양자내성암호 표준화 동향
NIST 표준 확정부터 HQC, 추가 전자서명, TLS 전환, 국내 KpqC까지
앞선 글에서는 왜 양자내성암호가 필요한지 살펴봤습니다. 이번 글에서는 한 단계 더 나아가 어떤 알고리즘이 실제 표준으로 선정되었고, 현재 표준화와 전환이 어디까지 진행되었는지를 정리합니다. 아래 내용은 2026년 10월 기준입니다.
- INTRODUCTION - 양자내성암호의 필요성과 개념
- 양자내성암호 표준화 동향
- 격자 기반 문제
- ML-KEM의 규격
- ML-KEM의 구현
- ML-DSA의 규격
- ML-DSA의 구현
표준화가 왜 중요할까?
양자내성암호 알고리즘은 논문에 제안되었다고 바로 실무에 사용할 수 있는 것이 아닙니다. 안전성 분석, 구현 성능, 키와 서명 크기, 부채널 공격 대응, 다양한 플랫폼에서의 구현 가능성 등을 오랜 기간 검증해야 합니다.
표준화는 단순히 “좋은 알고리즘 하나를 고르는 과정”이 아니라, 여러 연구자가 장기간 공격하고 분석한 뒤 실제 시스템에서 사용할 수 있는 규격으로 확정하는 과정입니다.
현재 가장 큰 흐름은 미국 NIST의 PQC 표준화입니다. NIST는 2016년부터 공개적인 경쟁 방식으로 후보 알고리즘을 평가했고, 2024년 처음으로 3개의 PQC 표준을 공식 발행했습니다.
NIST의 첫 PQC 표준: FIPS 203·204·205
2024년 8월 13일, NIST는 다음 세 표준을 공식 발표했습니다.
| 표준 | 알고리즘 | 기반 | 용도 |
|---|---|---|---|
| FIPS 203 | ML-KEM | Module-Lattice | 키 캡슐화 / 키 설정 |
| FIPS 204 | ML-DSA | Module-Lattice | 전자서명 |
| FIPS 205 | SLH-DSA | Hash-based | 전자서명 |
이름이 조금 낯설 수 있지만, 각각 기존 공모전의 CRYSTALS-Kyber → ML-KEM, CRYSTALS-Dilithium → ML-DSA, SPHINCS+ → SLH-DSA에 해당합니다.
중요한 변화는 이제 PQC가 “연구 중인 후보 기술”만이 아니라, 실제로 사용할 수 있는 공식 암호 표준의 단계에 들어왔다는 점입니다.
현재 NIST 표준화 상황을 한눈에 보면
- 2016NIST PQC 공개 공모 시작
- 2022Kyber, Dilithium, Falcon, SPHINCS+ 등 표준화 대상 선정
- 2024.08FIPS 203·204·205 발행
- 2025.03HQC를 추가 KEM 표준화 대상으로 선정
- 2026.05추가 전자서명 공모에서 9개 후보가 3라운드 진출
- 현재FN-DSA(Falcon) 표준 FIPS 206 개발 및 추가 표준화 작업 진행
왜 ML-KEM이 있는데 HQC를 또 선정했을까?
NIST는 2025년 3월, 4라운드 KEM 후보 중 HQC를 추가 표준화 대상으로 선정했습니다. HQC는 ML-KEM을 대체하기 위한 알고리즘이 아니라 백업 역할을 하는 두 번째 KEM입니다.
격자 기반. 현재 NIST가 일반적인 용도로 우선 권고하는 표준 KEM입니다.
부호 기반. ML-KEM과 다른 수학적 문제에 기반해 알고리즘 다양성을 확보합니다.
암호 표준을 하나의 수학적 가정에만 의존시키면, 향후 해당 기반 문제에서 예상하지 못한 취약점이 발견될 때 위험이 커질 수 있습니다. 그래서 NIST는 서로 다른 수학적 기반을 가진 알고리즘을 함께 확보하려고 합니다.
2026년 10월 현재 HQC는 표준화 대상으로 선정된 상태이며, NIST는 최종 표준을 2027년경 발표할 계획이라고 설명하고 있습니다. 따라서 현재 실무 전환의 중심은 여전히 ML-KEM입니다.
전자서명도 추가 후보를 계속 찾고 있다
전자서명의 경우 이미 ML-DSA와 SLH-DSA가 표준화되었고, Falcon 기반의 FN-DSA도 FIPS 206으로 개발 중입니다.
하지만 NIST는 여기서 멈추지 않고 추가 전자서명 알고리즘 공모를 진행하고 있습니다. 특히 ML-DSA와 다른 수학적 기반을 가진 전자서명을 확보해 알고리즘 다양성을 높이는 것이 중요한 목적입니다.
2026년 5월 NIST는 다음 9개 알고리즘을 3라운드 후보로 선정했습니다.
| 3라운드 후보 | 주요 계열 |
|---|---|
| FAEST | 대칭키 / 영지식 계열 |
| HAWK | 격자 기반 |
| MAYO | 다변수 기반 |
| MQOM | 영지식 계열 |
| QR-UOV | 다변수 기반 |
| SDitH | 영지식 계열 |
| SNOVA | 다변수 기반 |
| SQIsign | 아이소제니 기반 |
| UOV | 다변수 기반 |
즉 PQC 표준화는 끝난 것이 아닙니다. 첫 번째 실사용 표준은 이미 나왔지만, 백업 알고리즘과 다양한 전자서명 후보에 대한 검증은 계속 진행 중입니다.
표준 선정 다음 단계: 실제 프로토콜에 넣기
암호 알고리즘이 FIPS로 표준화되었다고 해서 인터넷의 모든 통신이 자동으로 PQC로 바뀌는 것은 아닙니다. TLS, VPN, PKI, 인증서, HSM, 라이브러리 등 실제 시스템이 새 알고리즘을 사용할 수 있도록 별도의 프로토콜 표준과 구현 작업이 필요합니다.
이 과정에서 많이 사용되는 방식이 Hybrid 방식입니다. 기존 ECDH와 PQC 알고리즘을 동시에 사용해 두 결과를 결합합니다.
기존 알고리즘과 PQC 알고리즘을 함께 사용해, 둘 중 적어도 하나가 안전하면 전체 키 설정의 안전성을 유지하도록 설계하는 전환 방식입니다.
2026년 8월 IETF는 TLS 1.3에서 사용할 X25519MLKEM768, SecP256r1MLKEM768, SecP384r1MLKEM1024를 정의한 RFC 10024를 Standards Track으로 발행했습니다.
표준화의 초점이 이제 “어떤 PQC를 고를 것인가”에서 “기존 인터넷과 인프라에 어떻게 안전하게 전환할 것인가”로 이동하고 있습니다.
국내: KpqC도 최종 후보 선정에서 표준화 단계로
국내에서도 한국형 양자내성암호 확보를 위해 KpqC 양자내성암호 국가공모전이 진행되었습니다. 2025년 1월 최종 4개 알고리즘이 선정되었습니다.
| 구분 | 알고리즘 | 기반 문제 |
|---|---|---|
| 공개키암호 / 키설정 | NTRU+ | 격자 기반 |
| 공개키암호 / 키설정 | SMAUG-T | 격자 기반 |
| 전자서명 | HAETAE | 격자 기반 |
| 전자서명 | AIMer | 영지식 + 대칭키 기반 |
그리고 2026년 4월 KpqC 연구단은 NTRU+와 SMAUG-T의 KS 제정 제안이 제출되었고, AIMer와 HAETAE도 향후 표준 제정 제안을 위한 검토가 진행 중이라고 안내했습니다.
NIST 표준을 그대로 사용하는 것과 별개로, 국내에서도 자체 알고리즘을 확보하고 표준화하려는 작업이 진행되고 있습니다. 이는 알고리즘 다양성뿐 아니라 국내 암호 기술 생태계와 구현 역량 확보 측면에서도 의미가 있습니다.
지금 시점의 표준화 흐름을 정리하면
ML-KEM, ML-DSA, SLH-DSA는 2024년 공식 FIPS가 되었습니다.
HQC와 추가 전자서명 후보를 통해 한 종류의 수학적 문제에 대한 의존을 줄이고 있습니다.
TLS와 PKI 등 기존 프로토콜에 PQC를 적용하기 위한 하이브리드 전환이 진행 중입니다.
KpqC 최종 4종이 선정되었고 일부 KEM은 KS 제정 제안 단계로 이동했습니다.
양자내성암호는 더 이상 “언젠가 사용할 미래 암호”만이 아닙니다. 표준 선정 단계에서 실제 전환과 배포 단계로 넘어가고 있습니다.
다음 글에서는 현재 PQC 표준에서 가장 중심적인 위치를 차지하고 있는 ML-KEM과 ML-DSA를 이해하기 위해, 먼저 격자 기반 문제(Lattice-based Problem)가 무엇인지 살펴보겠습니다.
참고 자료
'양자내성암호' 카테고리의 다른 글
| 양자내성암호: INTRODUCTION - 양자내성암호의 필요성과 개념 (0) | 2026.08.19 |
|---|