제조업 양자내성암호(NIST PQC·FIPS 203/204/205·140-3) 실무 완벽 가이드 — Harvest Now Decrypt Later 위협에서 PQC 전환까지 5단계 로드맵

1. 왜 PQC 전환이 시급한가 — 2030년의 양자 위협

대형 양자컴퓨터(CRQC, Cryptographically Relevant Quantum Computer)는 RSA·ECC·DH 같은 공개키 암호를 Shor 알고리즘으로 깨뜨릴 수 있다. IBM·Google·중국 USTC·SK텔레콤 모두 큐비트 수 가속 — 2024년 IBM Quantum System Two 1,000+ 큐비트, 2030년 Fault-tolerant 양자컴퓨터 실현 전망.

Harvest Now, Decrypt Later(HNDL) 공격: 지금 암호화 데이터 수집·저장 → 미래 양자컴퓨터로 복호화. 외교·국방·금융·의료·R&D 데이터는 2030년 이후에도 가치가 있다 → 지금 노출 = 미래 침해.

대응: 양자내성암호(PQC, Post-Quantum Cryptography) — 격자(Lattice)·해시(Hash)·코드(Code)·등동형(Isogeny)·다변량(Multivariate) 등 양자 공격에 강한 수학 문제 기반.

NIST 일정(2016~):

2016: PQC 표준화 공모
2022.7: Round 3 선정(4 알고리즘)
2024.8: FIPS 203(ML-KEM)·204(ML-DSA)·205(SLH-DSA) 정식 발표
2025: HQC(Round 4) 추가 표준화 예정
NSA CNSA 2.0: 2031년까지 PQC 전환 의무(미국 국가안보)
NIST 권고: 2030년 RSA-2048·ECC-256 단계 폐지

한국:

KISA·국정원 K-PQC 가이드라인 1.0(2024.12)
KCMVP(Korea Cryptographic Module Validation Program) — PQC 알고리즘 추가
금융권·국가핵심기술 우선 전환

오해 1 — “양자컴퓨터 아직 멀었다.” HNDL은 지금 진행 중, 2030년 노출 데이터는 지금 차단해야. 오해 2 — “PQC만 쓰면 안전.” Hybrid(PQC+ECC) 5~10년 권장. 오해 3 — “한 번 교체하면 끝.” Crypto-Agility(암호 민첩성) — 알고리즘 무력화 시 즉시 교체 가능 설계 필수.

2. NIST PQC 표준 — FIPS 203·204·205

FIPS 203 — ML-KEM(Module-Lattice-based Key-Encapsulation Mechanism, 원래 Kyber):

목적: 키 교환(KEM, ECDH·RSA-KEM 대체)
기반: 격자 문제(Module Learning With Errors)
3 종:
- ML-KEM-512(NIST Level 1, AES-128 동등 보안)
- ML-KEM-768(Level 3, AES-192)
- ML-KEM-1024(Level 5, AES-256, 권장)
공개키 크기: 800~1,568 bytes
암호문 크기: 768~1,568 bytes
속도: ECDH 대비 약간 빠름(연산은 ~10배, 통신은 ~10배 큼)

FIPS 204 — ML-DSA(Module-Lattice-based Digital Signature Algorithm, 원래 Dilithium):

목적: 디지털 서명(ECDSA·RSA 대체)
기반: 격자 문제(MLWE + MSIS)
3 종:
- ML-DSA-44(Level 2)
- ML-DSA-65(Level 3, 권장)
- ML-DSA-87(Level 5)
공개키 크기: 1,312~2,592 bytes
서명 크기: 2,420~4,627 bytes(ECDSA 64 byte 대비 큼)
속도: ECDSA 대비 약간 느림

FIPS 205 — SLH-DSA(Stateless Hash-based Digital Signature Algorithm, 원래 SPHINCS+):

목적: 디지털 서명 백업(해시 기반 — 격자 무력화 시 대체)
기반: 해시 함수만(SHA-256·SHAKE256) → 수학적 가정 최소
장점: 가장 보수적·안전성 확신 높음
단점: 서명 크기 7,856~49,856 bytes(매우 큼), 속도 느림
용도: 펌웨어 서명·SBOM 서명·장기 보관 서명·루트 CA

Round 4 — HQC(Hamming Quasi-Cyclic):

2025.3 표준화 예정 (Code 기반)
ML-KEM의 백업 — 격자 무력화 대비

제외된 알고리즘:

CRYSTALS-Kyber: ML-KEM으로 명칭 변경(같은 알고리즘)
CRYSTALS-Dilithium: ML-DSA로 명칭 변경
FALCON: FIPS 206으로 표준화 예정(별도) — 부동소수점 의존
SIKE: 2022 SIDH 공격으로 탈락(공개키 1분 만에 복원)
Classic McEliece: ISO 표준화 (NIST 표준은 보류)

3. FIPS 140-3 — 암호 모듈 검증

FIPS 140-3(2019.3 발표, 2026.4 FIPS 140-2 완전 폐지) — 암호 모듈 보안 표준.

4 Levels:

Level	물리적 보안	인증	환경
1	생산 등급 H/W	역할 분리	OS 검증
2	변조 증거	역할+신원	운영 환경
3	변조 저항	신원·키 별도	변조 시 키 소거
4	변조 탐지·소거	다요소	환경 공격 대응

FIPS 140-2 vs 140-3:

140-3은 ISO/IEC 19790:2012 + 24759:2017 정렬
새 알고리즘 자동 포함(PQC 포함)
검증: NIST CMVP(Cryptographic Module Validation Program)
한국: KCMVP(국정원 운영)

적용 의무:

미 연방기관 FISMA·DOD·CMMC
한국 국가핵심기술·금융권·전자정부 일부
캐나다·일본 정부
민간: SOC 2·HIPAA·PCI DSS 권장
의료기기 FDA·EU MDR

NSA CNSA 2.0(2022.9 발표):

미 국가안보용 PQC 의무 일정
소프트웨어·펌웨어 서명: 2025년 이후 PQC, 2030년 의무
일반 통신: 2030~2035년 단계
2035년 완전 PQC

4. Stage 1 — 암호 자산 진단·CBOM (1~3개월)

Cryptographic Inventory(암호 자산 인벤토리) — 가장 중요한 첫 단계.

무엇을 식별:

사용 알고리즘(RSA-2048·ECC-P256·AES-256·SHA-256 등)
키 크기·인증서 만료
사용 위치(TLS·VPN·코드 서명·DB 암호화·이메일·SAML·OAuth·OIDC·JWT)
의존 라이브러리(OpenSSL·BoringSSL·BouncyCastle·NSS·WolfSSL)
HSM·KMS·TPM(YubiKey·AWS KMS·Azure Key Vault·GCP KMS·HashiCorp Vault)
인증서 만료·자동 갱신 여부
데이터 보존 기간(HNDL 위험 평가)

CBOM(Cryptography Bill of Materials):

CycloneDX v1.6(2024.4) — CBOM 표준 지원
도구: cryptobom-forge·sonarkube·자체 SAST
모든 SW에 CBOM 첨부(SBOM 확장)

HNDL 위험 평가:

어떤 데이터가 10년 후에도 가치 있나?
영업 비밀·R&D·국방·고객 PII·의료 기록·암호화폐 등
인터넷 노출 + 도청 가능 데이터 우선

자동 발견 도구:

cryptosense Analyzer: 코드·런타임 암호 스캔
PQShield: 라이브러리·CBOM
AWS Network Crypto Discovery(2024)
IBM Quantum Safe Explorer

우선순위 분류:

Tier 1 — 즉시: 정부·국방·금융·국가핵심기술·장기 비밀
Tier 2 — 2025~2027: 사이버보험·법무·R&D·M&A
Tier 3 — 2028~2030: 일반 통신·내부 시스템
Tier 4 — 모니터링: 비중요·짧은 수명

5. Stage 2 — Crypto-Agility 설계 (3~6개월)

Crypto-Agility 5 원칙:

알고리즘 추상화: 코드에 알고리즘 하드코딩 X, 설정·정책으로 교체 가능
인증서·키 자동화: ACME·cert-manager·자동 갱신
버전 협상: TLS·JWT·SAML 다중 알고리즘 협상 표준화
신속 교체: 알고리즘 무력화 시 24~72시간 내 전환
CBOM 추적: 모든 의존성 가시화

구현 패턴:

Wrapper Layer: Java JCE·Python cryptography·Go crypto — 알고리즘 OID 기반
OID 표준: NIST 등록·IETF RFC
하이브리드 인증서: X.509 v3 확장 — 기존 + PQC 동시 (draft-ietf-lamps)
PKCS#11 v3: HSM 표준, PQC 알고리즘 지원

Hybrid PQC+ECC 전환:

5~10년 권장 단계 — PQC 단독 신뢰 부족할 시 안전망
TLS 1.3 Hybrid Key Exchange: X25519+ML-KEM-768 (Chrome 2024.4부터 기본)
SSH·VPN(WireGuard·OpenVPN) Hybrid 지원 확장
Cloudflare·Google·Apple·AWS 이미 Hybrid TLS 적용

TLS 1.3 PQC 옵션:

X25519MLKEM768(Cloudflare·Chrome·Edge 2024 기본)
SecP256r1MLKEM768(권장)
MLKEM768(순수 PQC)
IETF Draft → RFC 진행 중

6. Stage 3 — 시스템·계층별 PQC 전환 (12~36개월)

우선순위 매핑:

Layer 1 — 코드 서명·펌웨어 서명(가장 우선):

펌웨어는 10~20년 사용, HNDL 직격
NSA CNSA 2.0 2025 의무
도구: Cosign·sigstore에 ML-DSA·SLH-DSA 추가 진행 중
펌웨어 OTA·UEFI·TPM·HSM 펌웨어 모두

Layer 2 — VPN·SSH·TLS:

사내 VPN(OpenVPN·WireGuard·strongSwan) PQC 적용
SSH(OpenSSH 9.9+ ML-KEM 지원·2024.9)
TLS — 외부 노출 우선, 내부 점진
클라우드 ALB·NLB·CloudFront·Cloudflare·CDN

Layer 3 — PKI·인증서:

루트 CA·중간 CA·서버 인증서
Let’s Encrypt PQC 로드맵
DigiCert·Sectigo·GlobalSign·Microsoft PKI PQC 출시
ACME 프로토콜 PQC 확장(draft-ietf-acme)
한국 KISA·NPKI·GPKI 일정 검토

Layer 4 — DB·스토리지 암호화:

AES-256은 양자에 강함(Grover 알고리즘 영향만)
AES-256 유지·RSA 키 래핑만 PQC 교체
KMS·HSM 키 관리 PQC 적용

Layer 5 — IAM·SSO:

SAML·OAuth·OIDC 서명 알고리즘 → ML-DSA
JWT(JWS·JWE) PQC 알고리즘 지원
FIDO2 — 보안 키 PQC 준비(2026~)

Layer 6 — 이메일·메시징:

S/MIME·PGP — ML-KEM·ML-DSA
Signal Protocol PQXDH(2023.9 적용) — Hybrid X25519+CRYSTALS-Kyber
iMessage PQ3(2024.2) — 동등 보안

Layer 7 — 블록체인·암호화폐:

이더리움·비트코인 — ECDSA 사용, PQC 마이그레이션 연구
새 PQC 블록체인 — QANplatform·Algorand 등

7. Stage 4 — 검증·테스트·운영 (지속)

호환성 테스트:

다중 라이브러리 상호 호환(OpenSSL 3.5·BoringSSL·BouncyCastle·WolfSSL)
PQC 통신 성능(지연·대역폭)
인증서 크기 증가 대응(MTU·TCP 협상)
모바일·IoT 성능 영향(메모리·전력·CPU)

오픈소스 라이브러리:

OpenSSL 3.5(2024.10) — 첫 정식 PQC 지원
BoringSSL — Google·Chrome
liboqs(Open Quantum Safe) — 모든 후보 알고리즘 지원
BouncyCastle 1.78+ — Java PQC
wolfSSL — 임베디드·IoT
PQClean — 표준 C 구현
NTRU·SABER(NIST 탈락, 일부 사용)

HSM·KMS 지원:

AWS KMS: ML-KEM·ML-DSA 로드맵
Azure Key Vault: PQC 키 보관 검토
GCP KMS: PQC 지원 발표
Thales Luna HSM: PQC 지원 발표
Utimaco: 초기 PQC HSM
Yubico FIPS YubiKey: PQC 향후 모델

KCMVP(한국 암호 검증):

국정원·KISA 운영
PQC 알고리즘 등재 진행
국가핵심기술 KCMVP 인증 모듈 의무

모니터링·운영:

PQC 트래픽 비율 KPI
알고리즘 다운그레이드 공격 탐지
인증서 만료·자동 갱신
라이브러리 취약점(OpenSSL 등) 즉시 패치

8. Stage 5 — 거버넌스·미래 대비 (지속)

거버넌스 체계:

Crypto Officer / Crypto Architect 지정
분기 암호 위원회(CISO·CTO·법무)
알고리즘 정책 문서(허용·금지·만료 일정)
PQC 정책·SLA(전환 일정·예외)

규제 매핑:

NSA CNSA 2.0: 2025·2030·2035 일정
NIST SP 800-208(Stateful Hash-Based Signature)
NIST IR 8413(Round 3 보고서)
K-PQC 가이드라인(2024.12 KISA)
KCMVP: 알고리즘 추가
EU PQC 추진(ENISA 2024 권고)
OASIS·IETF PQC 워킹그룹 추적

예산:

첫해 진단·계획: 5천만~5억
라이브러리·HSM 업데이트: 1~10억
라이선스(상용 PQC 도구): 1~10억
컨설팅(PQShield·Quantinuum·Cryptosense): 3천만~5억
인력(Crypto 엔지니어 1~~3명): 2~~10억

산업 트렌드:

Quantum Key Distribution(QKD): KT·SKT·KIST·ETRI 운영, 도청 불가능 통신
QRNG(Quantum Random Number Generator): SK텔레콤·ID Quantique
양자 컴퓨팅 클라우드: IBM·AWS Braket·Azure Quantum
양자 보안 통신: 도시 네트워크·위성

9. 비용·ROI

항목	비용 (3~5년)
암호 자산 진단·CBOM	5천~5억
Crypto-Agility 리아키텍처	5억~50억
라이브러리 업그레이드	1~10억
HSM·KMS 업그레이드	3억~30억
인증서 PKI 전환	1~10억
펌웨어·임베디드 PQC	5억~50억
컨설팅·교육	3천만~5억
인력(전담 1~5명)	6억~30억
합계 (중견 제조사)	22억~190억

ROI:

HNDL 침해 회피 — 장기 비밀 노출 시 손실 추정 1,000억~수조 (영업비밀·R&D)
NSA CNSA 2.0·CMMC·미 연방 조달 진입(2030~)
EU NIS2·CRA·DORA PQC 일정 충족
사이버보험 — Crypto-Agility 시 10~20% 할인
글로벌 고객 신뢰·차별화
양자 우려 데이터 — 의료·국방·금융 수주 가능

10. 자가 점검

진단:

암호 자산 인벤토리 100%
CBOM(CycloneDX v1.6+) 생성
HNDL 위험 데이터 식별
우선순위(Tier 1~4) 분류

Crypto-Agility:

알고리즘 추상화 레이어
인증서 자동 갱신(ACME)
다중 알고리즘 협상
CBOM 지속 갱신

전환:

검증·운영:

호환성 테스트 매트릭스
OpenSSL 3.5·BoringSSL·BouncyCastle
성능 KPI·모니터링
다운그레이드 공격 탐지

거버넌스:

11. 마무리 — 2030년 양자 위협, 지금부터 5년이 결정

PQC 전환은 ① 암호 자산 진단·CBOM, ② Crypto-Agility 리아키텍처, ③ 계층별 점진 전환, ④ 검증·운영, ⑤ 거버넌스·미래 대비 — 5단계로 5~10년 일정에 분산한다. HNDL은 지금 진행 중, 장기 비밀이 있는 모든 조직은 지금 시작해야 한다. NIST FIPS 203/204/205 표준화 완료(2024.8) + OpenSSL 3.5 지원(2024.10) → 2025년이 실무 전환 원년이다.