양자컴퓨터가 기존 암호를 풀어버리는 날이 올까…금융·인터넷이 실제로 노출된 위협과 PQC 전환 시간표
현재 금융·인터넷 암호가 당장 양자컴퓨터에 무너진 단계는 아니다. 그러나 위험이 없는 것도 아니다. 미국 국립표준기술연구소(NIST)는 오늘 널리 쓰이는 공개키 암호 가운데 RSA, 디피-헬먼 계열, 타원곡선 디피-헬먼, ECDSA, EdDSA가 충분히 큰 양자컴퓨터가 나오면 취약해질 수 있다고 보고, 2024년 양자내성암호(PQC) 첫 표준 3종을 확정했다. 독자가 가장 먼저 구분해야 할 점은 하나다. 지금의 위협은 ‘당장 해독’보다 ‘지금 가로채 저장해 두었다가 나중에 해독하는 위험’에 더 가깝고, 특히 장기간 비밀 유지가 필요한 금융·개인·산업 데이터에서 문제가 먼저 커진다는 점이다.
양자 위협의 핵심은 1994년 피터 쇼어가 제시한 알고리즘에 있다. 이 알고리즘은 큰 수의 소인수분해와 일부 이산로그 계산을 고전 컴퓨터보다 훨씬 유리하게 처리할 수 있는 것으로 알려져 있다. NIST도 이를 공개키 암호를 위협하는 대표 사례로 설명한다. 다시 말해 인터넷 뱅킹, 전자상거래, VPN, 인증서 기반 접속, 소프트웨어 서명처럼 공개키 암호가 키 교환과 신원 확인을 맡는 구간이 양자 시대의 직접 표적이 된다.
무엇이 먼저 위험한가…대칭키보다 공개키 구간
이 점에서 ‘인터넷 암호 전체가 한꺼번에 무너진다’는 식의 설명은 부정확하다. NIST가 지금 교체 대상으로 보는 축은 우선 공개키 암호다. TLS 같은 인터넷 보안 프로토콜에서도 실제 대용량 데이터 암호화는 주로 AES 같은 대칭키 알고리즘이 맡고, 공개키는 세션키를 안전하게 주고받고 상대를 인증하는 데 쓰인다. 양자컴퓨터가 치명적으로 흔드는 쪽은 이 공개키 층이다.
대칭키와 해시가 완전히 안전하다는 뜻은 아니다. 다만 알려진 양자 공격에서 이들이 받는 충격은 공개키보다 훨씬 완만하다. NIST는 AES에 대해 현재 응용에서 128·192·256비트 키를 계속 사용할 수 있다고 보고 있으며, 적어도 128비트 고전적 보안강도를 제공하는 대칭키 원시기능은 계속 승인 대상이라고 설명한다. 그래서 금융·인터넷 시스템의 양자 대응은 보통 ‘모든 암호를 다 뜯어고치는 일’이 아니라 ‘공개키 의존 지점을 먼저 찾아 바꾸는 일’에서 출발한다.
실제 노출 양상도 기능별로 다르다. 기밀성은 이미 오늘의 문제다. 공격자가 암호문을 지금 수집해 저장해 두면, 훗날 충분한 양자컴퓨터가 생겼을 때 풀어볼 수 있기 때문이다. 반면 전자서명과 인증서는 미래의 어느 시점에 위조 능력이 생기는 쪽이 더 직접적이다. 장기 보관 문서, 장수명 인증서, 장기간 운용되는 펌웨어 서명 체계는 그래서 별도로 우선순위를 매겨야 한다.
‘언제 깨지나’보다 중요한 것은 ‘전환이 더 오래 걸린다’는 사실
양자컴퓨터가 실제로 언제 암호를 깨는 수준에 도달할지는 아직 확정할 수 없다. NIST는 그런 장비가 수년 뒤일 수도, 수십 년 뒤일 수도 있다고 본다. 다만 표준화에서 제품 반영, 시스템 교체, 운영 검증까지 걸리는 시간이 길다는 점은 이미 확인된 사실이다. NIST는 표준이 나온 뒤 실제 정보시스템 전반에 스며드는 데 10~20년이 걸릴 수 있다고 본다. 그래서 ‘아직 양자컴퓨터가 없으니 기다리자’는 판단이 오히려 더 위험할 수 있다.
쇼어 알고리즘의 현실성도 ‘원리 증명’과 ‘실사용 파괴’ 사이 거리가 크다. 2021년 동료평가 논문에서 크레이그 기드니와 마르틴 에케로는 RSA-2048을 약 8시간에 소인수분해하려면 약 2000만 개의 잡음 있는 물리 큐비트가 필요하다고 추정했다. 이 수치는 현재 상용 양자컴퓨터 규모와는 큰 차이가 있다. 동시에 이 논문은 위협이 공상에 머무르지 않고, 하드웨어 가정과 오류정정 비용을 넣어도 자원 추정이 가능할 만큼 논의가 구체화됐음을 보여준다.
중요한 것은 이 숫자를 날짜 예언처럼 읽지 않는 일이다. 어떤 자원 추정은 더 낙관적이고, 어떤 추정은 더 보수적이다. 하드웨어 방식, 오류율, 오류정정 코드, 병렬화 가정에 따라 계산이 크게 달라진다. 따라서 ‘2030년에 반드시 RSA가 깨진다’거나 반대로 ‘수십 년간 걱정할 필요가 없다’는 식의 단정은 둘 다 근거가 약하다. 정책과 운영의 관점에서는 해독 시점의 정확한 예측보다, 긴 전환 기간과 장기 기밀 데이터의 수명 쪽이 더 실무적인 기준이 된다.
NIST 표준은 이미 나왔다…시간표는 2030년대 초반까지 이어진다
NIST는 2024년 8월 PQC 첫 최종 표준 3종을 확정했다. ML-KEM은 키 설정용, ML-DSA와 SLH-DSA는 전자서명용이다. NIST는 이 세 알고리즘이 대부분의 초기 배치에서 기반이 될 것으로 보고, 조직들이 지금부터 적용을 시작해야 한다고 밝히고 있다. 2025년 3월 기준 NIST 설명자료를 보면, 양자에 취약한 공개키 알고리즘 가운데 112비트 보안강도 수준은 2030년 이후 사용 중단 권고 단계로 들어가고 2035년 이후에는 금지된다. 128비트 이상으로 분류되는 RSA와 타원곡선 계열도 2035년 이후에는 금지 방향이 제시돼 있다.
이 시간표는 ‘양자컴퓨터가 2035년에 완성된다’는 예언이 아니다. 반대로 NIST가 자사 표준 체계에서 양자 취약 알고리즘을 그 무렵까지는 걷어내겠다는 전환 목표에 가깝다. 다시 말해 실제 기술 완성 시점이 아니라, 전환을 끝내야 하는 행정·산업 기준선으로 읽어야 한다. 미국 국가안보 분야에서는 이보다 더 빠른 일정도 제시된다. NSA는 CNSA 2.0 체계에서 2027년부터 새 배치에 양자저항 알고리즘 준수를 요구하고, 기존 장비 전환은 2030년 말까지를 목표로 잡고 있다.
금융권과 인터넷 서비스 사업자에게 이 일정이 주는 메시지는 분명하다. 첫째, 아직 전면 교체가 끝난 시장은 아니다. 둘째, 그렇다고 표준 부재를 이유로 미룰 단계도 지났다. 셋째, 실제 병목은 알고리즘 발명보다 자산 파악과 프로토콜 호환성, 인증서 체계, HSM과 라이브러리 교체, 성능 검증, 공급망 업데이트에 있다.
금융·인터넷 업계가 지금 확인해야 할 우선순위
따라서 ‘현재 금융·인터넷 암호는 어떤 양자 위협에 노출되는가’라는 질문의 가장 정확한 답은 이렇다. 오늘 가장 직접적인 노출은 공개키 기반의 키 교환과 인증 체계가 미래의 양자 해독 또는 위조 대상이 된다는 점이다. 이 가운데 장기 기밀성은 이미 ‘수집 후 미래 해독’ 위험에 들어와 있다. 반면 AES 같은 대칭키 구간은 같은 속도로 무너지는 것이 아니며, 현시점 NIST 지침에서도 즉시 교체 대상으로 분류되지는 않는다.
실무적으로는 세 가지를 먼저 따져야 한다. 오래 비밀로 남아야 하는 데이터가 무엇인지, 그 데이터를 보호하는 경로에서 RSA나 ECC가 어디에 쓰이는지, 그리고 소프트웨어 서명·인증서·원격접속·백업·아카이브 가운데 교체가 특히 어려운 지점이 어디인지다. NIST가 별도의 이전 프로젝트에서 강조하는 것도 바로 암호 자산 목록화와 우선순위 설정이다. 양자 위험의 핵심은 ‘어느 날 갑자기 모든 암호가 깨진다’는 공포보다, 바꿔야 할 지점을 다 알지 못한 채 전환 시간을 허비하는 데 있다.
결국 쇼어 알고리즘은 이미 원리 차원에서 공개키 암호의 약점을 분명히 보여줬고, NIST의 PQC 표준도 2024년부터 실제 적용 단계에 들어섰다. 아직 금융망과 인터넷 전체가 양자컴퓨터에 의해 즉시 붕괴할 상황은 아니지만, 장수명 데이터와 공개키 기반 인증 체계는 더 이상 먼 미래의 문제로만 다루기 어렵다. 해독의 정확한 날짜는 알 수 없어도, 전환을 시작해야 할 날짜는 이미 지나가고 있다.
자료: NIST, Quantum Computing Explained(2025); NIST, Announcing Approval of Three Federal Information Processing Standards (FIPS) for Post-Quantum Cryptography(2024-08-13); NIST, What Is Post-Quantum Cryptography?(2024, 2025년 갱신본 확인); NIST CSRC, Post-Quantum Cryptography 프로젝트 개요(2026년 확인본); NIST, The NIST PQC Project 발표자료(2026); NIST CSRC, Post-Quantum Cryptography FAQ(2026-08-05 갱신본 확인); Craig Gidney·Martin Ekerå, How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits(Quantum, 2021); NSA, CNSA Suite 2.0 and Quantum Computing FAQ(2024-12판 확인)