열쇠와 자물쇠 — 공개키는 왜 공개해도 안전한가

주소창의 자물쇠 그림을 우리는 무엇이라고 읽나

브라우저 주소창에 떠 있는 작은 자물쇠 그림. 그것이 무엇을 뜻한다고 생각하는지 1,880명에게 물은 설문이 있다. 응답자의 89%가 그 뜻을 잘못 알고 있었다 (DOI: 10.1109/spw54247.2022.9833869).

같은 조사의 다른 절반도 읽어야 한다. 애초에 이 사이트를 믿어도 되는지 따질 때 그 그림을 본다고 답한 사람은 소수였다 — 23%에서 44% 사이. 다만 그 소수는, 가상의 구매 상황을 놓고 물었을 때 그림이 없으면 그 물건을 사지 않겠다고 답했다.

연구자들의 결론은 두 문장으로 갈린다. 그 자물쇠는 연결의 보안을 보증한다. 그런데 사람들은 그것을 그 사이트 전반의 사생활 보호와 안전과 믿음직함을 뜻한다고 받아들인다.

이 간격이 이상한 일은 아니다. 우리는 그 그림 뒤의 장치를 하루에도 몇 번씩 쓴다. 은행 앱을 열 때, 메일을 보낼 때, 물건값을 치를 때. 그러면서 그것이 무엇인지는 한 번도 배운 적이 없다.

쓰는 횟수와 아는 정도가 이만큼 벌어진 도구도 흔하지 않다. 그리고 그 간격은 이 도구를 쓰는 사람의 잘못이라기보다, 설명을 건너뛴 쪽의 몫에 가깝다.

보증하는 것이 없다는 말이 아니다. 보증하는 것과 사람들이 읽어 낸 것이 다르다는 말이다. 그 간격을 좁히려면 그림 뒤에 무엇이 있는지를 봐야 한다.

이 글이 답하려는 것은 둘이다. 잠그는 도구를 만인에게 나눠 주고도 왜 안전한가. 그리고 이 장치는 실제로 어디서 무너지는가. 이 둘은 따로 답할 수 있는 물음이 아니다. 어디서 무너지는지를 모르면 왜 안전한지도 절반만 아는 것이 된다.

미리 한 가지. 이 글에는 수식이 하나도 나오지 않는다. 큰 수 둘을 곱하는 일과 곱해 놓은 값에서 원래의 두 수를 갈라내는 일, 그 정도의 산수까지만 쓴다.

왜 자물쇠를 만인에게 나눠 줘도 안전한가

1970년대 중반까지는 비밀을 주고받으려면 편지보다 열쇠가 먼저 가야 했다. 보내는 쪽과 받는 쪽이 같은 열쇠를 나눠 갖고 그것으로 잠그고 그것으로 여는 방식이었기 때문이다. 이것을 대칭키 암호라고 부른다 — 대칭키 암호는 잠그는 열쇠와 여는 열쇠가 같다.

대칭 암호는 보내는 쪽과 받는 쪽이 비밀키를 나눠 갖는 데 기대고 있다 (DOI: 10.1017/cbo9780511780448.011, 단행본 장). 그러니까 그 배달이 뚫리면 나머지는 전부 무의미했다. 1976년 논문 한 편이 이 자리를 겨눴다 — 안전한 열쇠 배달 통로에 기대는 정도를 줄이고, 손으로 쓴 서명에 해당하는 것을 만들자 (DOI: 10.1109/tit.1976.1055638).

해법은 잠그는 도구와 여는 도구를 아예 다른 물건으로 만드는 것이었다. 잠그는 쪽이 공개키, 누구나 가져다 쓰라고 내놓는 열린 자물쇠다. 여는 쪽이 개인키, 주인만 갖고 어디로도 보내지 않는 열쇠다.

나에게 보낼 것이 있는 사람은 내가 내놓은 자물쇠를 하나 집어 상자를 딸깍 잠그면 된다. 잠그는 일은 만인이 하고 여는 일은 나만 한다. 함께 만들어져 서로에게만 맞는 이 두 개 한 벌을 키 쌍이라고 한다.

1978년 논문은 그 성질을 한 문장으로 적었다. 암호를 거는 키를 공개해도 그에 대응하는, 암호를 푸는 키가 함께 드러나지는 않는다 (DOI: 10.1145/359340.359342). 그래서 열쇠를 미리 배달할 일이 없다. 받는 사람이 내놓은 키로 잠그면 되고, 푸는 것은 짝이 되는 키를 쥔 그 사람뿐이다.

믿기 어려운 대목은 여기다. 자물쇠를 손에 쥐고 뜯어보면 열쇠도 깎을 수 있지 않나. 그 대답이 이 분야의 뼈대다. 한쪽 방향은 쉬운데 되돌리는 방향은 터무니없이 힘든 계산이 있고, 오늘날의 암호는 그 위에 서 있다 (DOI: 10.1126/science.1074376).

큰 수 둘을 곱하는 일은 누구나 금방 한다. 그런데 곱해 놓은 값만 보고 원래의 두 수를 갈라내는 일은 수가 커질수록 걷잡을 수 없어진다. 공개된 자물쇠에서 열쇠로 가는 길이 바로 그 되돌리는 쪽에 놓여 있다.

한쪽으로는 누구나 금방 하는데 거꾸로 되돌리는 쪽은 터무니없이 힘든 계산, 이것을 일방향 계산이라고 한다.

다만 1978년 논문이 자기 안전을 어떻게 적었는지가 중요하다. 그 안전은 공개된 수를 인수로 가르기 어렵다는 데 일부 기대고 있다고 했다 (DOI: 10.1145/359340.359342). 일부, 그리고 불가능이 아니라 어려움이다. 이 자물쇠는 열 수 없게 만들어진 것이 아니라, 여는 값이 아직 아무도 치를 수 없을 만큼 비싸게 만들어진 것이다. 그 값이 싸지면 잠금도 함께 풀린다.

같은 장치를 거꾸로 쓰면 서명이 된다

1976년에 나온 또 다른 논문은 여기까지 와 있었다. 보내는 쪽의 키 정보를 공개하는 그 방안은 아직 개념 단계지만, 안전한 키 배달 통로의 필요를 완전히 없앨 것으로 기대된다. 그리고 그런 체계가 생긴다면 위조할 수 없고 메시지마다 달라지는 표식을 만들어 내는 확인 체계도 세울 수 있으리라는 것을 함께 보인다 (DOI: 10.1145/1499799.1499815).

뒤집는 방법은 간단하다. 지금까지는 만인이 자물쇠로 잠그고 주인이 열쇠로 열었다. 이번에는 주인이 자기 열쇠로 무언가를 만들고, 만인이 자물쇠로 그것을 대 본다.

1978년 논문이 적은 그대로다. 메시지는 사적으로 보관된 해독 키로 서명할 수 있고, 그 서명은 짝이 되는 공개된 키만 있으면 누구나 확인할 수 있다 (DOI: 10.1145/359340.359342).

개인키를 쥔 사람만 만들 수 있고 그 짝인 공개키만 있으면 누구나 확인할 수 있는 표식, 이것을 디지털 서명이라고 한다.

미국 표준기관이 낸 디지털 서명 표준은 그 쓰임을 둘로 적는다 — 데이터가 무단으로 바뀌었는지 잡아내는 것, 그리고 서명한 사람의 신원을 확인하는 것이다 (DOI: 10.6028/nist.fips.186-4, 표준 문서).

같은 표준이 하나를 더 든다. 서명된 데이터를 받은 쪽은 그 서명이 실제로 그 사람에게서 나왔다는 것을 제3자에게 보이는 증거로 쓸 수 있다.

서명한 사람이 나중에 가서 그 서명을 쉽게 부인할 수 없는 성질, 이것을 부인방지라고 한다. 표준 문서가 고른 낱말이 "쉽게"라는 점은 그대로 읽어 두는 편이 좋다. 절대로가 아니다.

1978년 논문 자신은 더 세게 적었다. 서명은 위조될 수 없고, 서명한 사람은 나중에 그 서명의 유효성을 부인할 수 없다 (DOI: 10.1145/359340.359342). 이 문장은 앞 절에서 본 그 한정어 위에 서 있는 문장이다.

10년 뒤 이 자리에 정확한 물음이 놓였다. 위조할 수 없다는 말은 누구에 대해서인가.

1988년 논문은 이런 상대를 가정했다. 공격자가 자기가 고른 메시지들의 서명을 원하는 만큼 받아 보고, 다음에 무엇을 고를지를 앞서 받은 서명을 보고 정할 수 있다. 그런 상대조차 새 메시지 하나의 서명도 위조하지 못하는 방식을 저자들은 제시했다 (DOI: 10.1137/0217017).

저자들은 이것이 다소 놀라운 일이라고 적었다. 당시 통념으로는 위조가 인수분해와 동등하다는 성질과 적응적 공격에 무너지지 않는다는 성질이 서로 모순된다고 여겨졌기 때문이다.

이 방식의 안전 역시 정수를 인수로 가르는 일의 계산적 어려움 위에 세워져 있다. 더 일반적으로는 특정한 함수 쌍의 존재 위에서도 지어지는데, 저자들은 그것이 인수분해가 어렵다는 가정보다 잠재적으로 더 약한 가정이라고 적는다.

1990년 논문은 제목 자체가 결론이다 — 「일방향 함수는 안전한 서명에 필요하고 또 충분하다」 (DOI: 10.1145/100216.100269, 이 문장은 초록이 아니라 논문 제목의 주장이다).

서명이라는 장치는 이렇게 생겼다. 도장을 흉내 낼 수 없어서 안전한 것이 아니라, 흉내 내는 계산이 아직 너무 비싸서 안전하다.

그 자물쇠가 정말 그 사람 것인가

컴퓨터 보안에서 가장 잘 알려진 공격을 꼽을 때 빠지지 않는 것이 하나 있다. 2016년 서베이는 그것이 양 끝 사이를 흐르는 데이터 자체를, 그 데이터의 비밀과 온전함을 겨냥한다고 적는다 (DOI: 10.1109/comst.2016.2548426).

가운데 낀 누군가가 양쪽 모두에게 상대방인 척하는 것, 이것을 중간자 공격이라고 한다. 같은 서베이는 이 공격을 공격자가 네트워크의 어디에 있는지, 어떤 통로인지, 어떤 방법으로 남인 척하는지에 따라 갈라 정리한다.

여기서 앞 절의 장치에 구멍이 하나 드러난다. 내가 집어 든 그 자물쇠가 정말 그 사람이 내놓은 것인지는, 자물쇠만 봐서는 알 수 없다. 가운데 선 사람이 자기 자물쇠를 바구니에 끼워 넣어도 겉보기는 똑같다.

공개키 방식이 없애 준 것은 열쇠를 미리 배달해야 하는 부담이지, 상대가 누구인지 확인해야 하는 부담이 아니다. 후자는 사라지지 않고 자리를 옮겼다.

옮겨 간 자리의 해법은 이렇다. 자물쇠에 이름표를 달고, 그 이름표가 맞다고 제3자가 자기 서명을 얹는다. 이 공개키는 이 사람의 것이라고 제3자가 서명해 준 문서, 이것을 인증서라고 한다.

그 서명을 얹어 주는 곳이 따로 있다. 인증서에 자기 개인키로 서명해 그 공개키의 주인을 보증해 주는 곳, 이것을 인증기관이라고 한다.

그런데 인증서는 발급하고 끝이 아니다. 열쇠를 잃어버렸거나 도둑맞았으면 그 이름표를 무효로 만들어야 한다. 발급된 인증서를 만료 전에 무효로 돌리는 일, 이것을 폐기라고 한다.

인증기관과 인증서와 폐기를 묶어 굴리는 이 체계 전체를 공개키 기반구조라고 한다. 인터넷에서 쓰이는 인증서와 폐기 목록의 형식은 표준 문서가 규격으로 정해 두고 있다 (DOI: 10.17487/rfc3280, 표준 문서).

폐기는 생각보다 어려운 문제다. 2000년 논문은 폐기 목록을 인증된 사전이라는 구조로 대체하는 해법을 내놓으면서, 그렇게 하면 규모와 통신 비용과 갱신 주기에서 낫다고 적는다 (DOI: 10.1109/49.839932).

같은 논문은 아예 다른 갈래도 함께 검토한다. 인증서를 폐기하지 않는 대신, 짧은 기간짜리로 자주 발급하는 방식이다. 유효 기간이 짧으면 잘못된 이름표가 살아 있는 시간도 짧아진다.

목록을 통째로 내려받는 대신 그 인증서 한 장의 현재 상태만 물어보는 규약도 표준으로 따로 있다 (DOI: 10.17487/rfc6960, 표준 문서).

이쯤에서 이 층에 대한 당대의 평가를 하나 인용해 두는 게 좋겠다. 2000년의 한 단행본은 보안 전문가 대다수가 디지털 인증서를 전자 통신을 지키는 최선의 기술로 본다고 적는다. 이미 메일과 소프트웨어를 확인하고 암호화하는 데 널리 쓰이고 있다고도 적는다 (DOI: 10.7551/mitpress/5931.001.0001, 단행본).

그리고 같은 책이 바로 경고한다. 특단의 조치가 없으면 모두가 지금껏 만들어진 것 중 가장 광범위한 전자 감시 도구를 통해 소통하도록 떠밀릴 것이고, 인증서를 오용할 기회도 넘쳐날 것이라고. 저자는 그래서 필요한 것만 보이고 그 이상은 보이지 않는 인증서 설계를 제안한다.

경고는 빗나가지 않았다. 웹의 인증서 신뢰 모형을 정리한 2013년 논문은 두 가지가 동시에 벌어졌다고 적는다. 브라우저가 신뢰하는 인증기관의 수는 불어났고, 인증서를 발급할 때의 기본적인 주의 의무는 오히려 떨어졌다 (DOI: 10.1109/sp.2013.41).

이름표가 진짜여도 문제는 남는다. 서명된 악성코드는 유효한 서명이 있는 것만 설치하고 실행하는 보호 장치를 통과할 수 있다. 백신도 서명된 실행 파일은 검사를 건너뛰는 일이 잦다 (DOI: 10.1145/3133956.3133958).

이 자리의 남용을 대규모로 측정한 2017년 연구는 코드 서명 체계의 약점을 세 유형으로 짚는다. 예로 든 것은 둘이다 — 멀쩡한 인증서에 딸린 개인키를 훔쳐 악성코드에 서명하거나, 소프트웨어를 만들지 않아 코드 서명 인증서를 가질 이유가 없는 회사를 사칭하는 것이다 (DOI: 10.1145/3133956.3133958).

그리고 이 모든 확인은 결국 코드가 한다. 활성 네트워크 공격자에 맞선 보안 연결(SSL)의 안전은, 연결을 맺을 때 제시된 공개키 인증서를 올바르게 검증하는 데 달려 있다고 2012년 논문은 적는다 (DOI: 10.1145/2382196.2382204). 저 문장의 무게는 "올바르게"에 전부 실려 있다.

무너지는 자리는 대개 수학이 아니다

공개 저장소에 올라간 비밀을 여섯 달 가까이 실시간으로 훑고, 공개 스냅샷으로 오픈소스 저장소의 13%를 함께 본 조사가 있다. 개인키 파일과 열한 개 플랫폼의 접속 키(API 키)를 표적으로 삼았다.

결과는 이렇다. 10만 곳이 넘는 저장소가 영향을 받았고, 새롭고 고유한 비밀 수천 개가 매일 새로 유출되고 있었다 (DOI: 10.14722/ndss.2019.23418).

어디로도 보내지 않기로 한 개인키가 주인 아닌 사람 손에 들어가는 일, 이것을 키 유출이라고 한다.

키가 유출되면 앞 절까지의 성질이 한꺼번에 사라진다. 수학은 아무것도 틀리지 않았는데 자물쇠는 열린다. 서명도 마찬가지다 — 훔친 열쇠로 찍은 도장은 진짜와 구별되지 않는다.

키는 쓰는 동안 컴퓨터의 메모리 위에 있다. 2009년 논문은 통념과 달리 오늘날 컴퓨터의 주메모리가 전원이 끊긴 뒤에도 몇 초 동안 내용을 유지한다는 것을 보였다. 상온에서도, 기판에서 뽑아낸 뒤에도 그랬다 (DOI: 10.1145/1506409.1506429).

저자들은 이것이 물리적으로 기계에 접근할 수 있는 공격자로부터 운영체제가 키를 지킬 수 있는 능력을 제한한다고 적었다. 널리 쓰이는 디스크 암호화 제품 여럿이 특별한 장비나 재료 없이도 뚫릴 수 있음을 실제로 보이기도 했다.

같은 논문의 마지막 문장을 그대로 옮긴다. 위험을 줄일 방법 몇 가지는 논의하지만, 이 위험을 없애 버릴 간단한 해결책은 저자들이 아는 한 없다.

키는 애초에 어디서 오는가. 예측할 수 없는 수에서 온다. 다음에 무엇이 나올지 누구도 미리 알 수 없는 수, 이것을 난수라고 한다.

난수를 만드는 방법들을 정리한 2023년 논문은, 예측 불가능성이 주요 요구조건인 영역의 사례로 암호 키 생성을 직접 든다. 같은 논문은 만들어진 수열이 실제로 무작위인지 재 보는 실용적인 시험 묶음도 함께 제시한다 (DOI: 10.3390/cryptography7040054).

요구조건이라는 말은 그것이 충족되지 않으면 나머지가 성립하지 않는다는 뜻이다. 열쇠 홈의 깊이를 남이 짐작할 수 있으면, 자물쇠가 아무리 튼튼해도 소용이 없다.

다음은 그 장치를 코드로 옮기는 사람들이다. 깃허브에서 모집한 파이썬 개발자 256명에게 다섯 가지 암호 라이브러리 중 하나를 쥐여 주고 흔한 과제를 시킨 통제 실험이 있다 (DOI: 10.1109/sp.2017.52).

결과는 양쪽이다. 단순하게 설계된 라이브러리는 실제로 이득이 있었다. 고를 수 있는 것을 줄이면 안전하지 않은 설정을 고르는 일도 준다.

그런데 단순함만으로는 부족했다. 문서가 부실하고 예제가 없고 키를 안전하게 보관하는 보조 기능이 빠져 있으면, 단순한 라이브러리를 받은 참가자들도 기본적인 동작과 보안 양쪽에서 헤맸다.

충실한 문서와 쓰기 쉬운 예제는 복잡한 인터페이스를 상당 부분 벌충하는 것으로 보였다. 다만 저자들이 덧붙인다 — 그 벌충은 보안 결과로는 이어지지 않았다.

저자들이 특히 우려스럽다고 적은 대목은 이것이다. 라이브러리를 통틀어 기능적으로 맞게 짠 과제의 약 20%에서 참가자들은 자기 코드가 안전하다고 믿었지만 안전하지 않았다.

그래서 같은 논문은 처방도 함께 적는다. 보안을 제대로 돕고 싶은 새 라이브러리는 단순하고 편리한 인터페이스를 내놓아야 하지만 그것만으로는 부족하고, 흔한 작업을 폭넓게 지원하고 안전하고 쓰기 쉬운 예제가 담긴 문서를 함께 갖춰야 한다는 것이다 (DOI: 10.1109/sp.2017.52).

마지막은 화면 앞의 사람이다. 표준 보안 조치를 쓰는데도 사람들은 가짜 사이트에 비밀번호 같은 민감한 정보를 입력한다고 2008년 연구는 적는다. 같은 연구는 사이트에 사용자가 직접 이름이나 로고를 붙여 두게 하는 표시 장치를 만들어 기존 표시와 견줬다 (DOI: 10.1145/1391949.1391950).

브라우저가 사이트의 신원을 확인하지 못하면 경고를 띄운다. 400명이 넘는 사용자에게 지금의 경고를 어떻게 이해하는지 물은 뒤, 경고 과학의 원칙에 따라 새 경고를 둘 설계해 100명을 대상으로 실험한 연구가 있다 (DOI: 10.1184/r1/6621806).

새 경고는 기존 브라우저들의 경고보다 유의하게 나았다. 그리고 같은 논문이 바로 덧붙인다 — 모든 경고 조건에서 너무 많은 참가자가 위험한 행동을 했다.

저자들은 경고를 개선할 수는 있다고 보면서도, 더 나은 길은 다른 데 있을지 모른다고 적는다. 안전하지 않은 연결은 아예 막고 무해한 상황에서는 경고를 없애, 경고를 쓰는 일 자체를 줄이는 쪽이다.

여기까지가 이 장치가 실제로 무너지는 자리의 목록이다. 열쇠가 새는 자리, 이름표를 잘못 믿는 자리, 서명이 붙었다는 이유로 검사를 건너뛰는 자리, 사람이 경고를 넘기는 자리. 수학이 깨져서 무너진 자리는 이 목록에 없다.

안전은 어려움에 기대고 있다

앞에서 일방향 계산을 소개하며 인용한 2002년 논문은, 사실 그 자리를 문제로 여겨 쓰인 논문이다.

현대 암호는 일방향 함수 위에 서 있다. 그런데 흔히 쓰이는 일방향 함수들은 증명되지 않은 추측에 기대고 있거나 이미 알려진 약점을 갖고 있다 — 그것이 저자들이 수론 대신 물질의 무질서한 구조를 쓰는 다른 길을 제안한 이유였다 (DOI: 10.1126/science.1074376).

암호학의 기초를 체계적으로 정리한 교과서가 기본 도구로 꼽는 것도 셋인데, 그중 첫째가 계산적 어려움, 곧 일방향 함수다 (DOI: 10.1017/cbo9780511546891, 단행본).

그 어려움이 싸지는 길 하나가 이름까지 갖고 있다. 양자컴퓨터다. 2018년 논문은 양자 알고리즘 둘이 각각 무엇에 영향을 주는지 정리하면서, 공개키 방식이 받는 영향과 대칭키 방식이 받는 영향을 따로 다룬다 (DOI: 10.14569/ijacsa.2018.090354).

2020년 연구는 더 직접적으로 적는다. 지금 쓰이는 모든 공개키 알고리즘은 양자컴퓨터 이후의 환경에서는 안전하지 않다고 여겨지게 된다 (DOI: 10.14722/ndss.2020.24203).

여기서 곧장 파국으로 넘어가지 않는 이유가 있다. 그 자리를 비워 두고 있지 않기 때문이다.

2023년 서베이는 지금 상황을 위험의 확정이 아니라 경주의 시작으로 적는다. 양자컴퓨터와 양자 알고리즘의 등장으로 고전적 암호 기법이 무너질 위험에 놓였고, 그래서 전 세계 연구자들이 양자에 견디는 알고리즘 연구에 속도를 냈다는 것이다 (DOI: 10.3390/cryptography7030040, 서베이).

같은 서베이가 적기로, 미국 표준기관은 다음 표준이 될 후보를 고르는 공모를 열었다. 그 표준기관이 이 문제를 정리해 낸 보고서도 따로 있다 (DOI: 10.6028/nist.ir.8105, 표준기관 보고서).

값이 얼마나 드는지도 이미 재고 있다. 앞의 2020년 연구는 후보 서명 알고리즘들을 실제 네트워크 조건에서 재 보고, 적어도 두 개는 지금 쓰는 서명 알고리즘에 비해 추가 부담이 거의 없이 채택할 만하다고 결론지었다.

그리고 이 장치는 지금 이 순간 작동하고 있다. 공개키 암호 가운데 가장 널리 쓰이고 적용되는 축에 드는 것이 1978년의 그 방식이라고, 2021년의 체계적 리뷰는 적는다 (DOI: 10.1109/access.2021.3129224).

웹 연결을 지키는 표준 자체도 같은 자리에 있다. 도청과 변조와 위조를 막도록 설계된 통신을 하게 해 주는 것이 그 규격이 하는 일이라고 표준 문서는 적는다 (DOI: 10.17487/rfc8446, 표준 문서).

그러니 이 글의 결론은 "그래서 믿을 수 없다"가 아니다. 이 장치는 지금 이 순간 전 세계의 웹 연결을 떠받치고 있고, 동시에 증명된 안전이 아니라 아직 아무도 치를 수 없는 값 위에 서 있다. 두 문장은 함께 참이다.

다시 주소창의 자물쇠로

이제 그 설문으로 돌아갈 수 있다. 89%가 잘못 알고 있었다는 그 그림 말이다.

그 자물쇠가 말해 주는 것은 무엇인가. 앞 절들을 여기 겹쳐 놓으면 이런 셈이 된다 — 연결의 반대편이 그 이름이 적힌 인증서와 그 짝이 되는 개인키를 쥐고 있다는 것이다. 이 한 줄은 어느 논문이 적은 문장이 아니라, 앞에서 우리가 쌓아 온 구조를 접어 놓은 것이다.

인용으로 받칠 수 있는 쪽은 나머지 절반이다. 그 통로를 규정한 표준 문서는, 도청과 변조와 위조를 막도록 설계된 통신을 하게 해 주는 것이 자기 일이라고 적는다 (DOI: 10.17487/rfc8446, 표준 문서).

말해 주지 않는 것은 이렇다. 반대편이 정직한 상대인지. 그 이름표를 발급한 곳이 제대로 확인했는지. 그쪽의 개인키가 지금도 그쪽에만 있는지.

설문 연구자들의 권고도 여기서 나온다. 연결의 보안을 정확하고 분명하게 전달하는 일은 주소창의 작은 아이콘보다 말을 더 넣을 수 있는 다음 화면에서 더 효과적일 것이라고 저자들은 주장한다. 실제로 그 아이콘을 보는 사람들은 연결 상태를 자세히 적어 놓은 화면을 보고 나서 안심했다 (DOI: 10.1109/spw54247.2022.9833869).

이 글의 요지도 같다. 이 장치는 믿을 만하다, 또는 믿을 수 없다 — 둘 다 그림 한 개짜리 답이다.

답할 수 있는 것은 목록이다. 열쇠는 어디 있는가. 이름표는 누가 보증했고 그 보증은 얼마나 꼼꼼한가. 잃어버린 이름표는 어떻게 지워지는가. 그리고 되돌리는 계산의 값은 지금 얼마인가.

어디를 더 볼까

주소창의 그 자물쇠로 한 걸음 더 들어가고 싶다면 「주소창의 자물쇠는 무엇을 보증하나」가 이 글의 인증서 절 바로 다음 칸이다. 인증서를 발급한 사실 자체를 공개 장부에 적기로 한 웹의 결정을 다룬다.

되돌리는 계산의 값이 싸지는 쪽이 궁금하다면 「양자컴퓨터가 오면 암호는 정말 다 깨지나」로 간다. 이 글이 "그 값이 싸지면 잠금도 함께 풀린다"고만 적고 넘어간 자리를 그 편이 맡는다.

공개하지 않고도 증명하는 길이 있다. 「영지식 증명」은 비밀을 알고 있다는 사실만 건네고 비밀 자체는 건네지 않는 장치를 다룬다.

그리고 여럿이 하나의 기록에 동의하는 문제는 「신뢰 없이 합의하기」가 다룬다. 이 글에서 우리는 둘 사이의 확인만 봤다. 사람이 수천 명으로 늘어나면 질문이 달라진다.

근거 논문

표준 문서와 단행본은 본문에서 그때마다 등급을 표기했다.

• "New directions in cryptography" (1976) — DOI: 10.1109/tit.1976.1055638 — 안전한 키 배달 통로의 필요를 줄이고 손으로 쓴 서명에 해당하는 것을 공급하는 방향을 제안.
• "Multiuser cryptographic techniques" (1976) — DOI: 10.1145/1499799.1499815 — 보내는 쪽의 키 정보를 공개하는 방식, 그리고 위조할 수 없고 메시지에 따라 달라지는 디지털 서명을 만드는 인증 체계.
• "A method for obtaining digital signatures and public-key cryptosystems" (1978) — DOI: 10.1145/359340.359342 — 암호화 키를 공개해도 복호화 키가 드러나지 않는다. 서명과 검증. 안전은 공개된 수의 인수분해 어려움에 "일부" 기댄다.
• "Boolean Functions for Cryptography and Error-Correcting Codes" (2010, 단행본 장) — DOI: 10.1017/cbo9780511780448.011 — 암호화 키가 비밀이면 대칭 암호, 공개면 공개키 암호. 공개키 암호는 1970년대 후반 문헌에 등장.
• "Physical One-Way Functions" (2002) — DOI: 10.1126/science.1074376 — 현대 암호는 일방향 함수 위에 서지만, 흔히 쓰는 것들은 증명되지 않은 추측에 기대거나 알려진 약점이 있다. 대안으로 물리적 일방향 함수.
• "Digital signature standard (DSS)" (2013, 표준 문서) — DOI: 10.6028/nist.fips.186-4 — 서명의 두 쓰임(무단 변경 탐지·서명자 신원 확인)과 제3자 증거로서의 부인방지. 서명자가 나중에 "쉽게" 부인할 수 없다는 뜻.
• "A Digital Signature Scheme Secure Against Adaptive Chosen-Message Attacks" (1988) — DOI: 10.1137/0217017 — 적응적 선택 메시지 공격에도 단 한 건의 위조도 불가능한 서명. 인수분해 어려움 기반이고, 일반화는 잠재적으로 더 약한 가정 위.
• "One-way functions are necessary and sufficient for secure signatures" (1990) — DOI: 10.1145/100216.100269 — 제목이 곧 주장(초록 본문은 확보분에서 끊겨 있어 제목만 인용).
• "A Survey of Man In The Middle Attacks" (2016, 서베이) — DOI: 10.1109/comst.2016.2548426 — 중간자 공격은 끝점 사이를 흐르는 데이터의 비밀성과 무결성을 겨냥. 공격자 위치·통로·사칭 기법으로 분류.
• "Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile" (2002, 표준 문서) — DOI: 10.17487/rfc3280 — 인터넷용 X.509 인증서와 폐기 목록의 규격(확보된 초록은 표준화 상태 고지문이라 제목의 규격 범위만 인용).
• "X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP" (2013, 표준 문서) — DOI: 10.17487/rfc6960 — 폐기 목록을 받지 않고 인증서 한 장의 현재 상태를 확인하는 규약.
• "Certificate revocation and certificate update" (2000) — DOI: 10.1109/49.839932 — 폐기 목록을 인증된 사전으로 대체하면 규모·통신 비용·매개변수 변화에 대한 견고함·갱신 주기에서 낫다. 폐기 대신 단기 인증서를 자주 발급하는 갈래도 검토.
• "Rethinking Public Key Infrastructures and Digital Certificates" (2000, 단행본) — DOI: 10.7551/mitpress/5931.001.0001 — 전문가 대다수는 인증서를 최선의 기술로 보지만, 특단의 조치가 없으면 가장 광범위한 전자 감시 도구가 되고 오용 기회도 넘친다.
• "SoK: SSL and HTTPS" (2013) — DOI: 10.1109/sp.2013.41 — 브라우저가 신뢰하는 인증기관 수는 늘고 발급 시 기본 주의 의무는 떨어졌다. 인증서 신뢰 모형 개선안 비교.
• "Certified Malware" (2017) — DOI: 10.1145/3133956.3133958 — 서명된 악성코드가 보호 장치와 백신을 통과한다. 코드 서명 체계의 약점 세 유형. 개인키 절도와 회사 사칭.
• "The most dangerous code in the world" (2012) — DOI: 10.1145/2382196.2382204 — 활성 공격자에 대한 SSL의 안전은 제시된 공개키 인증서를 올바르게 검증하는 데 달려 있다.
• "How Bad Can It Git? Characterizing Secret Leakage in Public GitHub Repositories" (2019) — DOI: 10.14722/ndss.2019.23418 — 개인키 파일과 11개 플랫폼 API 키 대상. 10만 개가 넘는 저장소가 영향, 매일 수천 개의 새 비밀이 유출.
• "Lest we remember" (2009) — DOI: 10.1145/1506409.1506429 — 주메모리는 전원이 끊겨도 몇 초간 내용을 유지. 물리 접근 공격자로부터 키를 지키는 능력을 제한하고, 여러 디스크 암호화 제품이 뚫렸다. 간단한 해결책은 없다.
• "Random Number Generators: Principles and Applications" (2023) — DOI: 10.3390/cryptography7040054 — 난수 생성 방식들과 실용적 무작위성 시험. 예측 불가능성이 주요 요구조건인 사례로 암호 키 생성.
• "Comparing the Usability of Cryptographic APIs" (2017) — DOI: 10.1109/sp.2017.52 — 개발자 256명·5개 라이브러리 통제 실험. 단순함은 이득이나 충분하지 않고, 문서의 벌충은 보안 결과로 이어지지 않았다. 맞게 짠 과제의 약 20%에서 안전하다고 오신. 처방은 단순한 인터페이스 + 흔한 작업의 폭넓은 지원 + 안전하고 쓰기 쉬운 예제가 담긴 문서.
• "Security and identification indicators for browsers against spoofing and phishing attacks" (2008) — DOI: 10.1145/1391949.1391950 — 표준 보안 조치를 써도 사람들은 가짜 사이트에 비밀번호를 넣는다. 사용자 지정 이름·로고 표시 장치와 기존 표시의 비교 실험.
• "Crying Wolf: An Empirical Study of SSL Warning Effectiveness" (2018) — DOI: 10.1184/r1/6621806 — 400명 설문 + 100명 실험. 새 경고가 유의하게 나았으나 모든 조건에서 너무 많은 참가자가 위험하게 행동. 경고 자체를 줄이는 쪽을 제안.
• ""It builds trust with the customers" - Exploring User Perceptions of the Padlock Icon in Browser UI" (2022) — DOI: 10.1109/spw54247.2022.9833869 — 1,880명 설문. 89%가 자물쇠의 뜻을 오해. 23~44%만 그것을 참고. 아이콘은 연결 보안을 보증하나 사이트 전반의 신뢰로 읽힌다. 2차 화면이 더 효과적.
• "Foundations of Cryptography" (2001, 단행본) — DOI: 10.1017/cbo9780511546891 — 기본 도구 셋: 계산적 어려움(일방향 함수), 유사난수성, 영지식 증명.
• "The Impact of Quantum Computing on Present Cryptography" (2018) — DOI: 10.14569/ijacsa.2018.090354 — 쇼어·그로버 알고리즘이 공개키 방식과 대칭키 방식에 미치는 영향, 그리고 양자 이후 암호.
• "Post-Quantum Authentication in TLS 1.3: A Performance Study" (2020) — DOI: 10.14722/ndss.2020.24203 — 현행 공개키 알고리즘 전부가 양자 이후 환경에서 안전하지 않게 된다. 후보 서명 중 적어도 둘은 추가 부담 거의 없이 채택 가능.
• "A Survey of Post-Quantum Cryptography: Start of a New Race" (2023, 서베이) — DOI: 10.3390/cryptography7030040 — 양자 이후 암호 연구 동향. 미국 표준기관이 표준 후보 선정 공모를 시작.
• "Report on Post-Quantum Cryptography" (2016, 표준기관 보고서) — DOI: 10.6028/nist.ir.8105 — 표준기관이 낸 양자 이후 암호 보고서(확보된 초록은 기관 소개문이라 보고서의 존재와 주제만 인용).
• "Systematic and Critical Review of RSA Based Public Key Cryptographic Schemes" (2021) — DOI: 10.1109/access.2021.3129224 — RSA는 공개키 암호 중 가장 널리 쓰이고 적용되는 축에 드는 알고리즘(초록 표현은 "one of the most"). 11개 범주로 분류한 체계적 리뷰.
• "The Transport Layer Security (TLS) Protocol Version 1.3" (2018, 표준 문서) — DOI: 10.17487/rfc8446 — 도청·변조·위조를 막도록 설계된 통신을 하게 해 주는 프로토콜 규격.