프랑스, 2027년부터 양자내성암호 없는 보안 제품은 인증 거부 — PQC 전환, 이제 남 얘기가 아니에요

프랑스가 못을 박았어요

프랑스의 국가 사이버보안 기관인 ANSSI(국가정보시스템보안청)가 중요한 발표를 했는데요. 2027년부터는 양자내성암호(PQC, Post-Quantum Cryptography)를 지원하지 않는 보안 제품에 대해 국가 보안 인증을 내주지 않겠다는 거예요. 프랑스에서 정부 기관이나 주요 인프라에 보안 제품을 팔려면 ANSSI의 인증이 사실상 필수거든요. 그러니까 이건 권고가 아니라 시장 진입 조건이 바뀐 거예요. '언젠가 준비하세요'가 아니라 '이 날짜부터는 안 받아줍니다'라고 못을 박은 첫 사례 중 하나라서 의미가 커요.

양자내성암호가 뭐냐면

배경부터 짚고 갈게요. 지금 인터넷 보안의 근간인 RSA나 타원곡선암호(ECC)는 '아주 큰 수의 소인수분해는 컴퓨터로도 너무 오래 걸린다' 같은 수학적 난제에 기대고 있어요. 그런데 충분히 강력한 양자컴퓨터가 등장하면 쇼어(Shor) 알고리즘이라는 방법으로 이 난제들을 빠르게 풀 수 있다는 게 이미 수학적으로 증명돼 있거든요. 그런 양자컴퓨터가 나오는 순간 HTTPS, VPN, 전자서명이 한꺼번에 무력화되는 거죠. 양자내성암호는 양자컴퓨터로도 풀기 어려운 새로운 수학 문제(격자 문제 등) 위에 세운 암호 체계예요. 미국 NIST가 2024년에 표준을 확정했는데, 키 교환용 ML-KEM(구 Kyber), 전자서명용 ML-DSA(구 Dilithium) 같은 알고리즘들이에요.

왜 벌써 서두르냐고요?

'양자컴퓨터 아직 멀었잖아'라고 생각하실 수 있는데, 여기엔 함정이 하나 있어요. '지금 수집하고 나중에 해독한다(Harvest Now, Decrypt Later)'는 공격이에요. 공격자가 오늘 암호화된 통신을 몽땅 저장해뒀다가, 10년 뒤 양자컴퓨터가 생기면 그때 해독하는 거죠. 의료 기록, 국가 기밀, 금융 정보처럼 10년 뒤에도 민감한 데이터라면, 오늘 전송분부터 이미 위험에 노출된 셈이에요. 그래서 각국이 앞다퉈 시간표를 내놓고 있어요. 미국 NSA의 CNSA 2.0은 2030년대 초까지 전환을 요구하고, EU도 2030년까지 고위험 시스템을 전환하는 로드맵을 냈죠. ANSSI의 특징은 인증 제도라는 실질적인 강제 수단을 쓴다는 점, 그리고 검증 기간이 짧은 PQC 단독 사용 대신 기존 암호와 PQC를 함께 쓰는 하이브리드 방식을 강하게 요구한다는 점이에요. 새 알고리즘에 혹시 결함이 발견돼도 기존 암호가 안전망이 되도록요.

사실 전환은 이미 시작됐어요

생각보다 많은 곳이 이미 넘어갔어요. 크롬 브라우저와 클라우드플레어는 TLS 연결에 X25519와 ML-KEM을 섞은 하이브리드 키 교환을 기본 적용했고요, 시그널은 메시지 프로토콜에 PQXDH를, 애플은 iMessage에 PQ3를 도입했어요. OpenSSH도 양자내성 키 교환을 기본값으로 쓰고 있죠. 여러분이 오늘 크롬으로 접속한 사이트 상당수가 이미 양자내성 키 교환으로 연결됐을 가능성이 높아요. 인프라 계층은 조용히 전환 중이고, 이제 압박이 애플리케이션과 제품 계층으로 내려오는 단계인 거예요.

한국 개발자가 챙길 것

한국도 KpqC라고 국산 양자내성암호 공모 사업을 진행해왔고, 국가 암호모듈 검증 체계에도 PQC가 단계적으로 들어오고 있어요. 실무자 입장에서 챙길 건 세 가지예요. 첫째, 보안 제품이나 장비를 유럽에 수출하는 회사라면 2027년은 코앞이에요. 인증 획득에 걸리는 시간을 생각하면 지금 설계에 반영해야 해요. 둘째, 일반 서비스 개발자는 암호를 직접 구현하지 말고 OpenSSL 같은 검증된 라이브러리를 최신 버전으로 유지하는 게 최선이에요. 셋째가 제일 중요한데, 크립토 애질리티(crypto-agility), 그러니까 암호 알고리즘을 설정처럼 갈아끼울 수 있는 구조로 설계하는 거예요. 알고리즘 이름을 코드 곳곳에 하드코딩해뒀다면, 다음 전환 때 지옥을 경험하게 되거든요.

한줄 정리: 프랑스가 2027년부터 PQC 미지원 제품의 보안 인증을 거부하기로 하면서, 양자내성암호 전환이 권고 사항에서 시장 진입 요건으로 바뀌기 시작했어요.

여러분 서비스에서 10년 뒤에도 민감할 데이터는 뭐가 있을까요? 그리고 지금 코드베이스에서 암호 알고리즘을 교체하려면 얼마나 걸릴 것 같으세요?