Sebastien Rousseau
문의하기 ›

양자내성 결제 인프라: 은행이 레거시 레일을 개조하지 않고 대체할 수밖에 없는 이유

ML-KEM과 ML-DSA는 SWIFT MT와 ISO 20022를 운반하는 레일에 매끄럽게 들어맞지 않습니다. 솔직한 엔지니어링의 답은 개조가 유통기한이 짧은 통제된 마이그레이션 계획이며, 대체만이 유일하게 안정적인 종착지라는 것입니다.

9 분 소요

양자내성 결제 인프라: 은행이 레거시 레일을 개조하지 않고 대체할 수밖에 없는 이유

오늘 운영 환경에서 모든 도매 결제를 인증하는 암호 프리미티브, 즉 RSA·ECDSA·ECDH에는 만료일이 있습니다. 미국 Quantum Computing Cybersecurity Preparedness Act ⧉는 2022년 말 그 만료일을 연방 조달 법령에 명문화했습니다. BIS Working Paper No. 1208 ⧉은 같은 만료일을 중앙은행 감독 프레임에 편입했습니다. NIST FIPS 203 ⧉과 FIPS 204 ⧉는 2024년 8월에 대체 표준을 발표했습니다.

결제 인프라는 그 의미를 아직 흡수하지 못했습니다.

본 글은 개조보다 대체를 지지하는 엔지니어링 논증입니다. 알고리즘을 이미 이해하고 있으며 SWIFT MT, ISO 20022 pacs·pain 메시지, RTGS 인터페이스, HSM 자산, 그리고 그 모든 것을 떠받치는 인증서 계층 구조에 대해 결정을 내려야 하는 아키텍트를 독자로 상정합니다.

이그제큐티브 요약 / 핵심 시사점

  • 지금 수집 나중에 복호화(HNDL)가 운영 위협입니다. 공격자는 2026년에 암호화된 결제 트래픽을 기록해 두었다가 암호 해독 가능 양자컴퓨터(CRQC)가 등장하면 복호화합니다. 포획된 트래픽에는 결제 지시, 수취인 데이터, 그리고 장기간 민감한 인증 자재가 포함됩니다.
  • NIST는 대체 표준을 정립했습니다. 키 캡슐화에는 ML-KEM(FIPS 203), 전자서명에는 ML-DSA(FIPS 204)가 기본값입니다. 무상태 해시 기반 대안으로는 SLH-DSA(FIPS 205)가 있습니다.
  • 크기 차이가 레거시 전제를 깨뜨립니다. 공개키와 서명은 RSA-2048 등가물보다 5~20배 큽니다. 이는 결제 네트워크의 MTU, MT 메시지 핸들러의 고정 버퍼 가정, 가동 중인 HSM 군의 암호 처리량과 충돌합니다.
  • 하이브리드(고전 + PQC)는 종착지가 아니라 마이그레이션 수단입니다. 하이브리드 TLS와 하이브리드 X.509는 운영 레일이 대체되는 동안 2~3년의 상호운용성을 벌어줍니다. 근본적인 용량 문제를 해결하지는 않습니다.
  • PKI는 하중을 떠받치는 벽입니다. 서명 알고리즘이 위조 가능해진 인증기관은 그 아래의 모든 인증서를 무효화합니다. 은행의 기관 차원 노출은 개별 엔드포인트가 아니라 신뢰 체인입니다.
  • 암호 민첩성은 설계해야 할 아키텍처 속성입니다. 알고리즘 식별자, 키 포맷, 서명 봉투, HSM 파티션은 모두 매개변수화 가능해야 합니다. 컴파일 시점에 RSA로 고정된 모든 것은 동시에 만기가 도래하는 기술 부채입니다.

지금 수집 나중에 복호화: 대기 선택지를 제거하는 위협 모델 #

HNDL은 통상의 암호 타임라인을 뒤집습니다. 일반적인 위험 평가는 위협이 언제 현실화되는지를 묻습니다. HNDL은 오늘 포획된 데이터가 공격자에게 언제 유용해지는지를 묻습니다. 결제 메시지의 경우 수취인 신원, 계좌 번호, 구조화 송금 데이터, 제재 스크리닝 페이로드, 은행 내부 결제 지시 모두에서 민감도의 시간 창은 수년에서 수십 년에 이릅니다. 그 트래픽의 대부분은 지금 어딘가에 기록되고 있습니다.

NSA의 CNSA 2.0 타임라인 ⧉은 국가 안보 시스템에 2035년까지 전환을 완료할 시간을 줍니다. 금융 감독 당국은 더 빠른 일정으로 움직입니다. PRA의 운영 회복력 기대치 ⧉는 암호 민첩성을 제3자 집중 위험으로 다룹니다. 2026년의 기대치는 핵심 결제 레일이 회복력 자기 증빙에 PQC 마이그레이션 계획을 게시하는 것입니다.

HNDL 공격자는 오늘 CRQC가 필요하지 않습니다. 공격자에게 필요한 것은 다음과 같습니다.

  1. 네트워크 위치. 해저 케이블 탭, ISP 수준 포획, 침해된 미들박스가 모두 범위에 들어갑니다. 도매 결제 트래픽은 소수의 네트워크 경로로 집중됩니다.
  2. 저장 공간. 페타바이트 규모의 구조화 결제 데이터는 2026년에 관리 가능한 아카이브입니다.
  3. 인내. 포획은 가로챈 메시지당 비용이 0에 가깝습니다. 수확은 나중에 옵니다.

따라서 마이그레이션 논증은 "양자컴퓨터가 2035년에 도래할 수 있다"가 아닙니다. "오늘 밤 RSA-2048 키 교환으로 종료되는 모든 TLS 세션은 그 안의 데이터가 민감한 동안 노출된 상태로 남는다"입니다.

크기 문제가 곧 엔지니어링 문제입니다 #

PQC 마이그레이션에 대한 공개 논의는 알고리즘 선택에 치우치는 경향이 있습니다. 더 어려운 문제는 차원의 문제입니다.

프리미티브 공개키 서명 / 암호문
RSA-2048 256바이트 256바이트(서명)
ECDSA P-256 64바이트 64바이트(서명)
ML-KEM-768 1,184바이트 1,088바이트(암호문)
ML-DSA-65 1,952바이트 3,309바이트(서명)
SLH-DSA-128f 32바이트 17,088바이트(서명)

이 숫자들은 레거시 결제 인프라가 결코 설계 대상으로 삼지 않았던 장애 모드에 그대로 대응합니다.

개조 경로는 이 제약을 개별적으로 트리아지하는 것입니다. 여기서는 더 큰 버퍼, 저기서는 더 빠른 HSM, 미들박스에서는 단편화 내성. 이는 6개월의 방어 가능한 가교일 뿐 아키텍처가 아닙니다.

개조 대 대체: 프로그램을 규정하는 결정 #

솔직한 표현은 개조가 유통기한이 짧은 통제된 마이그레이션 계획이며, 대체만이 유일하게 안정적인 종착지라는 것입니다. 결정해야 할 것은 은행이 어느 쪽에 먼저 자금을 배정할지, 그리고 개조 창이 영구적인 임시방편이 되기 전에 얼마나 오래 열려 있게 할지입니다.

개조란 다음을 의미합니다.

이 작업은 수행 가능합니다. 다만 근본 문제는 해결하지 않습니다. 그 문제란 SWIFT MT와 다수의 ISO 20022 구현이 알고리즘을 고정시키는 메시지 포맷 내부에 암호 봉투를 인코딩한다는 점입니다. 다음 알고리즘 전환—그리고 ML-KEM이 결국 약점을 드러내거나 새 표준이 그것을 대체할 때 그러한 전환은 반드시 옵니다—은 같은 레일 위에서 같은 마이그레이션을 다시 수행합니다.

대체란 암호 계층이 메시지 포맷의 속성이 아니라는 사실을 받아들이는 것을 의미합니다. 암호 계층은 메시지 포맷이 호출하는 분리 가능한 봉투 서비스의 속성입니다. 구체적으로는 다음과 같습니다.

대체 설계는 레일을 다시 건드리지 않고 다음 알고리즘 변경을 견뎌냅니다.

암호 민첩 아키텍처, 계층별로 #

PQC 마이그레이션에서 중요한 인프라 계층은 일반적인 뱅킹 서사에 어울리는 "데이터, 통제, 경제"의 비즈니스 계층이 아닙니다. 중요한 계층은 암호적 계층입니다.

계층 역할 PQC 질문 아키텍처 지시
HSM / 키 관리 하드웨어 격리하에서 키 자재를 생성·저장·연산 가동 중인 HSM 펌웨어가 ML-KEM, ML-DSA, 하이브리드 키 캡슐화 API를 지원합니까? 동일 하드웨어에서 ECDSA 대비 서명 처리량 차이는 어떻습니까? 모든 HSM 파티션을 알고리즘 지원과 초당 용량으로 인벤토리합니다. 펌웨어 경로 없이 RSA에 고정된 것은 폐기합니다. 운영 컷오버 전에 전용 PQC 파티션을 구성합니다.
PKI / 인증기관 X.509 인증서를 통해 신뢰를 발급·취소·체인화 CA가 오늘 ML-DSA로 서명할 수 있습니까? 루트 교체와 체인 재발급을 위한 검증된 절차가 있습니까? CRL과 OCSP 응답기가 ML-DSA 서명 무게에 맞춰 사이징되어 있습니까? CA 스택을 하중을 떠받치는 벽으로 다룹니다. 지금 PQC 지원 하위 CA를 구축합니다. 루트 교체 시점은 편의가 아니라 가장 수명이 긴 인증서 의존성에 맞춥니다.
전송 / 네트워크 결제 엔드포인트 간 TLS, IPsec, MACsec 종단 로드 밸런서, WAF, 미들박스 경로가 레거시 MTU를 초과하는 하이브리드 핸드셰이크를 견딥니까? 세션 재개 티켓이 PQC 키 크기에 맞춰져 있습니까? TLS 종단을 암호 민첩 경계(사이드카 또는 메시)로 이동합니다. 결제 VPN의 MTU 정책을 상향합니다. 단편화를 의도적으로 유발하여 전체 경로를 테스트합니다.
애플리케이션 / 메시지 페이로드 SWIFT MT, ISO 20022 pacs / pain / camt 메시지와 그 암호 봉투를 운반 레일의 메시지 핸들러가 ML-DSA 크기의 서명 봉투를 견딥니까? 중간 파서가 알고리즘을 인식합니까, 아니면 길이로 절단합니까? 봉투를 페이로드와 분리합니다. 메시지 포맷 핸들러 내부가 아니라 서비스 경계에서 서명합니다. 알고리즘 식별자를 스키마가 아닌 데이터로 다룹니다.
감사 / 증거 감독 당국과 고객이 의존하는 암호 보관 체인 생성 서명 알고리즘이 폐기된 이후에도 과거의 서명된 기록이 여전히 검증 가능합니까? 장기 아카이브 서명 계획이 있습니까? 단일 알고리즘 붕괴에도 견디는 보증을 위해 해시 기반 프리미티브(SLH-DSA)로 아카이브에 카운터서명합니다. 감사 체인을 빌드 부산물이 아닌 규제 산출물로 다룹니다.

규율은 모든 계층에서 모든 알고리즘 선택을 설정값으로 만드는 것입니다. 어느 계층에서든 RSA-2048을 하드코딩한 기관은 그 알고리즘이 무너지는 순간 조율된 단종 사건을 떠안습니다.

은행 유형별 함의 #

노출 프로파일은 기관에 따라 다릅니다. 지시도 그에 따라 달라집니다.

글로벌 은행 #

글로벌 은행은 가장 큰 가동 HSM 군, 가장 긴 인증서 체인, 거래상대방 사이의 가장 복잡한 네트워크 경로를 운영합니다. 지배적 위험은 알고리즘 선택이 아니라 수백 개의 내부 서비스와 수십 개의 외부 거래상대방에 걸쳐 알고리즘을 동시에 변경하는 조율 비용입니다.

지시는 어느 한 레일이 개조되기 전에 PQC 지원 CA, 암호 민첩 전송 경계, 알고리즘 매개변수화 서명 서비스를 2026년 업무로 자금 배정하는 것입니다. 그러면 개조는 알려진 프레임워크 내부의 일상 운영 변경이 됩니다. 프레임워크가 없으면 모든 레일 개조가 동일한 아키텍처 결정을 다시 다투게 됩니다.

지역 은행 #

지역 은행은 알고리즘 표면적은 작지만 비례적으로 전문 인력은 더 적습니다. 지배적 위험은 벤더가 지원을 약속하지 않은 알고리즘에 대한 HSM 벤더 락인입니다.

지시는 2026년 이후 모든 HSM 계약 갱신에 PQC 지원, 구체적으로 ML-KEM과 ML-DSA, 그리고 검증된 펌웨어 업그레이드 경로를 명시하는 것입니다. 해당 조항이 없는 은행은 자기 일정이 아니라 벤더 일정에 따라 강제 하드웨어 교체를 떠안게 됩니다.

핀테크와 PSP #

결제 서비스 제공자와 핀테크는 일반적으로 은행 거래상대방과 가맹점 또는 최종 사용자 시스템 사이에 위치합니다. 그들의 암호 노출은 양쪽의 API 경계입니다.

지시는 2026년 상업 협상에서 기본 요건으로서 은행 측에 하이브리드 TLS 인터페이스(고전 + ML-KEM)를 게시하는 것입니다. PQC 상호운용성을 이미 입증해 들어오는 핀테크는 그렇지 못한 핀테크와의 통합 사이클에서 승리합니다.

기업 트레저러 #

트레저러는 암호 인프라를 직접 운영하지 않습니다. 다만 소비합니다. 모든 은행 API, 모든 보안 파일 전송, 모든 서명된 확인서는 은행의 PKI에 의존합니다.

지시는 2026년 모든 은행 RFP에 세 가지 질문을 추가하는 것입니다. 은행이 오늘 고객 대면 TLS에서 어떤 PQC 알고리즘을 사용하고 있는지, ML-DSA 서명 결제 확인서에 대한 은행의 계획은 무엇인지, RSA가 폐기된 이후 과거 서명 기록의 검증 가능성을 보존하기 위한 은행의 의도는 무엇인지입니다. 이 질문에 답하지 못하는 은행은 자신의 근간 엔지니어링 준비도에 관해 무언가를 신호하고 있습니다.

앞으로 일어날 일 #

결제에서의 1차 PQC 배포 물결은 최종 사용자에게는 보이지 않을 것입니다. 핸드셰이크에 하이브리드 TLS가 나타나고, 인증서 체인이 늘어나며, HSM 서명 지연이 수 밀리초 늘어나고, 레일은 계속 작동합니다. 그것이 성공 경로입니다.

가시적인 장애는 개조에서 비롯됩니다. ML-DSA 서명 봉투를 절단 없이 수용하지 못하는 레일, 새로운 서명 무게에 CRL 배포 지점이 막히는 CA, 하이브리드 핸드셰이크를 재정렬된 ClientHello로 단편화하는 미들박스. 이러한 장애는 2027년까지 운영 환경에 도달할 것입니다.

2026년의 아키텍처 결정은 개조를 무의미하게 만드는 대체 인프라에 자금을 배정할지, 아니면 개별적으로는 저렴해 보이지만 합쳐 보면 더 길고 더 비싼 마이그레이션이 되는 레일별 수정 시퀀스에 자금을 배정할지입니다. 첫 번째 경로를 택한 은행은 전환기 동안 더 조용한 운영을 수행합니다. 두 번째를 택한 은행은 남은 10년을 감독 당국에 사고 검토를 설명하며 보내게 될 것입니다.

PQC는 인프라 문제로 위장한 암호 문제가 아닙니다. 암호가 마침 촉발한 인프라 문제입니다.

자주 묻는 질문 #

이 작업을 강제하는 마감이 있습니까?

엄격한 규제 마감은 관할별로 다릅니다. 미국 Quantum Computing Cybersecurity Preparedness Act ⧉는 연방 시스템을 구속합니다. NSA CNSA 2.0 타임라인 ⧉은 국가 안보 시스템에 대해 2035년을 목표로 합니다. BIS Project Leap ⧉ 간행물과 FSB의 작업 프로그램은 시스템 결제 인프라에 대해 그 지평을 앞당기고 있습니다. HNDL은 이러한 명목상 일자들 중 어느 것보다 훨씬 이전에 운영 시계가 작동하기 시작했음을 의미합니다.

왜 더 빠른 것이 아니라 ML-KEM이 권장 키 캡슐화입니까?

ML-KEM(CRYSTALS-Kyber의 표준화 버전)은 격자 후보 중 작은 암호문·키 크기와 성숙한 구현, 사이드채널 강화의 조합에서 가장 우수했습니다. NIST는 이를 FIPS 203 ⧉으로 발표했습니다. 더 빠른 후보가 존재하지만 크기가 크거나 보안 매개변수에 대한 확신 구간이 더 약합니다.

왜 ML-DSA 대신 모든 곳에 SLH-DSA를 쓰지 않습니까?

SLH-DSA(SPHINCS+의 표준화 버전)는 해시 기반이며 따라서 가장 보수적인 가정인 해시 함수 보안에만 의존합니다. 서명은 ML-DSA보다 5~20배 큽니다. 이는 아카이브 카운터서명에는 받아들일 만하지만, 메시지마다 크기가 중요한 트랜잭션 서명에는 실용적이지 않습니다. 표준 패턴은 운영 서명에는 ML-DSA, 아카이브 보증에는 SLH-DSA입니다.

은행이 레일이 PQC 프로파일을 게시할 때까지 기다리면 안 됩니까?

기다리는 은행은 레일이 게시하는 마이그레이션 창을 떠안게 되는데, 그 창은 은행 자체의 내부 변경 주기보다 짧습니다. SWIFT, 현지 RTGS 운영자, 관련 CCP가 각각 PQC 프로파일을 게시할 때쯤이면 마이그레이션 창은 12~24개월이 될 것입니다. CA, 전송, HSM 역량을 사전에 구축해 두지 않은 은행은 운영상의 편법 없이는 그 일정을 맞추지 못합니다.

가장 먼저 자금을 배정해야 할 단일 최고 레버리지 항목은 무엇입니까?

기존 PKI에 통합된 PQC 지원 하위 인증기관으로, 운영 신뢰를 흔들지 않고 이중 알고리즘 인증서(RSA + ML-DSA)를 발급할 수 있는 것입니다. 그것이 교체 프리미티브를 확립합니다. 전송 업그레이드, HSM 파티션 계획, 메시지 봉투 변경 등 다른 모든 것은 그 주위로 일정을 잡을 수 있습니다.

참고문헌 #

최종 검토 .

최종 검토 .