원문 제목: 양자 컴퓨팅과 블록체인: 시급성과 실제 위협의 일치
원문 작성자: Justin Thaler, a16zcrypto
번역: Peggy, BlockBeats

편집자 주: 양자 보안 위협에 대한 이야기가 시장에서 너무 긴급하게 다루어지고 있지만, 후양자 이주를 즉각적으로 시행해서는 안 된다. 본문의 핵심은 암호화가 "먼저 수집하고 나중에 해독" (HNDL)해야 하는 현실적 위험이 이미 존재하기 때문에 암호화는 가능한 빨리 혼합 솔루션을 도입해야 한다는 것이다. 그러나 디지털 서명과 zkSNARK는 선수 없이 출발할 필요가 없으며, 조기 전환이 체적적인 보안 비용으로 이어질 수 있는 부피 증가, 성능 감소 및 구현 결함 등과 같이 보다 직접적인 안전 비용을 야기할 수 있기 때문이다.

본문의 저자인 Justin Thaler는 a16z 연구 파트너이자 조지타운 대학교 컴퓨터 과학 부 부교수로, 검증 가능한 계산 등을 연구하고 있으며, 업계에 후양자 시대가 되었을 때 취해야 할 접근 방식은 단순히 공포에 빠져 이주하는 것이 아니라 실제로 긴급한 위험에 자원을 투자해야 한다고 업계에 일깨웠다.

다음은 원문입니다:

양자 컴퓨팅이 "기존 암호 시스템을 위협할 만큼 충분히 발전했는지"에 대한 답은 얼마나 멀리 떨어져 있는지에 따라 상이하며, 시장에는 종종 시기가 너무 앞당겨져 있는 경향이 있어 "즉시 후양자 암호(PQC)로 완전히 전환해야 한다"는 긴급한 이야기가 만들어졌다.

하지만 문제는 이러한 요구가 종종 핵심적인 사실을 무시한다는 점이다: 너무 일찍 이주하면 자체적인 비용과 새로운 위험이 발생하는 것이다. 더 중요한 것은, 암호 시스템이 단일 덩어리가 아니고 서로 다른 암호학 기본 구조들의 공격 방식과 위험 노출 정도가 실제로 크게 다르다는 점이다:

후양자 암호(PQC)의 논리적인 긴급성은 더욱 높다: 비용이 비싸더라도 가능한 한 빨리 배포해야 한다. 그 이유는 "먼저 수집하고 나중에 해독" (HNDL) 공격이 이미 발생하고 있기 때문이다. 적수는 오늘 암호화한 중요 데이터를 먼저 저장해놓고, 미래 양자 컴퓨터가 나타날 때 이를 해독할 수 있다. 실제로 양자 컴퓨터가 나타날 때까지 몇십 년이 걸릴지 모르지만, 그 데이터가 그 때까지 여전히 가치 있다면 이는 현실적인 위협이 된다. 후양자 암호는 성능 비용과 구현 위험은 존재하지만, 장기 기밀성이 필요한 데이터에 대해서는 HNDL 공격으로 인해 다른 선택지가 없다.

후양자 서명(PQC)의 계산 방식은 다르다: 그들은 HNDL 공격의 영향을 받지 않지만 그들의 비용과 위험(부피 증가, 성능 비용, 미숙한 구현, 결함 리스크)이 이주를 조심스럽게 하고 점진적으로 해야 한다는 결정을 내리게 한다.

이러한 구분은 매우 중요합니다. 잘못된 인식은 비용 대 이익 분석을 왜곡시킬 수 있으며, 팀이 코드 버그와 같은 보다 시급한 보안 위험을 무시하게 합니다. 양자 보안 이주를 성공적으로 추진하는 진정한 어려움은 "긴급성"을 "실제 위협"과 일치시키는 것입니다. 아래에서 양자 위협과 암호학에 대한 일반적인 오해를 몇 가지 설명하고, 암호화, 서명 및 제로지식증명을 다루며 특히 블록체인에 미치는 영향을 강조하겠습니다.

우리의 현재 시간표는 어디에 있나요?

2020년대에 "암호학적으로 관련된 양자 컴퓨터"가 나타날 가능성은 극히 낮습니다. 높은 주장이 있지만 실제론 그렇지 않습니다.

내가 말하는 "암호학적으로 관련된 양자 컴퓨터"는 오류 정정이 가능하고 편하게 큰 규모의 Shor 알고리즘을 실행하고 일정 시간 내에 타원 곡선 암호나 RSA를 깰 수 있는 양자 컴퓨터를 의미합니다. 예를 들어 secp256k1 또는 RSA-2048를 해체하는 데 한 달 정도의 계산이 소요됩니다.

오히려 현실적인 마일스톤 및 자원 추정에 따르면 우리는 아직 CRQC로부터 아주 먼 거리에 있습니다. 어떤 회사들은 2030년 이전이나 훨씬 빠른 시일 내에 CRQC를 달성할 수 있다고 주장하지만, 공개적으로 확인 가능한 진전이 이러한 주장을 뒷받침하지는 않습니다.

비교를 해보자면, 현재의 모든 대중적인 아키텍처인 이온 함석, 초전도 비트 및 중성자 원자 시스템 간에는 Shor 알고리즘을 실행하는 데 필요한 규모에 도달한 플랫폼이 없습니다. RSA-2048 또는 secp256k1을 공격하기 위해서는 종종 수십만에서 수백만 개의 물리적 비트가 필요합니다(오차율 및 오류 정정 체계에 따라 다를 수 있음).

제약 요소는 비트 수뿐만이 아니라 게이트 정확도(gate fidelity), 비트 연결성(connectivity) 및 장기적으로 유지되는 오류 정정 회로의 깊은 양자 알고리즘 실행에 필요한 것입니다. 최근 일부 시스템은 물리적 오차율이 실제로 "양자 정정이 작용하기 시작하는" 임계 차원에 가까운데, 그럼에도 적은 수의 논리적 퀀텀 비트가 충분히 깊은 오류 정정 회로에서 지속적으로 실행될 수 있는 것을 아직까지 보여주지 못했습니다. 이러한 시스템은 종종 Shor 알고리즘이 실제로 필요로 하는 천 개 이상의 고정밀, 깊은 회로, 용서할 수 있는 논리적 퀀텀 비트를 포함하지 않습니다.

「양자 오류 정정의 증명이 원리적으로 가능하다」부터 「암호 해독에 충분한 규모에 도달하는 것」까지의 간극은 여전히 거대하다.

간단히 말해: 물리 비트 수와 충실도가 수량적으로 향상되기 전에도 CRQC는 여전히 멀리 떨어져 있다.

하지만 왜 사람들은 쉽게 오해하는가?

기업 보도 자료와 언론 보도는 혼란을 일으키기 쉬우며, 흔한 오해의 원인은 다음과 같다:

일부 데모는 "양자 우위"를 달성했다고 주장하지만, 현재 많은 것이 인공적으로 디자인된, 현실적이지 않은 작업을 대상으로 한다. 이러한 작업이 선택된 이유는 실용적인 가치가 있는 것이 아니라 기존 하드웨어에서 실행될 수 있으며, 거기에 거대한 양자 가속도가 있는 것처럼 "보인다"는 이유 때문인데, 이러한 배경은 종종 발표에서 약화된다.

일부 기업은 "수천 개의 물리 비트"를 실현했다고 주장하지만, 그것은 일반적으로 양자 어닐러(quantum annealer)를 의미하며, Shor 알고리즘을 실행하는 데 필요한 게이트 모델 양자 컴퓨터(gate-model machine)가 아니다.

일부 기업은 "논리 비트"라는 용어를 남용한다. 물리 비트는 매우 시끄럽고, 양자 알고리즘에는 논리 비트가 필요하며, Shor 알고리즘에는 수천 개의 논리 비트가 필요하다. 논리 비트는 일반적으로 많은 물리 비트를 오류 수정하여 형성되는데, 각 논리 비트는 종종 수백 개에서 수천 개의 물리 비트가 필요하다(오류율에 따라 달라짐). 그러나 일부 기업은 이 개념을 지나치게 확장한다. 예를 들어, 2 거리 부호(distance-2 code)를 사용하여, 각 논리 비트는 물리 비트 2개로 구성되어 48개의 논리 비트를 달성했다고 주장하는 것은 터무니없다: 거리가 2인 부호는 오류를 감지할 뿐, 오류를 수정할 수 없다. 암호 해독에 실제로 사용되는 오류 인정 논리 비트는 각각 수백 개에서 수천 개의 물리 비트를 필요로 하며, 두 개가 아니다.

보다 일반적으로 말하면, 많은 양자 컴퓨팅 로드맵에서 "논리 비트"는 클리퍼드(clifford) 연산만 지원하는 비트를 의미한다; 클리퍼드 연산은 고전 컴퓨터가 효율적으로 에뮬레이트할 수 있기 때문에, 이로 인해 Shor 알고리즘을 실행하기에는 전혀 충분하지 않다. Shor 알고리즘은 많은 오류 인정된 T 게이트(또는 일반적으로 클리퍼드가 아닌 게이트)를 필요로 한다.

그러므로, 어떤 로드맵이 "X 년 내에 수천 개의 논리 비트에 도달할 것"이라고 말한다 해도, 그 기업이 동일 년도에 대중 암호학을 파괴하기 위해 Shor 알고리즘을 실행할 것으로 예상되지는 않는다.

이러한 관행들은 대중의 CRQC에 대한 판단을 맹목적으로 왜곡시키며, 일부 전문가 집단조차도 마찬가지이다.

전문가도 흥분하지만, 즉시 해독할 수 있는 것은 아님

확실히, 몇몇 전문가는 발전에 흥분을 느낍니다. 예를 들어 Scott Aaronson은 최근에 "현재 놀라운 하드웨어 진보 속도"를 감안할 때, 다음 미국 대통령 선거 이전에 Shor 알고리즘을 실행할 수 있는 결함 허용 퀀텀 컴퓨터가 나올 가능성을 "현실 가능성"이라고 생각했습니다.

하지만 Aaronson은 나중에 이것이 CRQC를 가리키는 것은 아니라고 명확히했습니다. 완전한 결함 용인의 Shor 알고리즘 실행에서 심지어 15를 3×5로 분해할 수 있다면, 그것을 "실현"으로 간주할 것입니다. 그리고 이 계산은 종이와 연필을 사용하여 더 빠릅니다. 아직도 "소규모"에서 실행되는 것이 문제이며, "암호 해독에 충분한" 규모는 아닙니다.

또한 왜 많은 실험에서 15를 분해하는지 궁금해하실 겁니다? 15 모듈러 산술이 매우 간단하기 때문이며, 21과 같이 약간 더 큰 수를 분해하는 것은 훨씬 어렵습니다. 따라서 21을 분해한다고 주장하는 실험은 추가 힌트나 지름길에 의존하기 일쑤입니다.

요약하면: 앞으로 5년 안에 RSA-2048 또는 secp256k1을 해킹할 수 있는 CRQC가 나올 것이라고 생각하는 것(이것이 실용 암호학이 진정 관심을 가지고 있는 능력입니다)에 대한 공개적인 발전은 없습니다.

심지어 10년이 지나도 여전히 매우 긍정적인 겁니다. 우리가 CRQC로부터 얼마나 떨어져 있는지를 고려하면 하드웨어 발전에 흥분하는 것은 완전히 "10년 이상의 시간표"와 공존할 수 있습니다.

또한 미국 정부가 2035년을 후양자 서체계 위주 양자 체계로 전면 이전하는 마감일로 보고 있다는 점: 나는 이것이 "대규모 전환을 완료하는 시간표"로 합리적이라고 생각하지만, 이것은 "2035년 이전에 CRQC가 나타날 것"에 대한 예측은 아닙니다.

HNDL 공격은 어디에 적용됩니까(및 어디에 적용되지 않습니까)？

"먼저 수집, 나중에 해독" (HNDL) 공격은 다음을 의미합니다. 상대가 현재 암호화된 통신 데이터를 저장하고, 미래에 CRQC가 나타난 후 해당 데이터를 해독합니다. 국가 차원의 적수들은 거의 확실히 미국 정부의 암호화 통신을 대규모로 아카이빙했으며, 몇 년 후 이를 해독할 수 있도록 합니다.

그러므로 암호 시스템은 오늘부터 이주되어야 합니다 - 적어도 10-50년 이상의 비밀 보호가 필요한 사람들에게는요.

그러나 블록체인이 의존하는 디지털 서명은 암호화와 다릅니다. 서명 자체에는 "비밀 내용"이 포함되어 있지 않으며, 나중에 해독할 수있는 기밀 정보는 없습니다.

다시 말해: CRQC가 출현하면, 그 즉시 서명을 위조할 수 있지만, 역사적 서명은 암호화 메시지처럼 "숨겨진 비밀"을 갖고 있지 않습니다. CRQC 출현 이전에 특정 서명이 생성되었음을 알고 있다면, 그것은 위조될 수 없습니다.

이로 인해 후퀀텀 디지털 서명의 이주가 암호화의 후퀀텀 이주보다 더 긴급해졌습니다.

따라서 주류 플랫폼의 조치도이 속도에 부응합니다:

Chrome 및 Cloudflare는 TLS 암호화에서 X25519 + ML-KEM 혼합 방식을 도입했습니다.
（참고: 가독성을 위해 여기서 "암호화 방식"이라고 말했지만 엄밀히 말해 TLS는 키 교환 또는 키 캡슐화 메커니즘을 사용하며 전통적인 공개 키 암호화가 아닙니다.）

여기서 "혼합"이란 후퀀텀 안전 방식 (ML-KEM)과 기존 방식 (X25519)을 겹쳐 사용하여 두 가지 안전 보장을 동시에 받는 것을 의미합니다. 한편 ML-KEM으로 HNDL을 방어하고, ML-KEM이 고전 컴퓨터에 대해 안전하지 않다는 것이 증명되더라도 X25519의 고전적인 안전성을 유지합니다.

Apple의 iMessage는 PQ3 프로토콜을 통해 유사한 혼합 후퀀텀 암호화를 배포했으며, Signal은 PQXDH 및 SPQR 프로토콜을 통해 유사한 방식을 배포했습니다.

비교적으로, 핵심 인터넷 인프라에서의 후퀀텀 디지털 서명 배포는 CRQC가 실제로 가까워질 때까지 연기되었으며, 기존의 후퀀텀 서명 방식이 상당한 성능 저하를 야기했기 때문입니다 (후속 내용에서 설명함).

zkSNARK는 서명이 아닌 암호화와 유사한 상황입니다

zkSNARK (제로 지식 간결 비대화형 지식 증명)은 블록체인의 장기적 확장성과 개인 정보 보호에 매우 중요하며, 그 처지는 서명과 유사합니다: 일부 zkSNARK는 후퀀텀 안전이 아닐지라도 (또한 엘리스피틱 커브 암호학을 사용하기 때문에, 현재의 비후퀀텀 암호화 및 서명 방식과 마찬가지로) 그들의 제로 지식 특성은 여전히 후퀀텀 안전입니다.

제로 지식 특성은 증명이 어떤 "비밀 증인" (witness) 정보도 노출하지 않음을 의미합니다. 양자 상대에 직면하더라도 "우선 수집, 후 해독"할 수있는 기밀 정보가 없습니다.

따라서 zkSNARK는 HNDL 공격을받지 않습니다. 오늘날 생성된 비후퀀텀 서명이 신뢰할 수 있듯이, 어떤 zkSNARK 증명이 CRQC가 나타나기 전에 생성된 경우이 증명은 신뢰할 수 있습니다 (증명 명제는 항상 참임) 여전히 타원 곡선 암호학을 사용하는 zkSNARK). 오직 CRQC 이후에 공격자가 "겉으로 보기 신뢰할 만한 그러나 실제로는 거짓 명제를 증명"할 수 있음.

이는 블록체인에 무엇을 의미합니까?

대부분의 블록체인은 HNDL 공격에 노출되지 않습니다. 예를 들어, 비트코인, 이더리움과 같은 비 프라이버시 블록체인은 거래 승인에 비후 쿼크 암호학을 사용하며, 디지털 서명을 통해 암호화를 사용합니다. 서명은 HNDL의 위험 지점이 아닙니다. HNDL은 암호화 된 데이터를 대상으로 하기 때문입니다. 예를 들어, 비트코인 블록체인은 공개적이며, 양자 위협은 ‘서명 위조(개인 키 유도를 통한 도난)’을 겨냥하며, ‘이미 공개된 거래 데이터를 해독하는 것’이 아닙니다. 그러므로, HNDL은 ‘즉시 이주가 필요한 암호학적 긴급함’을 유발하지 않습니다.

안타깝게도, 미 연방 준비 은행과 같은 신뢰할 수 있는 소스에서 조차도 비트코인이 HNDL 공격을 받을 것이라고 잘못 주장한 적이 있습니다. 이러한 오견은 양자 이주의 긴급성을 과장할 수 있습니다.

물론, 긴급성이 감소한다고 해서 비트코인이 천천히 시간을 벌 수 있다는 뜻은 아닙니다. 그것의 시간 압력은 다른 곳에서 비롯됩니다 - 프로토콜 변경에 필요한 엄청난 사회 조정 비용으로부터부터입니다. ( 이후, 비트코인의 특별한 골칫거리에 대해 이야기할 것입니다.)

현재 진정한 예외 사항은 프라이버시 블록체인입니다. 그 중 많은 블록체인은 수취인과 금액을 암호화하거나 숨깁니다. 이러한 기밀성은 ‘현재 수집’될 수 있습니다. 그리고 미래 양자 컴퓨터가 타원곡선 암호를 해독한 후에는 익명성 추적이 가능합니다.

프라이버시 체인의 공격 정도는 구체적인 설계에 달립니다. 예를 들어, Monero의 기반 curve-swapping signature와 key image(더블 스펜딩을 막는 「각 출력당 연결 가능한 태그」)은 공개 장부만으로도 거의 전체적인 지출 이력을 재구성할 수 있습니다. 반면, 다른 몇 가지 프라이버시 솔루션은 훨씬 제한적인 피해를 입을 수 있습니다. 자세한 내용은 Zcash의 암호 엔지니어 및 연구원인 Sean Bowe의 논의를 참고하세요.

사용자가 CRQC 도래 후에도 거래가 노출되지 않기를 매우 염려한다면, 프라이버시 블록체인은 후 양자 원시(또는 혼합 방안)로 이주하거나 체인에 해독 가능한 비밀을 기입하지 않는 아키텍처를 채택해야 합니다.

비트코인의 「특별한 골칫거리」: 거버넌스 + 방치된 코인

비트코인을 위해, 양자 서명 이주를 조기에 계획하기 위해 두 가지 현실적인 요인이 존재하는데, 이 두 요인은 양자 기술과는 무관합니다

거버넌스 속도: 비트코인 업그레이드는 매우 느립니다. 어떤 논란이 있으면 커뮤니티가 합의에 도달하지 못할 경우 파괴적인 하드 포크를 야기할 수 있습니다.

이주는 수동으로 완료되어야 함: 비트코인이 양자 서명으로 전환이 가능해지면 자동으로 전환되지 않으며, 코인 보유자가 자발적으로 자산을 이전시켜야 합니다. 즉, 방치된 양자 취약 코인은 보호를 받을 수 없습니다. 몇몇 추정에 따르면, 이러한 폐기된 양자 취약 BTC는 수백만 개라도 있다고 하며, 2025년 12월 가격에 따르면 수천 억 달러의 가치를 지닐 수 있습니다.

그러나 비트코인의 양자 위협은 일시적인 종말이 아닌, 더는 선택적이고 점진적인 공격 과정과 같을 것입니다. 양자 컴퓨터는 모든 키를 동시에 해독하는 것이 아니라 Shor 알고리즘에 따라 각각 공개키를 공격해야 합니다. 초기 양자 공격은 매우 비용이 많이 들고 느릴 것입니다. 따라서 한 번 비트코인 서명 키를 해독할 수 있는 순간, 공격자는 높은 가치를 가진 지갑을 우선적으로 겨냥할 것입니다.

게다가 주소를 재사용하지 않고 Taproot 주소(Taproot는 공개키를 직접 노출시킴)를 사용하지 않는 사용자들은 프로토콜 변경이 없더라도 상대적으로 안전합니다. 그들의 공개키는 소비되기 전에 계속 해시 함수에 의해 숨겨집니다. 소비 트랜잭션을 보낼 때까지 공개키가 노출되지 않으며, 이때 짧은 "실시간 경쟁"이 발생할 것입니다. 실제 소유주는 거래가 빨리 확인될 필요가 있고, 양자 공격자는 최종 확인 전에 개인 키를 유도하고 먼저 소비하려고 할 것입니다. 따라서 실제로 장기적으로 취약한 것은 이미 노출된 공개키를 가진 코인입니다: 초기 P2PK 출력, 재사용 주소, 그리고 Taproot 홀딩스입니다.

노출된 코인과 가능한 포기된 코인에 대한 간단한 해결책이 없습니다. 가능한 옵션은 다음과 같습니다:

커뮤니티가 "플래그 데이터"를 설정하고, 특정 날짜 이후에 이전되지 않은 모든 코인을 소멸된 것으로 간주하는 것입니다;

또는 이러한 포기된 양자 취약 코인을 두고, 미래에 CRQC를 소유한 어떤 사람이 직접 "인계"하는 것입니다.

두 번째 옵션은 심각한 법적 및 보안 문제를 제기할 것입니다: 양자 컴퓨터를 사용하여 개인 키 없이 동전을 통제하는 것은, 소유권이 정당하거나 선량한 목적을 가졌다고 주장하더라도, 다수의 사법 관할 지역에서 도난이나 컴퓨터 사기 관련 법률을 위반할 수 있습니다.

또한, "포기" 자체는 오랫동안 활용되지 않았을 것으로 예상에 근거하여 기반하므로, 이러한 동전에 실제로 활동하는 소유자가 없거나 여전히 액세스할 수 있는 키가 있는지를 확인할 수 없습니다. "나는 이 동전을 가지고 있던 적이 있었다"라는 증거만으로는 종래의 비밀번호 보호를 우회하고 자산을 회수하는 데 필요한 합법적 권한을 부여하는 데 충분하지 않을 가능성이 많습니다. 이러한 법률적 모호성은 악의적 공격자가 먼저 손을 대는 가능성을 높일 것입니다.

비트코인은 또 다른 문제를 안고 있습니다: 체인의 처리량이 매우 낮다는 것입니다. 이전이 확정된 후 양자 안전 주소로 모든 양자 취약 자금을 이전하는 계획이 확정된다 해도, 비트코인의 현재 거래 속도로 이 작업을 수행하는 데 몇 달이 걸릴 것입니다.

이러한 문제로 비트코인은 현재부터 양자 후 이전을 계획해야 합니다. 2030년 전에 CRQC가 나타날 것이라는 이유가 아니라, 거버넌스, 조정 및 기술 이전 자체를 해결하는 데 몇 년이 걸리기 때문입니다.

비트코인이 직면한 양자 위험은 실제로 존재하지만, 시간적 압박은 양자 컴퓨터가 즉각적으로 다가온 것이 아니라 비트코인 자체적인 제약에서 비롯됩니다. 다른 블록체인도 양자 취약 자금 문제가 있지만, 비트코인은 더 특별합니다: 초기 거래가 P2PK 출력을 사용하고, 공개키를 체인에 직접 기록해 해당 양자 취약 코인의 비율이 특히 뚜렷하게 나타납니다. 비트코인의 역사가 더 오래되었고, 가치가 높고, 처리량이 낮으며, 거버넌스가 더 강력하기 때문에 이 문제는 특히 심각합니다.

강조해야 할 점은: 위 취약점이 영향을 미친 것은 비트코인 디지털 서명의 암호 보안이며 비트코인 체인의 경제적 보안이 아닙니다. 비트코인의 경제적 안전성은 PoW(작업 증명)에서 나오며, 양자 컴퓨팅이 PoW에 미치는 위협은 비교적 제한적입니다. 이는 세 가지 이유 때문입니다:

PoW는 해시에 의존하기 때문에 그로버(Grover) 탐색 알고리즘의 제곱 시간 가속만 받으며 쇼어(Shor) 알고리즘의 지수 시간 가속을 받지 않습니다;

그로버 탐색을 구현하는 데에는 현실적으로 막대한 비용이 소요되므로 양자 컴퓨터가 비트코인 PoW에서 조차 "절충적인 현실적인 가속"을 얻는 것은 매우 어렵습니다;

중요한 가속이 나타나더라도, 이는 주로 대규모 채굴자(양자 채굴자)가 상대적으로 우위를 점하게 하는 데 그칠 뿐이며, 비트코인의 경제적 보안 모델을 본질적으로 파괴하지는 않을 것입니다.

후양자 서명의 비용과 위험

블록체인이 후양자 서명을 서두르지 말아야 하는 이유를 이해하려면, 성능 비용과 후양자 보안에 대한 신뢰가 계속 변화하고 있음을 동시에 이해해야 합니다.

대부분의 후양자 암호 체계는 다음 다섯 가지 경로 중 하나에 기반을 두고 있습니다:

해싱(Hashing), 부호화(codes), 격자(lattices), 다변수 이차방정식 시스템(MQ), 동종사상(isogenies)

왜 다섯 가지나 될까요? 왜냐하면 모든 후양자 암호 원천의 안전성은 어떤 수학적 문제를 양자 컴퓨터가 효율적으로 해결할 수 없다는 가정에 기초하기 때문입니다. 문제의 구조가 강력할수록 우리는 효율적인 프로토콜을 구축할 수 있습니다.

그러나 구조가 강력할수록 공격 가능성이 커지고 알고리즘이 그에 의해 이용될 가능성도 높아집니다. 이것은 기본적인 긴장 관계를 형성합니다: 보다 강력한 구조 가정은 성능을 향상시키지만, 동시에 더 높은 보안 위험(가정이 뒤집힐 가능성이 높음)을 야기할 수 있습니다.

전반적으로, 해싱 경로는 안전성 측면에서 가장 보수적이며 양자 컴퓨터가 이를 효율적으로 공격하기 어려우므로 우리는 더 자신이 있습니다; 그러나 성능은 가장 나쁩니다. NIST 표준화 해싱 서명의 경우, 최소 매개변수를 사용하더라도 서명은 7~8KB 입니다. 반면, 오늘날 타원 곡선을 기반으로 한 디지털 서명은 64바이트로, 사이즈는 대략 100배 차이가 납니다.

격자 암호는 현재 주요 배포 대상이며: NIST가 표준화한 유일한 암호화 체계 및 세 가지 서명 알고리즘 중 두 가지는 모두 격자를 기반으로 합니다.

그 중 ML-DSA(원래 Dilithium)의 서명 크기는 대략 다음과 같습니다:

128비트 보안 수준: 2.4KB

256 비트 안전 수준: 4.6KB

타원 곡선 서명에 비해 대략 40~70배 큽니다.

또 다른 격 격 서명인 Falcon 서명은 더 작습니다(Falcon-512는 666바이트, Falcon-1024는 1.3KB), 하지만 복잡한 부동 소수점 연산이 필요하며, NIST는 이를 구현하기가 어렵다고 특히 언급했습니다. Falcon의 한 저자인 Thomas Pornin은 심지어 이를 "내가 구현한 가장 복잡한 암호 알고리즘"이라고 묘사했습니다.

구현된 보안 측면에서 격 서명 방식은 타원 곡선 방식보다 더 어렵게 보호해야 합니다: ML-DSA는 더 많은 중요 중간 값과 복잡한 샘플링 거부 로직이 있어서 사이드 채널 및 오류 내성 방어가 필요하며, Falcon은 constant-time 부동 소수점 구현 등에 관련된 문제, 실제로 Falcon의 구현에 대한 사이드 채널 공격이 개인 키를 복원시킬 수 있는 것으로 밝혀졌습니다.

이러한 문제는 즉각적으로 발생할 수 있는 위험이며, CRQC(Cognizable Quantum Computer) 위험이 아니라는 점에 유의해야 합니다.

신중함에 역사 교훈이 있습니다: 일부 선두적인 후보 방식들인 Rainbow(MQ 서명)과 SIKE/SIDH(접속 사상 암호)와 같은 것들이 후에 고전 컴퓨터로 침투당했습니다. 즉, 오늘날의 컴퓨터를 사용하여 해독할 수 있고 양자 컴퓨터가 아닙니다.

그리고 그들은 NIST 표준화 과정의 후기에 이를 깨뜨렸습니다. 이것은 과학 과정이 작용하고 있음을 분명히 보여주지만, 일찍이 표준화하고 조기 배포하는 것이 오히려 역효과를 줄 수 있다는 점을 상기시켜 줍니다.

그렇기 때문에 인터넷 기반 구조는 서명 이주에 대해 더 안정적인 경로를 취하고 있습니다. 인터넷 비밀번호 이주가 한 번 시작되면 실제로 이루어지기까지 많은 시간이 걸리는데, MD5와 SHA-1의 폐기가 이를 보여주고 있습니다. 이러한 것들이 공식적으로 폐기된 지 오랜 시간이 지남에도 불구하고 인프라가 여전히 오랜 기간 필요하며 몇몇 상황에서 완전히 사라지지 않았음을 알려줍니다. 이것들은 이미 "완전히 해킹당한" 알고리즘들에 대한 얘기이지 "미래에 해킹당할 수도 있다"는 얘기가 아닙니다.

블록체인 vs 인터넷 기반 구조: 일부 고유한 도전 과제

좋은 소식은, Ethereum 및 Solana와 같은 활발한 오픈 소스 커뮤니티 유지형 블록체인은 종종 전통적인 인터넷 기반 구조보다 업그레이드 속도가 빠릅니다.

그러나 전통적 인터넷 기반 구조도 이익이 있습니다: 키를 자주 교체하는 경향이 있어서 공격 범위를 계속해서 이동시키기 때문에 초기 양자 기계가 순차적으로 새로운 키를 깨기가 어렵습니다. 반면 블록체인은 이러한 "사치 조건"이 없으며, 화폐와 해당 키가 장기간 노출되어 가만히 두어질 수 있습니다.

전반적으로 블록체인은 인터넷에서 서명 마이그레이션에 대한 "안정적인 리듬"을 취해야 합니다: 서명이 HNDL에 직면하지 않기 때문에, 아직 미성숙한 후양자 계획으로의 조기 이주는 여전히 큰 비용과 위험을 안겨줍니다.

동시에, 블록체인은 조기 이주를 더 복잡하게 만드는 몇 가지 특별한 요구도 갖고 있습니다: 예를 들어 온체인에서 빠르게 서명을 집계해야 하는 경우입니다. 오늘날 BLS 서명이 일반적으로 사용되는 이유는 집계가 매우 빠르기 때문이지만, 이는 후양자에 안전하지 않습니다. 연구자들은 SNARK를 사용하여 후양자 서명을 집계하는 것을 탐구하고 있으며, 이는 매우 유망하지만 아직 초기 단계에 있습니다.

SNARK에 대해, 현재 커뮤니티는 주로 해시 기반 구성을 후양자의 주요 솔루션으로 삼고 있습니다. 그러나 미래 수 개월에서 수 년 동안, 격자 기반 접근 방식이 성능이 더 좋은 대체 옵션으로 부상할 수 있으며, 더 짧은 증명 등의 이점을 제공할 수 있습니다 — "격자 서명은 해시 서명보다 짧다"는 비교와 같이.

현재의 더 큰 문제: 양자 위협이 아닌 안전성 달성

향후 많은 해 동안, 버그는 CRQC보다 훨씬 더 중요한 보안 위험으로 부각될 것입니다. SNARK의 경우, 주요 문제는 버그입니다.

디지털 서명 및 암호화는 이미 버그 없이 구현하기 어려운데, SNARK의 복잡성은 더욱 높습니다. 실제로, 디지털 서명 방법은 매우 간단한 zkSNARK로 볼 수 있습니다: 이는 "해당 공개 키에 해당하는 비밀 키를 알고 있고 이 메시지를 승인했다는 것을 증명합니다"。

후양자 서명에 대한 경우, 현재는 측면 채널 공격, 오류 주입 등의 구현 공격과 직면해 있습니다. 이러한 공격은 현실 세계에서 매우 성숙해져 있어 배치된 시스템으로부터 개인 키를 추출하는 데 충분하며, 이러한 위협은 "먼 미래 양자 컴퓨터"보다 훨씬 시급합니다.

향후 수 년 동안, 커뮤니티는 SNARK의 버그를 지속적으로 발견하고 수정하며, 측면 채널 및 오류 주입에 대항할 수 있도록 후양자 서명 구현을 강화해야 합니다. 후양자 SNARK 및 서명 집계 방법은 아직 발전 중이므로, 조기 이주된 체인은 덜 우수한 솔루션에 갇히게 될 수 있고, 보다 나은 솔루션이 나타나거나 버그가 발견되면 재이주해야 할 수도 있습니다.

어떻게 해야 할까요? 7가지 제안

상기 사항을 고려해, 다양한 역할(개발자, 정책 결정자 등)에 대한 나의 제안은 다음과 같습니다: 양자 위협을 심각하게 다루되, CRQC가 2030년 이전에 도래한다고 가정하지 마십시오. 이 가정은 공개된 진전과 부합하지 않습니다. 그러나 우리는 여전히 즉각적으로 몇 가지 조치를 취할 수 있으며, 해야 합니다:

#1 즉시 혼합 암호를 배포하세요.
긴 기간 기밀이 필요한 경우 적어도. 브라우저, CDN, 통신 소프트웨어는 이미 "후양자 + 클래식" 혼합 방식을 널리 채택하여 HNDL을 방지하며 동시에 후양자 방법의 잠재적인 결함을 상쇄합니다.

#2 크기 문제 없을 때 즉시 해시 서명 사용.
예를 들어 소프트웨어/펌웨어 업데이트와 같이 저주파, 용량에 민감하지 않은 시나리오의 경우 혼합 해시 서명을 즉시 채택해야 합니다 (혼합은 결함 버그 방지를 위한 것이며 해시 안전성 가정 의심을 위한 것이 아님).

이는 사회에 구명보트를 제공하는 것과 같습니다: 만약 CRQC가 예기치 않게 발생하고 후언 서명 소프트웨어 업데이트 메커니즘이 없는 경우, 부팅 문제에 빠질 것입니다 — 우리는 심지어 CRQC 대응 패치를 안전하게 배포할 수 없을 것입니다.

#3 블록체인에 후언 서명을 즉시 도입할 필요는 없지만, 지금부터 계획해야 함.
블록체인은 인터넷 PKI 커뮤니티의 안정적인 속도를 본받아 후언 서명의 성숙을 계속 기다려야 하며, 시스템 개편에 대비하여 더 큰 서명을 수용하고 더 나은 집합 기술을 발전시킬 수 있는 시간을 제공해야 합니다.

비트코인 및 기타 L1과 비교하여: 방치양자 취약 자금에 대한 이동 경로 및 정책을 가능한 빨리 결정해야 합니다. 수동 이동은 불가능하며 비트코인의 난제는 느린 거버넌스와 대규모 고가값 방치 주소로부터 더 많은 어려움을 겪고 있어, 그러므로 지금부터 계획 수립이 더 필요합니다.

동시에 후언 SNARK 및 집합 서명에 대한 연구에 충분한 시간을 확보해야 합니다 (아마도 1~2년 또는 그 이상 소요될 수도 있음). 너무 일찍 이동할 경우 부진한 해결책에 갇히거나 구현 결함 노출 후 두 번째 이동을 강제당할 수 있습니다.

이더리움 계정 모델에 대한 추가 설명: 이더리움은 두 가지 계정 유형을 갖고 있으며 후언 이동 방식에 영향을 미칩니다: 외부 계정(EOA), secp256k1 비공개 키로 제어; 스마트 계약 지갑, 프로그래밍 가능한 승인 논리.

긴급 상황이 아닌 경우, 이더리움이 후언 서명 지원을 추가하면 업그레이드 가능한 스마트 계약 지갑은 업그레이드를 통해 검증 논리를 전환할 수 있을 것이며; EOA의 경우 자산을 새로운 후언 안전 주소로 이전해야 할 가능성이 더 큽니다 (이더리움은 전용 메커니즘도 제공할 수 있음). "양자 비상 상태"에서, 이더리움 연구자들은 취약 계정을 동결하는 강제 분기 계획을 제안하였으며, 사용자들에게는 후언 안전 SNARK 증명을 통해 자신이 니모닉을 알고 있다는 것을 증명하여 자금을 복구할 수 있도록 했는데, 이 메커니즘은 EOA와 업그레이드되지 않은 스마트 계약 지갑 양쪽에 적용 가능합니다.

사용자들에게는 잘 검토된 업그레이드 가능한 스마트 계약 지갑이 약간 더 쉬운 이동 방법일 수 있지만, 차이는 미미하며, 업그레이드 제공업체에 대한 신뢰와 업그레이드 거버넌스에 대한 선택이 포함됩니다. 계정 유형보다 더 중요한 것은 이더리움이 계속해서 후언 프리미티브 연구와 비상 대응 방안을 전개하는 것입니다.

개발자에게 더 일반적인 설계 취향: 많은 블록체인이 계정 신원을 특정 서명 프리미티브에 강하게 결합시켰습니다 (예: 비트코인/이더리움은 secp256k1과 연결, 다른 블록체인은 EdDSA에 연결). 후언 이동은 "계정 신원을 특정 서명 알고리즘에서 분리"하는 가치를 강조합니다. 이더리움은 스마트 계정을 발전시키고, 다른 블록체인은 계정 추상화를 촉진하는 것으로 이러한 추세가 나타납니다: 계정 업그레이드 인증 논리를 허용하면서도 체인의 기록과 상태를 포기하지 않습니다. 이는 후언 이동을 "쉽게" 만들어주지는 않지만 유연성을 크게 향상시킬 뿐만 아니라 대체 지불, 사회 복구, 다중 서명 기능도 지원합니다.

#4 프라이버시 체인에 대한 조언: 가능한 한 빨리 마이그레이션 우선 고려(성능이 허용하는 경우).
프라이버시 체인의 기밀성은 HNDL 공격에 영향을 받으며, 디자인이 공개 장부에 의해 추적되어 익명성이 점차 속절없이 감소할수록 위험은 더욱 급박해집니다. 하이브리드 솔루션을 고려하거나 블록체인에 해독 가능한 비밀을 기록하지 않도록 아키텍처를 조정하는 것이 고려될 수 있습니다.

#5 최우선적으로 고려해야 할 것은 안전 보장, 양자 보안 대응보다는.
SNARK와 양자 이후 서명과 같은 복잡한 원시 기술에 대해서는 오류, 사이드 채널, 백도어 삽입이 CRQC보다 훨씬 오랜 기간 위협요소로 남을 것입니다. 즉각적으로 감사, 퍼지 테스트, 형식적 검증 및 깊이 있는 방어에 투자해야 하며 "양자 불안"이 더 급박한 취약점 위험을 가려버리지 않아야 합니다.

#6 양자 계산 발전을 지원.
주요 경쟁 상대가 미국보다 먼저 CRQC를 실현하면 심각한 국가 안보 위험을 가져올 수 있습니다. 따라서 양자 계산 연구 및 인재 양성에 지속적으로 투자해야 합니다.

#7 양자 계산 발전에 대해 신중한 시각 유지.
다가오는 몇 년 동안 여러 하드웨어적 이정표가 있을 것입니다. 어느 정도로는 자주 나타나는 이 정밀은 우리가 CRQC로부터 아직 멀리 떨어져 있다는 것을 보여주는 것입니다: 각 이정표는 그저 CRQC로 향하는 다수의 다리 중 하나일 뿐이며, 모두가 클릭베이트와 흥분을 일으킵니다. 보도 자료를 "비판적으로 평가해야 할 발전 보고서"로 간주하고, "즉각적인 전체 대응 신호"로는 인식하지 않아야 합니다.

물론, 미래에는 속도를 높이는 예상치 못한 혁신이 발생할 수도 있으며, 심각한 병목 현상으로 인해 연기될 수도 있습니다. 제가 5년 안에 CRQC가 물리적으로 완전 불가능하다고 말씀 드리지는 않겠습니다. 그저 그 가능성이 매우 낮을 뿐입니다. 상기 조언은 이러한 불확실성에 대해 견고하게 대처하고 동시에 실제, 더 높은 확률의 위험을 피하는 데 적합합니다: 취약점 발생, 조급한 배포, 그리고 암호 마이그레이션에 따른 인적 실수입니다.

[원문 링크]

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia