[미디어펜=이보라 기자] 양자컴퓨터 기술이 발전하면서 금융권이 새로운 보안 위협에 대비하기 위한 움직임을 본격화하고 있다. 향후 고성능 양자컴퓨터가 등장하면 금융거래에 사용되는 공개키 암호가 해독될 가능성이 있기 때문이다.
이에 금융권은 양자컴퓨터로도 해독하기 어려운 양자내성암호(PQC)로의 전환을 준비하고 있다. 결제·인증 분야에서는 기술 적용 시험과 실제 서비스 도입이 진행되고 있으며, 보험업계도 장기간 보관하는 고객정보와 민감정보 보호를 위한 대응에 나서고 있다.
8일 보험연구원이 발표한 ‘금융권의 양자내성암호 전환 과제’ 보고서에 따르면 양자컴퓨터는 이미 클라우드를 통해 유료로 이용할 수 있지만, 기존 공개키 암호를 해독할 수준에는 도달하지 못했다. 암호방식 전환에는 여러 해가 걸릴 수 있어 사전 준비가 필요하다.
양자내성암호는 양자컴퓨터로도 해독하기 어렵도록 설계한 암호방식으로, 기존 컴퓨터 환경에서도 구현할 수 있다.
양자컴퓨터를 이용한 암호 해독 위험은 개인정보 보호와 결제·인증의 신뢰에 영향을 미칠 수 있다. 특히 금융권에서는 ‘선 수집, 후 해독(Harvest Now, Decrypt Later)’ 공격에 대한 우려가 커지고 있다. 현재 암호화된 정보와 암호키 교환 기록을 빼돌려 보관했다가 나중에 키 공유에 쓰인 공개키 암호를 해독하는 방식이다.
건강정보 등 오랫동안 민감성이 유지되는 정보는 탈취 당시 암호화돼 있더라도 미래 해독 시점에 정보가 노출될 수 있어 장기 고객정보를 취급하는 보험회사와 관련성이 크다.
금융권은 전자서명을 통해 거래 메시지의 발신자와 변조 여부를 확인하고 있어 공개키 암호가 해독되면 결제·인증의 신뢰성이 훼손될 수 있으므로 결제·인증과 정보 전송 분야에서 양자내성암호를 적용 가능성을 검증하기 위한 시험과 도입이 진행되고 있다.
국제결제은행(BIS)은 이탈리아·프랑스·독일 중앙은행, 네트워크 서비스 제공업체인 Swift·Nexi-Colt와 함께 유로시스템 거액결제시스템(T2)의 상용망과 분리된 환경에서 양자내성암호를 시험 적용했다.
시험에서 올바른 서명 확인과 잘못된 서명 차단, 서로 다른 암호 프로그램 간 호환에는 문제가 없었으나 서명 검증시간은 0.0281초에서 0.2099초로 늘어나 약 7.5배를 기록했다. 다만, 측정 범위가 서명 검증 단계에 한정되고 암호키를 관리하는 실제 보안장비(HSM)의 영향도 반영되지 않았으므로 실제 운영환경에서 발생하는 처리 지연은 별도로 확인할 필요가 있다.
국내에서는 케이스마텍·금융결제원·블록에스가 3자 업무협약을 맺고 공동인증서를 이용한 본인 확인과 전자서명에 양자내성암호를 적용할 수 있는지 검증하기로 했다.
토스페이먼츠는 지난 4월 결제창과 고객용 웹서비스 정보 전송에 양자내성암호를 도입했다.
보험권에서는 건강정보 등 민감정보를 보호하기 위한 암호 관리방침과 고객정보를 처리하는 외부업체의 보안요건에 양자내성암호 적용을 추진하고 있다.
미국 퍼시픽라이프는 자사 데이터를 취급하는 외부업체와 하도급사에 양자내성암호 채택 등 새로운 위험에 따른 암호 통제의 적시 갱신을 요구해 위탁업체의 대응을 조달·관리 요건에 반영했다.
임준수 보험연구원 연구원은 “금융권의 양자내성암호 전환은 처리 속도와 기존 시스템의 작동에 영향을 미칠 수 있으므로, 실제 업무환경을 반영한 충분한 시험을 거쳐 단계적으로 추진할 필요가 있다”며 “BIS 시험에서는 새 암호가 작동하도록 여러 프로그램을 수정해야 했으며, 필요한 보안제품을 공급업체가 제공하는 시점도 금융회사의 전환 일정에 영향을 줄 수 있는 것으로 나타났다. 보험회사는 고객정보의 보호기간과 암호 사용현황을 점검하고, 계약 관리·보험금 지급 등 핵심 업무의 연속성을 고려한 전환계획을 마련할 필요가 있다”고 말했다.
[미디어펜=이보라 기자]