보안업계 일각에서는 양자내성암호(PQC:Post-Quantum Cryptography)의 이름에서 'Post'를 떼어내야 한다고 말한다. 미래 기술이 아니라는 뜻이다. 미국은 6월 행정명령을 통해 연방정부의 고가치 자산과 고영향 시스템에 2030년 말까지 PQC 기반 키 설정을, 2031년 말까지 전자서명을 적용하도록 했다. 미국 국립표준기술연구소(NIST)도 ML-KEM과 ML-DSA를 지금부터 사용하며 전환을 시작하라고 권고한다. PQC는 양자컴퓨터 등장 뒤의 암호가 아니라 지금 구축해야 할 기본 보안이다.
이 변화는 무기체계와 국가 중요 인프라에서 더욱 절박하다. 일반 정보기술(IT)과 달리 전장에서 임무 중단은 물리적 피해로 이어진다. 무기체계는 10~30년 이상 운용되고 원격 업데이트가 제한되며, 노획되거나 수출 후 통제 범위를 벗어날 수도 있다. 보안의 기준을 데이터 유출 방지에서 임무 지속성, 기술 보호, 회복탄력성까지 넓혀야 한다.
반면 공격 시간은 매우 짧아지고 있다. 공격자는 공개 패치를 인공지능(AI)으로 비교해 취약점과 공격코드를 만들어낸다. 정찰부터 횡적 이동까지 AI 속도로 이어지면 방어의 시간은 사라진다. 지금 모아 훗날 해독하는 양자 위협, 장기간 잠복하는 지능형지속위협(APT), 정상 부품과 업데이트를 악용하는 공급망 공격이 AI와 결합하고 있다. 이러한 복합위협은 개별적 나열이 아니라 서로의 속도와 은밀성, 파괴력을 증폭시킨다.
지난 3월 LiteLLM 악성 패키지는 공개 저장소에 40분 노출됐지만, 자동화된 지속적 통합·배포(CI·CD)를 통해 2500여 조직과 43만4000여 파이프라인을 잠재적 영향권에 놓았다. 이는 실제 침해가 아닌 잠재적 노출 수치다. 깃허브도 탈취된 자격증명으로 악성 액션스 워크플로를 주입해 CI/CD 비밀정보를 훔치고 후속 공격을 벌이는 사례를 경고했다. 공격자가 개발자 계정과 코드 저장소, 빌드 자동화를 먼저 겨냥한다는 뜻이다. 공급망 보안은 오픈소스 의존성, 개발자 신원, 저장소 권한, 빌드 환경까지 포괄해야 한다.
복합위협에는 신뢰기반 방어가 필요하다. 양자내성암호, AI 기반 탐지, 제로트러스트, 강한 장치 식별을 물리적 신뢰점 위에 통합하는 원칙이다. 통제 가능한 환경에서는 개발·설계·제조·운용 전 과정의 신뢰사슬을 연결해야 한다. 통제권을 잃는 환경에서는 노획·분해·역공학·키 추출을 전제로 위변조 방지와 기능 제한, 복구를 설계해야 한다. 신뢰는 장치의 정체성·진위성·무결성과 현재 상태를 지속 검증(Attestation)하는 과정이어야 한다.
그 출발점이 하드웨어 신뢰점(Hardware Root of Trust)이다. 변조된 소프트웨어는 스스로 무결성을 보증할 수 없기 때문이다. 국제표준 ISO/IEC 20897 물리적복제불가기능 PUF(Physically Unclonable Function)는 반도체 제조 과정의 물리적 편차로 장치마다 고유한 신뢰의 근원의 요구사항과 시험방법을 제공한다. 고정 루트키의 주입·보관에 따른 노출 위험을 줄이고, 보안 부팅·저장·장치 식별·상태 검증을 물리 계층에 연결할 수 있다. 업계에 따르면 미국의 일부 방산·정부 조달용 반도체 사업에서는 PUF 탑재가 사실상 필수 보안요소로 다뤄지고 있으며, 중국도 금년내 완성 목표로 PUF 보안기술 국가표준안의 제정 절차를 진행하고 있다.
PQC도 알고리즘 교체로 끝나지 않는다. 용도에 맞는 표준을 적용하되 위협과 표준이 바뀌면 교체할 수 있는 암호 민첩성을 갖추고, 키의 생성·저장·사용을 하드웨어 신뢰점(HRoT)에서 보호해야 한다. AI로 자산·취약점을 식별하고 이상행위를 탐지하되, AI의 판단에도 최소 권한과 지속 검증을 적용해야 한다. 공급망에서는 구성요소와 출처, 서명, 빌드 이력을 자동 확인하고 의심되는 자격증명을 즉시 폐기·교체해야 한다.
기계 속도 공격 시대에는 누가 더 빨리 패치하는지만으로 방어할 수 없다. 신뢰할 수 있는 상태에서만 동작하고, 신뢰가 깨지면 피해가 확산되지 않도록 처음부터 설계해야 한다. 위협은 결합했고 그 속도는 AI 머신 속도다. 패치할 시간도, 'Post'를 기다릴 시간이 없다. 복합위협에 맞서는 해법은 검증 가능하고 회복 가능한 신뢰기반을 구축한 방어 체계다.
강봉호 ICTK 전무 bhkang@ictk.com
