Microsoft, Post-Quantum Cryptography 마이그레이션 대비 위협 모델링 권고

핵심 요약:

• 위협 모델링은 조직이 문서화되지 않은 암호화 종속성을 발견하는 데 도움이 될 수 있습니다.
• Microsoft는 양자 내성 암호 채택을 위한 토대로 TLS 1.3을 권장합니다.
• 기업은 암호 민첩성을 평가하고 ML-KEM, ML-DSA 및 더 강력한 암호화 표준을 도입할 준비를 해야 합니다.

Microsoft는 양자 컴퓨팅이 발전함에 따라 취약해질 수 있는 암호화 종속성을 발견하기 위해 위협 모델링을 사용할 것을 조직에 촉구하고 있습니다. 회사는 이러한 위험을 조기에 식별하는 것이 기업이 양자 내성 보안으로의 전환을 준비하고 전환 과정에서 발생할 수 있는 비용이 많이 드는 중단을 피하는 데 도움이 될 수 있다고 강조했습니다.

양자 내성 암호(PQC)로 전환하는 데 있어 가장 큰 과제 중 하나는 많은 조직이 시스템 전반에서 암호화가 어떻게 사용되는지 완전히 이해하지 못하고 있다는 점입니다. 암호화 기능은 운영 체제, 타사 소프트웨어, 클라우드 서비스, 하드웨어 또는 맞춤형 애플리케이션에 내장되어 있을 수 있어 식별 및 평가가 어렵습니다. Microsoft는 취약한 알고리즘을 양자 내성 대안으로 교체하려면 조직이 이러한 종속성을 발견하고 위험을 평가하며 기존 운영을 중단하지 않고 마이그레이션하는 방법을 결정해야 한다고 명시합니다.

Microsoft에 따르면 위협 모델링은 조직이 자산, 데이터 흐름, 신뢰 경계 및 보안 제어를 검토하여 문서화되지 않은 암호화 종속성을 발견할 수 있도록 함으로써 이러한 격차를 줄이는 데 도움이 될 수 있습니다. 이는 시스템 설계를 분석하고 잠재적인 보안 위협을 식별하며 해당 위험을 줄이는 데 필요한 보호 조치를 결정하는 구조화된 방법을 제공합니다.

PQC 마이그레이션을 위한 주요 단계는 무엇인가요?

양자 내성 암호 계획을 지원하기 위해 보안 팀은 암호화 환경을 세부적으로 검토해야 합니다. 여기에는 사용 중인 알고리즘, 프로토콜, 키 크기 및 보안 구성 식별, 암호화 구성 요소 관리 책임자 파악, 대대적인 중단 없이 기존 구현을 업그레이드할 수 있는지 평가, 암호화 키 생성, 저장, 순환 및 폐기 방식 검토가 포함됩니다.

조직은 또한 현재 수집된 암호화된 정보가 강력한 양자 컴퓨터가 사용 가능해지면 해독될 수 있는 미래의 “현재 수집, 나중 해독(harvest now, decrypt later)” 공격에 민감한 데이터가 노출될 수 있는지 평가해야 합니다.

TLS 1.3이 양자 내성 보안의 토대가 됨