SSH 접속할 때마다 뜨는 그 경고, 알고 보니 심각한 이야기였다 - PQC(양자내성암호) 정리

집 서버에 SSH로 접속할 때마다 매번 이런 문구가 뜹니다.

WARNING: connection is not using a post-quantum key exchange algorithm.
This session may be vulnerable to "store now, decrypt later" attacks.
The server may need to be upgraded.

몇 달째 무시하고 접속만 하다가, 최근 IT 뉴스에서 "양자내성암호(PQC)"라는 단어가 부쩍 자주 보이길래 이번 기회에 이게 정확히 무슨 얘기인지 제대로 찾아봤습니다. 찾아보니 생각보다 훨씬 현실적인 이야기였습니다.

지금 쓰는 암호는 원래 안전한 거 아니었나

지금 인터넷 통신 대부분(SSH, HTTPS 등)은 RSA나 타원곡선(ECDHE) 같은 방식으로 키를 주고받습니다. 이 방식들은 소인수분해나 이산로그 문제를 푸는 게 현재 컴퓨터로는 사실상 불가능할 정도로 오래 걸린다는 전제 위에 서 있습니다. 지금까지는 이 전제가 흔들린 적이 없었습니다.

문제는 "양자컴퓨터가 실용화되면"

그런데 양자컴퓨터가 실용 수준으로 발전하면 얘기가 달라집니다. 쇼어 알고리즘(Shor's algorithm)이라는 방법을 쓰면, 지금 컴퓨터로는 수십억 년이 걸릴 소인수분해를 양자컴퓨터는 훨씬 짧은 시간에 풀어낼 수 있다는 게 이론적으로 증명돼 있습니다. 즉 RSA나 ECDHE의 전제 자체가 무너집니다. 아직 그 정도 성능의 양자컴퓨터는 없지만, 문제는 "아직 없다"는 것이지 "영원히 없다"가 아니라는 점입니다.

그래도 아직 먼 얘기 아닌가요 - "지금 수집, 나중에 해독"

여기서 "Harvest Now, Decrypt Later(지금 수집하고 나중에 해독한다)"라는 개념이 나옵니다. 암호화된 통신 내용을 지금 당장 풀 수 없어도, 데이터 자체를 미리 저장해뒀다가 양자컴퓨터가 실용화된 시점에 한꺼번에 해독하는 공격 시나리오입니다. 지금 오가는 메시지, 문서, 금융 정보가 지금은 안전해 보여도 "몇 년 뒤에는 뜯길 수 있는 데이터"일 수 있다는 뜻입니다. 유효기간이 긴 정보(개인정보, 정부·기업 기밀, 의료기록)일수록 이 시나리오의 위험이 커집니다. 최근 각국 정부와 빅테크가 PQC 전환을 서두르는 이유가 바로 이겁니다.

PQC는 어떻게 다른가

이 문제를 풀기 위해 나온 게 PQC(Post-Quantum Cryptography, 양자내성암호)입니다. 이름 때문에 "양자컴퓨터로 돌리는 암호"로 오해하기 쉬운데, 정반대입니다. 양자컴퓨터로도 못 푸는 수학 문제를 기반으로, 기존 컴퓨터에서 돌아가는 암호 방식을 말합니다. 미국 표준기술연구소(NIST)가 수년간 전 세계 암호학자들의 제안을 받아 검증한 끝에, 2024년 정식 표준으로 확정했습니다.

1. ML-KEM(옛 이름 CRYSTALS-Kyber) — 키를 안전하게 주고받는 용도. 격자(lattice) 기반 수학 문제를 사용하며, SSH나 TLS의 키 교환 단계에 쓰입니다.

2. ML-DSA(옛 이름 CRYSTALS-Dilithium), SLH-DSA(옛 이름 SPHINCS+) — 전자서명 용도. "이 데이터가 진짜 이 서버에서 온 게 맞다"는 걸 증명하는 데 씁니다.

실제로 어디까지 적용됐나

이론 단계가 아니라 이미 실무에 들어와 있습니다. OpenSSH는 9.0 버전부터 기존 방식과 PQC 방식을 섞은 하이브리드 키 교환(sntrup761x25519-sha512 등)을 기본으로 지원합니다. 크롬 같은 브라우저도 TLS 연결에서 PQC 하이브리드 방식을 이미 쓰고 있고, 주요 클라우드 사업자들도 PQC 지원 로드맵을 순차적으로 발표하고 있습니다. "언젠가 도입할 기술"이 아니라 "이미 조용히 깔리고 있는 기술"에 가깝습니다.

그럼 제 서버는 왜 아직도 경고가 뜨나

확인해보니 이유가 단순했습니다. 집 서버 OS(Rocky Linux 8 계열)에 기본 설치된 OpenSSH가 8.0 버전이었습니다. PQC 하이브리드 키 교환은 9.0부터 들어갔으니, 애초에 서버가 PQC 방식 자체를 모릅니다. 접속하는 제 PC 쪽 SSH 클라이언트는 최신이라 PQC를 시도하려 하지만, 서버가 못 알아들으니 예전 방식으로 접속되면서 매번 경고가 뜨는 겁니다. 원인을 알고 나니 경고 문구 그대로였습니다 — "서버 쪽 업그레이드가 필요하다"는 말 그대로였던 셈입니다.

그래서 지금 당장 뭘 해야 하나

실용적인 양자컴퓨터가 아직 없는 만큼, 당장 패닉에 빠질 일은 아닙니다. 다만 몇 가지는 지금부터 챙겨두는 게 맞다고 봅니다.

1. 유효기간이 긴 데이터일수록 우선순위를 높인다. 개인정보, 장기 보관 문서, 백업 데이터처럼 몇 년 뒤에도 가치가 있는 정보를 다루는 시스템은 PQC 지원 여부를 먼저 챙길 필요가 있습니다.

2. SSH·TLS 같은 기본 인프라의 버전 관리를 신경 쓴다. 제 사례처럼 OS가 오래되면 자연스럽게 PQC 지원에서 밀려납니다. 정기적인 OS·패키지 업그레이드가 곧 PQC 대응인 셈입니다.

3. "언젠가 바꿔야 할 기술"로 인지만 해둔다. 지금 당장 모든 시스템을 PQC로 바꿀 필요는 없지만, 새로 구축하는 시스템이라면 PQC 지원 여부를 선택 기준에 넣어두는 정도의 감각은 필요해 보입니다.

마무리

정리하면, SSH 접속할 때마다 뜨던 그 경고는 단순한 잔소리가 아니라 "지금 안전해 보이는 통신도 미래엔 위협받을 수 있다"는, 이미 표준까지 정해진 실제 이슈를 가리키고 있었습니다. 무심코 넘기던 경고 문구 하나를 제대로 파보니 생각보다 큰 흐름과 맞닿아 있어서 저도 새삼 놀랐습니다. 조만간 서버 OS 업그레이드 계획에 이 부분도 같이 챙겨봐야겠습니다.

여기 적힌 내용은 2026년 9월 기준으로 정리한 내용이라, 시간이 지나면 세부적인 표준·지원 버전 등은 계속 바뀔 수 있다는 점 참고해주세요.