NIST, 양자 취약 암호 폐기 카운트다운 시작

National Institute of Standards and Technology (NIST)는 특정 민감한 연방 시스템에 대해 더 이른 마감 기한을 설정하고, post-quantum cryptography (PQC)로의 전환을 위한 로드맵을 발표했습니다.

보고서 Transition to Post-Quantum Cryptography Standards (NIST IR 8547)는 어떤 암호화 방식을 교체해야 하는지, 조직이 고려해야 할 사항은 무엇인지, 그리고 전환이 어떻게 전개될 것인지 설명합니다.

이는 NIST가 August 2024에 발표한 post-quantum cryptography 표준을 기반으로 합니다. 해당 표준은 미래의 양자 컴퓨터에 의한 공격으로부터 정보를 보호하는 새로운 방법을 제공합니다.

연방 요구 사항(requirements)이 모든 기업에 적용되는 것은 아니지만, 이 로드맵은 정부 기관과 협력하는 기술 제공업체 및 조직에 중요합니다.

“우리는 모든 사용 사례에 맞는 단일 전략이 없다는 점을 이해하고 있으며, 변화하는 상황을 파악하면서 사람들이 마이그레이션을 처리할 수 있도록 돕고 싶습니다.”라고 PQC 표준화 프로젝트를 이끄는 NIST 수학자 Dustin Moody는 말했습니다.

조직이 준비해야 하는 이유

암호화는 정보의 프라이버시를 유지하고 메시지, 소프트웨어 및 온라인 서비스의 진위 여부를 확인하는 데 도움이 됩니다. 이는 웹사이트 접속, 비즈니스 정보 교환 및 소프트웨어 업데이트 설치와 같은 활동을 지원합니다.

충분히 강력한 양자 컴퓨터는 이러한 보호를 제공하는 널리 사용되는 일부 방식을 뚫을 수 있습니다. 그러한 컴퓨터는 아직 개발 중이지만, 그것이 나타날 때까지 기다린다면 조직이 대응할 시간이 거의 없을 것입니다.

현재 교환되는 정보가 위험에 처할 수 있습니다. 공격자는 암호화된 데이터를 수집하여 양자 기술이 이를 읽을 수 있게 될 때까지 보유할 수 있습니다. 이는 “harvest now, decrypt later”로 알려져 있습니다.

이로 인해 의료 기록이나 정부 기밀과 같이 수년 동안 기밀을 유지해야 하는 정보를 다루는 조직에게 준비가 특히 중요해집니다.

마이그레이션에 포함되는 내용

post-quantum cryptography로 이동하는 것은 단순히 설정을 변경하거나 단일 업데이트를 설치하는 것 이상의 과정을 포함합니다. 조직(Organizations)은 새로운 방식을 지원해야 하는 소프트웨어 라이브러리, 보안 하드웨어, 디지털 인증서 및 통신 프로토콜에 의존합니다.