도청하면 들킨다 — QKD가 수학이 아니라 물리 법칙으로 키를 지키는 법

양자컴퓨터가 미래에 등장해 오늘의 암호를 깨는 위협과, 지금 당장 도청 자체를 물리적으로 불가능하게 만드는 접근은 다른 문제다. QKD(Quantum Key Distribution)는 후자를 겨냥한다 — 광자(단일광자)의 양자 상태를 이용해 도청 여부를 물리적으로 탐지하면서 비밀키를 분배하는 기술이다. 여기 필요한 것은 양자컴퓨터가 아니라 레이저·변조기·단일광자 검출기·QRNG 같은 전용 광학 장비이며, 고전 채널 인증과 결합해야 실사용 체계가 완성된다.

키 교환만 담당하고, 암호화는 하지 않는다

QKD는 양자 상태가 교란 불가능하고 복제도 불가능하다는 성질에 기대어 비밀키를 나눈다. 통신을 도청하면 오류율(QBER)이 올라가기 때문에 그 자체로 탐지가 된다. 다만 QKD는 암호화 자체가 아니라 키 교환 전용 기술이다 — 실제 데이터 채널 암호화는 여전히 AES-GCM이나 OTP 같은 고전 알고리즘이 담당한다.

시스템은 이중 채널 구조를 쓴다. 양자 채널(광섬유·자유공간)과 고전 채널(IP·Ethernet)이 나뉘어 있고, 고전 채널은 무결성을 보장하기 위해 별도 인증이 필요하다. 인증은 사전공유키 기반 MAC이나 PQC(후양자) 서명 기반으로 하며, 초기 부트스트랩에는 최소한의 키가 필요하다.

프로토콜은 크게 셋으로 나뉜다. BB84/디코이(Decoy) 방식은 단일광자와 디코이 강도를 섞어 수신 측정과 도청 탐지를 동시에 노린다. MDI-QKD(Measurement-Device-Independent)는 검출기 사이드채널을 없애기 위해 중앙에서 측정하는 구조다. CV-QKD(Continuous-Variable)는 연속변수(광의 진폭·위상)를 이용하는데, 기존 DWDM 인프라와 공존하기 쉽다는 장점이 있다.

구성 요소와 처리 단계

송신부('Alice')는 QRNG, 레이저 소스, 편광·위상 변조기, 단일광자 수준까지 낮추는 감쇠기로 구성된다. 수신부('Bob')는 단일광자 검출기(SNSPD/APD), 타임태거, 동기화 모듈을 갖는다. 여기에 정보 정정(EC)·개인정보 증폭(PA)·인증 모듈, 그리고 키 관리 시스템(KMS)과 HSM 연계가 붙는다.

처리 순서는 준비→전송→측정→시프팅→오류 추정→정보 정정→개인정보 증폭이다. 기준(basis)을 무작위로 골라 광자를 전송하고 수신자가 측정한 뒤, 기준이 일치한 비트만 남기고(시프팅) QBER을 측정해 도청·채널 상태를 평가한다. 이산 오류는 CASCADE나 LDPC로 수정하고, 유니버설 해시로 상관정보를 제거하는 개인정보 증폭을 거쳐야 최종 비밀키가 나온다.

QBER이 임계치를 넘으면 세션을 폐기하고 경보를 울린다. 실사용 임계치는 BB84 실장 기준 2~5%대이고, 이론적으로 키 분배가 불가능해지는 경계는 약 11%다. 사이드채널은 디코이 상태, 시간·전력 균질화, MDI-QKD 도입으로 완화하는데, 장치 독립성 수준과 운용 복잡도 사이의 트레이드오프가 항상 따라온다. 네트워크 토폴로지는 P2P, 신뢰 노드(Trusted Node) 릴레이, 위성 QKD로 나뉘며 도시권은 광섬유, 장거리·해상·국가망은 위성이나 하이브리드를 쓴다. 운용 단계에서는 편광 드리프트·온도 변화 보정, DWDM 공존 시 라만노이즈 관리, 키율-거리-감쇠 예산 최적화가 계속 필요하다.

⤢✕

오류 조건은 QBER 초과, 인증 실패, 검출기 포화나 다크카운트 급증이며 이때 세션은 그대로 폐기된다. 정상 흐름의 출력은 응용에 공급 가능한 최종 비밀키 블록이다.

고가치 구간부터 들어가는 이유

데이터센터 간 재해복구망에서는 IPsec/IKE 재키잉 주기를 수초 단위로 단축해 키 노화 리스크를 줄인다. 금융 본지점·백본에서는 KMS와 HSM을 연계해 카드결제망이나 고빈도거래 채널의 키 분배를 자동화한다. 공공·국방·에너지 SCADA에서는 소용량 제어신호 채널에 높은 신뢰도의 키를 공급하는 용도로 쓴다.

통신망 구성은 전용 다크파이버(최대 키율 확보, 광 링크 품질 가시성 확보), DWDM 공존(C-band 파장 계획·필터링·파워 레벨 관리로 라만노이즈 억제), 위성·지상 하이브리드(장거리·국경 간 링크에 신뢰 노드 최소화)로 나뉜다. 응용 통합은 TLS에서 QKD-KMS 플러그인으로 세션키를 공급(예: 256비트 키를 1~5초 주기로 회전)하거나, IPsec에서 IKEv2 재키잉 주기를 단축해 SA 키를 QKD 키로 시드하거나, 저대역 음성·신호 채널에 한정해 OTP로 저장·전송하는 방식이다.

도입은 대개 다섯 단계를 밟는다. 링크 거리·감쇠 예산·요구 키율을 정의하고 위협 모델을 세우는 기획, 프로토콜(BB84/MDI/CV)과 검출기·QRNG·KMS 스펙을 정하는 조달, 광 경로 최적화와 인증 초기키 부트스트랩·KMS-HSM-네트워크 연동을 하는 통합, QBER·키율·세션 실패율 KPI와 인증·침투 테스트·DWDM 공존 시험을 거치는 검증, 마지막으로 편광·위상 캘리브레이션 자동화와 알람·로그·키 재고 모니터링, 주기적 보안 감사를 하는 운영이다.

숫자로 보는 한계와, 그럼에도 남는 값

도시권 2050km 광링크에서 최종 키율은 장비·감쇠·프로토콜에 따라 다르지만 대체로 수 kbps수십 kbps 수준이다. 50kbps를 가정하면 256비트 세션키를 초당 약 195개(50,000/256≈195) 분배할 수 있고, 이 정도 키율이면 1~2채널의 저대역 보이스·신호 스트림을 OTP로 보호하는 것도 가능하다(압축·지연 제약은 남는다).

정성적으로는 도청이 일어나면 오류율 상승으로 즉시 드러난다는 점, 인증이 전제된다면 양자컴퓨터를 포함한 계산능력에 독립적으로 키 기밀성을 확보할 수 있다는 점이 QKD의 핵심 가치다. PQC와 병행하면 알고리즘적 방어와 물리적 방어를 겹쳐 쓰는 하이브리드 방어층을 만들 수 있다.

구분	QKD	PQC(클래식)	하이브리드(QKD+PQC)
성능	키율 제한적, 거리↑시 급감	소프트웨어 고속, 대역폭 우수	임계 채널은 QKD, 일반 채널은 PQC
확장성	P2P/신뢰노드 필요, 배포 비용 큼	네트워크 전반 손쉬운 확장	중요 구간 선택적 QKD 배치
일관성(보안 가정)	물리 법칙, 인증 전제	수학적 문제 난이도	이중 가정으로 상호 보완
안정성	광 경로/온도/라만노이즈 영향	운영 안정성 높음	위험 분산, 복잡도 증가
운영 편의	광학 장비 유지보수 필요	소프트웨어 중심 운영 용이	KMS 통합·정책 관리 중요

표준·인증·규제는 계속 바뀌는 영역이라 ETSI ISG-QKD, ITU-T Y.3800 시리즈, 지역 규제 등은 도입 시점에 다시 확인해야 한다. QKD는 장거리·대규모 확장성 제약과 운영 복잡도를 안고 가는 대신, 도청 탐지 가능성과 정보론적 보안성이라는 다른 방식으로는 얻기 어려운 특성을 준다 — 그래서 실무에서는 고가치 구간에 먼저 넣고 PQC와 하이브리드로 확장하는 경로가 일반적이다.