지금 이 순간에도 인터넷 어딘가에서, 어떤 공격자는 아직 읽지 못하는 암호화된 트래픽을 복사해 두고 있을지 모른다. 오늘 깨려는 게 아니라 나중에 깨려고. 이 도박의 이름은 "harvest now, decrypt later(지금 수집·나중 복호)"이고, 훗날 충분히 강력한 양자컴퓨터가 나타나 그 보관함을 열어 줄 때에만 수지가 맞는다. 바로 그 한 판의 베팅 때문에, 2026년 인터넷의 배관 곳곳에서 조용하지만 거대한 작업이 진행 중이다. 여러분이 맺는 거의 모든 보안 연결을 지켜 온 수학을 갈아 끼우는 일이다.
퍼즐 조각은 빠르게 맞춰졌다. 2024년 8월, 미국 국립표준기술연구소(NIST)가 8년에 걸친 경쟁 끝에 최초의 확정된 양자내성암호 표준을 발표했다 [출처: NIST, 2024]. 미국 국가안보국(NSA)은 국가안보시스템이 2035년까지 전환하도록 확정된 마감일을 제시했다 [출처: NSA, 2022]. 그리고 여러분의 웹 브라우저는 이미 그 새 암호를 조용히 쓰기 시작했다. Cloudflare는 2025년 10월 말 기준으로 자사 네트워크에 도달하는 사람이 개시한 트래픽 대부분이 양자내성 보호를 받고 있다고 밝혔다 [출처: Cloudflare, 2025]. 이 글은 무엇이 진짜로 확정된 사실이고, 무엇이 여전히 추정·주장·미해결 물음인지를 갈라 짚는다.
양자 위협이 실제로 무엇이며, 무엇이 아닌가
먼저 바로잡을 것이 있다. 이 이야기의 헤드라인 버전은 대개 과장돼 있기 때문이다. 큰 양자컴퓨터가 나온다고 "모든 암호가 무너지는" 것은 아니다. 위협받는 것은 특정하고 결정적인 범주, 즉 공개키 암호다. RSA나 타원곡선암호(ECC)처럼, 낯선 두 사람이 열린 회선에서 비밀을 합의하게 해 주고 전자서명의 근간이 되는 알고리즘들이다. 이들은 (큰 수의 소인수분해, 이산로그 계산 같은) 수학 문제에 기대는데, 이는 보통의 컴퓨터에겐 어렵지만 1994년 Peter Shor(피터 쇼어)가 양자컴퓨터라면 효율적으로 풀 수 있음을 보인 문제들이다.
대칭키 암호—키가 합의된 뒤 실제로 데이터 대부분을 뒤섞는 AES 알고리즘—는 사정이 다르다. 알려진 최선의 양자 공격(Grover 알고리즘)은 이를 단지 약화시킬 뿐이고, 키 길이를 두 배로 늘리면 안전 여유가 회복된다. NSA의 양자내성 스위트가 AES를 대체하지 않고 여전히 AES-256에 기대는 이유가 이것이다 [출처: NSA, 2022]. 그러니 "암호의 종말"보다 정확한 표현은 더 좁다. 노출되는 것은 키교환과 서명이다.
이 구분이 바로 "harvest now, decrypt later(HNDL)"를 지금 행동해야 할 진짜 동기로 만든다. 오늘의 암호화 세션을 녹화한 공격자는 그것을 읽지 못한다. 하지만 그 세션 키는 취약한 공개키 수학으로 설정됐다. 만약 유능한 양자컴퓨터가 이를테면 2035년에 등장하면, 지금부터 그때까지 포착·저장된 모든 것이 소급해 읽힌다. 그래서 수명이 긴 데이터—건강기록, 국가기밀, 생체정보 템플릿, 지식재산—는, 그것을 복호할 기계가 아직 존재하지 않는데도 이미 오늘 위험에 놓여 있다 [출처: CISA, 2023].
표준은 마침내 도착했다
수년 동안 "무엇으로 옮겨야 하나?"에 대한 정직한 답은 "NIST를 기다려라"였다. 그 기다림이 끝났다. 2024년 8월 13일, NIST는 확정된 표준 3종을 발표했다. 키설정용 FIPS 203(ML-KEM), 전자서명 주 표준인 FIPS 204(ML-DSA), 그리고 예비로 두는 해시 기반 서명 방식 FIPS 205(SLH-DSA)다 [출처: NIST, 2024]. 앞의 둘은 NIST 공모에서 이긴 CRYSTALS-Kyber와 CRYSTALS-Dilithium 설계에서 나왔고, 셋째는 SPHINCS+에 기반한다. NIST는 이 과정을 25개국에서 제출된 82개 후보를 8년간 평가한 작업으로 설명했으며, 부소장은 이 표준을 "기밀 전자정보를 지키려는 NIST 노력의 정점(capstone)"이라 불렀다 [출처: NIST, 2024].
표준화된 세 계열 중 둘—ML-KEM과 ML-DSA—은 구조화 격자(structured lattice)의 수학에 기댄다. 그 공통 토대는 효율적이지만 위험의 집중이기도 하다. 만약 격자 문제에서 깊은 결함이 발견되면 둘이 한꺼번에 노출된다. NIST의 답은 다변화였다. 2025년 3월, NIST는 다섯 번째 알고리즘 HQC를 선정해, 격자가 아니라 오류정정부호(error-correcting code)에 기반한 백업 키설정 방식으로 표준화하기로 했다. 한 계열이 깨져도 다른 계열은 무너지지 않도록 일부러 다른 수학을 고른 것이다 [출처: NIST, 2025]. HQC의 초안 표준은 2026년경, 최종본은 2027년경으로 예상된다 [출처: NIST, 2025]. 네 번째 서명 표준인 FN-DSA(FALCON 기반)는 2026년 중반 현재 여전히 초안 단계다 [출처: NIST, 2024].
양자컴퓨터가 RSA를 얼마나 빨리 깰 수 있나
모두가 답을 원하는 물음이고, 정직한 답은 "아무도 모른다, 그리고 추정치는 계속 바뀐다"이다. 여기서 추정(estimate)과 시연(demonstration)의 차이가 대단히 중요해진다.
추정치는 줄어들어 왔다. 2019년, Google 연구자 Craig Gidney(크레이그 기드니)와 Martin Ekerå(마르틴 에케로)는 2048비트 RSA 키를 인수분해하려면 약 2천만 개의 노이즈 큐비트가 약 8시간 돌아야 한다고 계산했다 [출처: Gidney & Ekerå, 2019]. 2025년 5월, Gidney는 같은 작업을 100만 개 미만의 노이즈 큐비트로 1주 미만에 해낼 수 있다는 새 분석을 발표했다. 큐비트 수로 약 20배 감소인데, 주로 시간을 공간과 맞바꾸고 오류정정을 개선해 얻은 결과다 [출처: Gidney, 2025].
하지만 이를 꼼꼼히 읽어야 한다. 이는 아직 존재하지 않는 결함허용(fault-tolerant) 기계에 대한 자원 추정이지, 누군가 RSA-2048을 인수분해했다는 보고가 아니다. 오늘날 가장 앞선 양자 프로세서는 수백에서 낮은 수천 개 물리 큐비트 규모로 작동하며, 오류율이 너무 높아 암호 수준에서 Shor 알고리즘을 돌릴 수 없다. 줄어드는 추정치는 이론적 문턱이 한때 여겨진 것보다 낮다는 것—위협을 진지하게 받아들일 이유—을 말할 뿐, "Q-Day"가 임박했다는 뜻은 아니다. 확신에 찬 날짜를 대는 사람은 추측하는 것이다. 책임 있는 기관들은 특정 연도가 아니라 가능성 자체에 대비한다.
대이동은 이미 진행 중이다
위협의 시점은 흐릿한 채로 남아 있지만, 대응은 구체화됐다. 그리고 주목할 점은, 이것이 최종 인터넷 표준이 나온 뒤가 아니라 그보다 앞서 배치되고 있다는 것이다. 지배적 전략은 하이브리드다. 고전 키교환과 양자내성 키교환을 나란히 돌린 뒤 두 비밀을 결합해, 공격자가 둘 다 깨야만 이기게 만든다. 이는 아직 젊은 양자내성 수학의 결함에 대비하면서도 양자 위협을 방어하는 이중 보험이다.
보안 메신저가 먼저 움직였다. Signal은 2023년 9월 PQXDH를 출시해, 기존 X25519 키합의 위에 CRYSTALS-Kyber를 얹었다. Signal의 표현으로는 "어떤 공격자도 같은 공유 비밀을 계산하려면 X25519와 CRYSTALS-Kyber를 모두 깨야 한다" [출처: Signal, 2023]. Apple은 2024년 2월 iMessage용 PQ3로 뒤를 이었는데, 초기 핸드셰이크뿐 아니라 진행 중인 대화 내내 ML-KEM을 사용한다. Apple은 PQ3를 "Level 3", 초기 키설정에만 적용하는 Signal 방식을 "Level 2"로 분류하며, 둘 다 harvest-now-decrypt-later를 명시적으로 겨냥해 설계됐다 [출처: Apple, 2024]. 이는 자사 프로토콜에 대한 기업의 주장이다—다만 PQ3의 설계는 독립적인 학술 보안 분석도 받았으며, 이는 공급사의 말을 넘어서는 검증 층위다.
웹이 뒤따랐다. X25519와 ML-KEM을 결합한 하이브리드 키교환 X25519MLKEM768은 이제 주요 브라우저에서 기본 활성화돼 있다. Chrome 데스크톱은 2024년 3월, Android용 Chrome과 Firefox는 2024년 11월, Apple 플랫폼은 2025년 10월에 켰다 [출처: Cloudflare, 2025]. 네트워크 쪽에서 Cloudflare는 2025년 10월 마지막 주 기준으로 자사에 도달하는 사람이 개시한 트래픽 대부분이 양자내성 암호를 썼고, 2025년 9월 기준 공개 웹사이트의 약 39%가 양자내성 키합의를 지원했다고 밝혔다 [출처: Cloudflare, 2025]. 이 수치는 독립 전수조사가 아니라 자사 트래픽에 대한 Cloudflare 자체 측정이다—그러나 방향은 분명하다. 시사적인 대목은, 이 배치가 공식 표준화보다 앞서 달리고 있다는 것이다. 이 하이브리드 그룹에 대한 IETF 규격 draft-ietf-tls-ecdhe-mlkem은 2026년 중반 현재 여전히 완성된 RFC가 아니라 인터넷 초안 상태였다 [출처: IETF, 2026].
이빨 달린 마감일
인터넷 대부분에게 양자내성암호 채택은 선택이다. 미국 정부의 일부에게는 일정표다. NSA의 상용 국가안보 알고리즘 스위트 2.0(CNSA 2.0)은 정확히 두 개의 주력을 지정한다. 키설정용 ML-KEM-1024와 서명용 ML-DSA-87이다. 그리고 국가안보시스템의 단계적 전환을 제시하는데, 신규 장비는 2027년부터 해당 알고리즘을 지원해야 하고 2035년까지 전면 채택이 요구된다 [출처: NSA, 2022]. 더 넓은 연방정부를 위한 NIST의 병행 지침인 초안 보고서 IR 8547은 옛 알고리즘에 대해 더 단도직입적이다. 약 112비트 보안 수준의 암호—여기엔 RSA-2048과 널리 쓰이는 ECC 곡선 P-256이 포함된다—는 2030년 이후 비권장(deprecated), 2035년 이후 금지(disallowed)된다 [출처: NIST, 2024].
이 날짜들의 논리는 2030년까지 암호 해독용 양자컴퓨터가 나올 것이라는 기대가 아니다. HNDL에 관성을 더한 것이다. 큰 조직의 암호를 옮기는 데 수년이 걸리고, 지금 수집된 데이터는 나중에 복호될 수 있기 때문에, CISA·NSA·NIST의 지침은 2023년부터 일관됐다. 기계가 나타나기를 기다리지 말고, 취약한 암호를 어디에 쓰는지 지금 목록화하고 전환 계획을 세우라는 것이다 [출처: CISA, 2023]. 마감일은 위협의 도래를 예언한 것이 아니라, 느린 대이동을 강제하는 장치다.
왜 소프트웨어 업데이트보다 어려운가
알고리즘이 표준화됐고 브라우저가 이미 탑재했다면, 왜 이것을 패치가 아니라 "대이동"이라 부르는가. 암호는 브라우저보다 훨씬 많은 곳에 박혀 있고, 그중 상당수는 손닿기 어렵고 바꾸기 더디기 때문이다.
양자내성 알고리즘은 덩치도 더 크다. ML-KEM 키와 ML-DSA 서명은 RSA·ECC 대응물보다 상당히 커서, 프로토콜과 인증서, 그리고 제약된 기기—10년 넘게 손대지 않고 돌아갈 수 있는 스마트카드, 산업용 컨트롤러, 임베디드 칩—를 압박한다. 공개키 기반구조(PKI)는 뿌리가 깊다. 기기에 각인된 신뢰의 뿌리, 코드 서명 시스템, 수명이 긴 디지털 인증서가 모두 옮겨 가야 하는데, 흔히 애초에 업데이트를 염두에 두지 않고 만든 하드웨어 위에서다. 이 분야가 거듭 돌아가는 개념은 암호 민첩성(crypto-agility)—시스템을 다시 짓지 않고도 알고리즘을 갈아 끼울 수 있게 만드는 것—인데, 바로 이번이 마지막 전환이 아닐 것이기 때문이다.
분명히 말해 둘 반대 흐름도 있다. 새 격자 기반 표준은 40년간 공격을 견뎌 온 RSA보다 더 젊고 덜 검증됐다. 이것이 지연의 이유는 아니다—harvest-now 위험은 실재하고 표준은 수년의 공개 분석을 견뎌 왔다—그러나 NIST가 수학적으로 독립적인 백업을 HQC로 표준화하는 이유이고, 새 알고리즘을 고전 알고리즘과 짝짓는 하이브리드 방식을 전면 대체가 아니라 신중한 기본값으로 두는 이유다 [출처: NIST, 2025]. 새 수학에 대한 신뢰는 검증이 쌓이며 커져야 하는 것이지, 미리 가정할 것이 아니다.
관전 포인트
세 가지가 이 10년이 어떻게 펼쳐질지를 말해 줄 것이다. 첫째는 하드웨어다. 큐비트 개수에 관한 보도자료가 아니라, Gidney의 추정 같은 것이 전제하는 결함허용 규모로 가는 신뢰할 만한 진전이다—추정과 작동하는 기계 사이의 간극이 여전히 이야기의 전부다 [출처: Gidney, 2025]. 둘째는 마감일이 지켜지는가다. CNSA 2.0의 2027·2035 게이트와 NIST의 2030/2035 컷오프가 레거시 시스템의 지저분한 현실과 부딪혀 살아남을지, 아니면 밀릴지다 [출처: NSA, 2022]. 셋째는 표준 자체다. HQC와 FN-DSA의 최종 확정, 그리고 격자 암호가 계속 검증을 견딜지 아니면 뜻밖의 일을 낼지다 [출처: NIST, 2025].
균형 잡힌 독법은 공포도 안일함도 아니다. 오늘 RSA를 깰 수 있는 양자컴퓨터는 없고, 여러 해 동안 없을 수도 있다. 그러나 표준은 완성됐고, 마감일은 정해졌으며, 가장 큰 관문지기들은 이미 하이브리드 암호를 켰고, harvest-now 시계는 Q-Day가 예정대로 오든 안 오든 돌아가고 있다. 이 대이동은 하늘이 무너진다는 예언이 아니다. 아직 아무도 값을 매길 수 없는 위험에 대비해 대규모로 사들이는 보험이다—그리고 이를 정직하게 따라가는 방법은 무엇이 발표되는지가 아니라, 무엇이 실제로 출시되고 무엇이 실제로 견디는지를 지켜보는 것이다.