양자 컴퓨팅 시대가 다가오고 있는데, 이로 인해 말 그대로 재정이 파탄에 이를 수도 있다.
이 혁신적인 기술은 큐비트 를 활용해 다차원 양자 알고리즘을 실행함으로써, 기존 컴퓨터보다 기하급수적으로 빠른 처리 속도를 달성할 것입니다.
큐비트? 그건 잠시 후에 다루겠습니다. 여기서 핵심은 오늘날의 초기 단계 양자 컴퓨터가 약 100 개의 논리 큐비트를 활용한다고 여겨진다는 점입니다.. 하지만 이러한 디지털 정보 단위를 3.000 개에서 4.000 개까지 처리할 수 있는 수준에 도달하게 되면—많은 이들이 10년 내외로 가능할 것으로 전망하는 바—의학, 재료 과학, 국방, 도시 계획, 첨단 기술 및 기타 여러 분야에서 발견의 황금기를 열게 될 것입니다. 하지만 대부분의 놀라운 혁신이 그렇듯, 이 기술에도 이면이 있습니다. 바로 이 기술이 사이버 범죄자들에게 악용될 수 있으며, 은행이 주요 표적이 될 것이라는 점입니다.
예를 들어 은행 업계에서는, 향후 개발될 양자 컴퓨터가 매우 막강해져 금융 기관들이 현재 고객의 개인 및 민감한 정보, 온라인 거래, 계좌를 보호하기 위해 사용하는 대부분의 암호화 알고리즘을 무력화할 수 있을 것으로 예상됩니다.
그렇다고 해서 평범한 해커가 양자 컴퓨터를 쉽게 악용해 BofA나 씨티그룹 같은 기업을 공격할 수 있게 될 것이라는 뜻은 아니다. 양자 시스템은 대부분의 사이버 범죄자들에게는 비용이 너무 많이 들 것입니다. 아니요, 우려되는 점은 적대적인 국가들 이나 막대한 자금을 보유한 해킹 조직들 이 양자 컴퓨터를 훔치거나, 구매하거나, 개발하여, 아무도 눈치채기 전에 금융 기관과 시장에 공격을 가할 수 있다는 것입니다.
양자 컴퓨팅이란 무엇이며, 은행들은 왜 지금 조치를 취해야 할까요?
이 용어가 생소하신 분들을 위해 설명드리자면, 큐비트(qubit, “큐-비트”라고 발음하며, 양자 비트(quantum bit)의 약자)는 양자 컴퓨팅에서 정보의 기본 단위를 가리키는 것으로, 고전 컴퓨팅의 비트(bit) 또는 이진 숫자와 유사하며, 이를 통해 기존 컴퓨팅에 비해 훨씬 짧은 시간 내에 정보를 처리할 수 있습니다. 이는 전통적인 컴퓨팅의 0과 1과는 대조적으로, 종종 회전하는 구체로 묘사되곤 합니다. 양자 기술이 발전하고 사이버 범죄자들이 이 기술을 활용해 금융 서비스 부문 및 기타 표적을 공격함에 따라, 앞으로 몇 년 동안 큐비트에 대한 이야기를 더 자주 듣게 될 것입니다.
“설령 [양자 컴퓨팅]이 앞으로 10년 동안 실현되지 않는다 해도, 잠재적 위협을 막기 위해 필요한 변화에 대비한 계획은 지금부터 시작해야 합니다.”매튜 미텔스테드, 메르카투스 센터 연구원
이러한 위협으로 인해 바이든 대통령은 지난해 ‘양자 보안 강화( )’ 행정명령( )을 발표하여, 연방 기관들이 자사의 암호화 시스템을 양자 공격에 견딜 수 있도록(post-quantum ) 할 것을 요구했습니다. 이후 이 권한은 지난 12월에 서명된 ‘양자 컴퓨팅 사이버 보안 대비법’을 통해 공식화되었다.
한편, 은행들은 자신들이 취약하다는 사실을 이미 한동안 인지해 왔으며, 이러한 위협에 대응하기 위해 수십억 달러를 투입할 것으로 예상하고 있다. 그러나 관측통들은 양자 컴퓨팅의 잠재력이 완전히 실현되기까지는 적어도 7년에서 10 년이 더 걸릴 것으로 예상됨에 따라, 많은 은행들이 그 시기가 가까워질 때까지 실질적인 조치를 미룰 것이라고 우려하고 있다. 어쨌든, 그들은 경제, 누적되는 손실, 그리고 예금자들의 신뢰 하락과 같은 시급한 문제들에 집중하고 있다.
그럼에도 불구하고, 양자 위협에 대한 대응을 미루는 것은 심각한 실수가 될 것이라고 업계 전문가들은 지적한다.
[관련 기사: FS-ISAC의 새로운 보고서에 따르면, 작년 금융 서비스 분야를 위협했던 주요 사이버 위협들이 2023년에 더욱 심화될 것으로 전망된다]
우선, 오늘 발표된 데이터는 이미 양자 컴퓨팅을 통한 해독에 취약할 수도 있습니다. 다만 여러분이 생각하는 방식과는 다를 뿐입니다. 데이터는 일정 기간 동안 유용성을 유지하기 때문에, 국가들은 현재 적대국으로부터 암호화된 정보를 수집해 두었다가, 향후 양자 기술을 활용해 이를 해독할 수 있게 될 때 이를 활용할 수 있을 것으로 기대할 수 있다. 이러한 타임캡슐 방식은 ‘지금 수집, 나중에 해독(HNDL) 공격’으로 알려져 있으며, 딜로이트(Deloitte)의 ‘ ’ 설문조사()에 따르면, 양자 보안에 대비하고 있는 조직의 절반 이상(50,2%)이 이 공격으로 인해 ‘위험에 처해 있다’고 인식하고 있는 것으로 나타났다.
양자 컴퓨팅이 가져올 “존재적 위협”에 대비하기
이러한 모든 점을 감안할 때, 버지니아에 본부를 둔 싱크탱크인 메르카투스 센터(Mercatus Center)의 연구원 매튜 미텔스테드(Matthew Mittelsteadt)는 양자 컴퓨팅을 “은행 보안에 대한 존재적 위협”이라고 규정하며, 이 위협에 적절히 대응하는 데 소요될 시간과 비용을 과소평가해서는 안 된다고 경고한다.
미텔슈테트는 “비록 이런 일이 앞으로 10년은 더 지나야 일어날지라도, 잠재적인 위협을 막기 위해 필요한 변화에 대한 준비는 지금부터 시작해야 한다. 왜냐하면 그러한 변화는 상당히 중대할 것이기 때문이다”라고 말했다. “이 문제가 어떤 분야에 영향을 미칠지 살펴보면, 사실상 모든 분야가 해당됩니다.” “우리의 모바일 기술, 데이터베이스 등이 영향을 받을 것입니다… 말 그대로 디지털 방식으로 통신하고 암호화를 사용하는 모든 것이 영향을 받아 보안이 취약해질 수 있습니다.”
은행 관계자들을 옹호하자면, 이들의 준비 작업은 RSA, 디피-헬만(Diffie-Hellman), 타원곡선 암호화(ECC)와 같은 일반적인 공개키 암호화(PKC) 시스템을 대체할, 견고하고 양자 공격에 견딜 수 있는 새로운 방식에 대해 정부가 합의하는 데 달려 있을 것입니다. 미국 상무부 산하 국립표준기술연구소(NIST)가 주도하는 이러한 노력은 2015 년부터 시작되어 현재까지 계속되고 있다.
양자 사이버 보안 분야에서 느리지만 꾸준한 진전
실제로 NIST는 작년에야 ‘’를 발표하고, 일반 암호화용CRYSTALS-Kyber , 디지털 서명용 CRYSTALS-Dilithium, FALCON 및 SPHINCS+ 등 4가지 암호화 알고리즘 ‘최종 후보’ 목록에 대한 대중의 의견을 수렴하기 시작했는데, 이 알고리즘들은 대략 2024년경 NIST의 양자 저항 암호화(PQC) 표준의 일부가 될 것으로 예상됩니다.
“[현재의 사이버 보안 알고리즘]은 수학 수업 시간에 대부분의 고등학생들에게도 설명할 수 있을 정도입니다. 하지만 이러한 새로운 양자 이후 알고리즘에 사용되는 수학은 훨씬 더 복잡하며, 이를 이해하려면 많은 지식과 훈련이 필요할 것입니다.”NIST 컴퓨터 보안 부서의 수학자 더스틴 무디
하지만 보안 연구자들이 해당 알고리즘을 꼼꼼히 파헤치고 있는 만큼, 이러한 표준을 승인하기까지의 과정은 불확실하다. 예를 들어, 올해 초 스웨덴 연구진은 인공지능(AI)를 활용한 사이드 채널 공격을 통해 CRYSTALS-Kyber의 구현 버전을 해독하는 데 성공했다. 사이드채널 공격은 코드를 직접 표적으로 삼는 대신, 우연히 발생하는 하드웨어 방출 신호를 측정하여 암호 키와 같은 민감한 정보를 수집합니다.
하지만 NIST 컴퓨터 보안 부서의 수학자 더스틴 무디는 양자 알고리즘의 복잡성을 고려할 때 이러한 장애물은 예상된 일이었다고 말한다.
“이 분야는 매우 복잡합니다,”라고 무디는 말한다. “예를 들어, RSA는 수학 수업 시간에 대부분의 고등학생들에게 설명할 수 있는 알고리즘입니다.” 하지만 이러한 새로운 양자 이후 알고리즘에 사용되는 수학은 훨씬 더 복잡하며, 이를 이해하려면 상당한 지식과 훈련이 필요할 것입니다. 그러니 어려움이 있을 것입니다. “그리고 이 모든 것을 매우 신중하게 실행하지 않으면 보안 취약점이 발생할 수 있습니다.”
무디스는 은행들에게 2024 에서 표준이 발표될 때까지 기다린 뒤 양자 컴퓨팅 시대에 대비한 알고리즘을 실제 운영에 도입할 것을 권고하고 있지만, 다른 전문가들은 여전히 이에 대비하기 위해 몇 가지 조치를 취하는 것이 중요하다고 강조하고 있다.
우선, 그들은 다음과 같이 권장합니다:
1. 암호화 기술 현황 파악하기
구글의 모회사인 알파벳(Alphabet Inc.)에서 분사된 스타트업 샌드박스AQ(SandboxAQ)의 양자 보안 그룹 제품 책임자인 그레이엄 스틸(Graham Steel)은 Focal Point 에, 조직 전반에서 양자 공격에 취약한 암호화 기술이 어디에 사용되고 있는지 파악하기 위해서는 철저한 현황 파악 을 수행해야 한다고 밝혔다.
그런 다음 위험 평가를 검토하여, 향후 5년에서 10 년 동안 기밀로 유지되어야 할 데이터가 어디에 있는지 파악해야 합니다. 이를 통해 향후 발생할 수 있는 HNDL 공격을 사전에 방지할 수 있습니다.
그는 또한 사용자들이 자신의 환경에서 NIST의 양자 알고리즘 초안을 직접 시험해 보며, 이 알고리즘들이 가장 중요한 애플리케이션에 어떤 영향을 미칠지 확인해 볼 수 있다고 덧붙였습니다.
2. 양자 사이버 보안에 재정적 자원을 투입해야 한다
미텔슈테트는 디지털 시스템의 기반이 되는 모든 암호화 기술을 완전히 제거하고 새로 교체하는 데 얼마나 많은 시간과 비용이 소요될지 깨닫고 있는 은행이 거의 없다고 말한다.
“이를 소홀히 할 경우, 곧 자신의 진척 상황을 알릴 경쟁사들보다 뒤처질 위험이 있습니다.”샌드박스AQ(SandboxAQ) 양자 보안 그룹의 제품 책임자 그레이엄 스틸
“어떤 인프라가 영향을 받을지 생각해 봐야 합니다,”라고 그는 말한다. “이것은 매우 복잡한 과제입니다. “여러분이 보안에 취약하다는 사실을 깨닫지 못하는 시스템이 많이 있을 것입니다.”
[함께 읽어보세요: 조직의 ‘가장 소중한 자산’인 데이터를 보호하기 위한 5 가지 단계]
그는 많은 시스템이 제대로 문서화되어 있지 않다고 경고한다.
“아마도 누군가에게 비용을 지불하여 모든 사업체와 지점을 직접 방문해 어떤 시스템이 있는지 파악하고, 해당 시스템이 영향을 받을 가능성이 있는지 기록하며, 양자 공격에 더 효과적으로 대비할 수 있도록 소프트웨어를 개선하기 위한 계획을 수립하도록 해야 할 것입니다.”라고 그는 말합니다. “쉽지는 않을 거예요.”
3. 소프트웨어를 재설계하세요
미텔슈테트는 NIST 알고리즘이 표준화되기까지는 오랜 시간이 걸릴 수 있다고 지적한다. 그에 앞서 그는 은행들이 변화에 더 유연하게 대응할 수 있도록 “단일 구조”의 소프트웨어를 재설계하기 시작할 것을 조언한다.
“사이버 민첩성을 위한 방법론을 도입하고 싶어 하죠,”라고 그는 말한다. “이는 시스템을 모듈식으로 설계하여, 특히 보안 구성 요소를 쉽게 교체할 수 있도록 하는 것을 의미합니다.” “오늘날 그런 식으로 시스템을 설계해 둔다면, NIST 표준이 공식화될 때를 대비할 수 있을 것입니다.”
양자 위협이 언제 본격적으로 터져 나와 은행 업계에 더 심각한 문제가 될지는 아무도 모르지만, 전문가들은 그 결과를 지켜보기만 해서는 안 된다고 조언한다. 지금부터 작은 단계부터 차근차근 진행함으로써, 은행들은 필요한 비용과 노력을 장기간에 걸쳐 분산할 수 있어, 그로 인한 부담을 줄일 수 있습니다.
스틸은 “IT 전반의 현대화 과정의 일환으로 전략적으로 접근한다면 비용이 그리 많이 들 필요는 없다”고 말합니다. “이를 실행하지 않을 경우, 조만간 진척 상황을 공개할 경쟁사들보다 뒤처지게 될 뿐만 아니라, (시기를 놓쳐 제때 시작하지 못했기 때문에) 달성하기 어려울 수도 있는 기한 내에 전환을 완료해야 한다는 규제 당국의 압박을 받게 되어, 규정 준수 위반으로 인한 과태료를 물게 될 위험이 있습니다.”
