PUF: 반도체 공정편차로 만드는 하드웨어 디지털 지문
PUF의 공정편차 기반 동작 원리와 유형, 키 생성·기기 인증·Secure Boot 등 하드웨어 보안 활용 방식을 정리한다.
2026-08-14 · 최초 발행 2025-06-28
칩마다 달라지는 물리적 특성이 보안 식별자가 된다
PUF(Physical Unclonable Function)는 반도체 제조 공정에서 생기는 미세한 물리적 변동, 즉 공정편차를 보안에 이용한다. 같은 설계로 만든 칩이라도 제조 과정의 불가피한 차이 때문에 각 칩은 서로 다른 특성을 갖는다.
트랜지스터, 커패시터, 저항 같은 소자 수준의 작은 차이가 회로 특성에 반영된다. 이 차이는 의도적으로 설계할 수 없고 제조 중 자연스럽게 생긴다. 그 결과 각 칩은 같은 입력을 받았을 때 자신만의 출력 패턴, 곧 응답을 낸다.
난수 생성기는 실행할 때마다 다른 난수를 만드는 데 초점이 있다. 반면 PUF는 같은 칩에서 같은 입력이 들어오면 같은 응답을 다시 만들어야 한다. 예측하기 어려우면서도 재현 가능한 이 특성이 물리적 복제를 어렵게 만들며, 하드웨어 보안의 기반이 된다.
Challenge와 Response로 확인하는 칩의 정체성
PUF는 Challenge-Response 쌍(CRP)으로 동작한다. 같은 Challenge라도 칩이 달라지면 Response가 달라지고, 동일한 칩에서는 입력이 같을 때 출력도 일관되게 유지된다. 이 응답은 제조 시점에 정해지는 칩 고유의 디지털 지문 역할을 한다.
메모리와 신호 지연에서 얻는 PUF
메모리 기반 PUF는 메모리 셀의 초기 상태나 유지 특성을 사용한다. SRAM PUF는 전원을 인가할 때 SRAM 셀의 초기 상태를 활용하며, DRAM PUF는 셀마다 다른 데이터 유지 시간 차이를 이용한다. 플래시 메모리 PUF는 셀의 문턱전압 차이를 기반으로 한다.
지연 기반 PUF는 동일하게 설계한 회로 경로의 신호 전파 지연이 실제 칩마다 달라진다는 점에 주목한다. Arbiter PUF는 두 경로의 지연 차이를 판정하고, Ring Oscillator PUF는 링 발진기 사이의 주파수 차이를 활용한다.
이 밖에 칩 표면의 무작위 코팅 패턴을 쓰는 코팅 PUF와 광산란 패턴을 이용하는 광학 PUF도 있다.
키를 저장하지 않고 필요할 때 만든다
PUF는 암호키를 하드웨어에 직접 저장하지 않고 필요할 때 생성하는 데 쓸 수 있다. 키가 메모리에 저장되지 않으므로 물리적 공격에 강인하며, 칩 고유 특성에서 암호화 알고리즘에 필요한 키를 제공한다.
칩별 응답 패턴은 기기 인증에도 사용할 수 있다. 서버에는 Challenge-Response 쌍 데이터베이스를 구성할 수 있으며, IoT 기기와 스마트카드의 인증 메커니즘에 적용할 수 있다.
부팅 단계에서는 PUF 기반 키로 펌웨어를 검증하고, 부트로더와 운영체제의 무결성을 확인할 수 있다. 정품 인증과 위조품 탐지, 고가 하드웨어 제품 보호에도 활용된다. Weak PUF를 사용하면 비밀정보가 칩 외부로 노출되지 않는 Secure-Memory를 구현할 수 있다.
CRP 규모에 따라 달라지는 Weak PUF와 Strong PUF
Weak PUF는 제한된 수의 Challenge-Response 쌍을 제공한다. 주로 키 생성과 저장에 쓰이며, 비밀번호 자체가 칩 외부로 나오지 않고 내부에 유지된다. SRAM PUF와 코팅 PUF가 여기에 속한다.
Strong PUF는 매우 많은 수의 Challenge-Response 쌍을 제공해 기기 인증 등 다양한 응용에 활용할 수 있다. Arbiter PUF와 XOR Arbiter PUF가 예시다.
응답 품질을 판단하는 기준
PUF를 평가할 때는 서로 다른 PUF 사이의 응답 차이를 보는 고유성(Uniqueness), 동일 PUF가 응답을 일관되게 내는 안정성(Reliability), 응답을 예측하기 어려운 무작위성(Randomness)을 확인한다. 물리적 분석과 복제에 얼마나 견디는지도 중요한 평가 대상이다.
환경 변화와 공격 모델을 설계에 반영해야 한다
온도, 전압, 노화는 동일 입력에서도 PUF 출력이 달라질 수 있는 요인이다. 오류 정정 코드(ECC)와 퍼지 추출기(Fuzzy Extractor)는 이런 불안정성을 다루기 위한 방법이다.
머신러닝 등을 이용해 PUF 동작을 예측하려는 모델링 공격도 고려해야 한다. XOR PUF나 제어 PUF처럼 더 복잡한 구조를 도입하는 방식이 대응책이 된다. 전력 소비와 전자기 방출 같은 부채널 정보는 또 다른 공격 경로가 될 수 있으므로, 균형 잡힌 전력 소비와 차폐 설계 등의 방어 기법이 필요하다.
표준과 적용 범위의 확장
ISO/IEC 20897-1:2020은 PUF 관련 국제 표준 규격이다. 주요 반도체 기업들은 PUF 기술의 개발과 상용화를 진행하고 있으며, 삼성, 인텔, NXP 등은 보안 칩에 PUF 기술을 적용하고 있다. 적용 영역은 IoT 보안과 자동차 보안 등으로 넓어지고 있다.
스마트카드와 신용카드에서는 카드 내부 PUF를 고유 인증 메커니즘으로 활용해 복제 방지와 위변조 탐지를 강화할 수 있다. 저비용·저전력 IoT 기기에서는 인증과 암호화 키 관리, 클라우드 서비스와의 안전한 통신에 적용된다.
군사 및 정부 시스템에서는 고보안 환경의 하드웨어 인증과 물리적 공격 방어에 활용할 수 있다. 자동차 전자 시스템에서는 ECU(Electronic Control Unit) 인증, 자동차 부품의 정품 확인, 무결성 검증에 쓰인다.
양자 컴퓨팅 시대에는 PUF가 보안 요소로서 더 중요해질 전망이다. Post-Quantum 암호화와 결합한 보안 시스템, AI·머신러닝과 연계한 지능형 PUF, 초저전력 IoT 기기를 위한 경량 PUF가 발전 방향으로 제시된다.