PQC와 QKD를 함께 봐야 하는 이유 — 양자 내성 보안 아키텍처 구축 가이드

양자컴퓨터가 실용 규모에 도달하기 전에도 이미 위협은 시작된다. 지금 도청·저장된 암호문은 훗날 Shor 알고리즘을 실행할 수 있는 양자컴퓨터가 등장하면 그대로 복호화 대상이 된다 — 이른바 하베스트-나우-디크립트-레이터(HNDL) 위협이다. 문제는 데이터 보존 기간과 마이그레이션에 걸리는 리드타임 사이의 간격이다. 장기 보관이 필수인 금융·공공 데이터일수록 지금 당장의 암호 전환 계획이 필요한 이유가 여기에 있다. Grover 알고리즘 역시 대칭키·해시 강도를 저감시키므로, 위협 모델은 공개키뿐 아니라 대칭 암호 전반을 포괄해야 한다.

이 위협에 대응하는 두 축이 Post-Quantum Cryptography(PQC)와 Quantum Key Distribution(QKD)다. PQC는 양자컴퓨터 환경에서도 안전성을 목표로 설계된 공개키 암호군의 총칭으로, 격자 기반(ML-KEM/Kyber, ML-DSA/Dilithium), 코드·다항식 기반, 해시 기반(SLH-DSA/SPHINCS+, 상태기반 XMSS/LMS) 계열을 포함한다. QKD는 접근 자체가 다르다 — 수학적 난제가 아니라 양자역학의 물리 법칙, 즉 광자의 비복제성과 관측 교란성을 이용해 도청을 원천적으로 탐지하는 키 분배 기술이다. 키 교환은 양자 채널로, 인증·전송은 고전 채널로 분리해 운용한다.

PQC 표준과 선택 기준

NIST PQC 표준 채택이 진행되면서 실무에서는 ML-KEM(Kyber, FIPS 203), ML-DSA(Dilithium, FIPS 204), SLH-DSA(SPHINCS+, FIPS 205) 기반을 우선 검토하는 것이 권장된다. 다만 표준·라이브러리 지원 여부는 계속 바뀌는 영역이므로 도입 시점에 최신 정보를 확인해야 한다. 전략의 핵심 원칙은 네 가지로 요약된다 — 기존 암호와 PQC를 병행하는 하이브리드 암호, 알고리즘을 손쉽게 교체할 수 있는 알고리즘 민첩성(Algorithm Agility), 어떤 프로토콜·라이브러리·인증서가 어디에 쓰이는지 파악하는 암호 자산 인벤토리화, 그리고 키 수명 단축과 강제 회전이다.

QKD의 물리적 제약과 통합 방식

QKD는 BB84/Decoy, MDI-QKD, 얽힘 기반(E91) 등의 프로토콜을 쓴다. 하지만 전용·암실 광섬유가 필요하고 거리에 따른 감쇠가 발생하며, 키율은 수 kbps~수십 kbps 수준에서 장거리로 갈수록 더 떨어진다. 신뢰 노드(Trusted Node)나 중계 재구성이 필요한 경우도 많다. 그래서 QKD를 단독으로 쓰기보다는 KMS/HSM과 연동하는 것이 실무적이다. ETSI GS QKD 004/014 인터페이스로 QKD가 생성한 키 풀을 KMS에 유입시키고, 애플리케이션은 TLS/IPsec/IKE 같은 표준 인터페이스로 그 키를 소비하는 구조다. 키가 고갈되거나 링크가 끊겼을 때를 대비한 페일오버 정책은 필수다.

운영 아키텍처 관점에서는 네트워크 경계(TLS 게이트웨이, IPsec 라우터)에서 하이브리드 핸드셰이크를 적용하고, 서명·인증서로 이뤄지는 증명 계층과 KEM(키 캡슐화)으로 이뤄지는 키 교환 계층을 분리 설계하는 것이 좋다. 키 소모율과 링크 BER/SKR을 관측하고 경보 체계를 갖추는 것도 QKD 통합 운영에서 빠지기 쉬운 부분이다.

지표	PQC	QKD
성능	소프트웨어 기반, TLS/IPsec 핸드셰이크 지연 소폭 증가. 대칭 데이터 평문 처리량 영향 미미	전용 HW/광섬유 필요, 키율(SKR) 제약, 장거리 시 성능 저하
확장성	애플리케이션·프로토콜 전반 적용 용이, 인터넷 스케일 확장	지리·물리 인프라 종속, 메트로/백본 중심 점진 확장
일관성(보안 강도)	표준화·검증 진행, 장기 안전성 검토 지속 필요	물리적 도청 탐지 가능, 구현/환경 의존 취약점 관리 필요
안정성	소프트웨어 배포·롤백 용이	광 경로 품질·환경 변수에 민감, 링크 이중화 필요
운영 편의	기존 PKI/KMS와 자연 통합, DevSecOps 친화	설치·운영 전문성 요구, 공급망·유지보수 비용 존재

실제로 어디에 적용하는가

데이터센터 간 전송 보호는 IPsec/IKEv2에 하이브리드 KEM을 적용하고, QKD 키를 IKE SA 재키(Key Refresh)에 주입하는 방식이 대표적이다. 고가용 링크는 이중화하고, 키가 고갈되면 PQC 전용 모드로 자동 페일오버하도록 구성한다.

웹/TLS 서비스 현대화는 TLS 1.3에서 X25519+ML-KEM 하이브리드 키 교환을 쓰고, 서버 인증서 서명 알고리즘을 ML-DSA 또는 SLH-DSA로 전환하는 흐름이다. 클라이언트 호환성을 위해 클래식(ECDSA)과 PQC 서명을 동시에 실은 듀얼 체인 인증서를 일시적으로 운영하면서 점진 전환한다.

펌웨어/OT 보안은 장기 검증이 필요한 펌웨어 서명에 SLH-DSA나 상태기반(XMSS/LMS)을 적용한다. 현장 장비의 성능 제약을 고려해 서명 크기와 검증 시간에 맞춰 롤아웃 파이프라인을 조정해야 한다.

공공·금융의 장기 보존 데이터는 장기 서명 유지 정책에 PQC 서명·타임스탬프를 병행하고, HNDL 대응을 위해 기존 암호화 데이터의 재암호화 계획을 별도로 수립한다.

도입 절차

위험 평가 — 데이터 보존 기간, 공격자 역량, 마이그레이션 리드타임을 산정하고 HNDL에 민감한 데이터의 우선순위를 지정한다.
암호 자산 인벤토리 — TLS, IPsec, SSH 같은 프로토콜과 OpenSSL, BoringSSL, JSSE 같은 라이브러리, 키·인증서 위치를 식별한다. SBOM·CBOM 기반 자동 수집 파이프라인을 구축하면 이 작업이 반복 가능해진다.
알고리즘 민첩성 설계 — 정책 기반으로 Cipher Suite와 서명 알고리즘을 스위칭할 수 있게 하고, PKI·KMS·HSM 인터페이스를 추상화하며 롤백 시나리오를 명시한다.
파일럿 — 제한된 도메인에서 하이브리드 TLS·IPsec을 검증하고 성능·호환성·장애 주입 테스트를 수행한다. QKD 구간은 메트로 백본에서 PoC로 키율·BER·가용성을 관찰한다.
단계적 롤아웃 — 사용자 영향이 적은 창구부터 전환한다. 듀얼 체인 인증서와 하이브리드 KEM을 유지하다가 호환성 메트릭이 기준치를 달성하면 순수 PQC 전환을 검토한다.
운영·관측 — 키 회전 주기를 단축하고 실패율·재전송률·핸드셰이크 지연에 대한 SLO를 정의한다. QKD 키 풀 수위, 링크 상태, 알람과 자동 페일오버를 운영한다.
보안성 검증·감사 — NIST FIPS 203/204/205, ETSI GS QKD 등 표준 준수 여부와 침투·부채널 평가를 진행하고, 라이브러리·펌웨어 업데이트를 주기화한다.

하이브리드 PQC+QKD 통합 흐름

⤢✕

테스트 환경 구성 예시

실서비스 적용 전 검증용으로, OpenSSL 3.2와 oqs-provider(테스트 빌드)를 리눅스 x86_64 환경에서 TLS 1.3으로 구성해볼 수 있다.

서버: openssl s_server -www -tls1_3 -cert server_pqc.pem -key server_pqc.key -groups p256_kyber768

클라이언트: openssl s_client -connect localhost:4433 -tls1_3 -groups p256_kyber768

그룹·알고리즘 식별자는 빌드·버전마다 달라질 수 있으니 실제 배포 전 확인이 필요하다. 인증서 서명 알고리즘(PQC)과 키 교환(KEM)은 별도로 검증해야 하며, 장애 시 기존 그룹으로 자동 롤백하는 정책을 함께 구성하는 것이 안전하다.

QKD 운영에서 실제로 부딪히는 것들

QKD 링크를 이중화하고 키 풀 버퍼를 유지하는 정책(예: 10~30분치 키를 미리 적재)은 키 고갈로 인한 서비스 중단을 막는 첫 번째 방어선이다. BER·SKR에 대한 기준선을 설정해 자동 경보를 걸고, 키가 고갈되기 전에 사전 전환하는 것도 마찬가지다. 물리 보안과 광 경로 관리, 라우팅 변경 시의 QKD 우회 경로 정의도 빠뜨리기 쉬운 운영 항목이다.

트레이드오프는 명확하다. 물리 인프라 비용과 운영 복잡성이 늘어나는 대신 장기 보안성이 올라간다. 장거리로 갈수록 키율이 떨어지므로 메트로·백본 구간에 집중하는 전략이 현실적이다. 벤더 종속성 우려는 ETSI 표준 인터페이스를 채택해 완화할 수 있다.

PQC는 광범위한 서비스와 응용 계층에서 즉시 확장 가능한 주력 수단이고, QKD는 고가치 회선·백본 구간에서 보안성을 한 단계 끌어올리는 전략적 보완재다. 하이브리드 암호, 알고리즘 민첩성, 표준 기반 통합이라는 세 축으로 단계적 전환을 설계하되, HNDL 대응이 필요한 데이터의 우선순위를 먼저 정하고 운영 가용성과 관측성 체계를 함께 내재화해야 한다.