양자컴퓨터가 오면 암호는 정말 다 깨지나 — '전부'와 '나중'이라는 두 개의 오해

양자컴퓨터 없이 무너진 표준 후보

미국 국립표준기술연구소(NIST)는 2016년, 양자컴퓨터에도 버틸 새 공개키 암호를 뽑는 표준화 작업을 시작했습니다 (arXiv:1912.00916, 프리프린트). 양자컴퓨터는 아주 작은 입자의 물리 법칙을 계산에 쓰는 새로운 종류의 컴퓨터이고, 공개키는 누구나 가져다 쓰라고 내놓는 열린 자물쇠입니다(「열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가」의 정의). 양자내성 암호(post-quantum cryptography)는 양자컴퓨터로도 풀기 어렵다고 여겨지는 문제 위에 새로 지은 공개키 암호입니다. 프리프린트는 동료심사를 거치기 전에 공개된 논문이고, 이 글은 그런 문헌마다 괄호 안에 그렇게 적어 둡니다.

2017년 12월 69개 후보로 1라운드가 열렸습니다. 세 라운드의 평가를 거쳐 네 개의 알고리즘이 표준화 대상으로 뽑혔고, 키 확립 계열 후보 넷 — BIKE, Classic McEliece, HQC, SIKE — 이 추가 분석을 위해 4라운드로 올라갔습니다 (DOI: 10.6028/nist.ir.8413). 키 확립(key establishment)은 멀리 떨어진 두 쪽이 같은 비밀 열쇠를 나눠 갖게 하는 절차입니다.

SIKE는 표준이 되지 못했습니다. SIKE를 무너뜨린 것은 양자컴퓨터가 아닌 평범한 고전 컴퓨터, 곧 지금 우리가 쓰는 종류의 컴퓨터였습니다.

「열쇠와 자물쇠」는 공개키를 여는 값이 아직 비쌀 뿐이라고 적고, 그 값을 싸게 만들 수 있는 기계로 양자컴퓨터를 꼽았습니다. 이 글은 그다음 물음, 값이 싸지면 무엇이 얼마나 무너지는가에서 시작합니다.

양자컴퓨터 이야기에는 "양자컴퓨터가 완성되면 지금의 암호는 전부 무용지물이 된다"는 문장이 늘 따라붙습니다. 이 문장은 절반만 맞고, 틀린 절반이 더 중요합니다. 이 글은 그 문장에 든 두 가지 오해를 차례로 풉니다. 첫째, 「전부」가 틀렸습니다. 무너지는 것은 암호 가운데 한 종류입니다. 둘째, 「나중」이 틀렸습니다. 위험은 양자컴퓨터가 완성되는 날보다 앞서, 이미 시작됐습니다. 그다음에 SIKE의 붕괴를 따라갑니다.

이 글은 양자컴퓨터를 어떻게 만드는가는 다루지 않습니다. 양자컴퓨터가 계산에 쓰는 기본 단위인 큐비트가 왜 깨지기 쉬운지, 오류정정이 어떻게 작동하는지는 다른 이야기입니다. 여기서는 "충분히 큰 양자컴퓨터가 언젠가 나온다면"을 조건으로 걸어 두고, 그때 암호가 어떻게 되는지만 봅니다. 이 분야에 흔한 공포 조장도, 안심시키기도 하지 않습니다.

양자컴퓨터가 완성되면 모든 암호가 무너진다는 통념

통념에는 근거가 있습니다. 1990년대에 알려진 두 양자 알고리즘입니다. 쇼어 알고리즘(Shor's algorithm)은 소인수분해와 이산로그를 다항 시간에 푸는 양자 알고리즘입니다. 그로버 알고리즘(Grover's algorithm)은 정답을 하나씩 대 보며 찾는 탐색을 제곱근 수준으로 줄여 주는 양자 알고리즘입니다.

지수 시간과 다항 시간은 문제가 커질 때 계산량이 얼마나 불어나는지를 가르는 말입니다. 지수 시간이 걸리는 문제는 자릿수가 조금만 늘어도 계산량이 걷잡을 수 없이 불어납니다. 다항 시간에 풀리는 문제는 자릿수가 늘어도 계산량이 그만큼 폭발하지 않습니다.

「열쇠와 자물쇠」가 보여 준 대로, 공개키는 일방향 계산, 곧 한쪽으로는 누구나 금방 하는데 거꾸로 되돌리는 쪽은 터무니없이 힘든 계산 위에 서 있습니다. 소인수분해는 곱만 보고 원래의 두 수를 되찾는 그 어려운 방향입니다. 이산로그는 같은 연산을 몇 번 거듭했는지를 결과만 보고 알아내는, 또 하나의 어려운 방향입니다. 지금 널리 쓰이는 공개키 방식인 RSA·디피-헬만·타원곡선 암호(ECC)의 안전성은 이 두 문제의 수학적 어려움에 기댑니다. 고전 알고리즘으로는 계산량이 다항 시간보다 훨씬 가파르게(지수에 가깝게) 불어나는 이 문제들을 쇼어 알고리즘은 다항 시간에 풉니다. 한편 그로버 알고리즘은 AES·3DES 같은 대칭키 방식의 키 탐색에 제곱근만큼의 시간 이득을 줍니다 (arXiv:2202.02826, 프리프린트).

"다 깨진다"는 결론까지는 한 걸음입니다. 공개키와 그 주인을 이어 주는 인증서 체계, 곧 오늘날 인터넷 보안의 뼈대인 공개키 기반구조는 오랫동안 거의 전부 RSA와 ECC 위에 서 왔습니다. 웹사이트 인증서, 메신저의 키 교환, 소프트웨어 서명, 블록체인 지갑까지 그래 왔습니다. 이것이 한꺼번에 무너진다면 "전부"라는 말이 과장으로만 들리지는 않습니다. 첫 번째 오해는 여기서 시작됩니다.

무너지는 것은 열쇠를 건네는 방식이다

「열쇠와 자물쇠」의 정의로, 대칭키 암호는 잠그는 열쇠와 여는 열쇠가 같은 암호입니다. 파일을 비밀번호로 잠그는 것이 그 예입니다. 빠르고 튼튼하지만, 상대와 같은 열쇠를 미리 나눠 가져야 합니다. 공개키 암호는 그 부담을 덜어 줍니다. 누구나 가져다 쓰는 공개키로 잠그고, 주인만 갖고 어디로도 보내지 않는 개인키로 엽니다. 한 번도 만난 적 없는 서버와 안전하게 대화할 수 있는 것은 이 방식 덕분입니다.

양자컴퓨터의 위협은 이 둘에 전혀 다른 크기로 작용합니다. RSA와 타원곡선 암호는 양자컴퓨터에 무력화될 위험에 놓여 있고, AES-128 같은 대칭 알고리즘은 양자 공격 아래에서 실효 키 길이가 줄어든 채로 안전성을 유지합니다 (arXiv:2603.06969, 프리프린트). 실효 키 길이(effective key length)는 공격자가 실제로 들여야 하는 수고를 키의 비트 수로 환산한 값입니다. 대칭키는 약해지는 데서 그치고, 키를 길게 쓰면 그만큼 되돌릴 수 있습니다. NIST 표준화 과정을 정리한 2022년 검토 논문도 같은 판단입니다. 블록 암호와 해시 함수 같은 대칭키 쪽 부품은 "아주 조금만(only slightly) 손상될 것"이라고 적습니다 (DOI: 10.30837/rt.2022.3.210.05). 해시 함수는 아무리 긴 글이든 정해진 길이의 짧은 값 하나로 줄여 주는 함수입니다(「블록체인이란 무엇인가 — 아무도 관리하지 않는 장부가 성립하는 이유」의 해시).

차이는 이득의 크기에서 납니다. 무차별 대입은 가능한 열쇠를 하나씩 다 대 보는 공격입니다. 128비트 키를 무차별 대입으로 찾는 데 고전적으로 2^128번의 시도가 든다면, 양자적으로는 이론상 그 제곱근, 곧 2^64번 정도의 반복이 듭니다. 실효 키 길이가 절반으로 준다는 뜻입니다. 큰 이득이지만 대칭키는 키 길이를 두 배로 늘리면 원래 자리로 돌아옵니다. 256비트 키의 제곱근은 다시 2^128이기 때문입니다. 쇼어 알고리즘이 공개키에 주는 이득은 지수 시간에서 다항 시간으로 넘어가는 도약입니다. 키를 조금 늘려서는 따라잡을 수 없는 질적 차이입니다.

그로버 공격은 이론과 실제의 간극도 큽니다. 그로버 알고리즘은 반복할 때마다 「이 열쇠가 맞는가」를 묻는 부품, 곧 오라클을 부릅니다. 실제 하드웨어에서 이 오라클이 이따금 실패하면, 그 실패가 어느 문턱을 넘는 순간 성공 확률이 급격히 무너집니다. 그 실용적 신뢰도 문턱은 문제 크기에 따라 지수적으로 낮아집니다(문턱이 2^(−n/2)에 비례). n=40일 때조차 오라클이 대략 80만 번의 반복당 한 번 미만으로만 실패해야 양자 이득이 유지되고, 키가 커질수록 요구가 기하급수적으로 가혹해집니다. 저자들은 이 결과가 그로버 알고리즘의 이론적 정확성을 부정하지는 않는다고 밝히면서도, 현실적 하드웨어 제약 아래에서 그로버 기반 공격의 실현 가능성은 흔히 가정되는 것보다 상당히 낮을 수 있다고 결론짓습니다 (DOI: 10.20944/preprints202602.0122.v1, 프리프린트).

더 극단적인 계산도 있습니다. 831비트 길이의 비밀키는 팽창하는 암흑에너지 지배 우주에서 별의 형성이 멈출 것으로 예상되는 시점까지도, 확실하게 되찾아 낼 수 없다는 계산입니다 (arXiv:2603.13654, 프리프린트). 우주론적 가정을 넣은 극한값이고 공학적 예측은 아닙니다. 그래도 방향은 분명합니다. 충분히 긴 대칭키는 양자컴퓨터 앞에서도 사실상 멀쩡합니다.

다만 「대칭키는 안전하다」에는 조건이 붙습니다. 대칭 암호에 대한 믿음은 대부분 온갖 해독 기법을 견뎌 온 실적에 기대고 있어서, 그 실적을 양자 세계에서 다시 검증해야 합니다. 차분 분석과 선형 분석은 대칭 암호를 공격하는 대표적인 고전 기법입니다. 이 기법들의 양자 버전도 대체로 제곱근 가속이 가능합니다. 다만 모든 변종에서 그렇지는 않고, 고전 세계에서 최선인 공격이 양자 세계에서도 최선이라는 보장은 없습니다 (arXiv:1510.05836, 프리프린트).

공격자의 능력을 더 강하게 잡으면 경고도 더 날카로워집니다. 양자 질의는 공격자가 열쇠가 들어 있는 장치에 양자 상태로 된 질문을 던질 수 있다는 가정입니다. 이 강한 모델에서는 사이먼 알고리즘이라는 양자 알고리즘으로 3라운드 파이스텔 구조를 구분해 내거나, CBC-MAC에 대한 위조 공격을 성립시킬 수 있습니다 (DOI: 10.26421/qic17.1-2-4). 파이스텔 구조는 대칭 암호를 짜는 흔한 뼈대이고, CBC-MAC은 메시지에 위조 방지 꼬리표를 붙이는 방식입니다. 특정 구성의 문제이고 대칭 암호 전반의 붕괴는 아닙니다. 그래도 저자들은 고전적 안전성 증명을 양자 공격자 앞에서 다시 따져야 한다고 봅니다.

양자컴퓨터 앞에서 무너지는 것은 열쇠를 안전하게 건네고 신원을 증명하는 방식, 곧 공개키입니다. 금고를 잠그는 대칭키는 열쇠를 늘려 버팁니다. 그리고 인터넷은 바로 그 건네기 위에 지어져 있습니다.

위험은 오늘 시작됐다 — 지금 수확, 나중 해독

두 번째 오해는 시점에 관한 것입니다. "양자컴퓨터가 나오면 그때 바꾸면 된다"는 말은 성립하지 않습니다. 암호문은 저장할 수 있기 때문입니다.

공격자는 지금 오가는 암호화된 통신을 그대로 긁어모아 보관해 둡니다. 지금은 못 풉니다. 언젠가 충분한 양자컴퓨터가 생기면 창고를 열어 과거의 통신을 거슬러 해독합니다. 「지금 수확, 나중 해독(harvest now, decrypt later)」은 오늘 암호문을 모아 두었다가 양자컴퓨터가 생긴 뒤에 푸는 공격 전략입니다.

이 전략을 위협으로 만드는 것은 비용입니다. TLS는 「열쇠와 자물쇠」에서 본, 브라우저와 사이트 사이의 연결을 암호로 지키는 규약이고, QUIC과 SSH도 통신을 암호로 지키는 규약입니다. 이 셋에 걸쳐 공격자 비용을 따져 보면 가로챈 트래픽을 보관하는 비용은 경제적으로 사소합니다 (arXiv:2603.01091, 프리프린트). 그래서 방어하는 쪽의 물음은 「공격자가 저장할 수 있는가」에서 「해독에 얼마가 드는가」로 옮겨 갑니다.

같은 연구는 방어 수단을 두 갈래로 나눕니다. 공격자가 쌓아야 할 저장량을 부풀리는 쪽은 방어자에게도 부담을 지웁니다. 해독에 드는 양자 연산을 부풀리는 쪽은 공격자만 겨냥합니다. 그래서 양자내성 암호로 옮기는 일과 별도로 지금 설정만으로 쓸 수 있는 수단 가운데서는, 키를 자주 새로 정하는 재협상(rekeying)과 큰 키 파라미터가 가장 강력한 방어 지렛대라고 봅니다 (arXiv:2603.01091, 프리프린트).

지금 위험한 쪽은 오늘 지켜야 할 비밀의 수명이 긴 쪽입니다. 노출 창(exposure window)은 저장된 암호문이 훗날 해독될 수 있는 상태로 남아 있는 기간입니다. 이 위협을 시간에 따라 달라지는 위험으로 모델링한 결과, 위성 통신이나 보건의료처럼 데이터를 오래 보관하는 부문은 양자내성 암호로 옮기는 일이 늦어지면 수십 년에 이르는 노출 창에 놓입니다. 하이브리드 키 교환과 전방향 비밀성 같은 장치를 쓰면 그 위험 지평이 3분의 2 이상 줄어든다는 것이 이 모델의 결과입니다 (DOI: 10.3390/telecom6040100). 전방향 비밀성(forward secrecy)은 오래 쓰는 키가 나중에 털려도 과거 통신은 풀 수 없게 하는 성질입니다. 다만 공격자가 기록해 둔 키 교환을 양자컴퓨터로 직접 풀면 이 성질만으로는 막히지 않고, 그래서 이 모델도 하이브리드와 함께 놓습니다. 하이브리드는 뒤에서 볼 겹쳐 쓰기 방식입니다.

블록체인에서는 이 위협이 얄궂게 작동합니다. 블록체인의 장부, 곧 누가 무엇을 언제 했는지를 일어난 순서대로 적어 둔 기록(「블록체인이란 무엇인가」)은 누구든 사본을 얻을 수 있습니다. 미국 연준 직원 워킹페이퍼(Finance and Economics Discussion Series, 동료심사 학술지가 아닙니다)로 나온 2025년 분석은 비트코인을 예로 들어 이렇게 봅니다. 운영 주체들이 양자내성 암호를 도입하면 앞으로의 보안과 무결성은 지킬 수 있습니다. 그래도 이미 장부에 기록된 과거 거래들의 프라이버시는 여전히 취약합니다. 누구든 장부 복제본을 보관해 두었다가 훗날 가려진 정보를 드러낼 수 있기 때문입니다. 저자들은 이 빈틈을 메울 대응책이 부족하다고 지적합니다 (DOI: 10.17016/feds.2025.093).

2022년의 독일어 논평도 같은 전략을 「훔치는 건 지금, 푸는 건 나중(Steal now, decrypt later)」이라 부르며, 전문가들이 그 시점을 10~15년 뒤로 본다고 전했습니다 (DOI: 10.1007/s00287-022-01474-z). 이 수치는 2022년 시점의 기대치이고 확정된 예측이 아닙니다. 뒤에서 보듯, 이런 시점 추정이야말로 가장 흔들리는 부분입니다.

양자컴퓨터가 오기도 전에 노트북에 무너진 후보

이제 서두의 SIKE로 돌아갑니다. 가장 극적인 붕괴는 양자컴퓨터 없이 일어났습니다.

아이소제니(isogeny)는 타원곡선 하나를 다른 타원곡선으로 옮기는, 구조를 보존하는 특별한 대응 규칙(사상)입니다. SIKE는 아이소제니 기반 암호였습니다. 초특이 타원곡선이라는 특수한 곡선들 사이에서 비밀 아이소제니를 찾아내기 어렵다는 가정 위에 지어졌고, 키가 훨씬 작다는 매력이 있었습니다. 그런데 4라운드가 진행되던 중, SIKE의 바탕인 SIDH 키 교환에 대한 고전 컴퓨터 공격이 발표됐습니다. 지금 우리가 쓰는 종류의 컴퓨터로 한 공격이었습니다.

이 글은 원래의 공격 논문 대신, 그 뒤에 나온 후속·분석 문헌이 이 사건을 적어 둔 대로 사건을 재구성합니다.

먼저 사건이 있었다는 기록입니다. 자기준동형환은 곡선의 내부 구조를 담은 수학적 대상이고, 아이소제니가 주어졌을 때 도착 곡선의 자기준동형환을 계산하는 문제는 2023년 기준으로 "SIDH 키 교환을 깨뜨린 최근 공격들의 핵심에 있는" 문제입니다 (arXiv:2305.19897, 프리프린트). 아이소제니 계열 서명의 효율을 평가한 다른 논문은 이를 "SIDH(의 바탕이 되는 수학적 문제)에 대한 파괴적인 공격들"이라 부릅니다 (DOI: 10.1515/jmc-2023-0023).

약점은 SIDH가 함께 내보내는 정보에 있었습니다. SIDH 계열 방식은 비밀 아이소제니 자체는 감추지만, 그 아이소제니를 곡선의 특정 부분군에 제한한 정보를 함께 공개합니다. 이 부가 정보를 비틀림점(torsion point) 정보라고 부릅니다 (arXiv:2005.14681, 프리프린트). 이것이 공격의 실마리가 됐습니다. SIDH의 결함을 드러낸 공격으로 꼽히는 Castryck–Decru 공격을 완화하려는 연구는, 이 공격이 드러낸 결함을 "비틀림점의 예측 가능성과 곡선 파라미터의 취약성"으로 요약합니다 (DOI: 10.21203/rs.3.rs-4813769/v1, 프리프린트).

경고 신호는 그 전에도 있었습니다. 2020년의 한 논문이 정리한 바로는, 2017년 Petit은 비틀림점 정보가 비밀 아이소제니를 찾는 어려움을 눈에 띄게 낮출 수 있음을 처음 보였고, 특히 "과도하게 늘린(overstretched)" 파라미터의 SIDH는 다항 시간에 깰 수 있음을 보였습니다. 다만 그 결과는 문헌에 제안된 어떤 암호 체계의 안전에도 영향을 주지 않았습니다 (arXiv:2005.14681, 프리프린트).

이 2020년 논문은 Petit의 기법을 강화해 한 다자간 그룹 키 교환 방식을 고전 컴퓨터로(6자 이상) 완전히 깨뜨렸고, 자기 공격에 취약하도록 일부러 설계한 백도어 SIDH 변종들도 함께 제시했습니다. 그러면서도 저자들은 선을 그었습니다. "우리 결과는 NIST 제출본 SIKE의 안전성을 떨어뜨리거나 어떤 약점을 드러내지 않는다" (arXiv:2005.14681, 프리프린트). 위험 신호는 있었지만 표준 후보 본체는 안전해 보였고, 그 벽이 곧 무너졌습니다.

붕괴의 규모는 사건 뒤에 나온 후속 연구가 가장 직접적으로 보여 줍니다. 4차원 아이소제니 계산을 다룬 이 논문은 자신들의 성과를 이렇게 적습니다. "시작 곡선의 자기준동형환을 모르는 경우에도, 모든 NIST SIKE 파라미터에 대해 노트북에서 수 초 안에 완전한 키 복구 공격을 수행할 수 있다" (arXiv:2407.15492, 프리프린트). 표준 후보 SIKE의 모든 보안 수준이 특수 장비가 아닌 노트북에서 초 단위로 뚫립니다. 이 속도는 2024년에 나온 이 연구의 구현에서 나온 값입니다.

결말은 NIST 문서에 남아 있습니다. 4라운드 최종 보고서는 BIKE·Classic McEliece·HQC·SIKE 가운데 "표준화될 키 확립 알고리즘은 HQC뿐"이라고 적었습니다 (DOI: 10.6028/nist.ir.8545).

이 결말에서 두 가지를 분명히 해 둡니다. 첫째, 아이소제니 암호 전체가 무너지지는 않았습니다. 앞의 서명 연구는 파괴적 공격에도 그 서명이 딛고 선 식별 프로토콜은 다른(그리고 더 표준적인) 아이소제니 문제에 기대고 있어 여전히 안전하다고 밝힙니다 (DOI: 10.1515/jmc-2023-0023). 이후 이 분야는 기초를 다시 다졌습니다. 아이소제니 문제·자기준동형환 문제·최대차수 문제는 일반화 리만 가설 같은 미증명 가정 없이도 서로 동치라는 것이 증명됐습니다 (arXiv:2502.17010, 프리프린트). 동치라는 것은 그중 하나라도 (최악의 경우에) 어려우면 나머지도 모두 (평균적으로) 어렵다는 뜻입니다. 이 증명은 문제들이 서로 묶여 있음을 보인 것이고, 그 문제들이 어렵다는 것 자체는 여전히 가정입니다. 무너진 것은 SIDH라는 특정 설계이고, 아이소제니라는 수학적 토대 전체는 남았습니다.

둘째, 이 사건의 교훈은 구체적입니다. 양자내성 후보들의 안전성은 수학적 증명이 아니라 「아직 아무도 깨지 못했다」는 경험적 실적 위에 서 있고, 그 실적은 하루아침에 뒤집힐 수 있습니다.

공개키만 취약한 이유 — 숨은 주기를 찾는 일

RSA가 기대는 소인수분해와, 디피-헬만·타원곡선 암호가 기대는 이산로그는 겉보기와 달리 뿌리가 같습니다. 숨은 주기(period)는 어떤 연산을 되풀이할 때 결과가 다시 처음으로 돌아오는 간격입니다. 두 문제 모두 이 숨은 주기를 찾는 문제로 바꿔 쓸 수 있고, 주기 찾기는 양자컴퓨터가 특별히 잘하는 일입니다. 쇼어 알고리즘은 이렇게 해서 두 문제를 다항 시간에 풉니다. 고전 알고리즘으로는 지수 시간이 걸리는 문제들입니다 (arXiv:2202.02826, 프리프린트).

타원곡선에는 얄궂은 비대칭이 하나 더 있습니다. n비트 소수체(소수 하나를 기준으로 셈하는 수 체계) 위의 타원곡선이라면 이산로그를 최대 9n + 2⌈log₂n⌉ + 10개의 큐비트로 계산할 수 있습니다. 그 연구가 본 당시의 파라미터로, 같은 고전 보안 수준을 기준으로 견주면 타원곡선을 공격하는 데 드는 큐비트 수가 RSA를 공격할 때보다 적습니다 (arXiv:1706.06752, 프리프린트). 더 짧은 키로 같은 보안을 낸다는 ECC의 장점이 양자 세계에서는 오히려 불리하게 작용합니다.

새 후보들이 딛고 선 땅

새 후보군은 격자·부호·해시·다변수·아이소제니 기반의 다섯 계열로 나뉩니다. 2026년의 체계적 검토에 따르면, 8년에 걸친 공개 경쟁 끝에 2024년 8월 첫 세 개의 표준이 나왔고, 2025년 3월 네 번째 키 캡슐화 방식이 추가로 선정됐습니다 (DOI: 10.2139/ssrn.7128678, 프리프린트). 키 캡슐화는 키 확립을 하는 한 가지 방식입니다.

격자 기반이 주력입니다. 격자(lattice)는 점들이 일정한 간격으로 끝없이 늘어선 무늬이고, 최단 벡터 문제(SVP)는 그 안에서 원점에 가장 가까운 0 아닌 점을 찾는 문제입니다. 격자 기반 암호는 이 문제가 어렵다는 가정에 기댑니다.

해시 기반 서명은 해시 함수만 있으면 되므로 가정이 보수적이지만 대가가 있습니다. 한 리뷰가 적은 그 서명 크기는 17~50KB입니다 (arXiv:2603.06969, 프리프린트). 지금 쓰는 서명이 수십~수백 바이트인 것과 비교하면 수백 배입니다.

부호 기반은 무작위 선형 부호의 복호가 어렵다는 데 기댑니다. 부호는 오류를 바로잡으려고 메시지에 덧붙이는 규칙이고, 복호는 잡음이 섞인 신호에서 원래 메시지를 되찾는 일입니다.

이 후보들도 양자 공격의 사정권 안에서 버티고 있습니다. 격자의 SVP는 양자 체질(sieving) 알고리즘의 표적입니다. 체질은 후보 벡터를 대량으로 만들어 걸러 가며 짧은 벡터를 찾는 방법이고, 그 양자 버전은 그로버 탐색을 응용합니다. 2021년의 한 연구는 이 알고리즘의 기존 최선 소요 시간(어림 기준) 2^(0.2653d)를 2^(0.2570d)로 줄였습니다(d는 격자 차원) (arXiv:2105.05608, 프리프린트). 부호 기반도 마찬가지로, 정보집합 복호라는 공격의 양자 복잡도가 2^(0.06035n)에서 2^(0.05869n)으로 낮아졌습니다(n은 부호 길이) (arXiv:1703.00263, 프리프린트). 지수의 소수점 둘째 자리를 두고 벌어지는 이 싸움이 양자내성이라는 말의 실제 내용입니다.

옮기는 일이 왜 어려운가

새 알고리즘이 있어도 전환은 거대한 공사이고, 걸림돌은 넷입니다.

첫째는 크기입니다. 양자내성 알고리즘은 키와 서명이 커서 통신 규약의 물리적 제약과 부딪힙니다. 5G/IoT 환경을 분석한 한 검토는 372바이트짜리 SIB1 병목, 큰 메시지를 쪼개 보내며 생기는 단편화 지연, 저전력 단말의 에너지 부담을 구체적인 마찰 지점으로 듭니다. 이 검토는 양자내성 암호를 그대로 들이면 실시간·초저전력 용도에는 이론상 맞지 않는다고 보면서도, 하이브리드 프레임워크·하드웨어 가속·서명 없는 인증·안전한 단편화 같은 완화책이 벤치마크와 업계 파일럿에서 오버헤드를 실행 가능한 수준까지 일관되게 낮췄다고 보고합니다. 그리고 2025~2030년 하이브리드 전환기를 거치는 단계별 로드맵을 제안합니다 (DOI: 10.2139/ssrn.6412508, 프리프린트). 2019년 모바일 측정 연구는 알고리즘 사이의 에너지·대역폭·지연 요구가 여러 자릿수에 걸쳐 벌어진다고 보고합니다. 그러면서도 대부분의 사용례에서는 빠른 구조화 격자 방식이 클라우드에 연결된 모바일 기기에 선호되는 선택이라고 결론짓습니다 (arXiv:1912.00916, 프리프린트).

둘째는 하이브리드입니다. 하이브리드는 새 알고리즘을 기존 방식과 겹쳐 써서, 둘 중 하나가 깨져도 다른 하나가 남게 하는 방식입니다. 새 알고리즘의 실적이 짧다는 문제를 다루는 현실적인 길입니다. 고전 키 교환에 격자 기반 키 캡슐화를 겹친 한 시뮬레이션에서는 공개키가 약 1.2KB로 커지고 핸드셰이크 지연이 18% 늘었고, 저자들은 이를 감당할 만한 수준으로 봅니다 (DOI: 10.15680/ijircce.2026.1406040). 핸드셰이크는 연결을 처음 맺을 때 양쪽이 키를 정하려고 주고받는 절차입니다.

셋째는 구현입니다. 알고리즘이 안전해도 구현이 새면 소용없습니다. 부채널 공격은 계산 시간이나 전력 같은 부수 신호에서 비밀을 읽어 내고, 결함주입 공격은 장치에 일부러 오류를 일으켜 비밀을 빼냅니다. 표준화 대상으로 뽑힌 격자 기반 알고리즘들(Kyber·Dilithium)에 대한 이런 공격을 조사한 연구는 광범위한 공격 목록과 그에 맞춘 개별 대응책을 정리했습니다. 그 대응책들은 평가한 두 임베디드 플랫폼 모두에서 합리적인 성능 오버헤드로 적용됐습니다 (DOI: 10.1145/3603170).

넷째는 긴 꼬리입니다. 무엇을 바꿔야 하는지조차 모르는 조직이 많습니다. 한 정적 분석 도구 연구가 짚은 출발점은 대부분의 코드베이스가 자신들이 쓰는 고전 암호를 자동으로 목록화할 도구조차 갖추지 못했다는 것입니다 (arXiv:2604.00560, 프리프린트).

그래서 전환 기간 추정은 깁니다. 2025년의 한 전문가 종합은 기본 가정 아래 소규모 기업 5~7년, 중견 8~12년, 대기업 12~15년 이상을 제시합니다. 저자들은 이것을 고립된 업그레이드가 아니라 생태계 전체가 함께 맞춰야 하는 과제로 봅니다. 그리고 이 일정을, 오류를 바로잡아 가며 오래 계산할 수 있는 내결함성 양자컴퓨터가 올 것으로 그들이 잡은 창(2028~2033년)과 나란히 놓습니다 (DOI: 10.3390/computers15010009).

비용의 구조도 얄궂습니다. 구글 한 곳의 도입 비용을 11.7억~38.5억 달러로 잡은 추정은, 일찍 도입하면 초기 비용과 인력 부담이 크고 늦게 도입하면 비용은 싸지지만 소급 해독 위험을 떠안는다는 역설을 지적합니다 (DOI: 10.36227/techrxiv.176583452.24018891/v1, 프리프린트). 이 액수는 특정 모델의 산물이라, 금액보다 구조를 읽는 편이 낫습니다.

Q-day는 언제인가 — 큐비트 수 추정은 가정에 따라 갈린다

양자컴퓨터가 지금의 공개키를 실제로 깰 수 있게 되는 날을 흔히 Q-day라고 부르고, 그날이 언제인지는 아무도 모릅니다. 「RSA를 깨려면 큐비트가 몇 개 필요한가」라는 물음부터 답이 하나가 아닙니다. 큐비트 수 추정은 무엇을 어떤 단위로, 어떤 조건에서 세느냐에 따라 완전히 달라집니다.

단위부터 갈립니다. 물리 큐비트(physical qubit)는 하드웨어에 실제로 있는, 잡음이 섞인 큐비트입니다. 논리 큐비트(logical qubit)는 물리 큐비트 여럿을 묶어 오류를 바로잡아 가며 만든, 계산에 믿고 쓸 수 있는 큐비트 하나입니다. 이렇게 묶는 데 드는 추가 비용이 오류정정 오버헤드입니다.

2023년의 한 논문이 배경으로 인용한 추정은, 오류정정 오버헤드를 감안하면 2048비트 RSA 키를 8시간 안에 인수분해하는 데 약 2천만 개의 (잡음 있는) 물리 큐비트가 필요하다는 것입니다 (arXiv:2303.04656, 프리프린트). 이 숫자에는 「8시간 안에」, 「물리 큐비트」, 「오류정정 오버헤드 포함」, 그리고 「그 시점의 추정」이라는 조건이 붙어 있습니다.

대상과 단위를 바꾸면 숫자는 완전히 달라집니다. 타원곡선 공격 자원을 종합한 한 프리프린트는 순수 쇼어 알고리즘으로 표준 타원곡선 NIST P-256을 깨는 데 2,330개의 논리 큐비트가 필요하다고 봅니다. 물리 큐비트로 환산하기 전의 값이라 앞의 2천만과 직접 비교할 수 있는 숫자가 아닙니다. 같은 프리프린트는 최근의 공학적 혁신이 미래 요구량을 1.5~2.3배 줄일 수 있다고 전망하고, 시나리오를 셋으로 나눕니다. 보수적 시나리오는 2033~2035년, 현실적 시나리오는 2031~2033년, 낙관적 시나리오는 2029~2031년입니다 (DOI: 10.20944/preprints202509.2429.v2, 프리프린트).

이 문헌은 동료심사를 거치지 않은 프리프린트이고, 시점 예측의 근거가 기업·정부 로드맵의 수렴이라는 점을 저자들 스스로 밝힙니다. 로드맵은 계획이고 실적이 아닙니다. 저자들은 양자 메모리와 논리 연산 사이의 격차를 남은 핵심 공학 과제로 꼽으면서도, 2025년 10월까지 나온 새 시연들이 그 격차를 빠르게 좁히고 있다고 적습니다. 근거로는 한 기업 로드맵의 수치(2029년 논리 큐비트 200개, 2033년 이후 2,000개)와, 2033년을 공식 마일스톤으로 잡은 정부 프로그램을 함께 제시합니다.

알고리즘 쪽에도 변수가 있습니다. 2023년 Regev가 제시한 다차원 인수분해 알고리즘은 양자컴퓨터의 기본 연산인 게이트의 수를 줄였지만, 큐비트 요구량이 늘고 증명되지 않은 정수론적 가정에 기댑니다 (DOI: 10.54254/2755-2721/110/2024melb0122). 반대로 양자 자원을 획기적으로 줄였다고 주장한 한 제안은, 따져 보니 고전 컴퓨터가 맡는 부분의 복잡도 분석이 빠져 있었습니다 (arXiv:2303.04656, 프리프린트). 자원 추정은 아직 논쟁 중인 주제입니다.

「이미 인수분해했다」는 시연들의 함정

뉴스에서 「양자컴퓨터가 어떤 수를 인수분해했다」는 소식을 볼 때 확인할 지점이 있습니다. 위수(order)는 쇼어 알고리즘이 찾아내야 하는 바로 그 숨은 주기입니다. 여러 인수분해 실험의 회로를 뜯어보면, 일부 실험의 회로는 목표 수의 위수를 미리 알고 있다는 조건에서 짜였습니다. 실제 알고리즘에서는 그 위수를 모르는 것이 문제의 전부입니다. 그런 회로는 쇼어 알고리즘의 설계로 부적절하고, 나머지 실험들도 대상 합성수에 상당히 기대어 짜여 있었습니다 (DOI: 10.1007/978-981-15-5191-8_7).

2026년의 한 프리프린트도 같은 문제를 지적합니다. 실제 하드웨어에서 쇼어 알고리즘의 핵심 단계를 돌린 이 연구는 기존 실험들이 "무거운 회로 컴파일에 의존해 의도치 않게 정답에 대한 사전 지식을 회로에 심어 넣고, 양자 산술이라는 핵심 난제를 우회한다"고 지적합니다. 그리고 투명한 기준선을 세웠는데, 그렇게 다룬 수는 51, 85, 255, 771이었습니다 (DOI: 10.21203/rs.3.rs-9793578/v1, 프리프린트).

다만 대상은 모듈러 산술이 단순해지도록 페르마 소수로 구성한 구조화된 합성수였습니다. N=255까지는 충실도가 최대 0.946까지 나왔고, N=771에서는 회로가 깊어지고 잡음이 쌓여 신호가 열화되는 것을 정량적으로 보여 주는 데 그쳤습니다. 2048비트 RSA와의 거리는 여전히 아득합니다.

새 표준도 언제 깨질지 모른다

SIKE의 붕괴가 남긴 물음이 여기서 돌아옵니다. 격자는 안전할까요? 정직한 답은 「지금까지는 그렇다」입니다.

양자 공격의 실효성에 관해서는 오히려 회의적인 근거가 있습니다. 격자 체질 알고리즘의 자원을 정밀 분석한 2024년 연구는, 회로 수준 잡음 10^-5 같은 매우 낙관적인 가정을 넣어도 차원 400의 SVP를 풀려면 약 10^13개의 물리 큐비트와 약 10^31년이 필요하다고 계산했습니다. 차원 400은 그 분석 시점에 NIST가 제안하던 표준의 최소 보안 수준에 대략 해당합니다. 저자들은 6GHz 단일 코어 고전 컴퓨터도 같은 문제에 거의 같은 시간이 걸린다고 추정합니다. 그래서 암호학적으로 의미 있는 차원에서 그 분석 시점 기준으로 양자 가속은 거의 없고, 큰 가속을 얻으려면 이론과 하드웨어 양쪽에 상당한 돌파가 있어야 한다고 결론짓습니다 (arXiv:2410.13759, 프리프린트).

그러나 위협은 양자컴퓨터에서만 오지 않습니다. SIKE가 그랬듯 고전적 돌파구가 더 빠를 수 있습니다. LWE는 오차가 섞인 연립방정식에서 비밀을 찾아내는 문제로, 격자 기반 암호의 근간입니다. 2025년의 한 프리프린트는 대형 언어모델에 쓰이는 신경망 구조인 트랜스포머로 만든 두 모델(SALSA·VERDE)로 LWE 기반 체계를 공격해 봤습니다. 두 모델 가운데 VERDE가 고차원 설정에서 더 높은 공격 성공률을 냈고, 저자들은 이런 공격이 격자 기반 암호의 견고성에 우려를 낳는다고 봅니다. 실제 표준 파라미터에 닿았는지는 이 초록만으로는 알 수 없습니다 (DOI: 10.36227/techrxiv.174910091.18242062/v1, 프리프린트). 공격 도구가 새로 생기고 있다는 것까지는 분명합니다.

표준화 과정 안에도 미해결이 남아 있습니다. 앞의 체계적 검토는 일차 문헌이 결론짓지 못한 긴장 지점 네 가지를 듭니다. 첫째, NIST가 키가 더 작은 BIKE 대신 HQC를 고른 이유입니다. 둘째, Falcon 계열 서명 표준이 그 검토가 쓰인 시점에 형제 표준들이 확정된 뒤 2년 가까이 초안에 머물러 있던 이유입니다. 셋째, Kyber에서 나온 키 캡슐화 표준인 ML-KEM에 표준화 이후에도 남은 구조적 한계입니다. 넷째, 표준이 된 난제 가정들 가운데 앞으로의 해독 기법 발전을 가장 잘 견딜 것이 무엇인가입니다 (DOI: 10.2139/ssrn.7128678, 프리프린트).

언제 올지 몰라도 지금 옮기는 이유

Q-day가 언제인지 모르는데도 지금 비용을 치러야 하는 논리는 단순합니다. 지켜야 할 비밀의 수명 + 전환에 걸리는 시간 < 양자컴퓨터가 오기까지의 시간이어야 안전합니다. 앞의 두 항이 각각 수십 년, 십수 년 규모라면, 세 번째 항이 아무리 불확실해도 여유는 이미 없습니다.

앞의 2022년 검토 논문도 같은 방향입니다. 표준화가 이어진다는 사실을 사용자가 도입을 미뤄도 된다는 뜻으로 읽어서는 안 된다고 적습니다. 다만 전환에는 여러 복잡성이 따르고, 인터넷에 연결된 작은 기기(IoT)나, 모든 인증서 발급을 공개 기록에 적는 인증서 투명성(「주소창의 자물쇠는 무엇을 보증하나」) 같은 사용례에서는 특히 난제가 있으리라고 봅니다 (DOI: 10.30837/rt.2022.3.210.05).

그래서 2025년 전후의 몇몇 문헌은 시점 예측 대신 위험 관리로 옮겨 갑니다. 한 연구는 조직이 어떤 암호를 어디서 쓰는지 목록으로 만든 암호 자재명세서(CBOM)부터 갖추고, 하이브리드 배치와 인증서 수명주기 자동화를 함께 진행하라고 권합니다 (DOI: 10.37745/ejcsit.2013/vol13n523552). 목표는 하나입니다. 암호 민첩성(crypto-agility)은 알고리즘을 언제든 갈아 끼울 수 있는 능력입니다. 앞의 리뷰가 쓴 표현으로는, 조직은 암호 보안을 한 번 끝내는 배치가 아니라 이어지는 과정으로 다뤄야 합니다 (arXiv:2603.06969, 프리프린트).

여기에도 과장을 경계할 자리가 있습니다. 통계 모델로 양자 해독 가능성을 예측한 한 연구는 그 확률이 2029년까지 무시할 만하다가 2033년에 78.6%로 치솟는다는 수치를 내놓습니다 (DOI: 10.9734/acri/2025/v25i31098). 소수점 한 자리까지 적힌 이 확률은 ARIMA·몬테카를로 같은 예측 모델과 그 입력 가정이 낳은 값이고, 물리학이 보증하는 값이 아닙니다.

암호의 안전은 증명이 아니라 시간을 견딘 실적이다

이 논쟁이 끝내 묻는 것은 큐비트 개수보다, 우리가 「안전하다」고 말할 때 그 말이 무슨 뜻인가입니다.

암호가 수학적으로 증명된 안전을 준다고 흔히 믿습니다. 그러나 RSA도, 타원곡선도, 격자도, 아이소제니도 그 안전성은 「이 문제는 어렵다」는 가정 위에 있습니다. 그 가정이 참이라는 증거는 대부분 「오랫동안 많은 똑똑한 사람들이 시도했지만 아직 못 깼다」는 실적입니다. 암호의 안전은 증명이 아니라 시간을 견딘 실적이고, 실적은 하루아침에 뒤집힐 수 있습니다. SIKE에서는 실제로 그랬습니다.

이렇게 보면 앞의 세 이야기는 하나로 이어집니다. 첫째, 위협은 고르지 않습니다. 대칭키는 키를 늘리면 버티고, 무너지는 것은 공개키입니다. 둘째, 시간축이 통념과 반대입니다. 데이터의 수명이 긴 곳에서는 미래의 기계가 오늘의 통신을 이미 위협합니다. 셋째, 위험은 양자컴퓨터에서만 오지 않습니다. 표준 후보 하나는 노트북에 무너졌고, 그 사건이 남긴 교훈은 새 표준들에도 똑같이 적용됩니다.

그래서 맞는 대응은 「언제 오는지 맞히기」보다 「무엇이 오든 갈아 끼울 수 있게 만들기」입니다. 「양자컴퓨터가 오면 암호가 다 깨진다」는 문장을 다시 만나면 두 문장을 함께 떠올릴 수 있습니다. 다 깨지지는 않습니다. 그리고 기다릴 여유는 없습니다. 두 문장은 서로 부딪히지 않습니다. 둘을 함께 붙들 때 공포도 안심도 아닌 자리에 설 수 있습니다.

---

근거 논문

• "Status report on the third round of the NIST PQC Standardization process" (2022) — DOI: 10.6028/nist.ir.8413 — 1라운드 69개 후보, 3라운드 선정 결과, BIKE·McEliece·HQC·SIKE의 4라운드 진출.
• "Status report on the fourth round of the NIST PQC standardization" (2025) — DOI: 10.6028/nist.ir.8545 — 4라운드에서 표준화되는 키 확립 알고리즘은 HQC뿐.
• "Post Quantum Cryptography: Techniques, Challenges, Standardization" (2022) — arXiv:2202.02826 (프리프린트) — 그로버는 대칭키에 제곱근 이득, 쇼어는 인수분해·이산로그를 다항 시간에 해결.
• "Securing Cryptography in the Age of Quantum Computing and AI" (2026) — arXiv:2603.06969 (프리프린트) — RSA·ECC는 위험, AES-128은 실효 키 길이 감소로 그침. 해시 기반 서명 17~50KB. 암호 보안은 지속 과정.
• "Status report on the third round of the NIST PQC standardization" (2022) — DOI: 10.30837/rt.2022.3.210.05 — 대칭 원시함수는 "아주 조금만" 손상될 것.
• "Practical Reliability Constraints on Grover-Based Attacks" (2026) — DOI: 10.20944/preprints202602.0122.v1 (프리프린트) — 신뢰도 문턱이 2^(−n/2)로 지수 감소, 그로버 공격 실현성은 통념보다 낮을 수 있음.
• "Thermodynamic Limits of Quantum Search" (2026) — arXiv:2603.13654 (프리프린트) — 831비트 키는 별 형성이 멈출 시점까지도 결정론적 복원 불가(우주론적 가정 포함).
• "Quantum Differential and Linear Cryptanalysis" (2015) — arXiv:1510.05836 (프리프린트) — 양자 가속이 모든 변종에 오지는 않으며, 최선의 고전 공격이 최선의 양자 공격은 아님.
• "Using Simon's algorithm to attack symmetric-key cryptographic primitives" (2017) — DOI: 10.26421/qic17.1-2-4 — 양자 오라클 모델에서 3라운드 파이스텔 구분자와 CBC-MAC 위조.
• "On the Practical Feasibility of Harvest-Now, Decrypt-Later Attacks" (2026) — arXiv:2603.01091 (프리프린트) — 저장 비용은 사소, 키 재협상과 키 크기가 가장 강한 방어 지렛대.
• "Harvest-Now, Decrypt-Later: A Temporal Cybersecurity Risk" (2025) — DOI: 10.3390/telecom6040100 — 고보존 부문 노출 창은 수십 년, 하이브리드·전방향 비밀성이 위험 지평 3분의 2 이상 축소.
• "'Harvest Now Decrypt Later': Data Privacy Risks for Distributed Ledgers" (2025) — DOI: 10.17016/feds.2025.093 — 전환해도 원장의 과거 거래 프라이버시는 취약하게 남음.
• "„Steal Now, Decrypt Later“" (2022) — DOI: 10.1007/s00287-022-01474-z — 전문가들은 당시 시점을 10~15년 뒤로 기대.
• "Hidden Stabilizers, ... the Cryptanalysis of pSIDH" (2023) — arXiv:2305.19897 (프리프린트) — "SIDH 키 교환을 깨뜨린 최근 공격들의 핵심"이라 명시.
• "Efficiency of SIDH-based signatures (yes, SIDH)" (2024) — DOI: 10.1515/jmc-2023-0023 — "SIDH에 대한 파괴적 공격"에도 다른 아이소제니 문제에 기댄 프로토콜은 안전하게 남음.
• "Strengthening SIDH Protocol Security: Mitigating the Castryck-Decru Attack" (2024) — DOI: 10.21203/rs.3.rs-4813769/v1 (프리프린트) — 결함은 비틀림점의 예측 가능성과 곡선 파라미터.
• "Improved torsion point attacks on SIDH variants" (2020) — arXiv:2005.14681 (프리프린트) — 비틀림점 정보가 탐색 난이도를 낮춤. 당시엔 "SIKE 안전성은 훼손하지 않음"이라 명시.
• "Fast computation of 2-isogenies in dimension 4" (2024) — arXiv:2407.15492 (프리프린트) — 모든 NIST SIKE 파라미터에 대해 노트북에서 수 초 내 완전한 키 복구 공격.
• "Unconditional foundations for supersingular isogeny-based cryptography" (2025) — arXiv:2502.17010 (프리프린트) — 아이소제니 난제들의 무조건적 동치성.
• "Quantum resource estimates for computing elliptic curve discrete logarithms" (2017) — arXiv:1706.06752 (프리프린트) — ECDLP 큐비트 상한, ECC가 RSA보다 쉬운 표적.
• "Post-Quantum Cryptography: A Systematic Review" (2026) — DOI: 10.2139/ssrn.7128678 (프리프린트) — 다섯 계열 분류, 2024년 8월 첫 세 표준·2025년 3월 네 번째 KEM, 미해결 긴장 4가지.
• "Lattice sieving via quantum random walks" (2021) — arXiv:2105.05608 (프리프린트) — SVP 양자 체질 복잡도를 2^(0.2653d)에서 2^(0.2570d)로 개선.
• "Quantum Information Set Decoding Algorithms" (2017) — arXiv:1703.00263 (프리프린트) — 무작위 선형 부호 복호의 어려움, 양자 복잡도 2^(0.06035n)→2^(0.05869n).
• "From Harvest-Now-Decrypt-Later to Quantum-Safe 5G/IoT" (2026) — DOI: 10.2139/ssrn.6412508 (프리프린트) — 372바이트 SIB1 병목, 단편화 지연, 저전력 단말 에너지 부담.
• "Mobile Energy Requirements of the Upcoming NIST PQC Standards" (2019) — arXiv:1912.00916 (프리프린트) — NIST 표준화 2016년 개시, 후보 간 에너지·대역폭·지연이 여러 자릿수 차이.
• "Architecting for Longevity: A Hybrid Cryptographic Framework" (2026) — DOI: 10.15680/ijircce.2026.1406040 — 하이브리드 시 공개키 약 1.2KB, 핸드셰이크 지연 18% 증가.
• "Side-channel and Fault-injection attacks over Kyber, Dilithium" (2024) — DOI: 10.1145/3603170 — 구현에 대한 공격 목록과 맞춤 대응책.
• "Quantum-Safe Code Auditing" (2026) — arXiv:2604.00560 (프리프린트) — 대부분의 코드베이스가 고전 암호 사용 목록화 도구조차 없음.
• "Enterprise Migration to PQC: Timeline Analysis" (2025) — DOI: 10.3390/computers15010009 — 소기업 5~7년, 중견 8~12년, 대기업 12~15년 이상.
• "Feasibility of Post-Quantum Cryptography Adoption" (2025) — DOI: 10.36227/techrxiv.176583452.24018891/v1 (프리프린트) — 구글 도입 비용 11.7억~38.5억 달러 추정, 조기 도입 vs 지연의 역설.
• "Pitfalls of the sublinear QAOA-based factorization algorithm" (2023) — arXiv:2303.04656 (프리프린트) — 2048비트 RSA 8시간 인수분해에 약 2천만 물리 큐비트 추정, sublinear 주장의 분석 누락.
• "Quantum Resource Requirements for Breaking Elliptic Curve Cryptography" (2025) — DOI: 10.20944/preprints202509.2429.v2 (프리프린트) — P-256에 논리 큐비트 2,330개, 시나리오별 2029~2035년(로드맵 기반).
• "An Overview of Regev's Quantum Factoring Algorithm" (2024) — DOI: 10.54254/2755-2721/110/2024melb0122 — 게이트 수는 줄지만 큐비트 요구 증가, 미증명 정수론 가정 의존.
• "Quantum Factoring Algorithm: Resource Estimation and Survey" (2020) — DOI: 10.1007/978-981-15-5191-8_7 — 일부 실험 회로가 위수를 미리 아는 조건에서 구성됨.
• "Factoring Some Integers Using Shor's Algorithm on Real Quantum Hardware" (2026) — DOI: 10.21203/rs.3.rs-9793578/v1 (프리프린트) — 컴파일이 정답 사전 지식을 심는다는 지적, N ∈ {51, 85, 255, 771}.
• "On the practicality of quantum sieving algorithms for the shortest vector problem" (2024) — arXiv:2410.13759 (프리프린트) — 차원 400 SVP에 10^13 물리 큐비트·10^31년, 양자 가속 거의 없음.
• "Red Team Cryptanalysis of Lattice-Based PQC Using Transformers" (2025) — DOI: 10.36227/techrxiv.174910091.18242062/v1 (프리프린트) — LWE에 대한 트랜스포머 공격의 실증 평가.
• "The Quantum Security Deadline: Building Crypto-Agility" (2025) — DOI: 10.37745/ejcsit.2013/vol13n523552 — CBOM·하이브리드 배치·인증서 수명주기 자동화 중심의 암호 민첩성 로드맵.
• "Future-Proofing Data" (2025) — DOI: 10.9734/acri/2025/v25i31098 — ARIMA·몬테카를로 기반 양자 해독 확률 예측(2029년까지 무시 가능, 2033년 78.6%).