양자내성암호(PQC)란 — RSA·타원곡선 모두 2030년 '권장 중단', 미국이 10월 27일 못 박았다
Post-quantum cryptography (PQC) refers to public-key algorithms designed to resist attacks by large quantum computers, which could break today's RSA and elliptic-curve cryptography using Shor's algorithm. On October 27, 2026, the US National Institute of Standards and Technology finalized NIST IR 8547, setting a firm timeline: every approved quantum-vulnerable public-key algorithm, including RSA, ECDSA, EdDSA and Diffie-Hellman, is deprecated after 2030 and disallowed after 2035, regardless of key strength. The 2024 draft had deprecated only 112-bit parameters such as RSA-2048 in 2030. The replacements are ML-KEM (FIPS 203) for key exchange and ML-DSA (FIPS 204) and SLH-DSA (FIPS 205) for signatures, with HQC selected as a backup KEM. A June 2026 executive order requires US federal high-value systems to adopt PQC key establishment by 2030 and signatures by 2031.
양자내성암호(PQC)는 대형 양자컴퓨터가 나와도 풀리지 않도록 설계한 새 공개키 암호다. 양자컴퓨터는 쇼어 알고리즘으로 지금의 RSA와 타원곡선 암호를 풀 수 있다. 미국 표준기술연구소(NIST)는 2026년 10월 27일 확정한 지침(IR 8547)에서 RSA·ECDSA·EdDSA·디피-헬먼 등 양자에 취약한 공개키 암호를 키 길이와 상관없이 2030년 이후 '권장 중단', 2035년 이후 '사용 금지'하기로 했다. 2024년 초안에서는 RSA-2048 같은 112비트급만 2030년 대상이었다. 대체 암호는 키 교환용 ML-KEM(FIPS 203), 서명용 ML-DSA(FIPS 204)·SLH-DSA(FIPS 205)이고, 예비 키 교환 방식으로 HQC가 선정됐다
3줄 요약
- 뜻 — 양자컴퓨터로도 풀리지 않게 설계한 공개키 암호, RSA·타원곡선을 대체
- 일정 — NIST 10월 27일 확정: 양자 취약 암호 2030년 이후 권장 중단, 2035년 이후 금지
- 대체 — ML-KEM(키 교환), ML-DSA·SLH-DSA(서명), 예비로 HQC
핵심 질문
- 양자내성암호 뜻
- **양자컴퓨터로도 풀기 어려운 수학 문제에 기대는 새 공개키 암호다. 지금의 컴퓨터에서 그대로 돌아가는 소프트웨어 암호이고, 양자컴퓨터가 필요한 것은 아니다.** | 구분 | 지금의 공개키 암호 | 양자내성암호 | |---|---|---| | 기대는 문제 | 소인수분해(RSA), 이산로그(타원곡선) | 격자 문제, 해시, 부호 이론 등 | | 양자컴퓨터 공격 | 쇼어 알고리즘으로 풀림 | 알려진 효율적 공격 없음 | | 돌아가는 곳 | 일반 컴퓨터 | 일반 컴퓨터 | | 표준 | 수십 년 사용 | 2024년 8월 첫 FIPS 확정 |
- RSA 2030년 2035년 NIST
- **NIST IR 8547 확정본에 따라 RSA는 키 길이와 상관없이 2030년 이후 권장 중단, 2035년 이후 사용 금지다.** | 단계 | 시점 | 뜻 | |---|---|---| | 권장 중단(deprecated) | 2030년 이후(2031년 1월 1일부터) | 쓸 수는 있지만 데이터 소유자가 위험을 평가하고 판단 | | 사용 금지(disallowed) | 2035년 이후 | 해당 용도로 더는 승인되지 않음 | | 대상 | RSA·ECDSA 서명(112비트 이상), EdDSA(128비트 이상), DH·MQV·RSA 키 설정 | — |
- ML-KEM ML-DSA 차이
- **ML-KEM은 비밀 키를 안전하게 나눠 갖는 데, ML-DSA는 전자서명에 쓴다. 둘 다 격자 기반이다.** | 표준 | 이름 | 용도 | 기반 | 확정 | |---|---|---|---|---| | FIPS 203 | ML-KEM | 키 교환(캡슐화) | 격자 | 2024년 8월 | | FIPS 204 | ML-DSA | 전자서명 | 격자 | 2024년 8월 | | FIPS 205 | SLH-DSA | 전자서명(예비 성격) | 해시 | 2024년 8월 | | 개발 중 | FN-DSA | 전자서명(짧은 서명) | 격자 | FIPS 206 예정 | | 개발 중 | HQC | 키 교환 예비 | 부호 이론 | 2025년 3월 선정 |
지금 인터넷의 자물쇠는 '큰 수를 쪼개기 어렵다'는 사실 하나에 기대고 있다. 양자컴퓨터는 그 사실을 무너뜨릴 수 있는 기계다. 양자내성암호(Post-Quantum Cryptography, PQC)는 양자컴퓨터가 나와도 풀리지 않도록 설계한 새 공개키 암호다. 미국 표준기술연구소(NIST)는 2026년 10월 27일 그 전환 일정을 확정했다. RSA와 타원곡선 암호를 키 길이와 상관없이 2030년 이후 '권장 중단', 2035년 이후 '사용 금지'한다.
1. 왜 필요한가 — 양자컴퓨터와 '지금 훔쳐 두고 나중에 푼다'
웹사이트에 접속할 때, 메신저로 메시지를 보낼 때, 소프트웨어 업데이트를 받을 때마다 공개키 암호가 쓰인다. 대표가 RSA와 타원곡선 암호(ECC)다. RSA는 큰 수의 소인수분해가, 타원곡선 암호는 '이산로그' 문제가 어렵다는 데 기댄다. 일반 컴퓨터로는 수천 년 넘게 걸리는 계산이다.
1994년 수학자 피터 쇼어는 충분히 큰 양자컴퓨터가 있으면 이 두 문제를 빠르게 풀 수 있다는 알고리즘을 발표했다. 아직 그런 양자컴퓨터는 없다. 그런데도 지금 서두르는 이유가 있다.
| 위협 | 설명 | 지금 대응해야 하는 이유 |
|---|---|---|
| 지금 수집, 나중에 해독(HNDL) | 암호화된 통신을 지금 저장해 뒀다가 양자컴퓨터가 나오면 푼다 | 10년 뒤에도 비밀이어야 할 정보는 이미 위험하다 |
| 서명 위조 | 양자컴퓨터로 개인키를 알아내 서명을 위조 | 수명이 긴 인증서·펌웨어 서명은 교체에 수년 걸린다 |
| 전환 기간 | 암호를 바꾸는 데 장비·소프트웨어·표준 전체가 움직여야 한다 | 과거 SHA-1 퇴출에도 10년 넘게 걸렸다 |
첫 줄이 핵심이다. 국가 기밀, 의료 기록, 기업 설계도처럼 오래 지켜야 할 데이터는 양자컴퓨터가 등장하기 전에 이미 새 암호로 보호돼 있어야 한다.
2. 무엇으로 바꾸나 — NIST가 고른 다섯 가지
NIST는 2016년부터 전 세계 암호학자들에게 후보를 공모해 8년 동안 공격 검증을 거쳤다. 2024년 8월 첫 세 개를 연방 표준(FIPS)으로 확정했다.
| 표준 | 이름(옛 후보명) | 용도 | 기반 수학 | 상태 |
|---|---|---|---|---|
| FIPS 203 | ML-KEM(크리스탈-카이버) | 키 교환 | 격자 | 2024년 8월 확정, 기본값 ML-KEM-768 권장 |
| FIPS 204 | ML-DSA(크리스탈-딜리튬) | 전자서명 | 격자 | 2024년 8월 확정 |
| FIPS 205 | SLH-DSA(스핑크스+) | 전자서명 | 해시 함수 | 2024년 8월 확정 |
| FIPS 206(예정) | FN-DSA(팔콘) | 짧은 전자서명 | 격자 | 개발 중 |
| 개발 중 | HQC | 키 교환 예비 | 부호 이론 | 2025년 3월 선정 |
'격자 기반'이 주력이다. 다차원 격자 속에서 특정 점을 찾는 문제는 양자컴퓨터로도 효율적으로 푸는 방법이 알려져 있지 않다. HQC는 격자 방식에 예상 못 한 약점이 발견될 경우를 대비한 보험이다. 수학 기반이 다른 방식을 하나 더 둔 것이다. 확정본은 HQC 외에 추가 키 교환 방식은 고르지 않겠다고 밝혔다.
전환기에는 '하이브리드' 방식이 쓰인다. 기존 타원곡선 키 교환과 ML-KEM을 동시에 써서, 둘 중 하나만 버텨도 안전하게 만드는 방식이다. 확정본은 두 입력 중 하나가 ML-KEM처럼 승인된 방식이면 하이브리드도 연방 인증(FIPS 140)을 받을 수 있다고 정리했다.
3. 일정 — 2030년과 2035년, 무엇이 바뀌었나
| 항목 | 2024년 11월 초안 | 2026년 10월 27일 확정본 |
|---|---|---|
| 2030년 이후 권장 중단 대상 | 112비트급만(RSA-2048, P-224 등) | 양자 취약 공개키 암호 전부(RSA·ECDSA·EdDSA·DH·MQV) |
| RSA-3072·P-256·Ed25519 | 2035년까지 문제없음 | 2030년 이후 권장 중단 |
| 2035년 이후 | 사용 금지 | 사용 금지 |
| 예비 키 교환 | '하나 이상 선정 예정' | HQC로 확정, 추가 선정 없음 |
| 하이브리드 | 언급 부족 | 승인 방식 하나 포함 시 인증 가능 |
가장 큰 변화는 첫 두 줄이다. 초안에서는 RSA-3072이나 타원곡선 P-256처럼 더 강한 키를 쓰면 2035년까지 버틸 수 있었다. 확정본은 그 여유를 없앴다. 양자컴퓨터 앞에서는 키 길이를 늘려도 근본적으로 안전해지지 않기 때문이다.
'권장 중단(deprecated)'은 당장 쓰지 말라는 뜻이 아니다. 쓸 수는 있지만 데이터 소유자가 위험을 평가하고 판단해야 한다는 뜻이다. '사용 금지(disallowed)'는 그 용도로 더는 승인되지 않는다는 뜻이다.
미국 연방 정부는 더 빠르다. 2026년 6월 22일 행정명령 14412와 OMB 메모 M-26-15는 고가치 시스템의 키 교환을 2030년 말까지, 전자서명을 2031년 말까지 양자내성암호로 바꾸라고 했다. 연방 납품 업체에도 2030년까지 관련 표준 준수를 요구하는 규칙이 추진되고 있다. 미국 정부에 제품을 파는 한국 기업도 이 일정에서 자유롭지 않다.
4. 남은 것 — 지금 할 수 있는 일
| 단계 | 할 일 |
|---|---|
| 1. 목록 만들기 | 어디에 RSA·타원곡선이 쓰이는지 전수 조사(인증서·VPN·펌웨어 서명·HSM) |
| 2. 오래 지킬 데이터부터 | 10년 이상 비밀이어야 할 통신에 하이브리드 키 교환 우선 적용 |
| 3. 교체 쉬운 구조로 | 암호 알고리즘을 쉽게 바꿀 수 있게 설계(암호 민첩성) |
| 4. 구형 키 정리 | 1024비트 RSA처럼 이미 퇴역한 키부터 제거 |
마지막 줄은 남의 일이 아니다. 구글 딥마인드는 11월 6일 AI 에이전트가 1024비트 RSA의 약점 두 가지를 찾았다고 발표했다. 2048비트 이상은 영향이 없지만, 오래된 키가 남아 있는 곳이 공격의 출발점이 된다. 자세한 내용은 「딥마인드 AI 에이전트, RSA-1024 약점 2개 찾았다」에서 다뤘다. RSA보다 짧은 키로 같은 보안을 내는 타원곡선 암호의 원리는 「타원곡선 암호(ECC)란」에 정리했다. 다만 이 글에서 본 것처럼 타원곡선도 양자컴퓨터 앞에서는 RSA와 같은 운명이다.
RSA-2048을 실제로 깰 수 있는 양자컴퓨터가 언제 나올지는 전망이 엇갈린다. 그러나 표준 기관이 날짜를 못 박은 이상, 질문은 '나올까'에서 '그 전에 바꿨나'로 넘어갔다.
출처
- 클라우드보안연합(CSA) — NIST IR 8547 Final: Post-Quantum Deadlines Become Vendor Requirements (2026-10-30)
- 포스트퀀텀 — NIST IR 8547 Final (2026-10)
- 퀀텀컴퓨팅리포트 — NIST Releases Final IR 8547 Establishing Definitive Post-Quantum Cryptography Transition Timeline
- 섹티고 — Root Causes 447: NIST Deprecates RSA 2048 and ECC 256 (초안 당시 해설)
- 크립토브리핑 — Google DeepMind's AI agents expose two weaknesses in legacy 1024-bit RSA (2026-11-06)