'은 과도한 우려로 잘못 이해되었습니다.

BlockBeats 뉴스에 따르면, 암호학 엔지니어 Filippo Valsorda가 쓴 글에서 현실적인 양자 컴퓨터가 가장 낙관적인 속도로 발전한다 해도, 128비트 대칭 암호화를 예측 가능한 미래에도 해독할 수 없다는 주장을 펼쳤다. 현재의 "퀀텀 이후 암호학"은 오해로 인한 공포라고 말했다. 그는 "양자 컴퓨터가 128비트 대칭 키 (예: AES-128)에 대해 실제 위협을 제공하지 않으며, 업계가 키 길이를 업그레이드할 필요가 없다"고 말했다.

Filippo Valsorda는 많은 사람들이 양자 컴퓨터가 Grover 알고리즘을 사용하여 대칭 키의 유효한 보안 강도를 "절반으로" 줄일 것을 우려한다고 지적했으며, 이를 통해 128비트 키가 64비트 안전성만 제공할 것이라는 잘못된 생각이 있다고 밝혔다. Grover 알고리즘의 주요 문제는 효율적인 병렬화를 할 수 없다는 것이다. 그 과정은 직렬적으로 실행되어야 하며, 강제 병렬화는 총 계산 비용을 급격히 증가시킬 것이다. 이상적인 양자 컴퓨터를 사용하더라도, AES-128 키를 해독하는 데 필요한 총 계산양은 천문 학적이며, 약 2¹⁰⁴·⁵ 회의 조작이 필요할 것이다. 이는 현재의 불가침 비대칭 암호화 알고리즘의 비용보다 수십 억 배 높기 때문에 완전히 비현실적이다. 현재 미국 NIST, 독일 BSI 등의 표준 기관 및 양자 보안 전문가들은 모두 AES-128 등의 알고리즘이 알려진 양자 공격에 대항할 수 있는 것으로 명확히 밝히고 있으며, 그것을 후양자 보안의 기준으로 정하고 있다. NIST는 공식적인 질의에 대해 "양자 위협 대응을 위해 AES 키 길이를 두 배로 늘리지 말아야 한다"고 직접 제안하고 있다.

Filippo Valsorda는 마지막으로, 현재 후양자 이주의 유일한 긴급 과제는 RSA, ECDSA와 같이 공격을 당하기 쉬운 비대칭 암호화를 대체하는 것이며, 제한된 자원을 대칭 키 업그레이드 (예: 128비트에서 256비트로)에 사용하는 것은 필요하지 않으며, 주의를 분산시키고 시스템 복잡성과 조정 비용을 증가시킬 뿐이므로, 진정으로 교체해야 할 부분에 모든 주력을 집중해야 한다고 제안했다.