지금 쓰는 HTTPS는 양자 컴퓨터에 안전한가: 포스트 양자 암호로 넘어가는 웹

지금 쓰는 HTTPS가 양자 컴퓨터에 위험한 이유는?

양자 컴퓨터가 RSA와 타원곡선(ECC) 같은 현행 공개키 암호를 깰 수 있기 때문입니다. HTTPS는 접속 초반에 이 공개키 암호로 열쇠를 주고받는데, 바로 그 부분이 양자 컴퓨터의 표적이죠. 열쇠 교환이 뚫리면 그 뒤의 통신 내용도 함께 풀립니다.

다행히 지금 양자 컴퓨터는 아직 빈약합니다. 공개 기록상 정직하게 소인수분해한 가장 큰 수가 15일 만큼, 실제 암호키를 깰 수준과는 거리가 멀죠. 그렇다고 안심하기는 이릅니다. 하드웨어와 알고리즘 양쪽에서 진전이 이어지고 있고, 언젠가 RSA-2048을 깰 수 있는 Q-day는 예고 없이 다가오니까요.

양자 컴퓨터도 아직 없는데 왜 지금 바꿀까요?

지금 암호화된 트래픽을 수집해 두었다가, 양자 컴퓨터가 준비된 뒤 복호화하는 공격 때문입니다. 이를 harvest-now-decrypt-later라 부르죠. 공격자는 오늘의 암호를 당장 풀 필요가 없어요. 통신을 그대로 저장해 두었다가, 양자 컴퓨터가 준비되는 날 한꺼번에 풀면 되니까요.

그래서 위험의 크기는 데이터의 수명에 달려 있습니다. 몇 시간 뒤면 의미가 없어지는 정보라면 걱정이 덜하지만, 의료 기록이나 계약, 국가 기밀처럼 수년에서 수십 년 가치가 유지되는 데이터라면 지금 오가는 통신이 미래에 그대로 노출될 수 있죠. 표준과 도구가 준비된 지금 미리 옮겨 두어야 하는 이유입니다.

웹은 이미 조용히 넘어가고 있다: ML-KEM과 하이브리드 키 교환

대응의 뼈대는 표준입니다. NIST는 여러 해에 걸친 공모를 거쳐 포스트 양자 암호를 확정했어요. 원래 82개였던 후보를 여러 라운드에 걸쳐 좁히고, 2022년에 키 교환용 ML-KEM(FIPS 203)과 서명용 ML-DSA(FIPS 204), SLH-DSA(FIPS 205)를 먼저 표준화했죠. 예전에 Kyber로 불리던 것이 지금의 ML-KEM입니다.

TLS에서는 안전장치를 하나 더 둡니다. 기존 X25519와 ML-KEM-768을 함께 쓰는 하이브리드 키 교환 X25519MLKEM768이죠. 둘 중 하나에 문제가 생겨도 나머지가 버티도록 한 방식이고, 이미 널리 배포됐습니다. 브라우저와 운영체제는 이 방식을 조용히 기본값으로 켜 왔어요.

지금 어디까지 왔나요? 클라이언트 약 72% 대 오리진 약 13%

2026년 9월 Cloudflare Radar 기준, HTTPS 요청 트래픽의 약 72%가 이미 포스트 양자 암호화됩니다. 최신 브라우저를 쓰고 상대 서버도 지원하면 별도 설정 없이 양자내성 연결이 맺어지죠. 2025년 10월에 사람 발생 트래픽의 절반을 넘긴 뒤로도 비중이 계속 오르고 있습니다.

문제는 반대쪽입니다. 같은 시점 스캔에서 오리진 서버의 포스트 양자 키 교환 지원은 약 13%에 머뭅니다. 브라우저와 앞단은 넘어갔지만, CDN이나 앞단에서 실제 서비스가 도는 오리진 서버까지는 아직이라는 뜻이죠. 지금 준비할 것은 분명합니다. 서버의 TLS 라이브러리를 최신으로 올리고, 오리진 구간의 포스트 양자 지원 여부를 점검하는 일입니다.

이것만 기억하세요

자주 묻는 질문 (FAQ)