요약

  • RFC 10024는 ML-KEM과 전통적인 타원 곡선 구성 요소를 결합한 키 합의를 위한 세 가지 TLS 1.3 그룹—X25519MLKEM768, SecP256r1MLKEM768, SecP384r1MLKEM1024—을 정의합니다.
  • 키 합의는 세션 비밀을 도출합니다. 인증서 검증과CertificateVerify서명은 엔드포인트를 인증합니다. 첫 번째 작업을 전환하는 것이 두 번째 작업을 조용히 전환하지 않으며, TLS가 종료된 이후의 커버리지도 입증하지 않습니다.
  • Bas Westerbaan은 Krzysztof Kwiatkowski, Panos Kampanakis, Douglas Stebila와 함께 이 RFC를 공동 집필했습니다. 그의 중요성은 단계화된 엔지니어링 경계에 있습니다. 표준, 구현, 협상, 인증, 배포, 복구 각각이 자체적인 근거를 필요로 합니다.

포스트 퀀텀 TLS 감사에서 가장 강력한 단서는 서로 모순되는 것처럼 보이는 두 가지 사실일 수 있습니다. 연결은 포스트 퀀텀/전통 하이브리드 그룹을 협상했습니다. 그러나 인증서 체인과 핸드셰이크 서명은 여전히 고전적 알고리즘으로 남아 있었습니다.

여기에 모순은 없습니다. 두 사실은 서로 다른 암호학적 작업을 기술할 뿐입니다.

2026년 8월 IETF Proposed Standard로 발행된 RFC 10024는 그중 한 작업을 안정적인 TLS 1.3 코드 포인트로 배포 가능하게 만듭니다. Krzysztof Kwiatkowski, Panos Kampanakis, Bas Westerbaan, Douglas Stebila는X25519MLKEM768,SecP256r1MLKEM768,SecP384r1MLKEM1024를 정의합니다. 각 그룹은 NIST가 표준화한 모듈 격자 키 캡슐화 메커니즘인 ML-KEM을 익숙한 타원 곡선 키 설립 구성 요소와 결합합니다.

그 목적은 장식적인 알고리즘 다양성이 아닙니다. 수동적 공격자는 지금 암호화된 트래픽을 기록해 두었다가, 나중에 암호학적으로 관련성 있는 양자 컴퓨터가 등장하면 고전적 키 합의를 회복할 수 있기를 바랄 수 있습니다. PQ/T 하이브리드는 세션 비밀 도출이 전통 계열만이나 최신 포스트 퀀텀 구성 요소만에 의존하지 않도록 설계되었습니다.

이 결과는 중요합니다. 그리고 그것에는 정확한 경계가 있습니다.

하나의 핸드셰이크, 분리된 질문들

TLS 1.3은 비밀 재료를 확립하기 위해 키 교환을 사용하고, 트래픽 키를 도출하기 위해 키 스케줄을 사용합니다. 일반적인 인증서 기반 핸드셰이크에서는 인증서, 신뢰 체인,CertificateVerify서명으로 서버를 인증합니다. 이 작업들은 하나의 프로토콜 트랜스크립트 안에서 결합되지만, 같은 질문에 답하지는 않습니다.

하이브리드 키 합의는 당사자들이 명시된 구성 요소들을 결합한 구조를 통해 연결 비밀을 도출할 수 있는지를 묻습니다. 인증서 인증은 엔드포인트 신원을 제시하는 당사자가 신뢰된 인증서에 대응하는 개인 키를 통제하고, 수용된 서명 방식으로 트랜스크립트에 서명하는지를 묻습니다.

RFC 9794는 이 어휘를 명확히 합니다. PQ/T 하이브리드 키 설립, 하이브리드 KEM, 하이브리드 공개키 암호화, 하이브리드 디지털 서명은 서로 다른 방식 계열입니다. 한 배포는 한 계열을 다른 계열보다 먼저 전환할 수 있습니다. ML-KEM 키에 대한 X.509 식별자를 정의하는 RFC 9935는 인증서와 PKI 전환에 고유한 형식, 발급 결정, 검증 의존성이 있음을 다시 일깨웁니다. 식별자는 발급 프로그램이 아니며, 하이브리드 키 공유는 포스트 퀀텀 서명이 아닙니다.

이 분리는 위협 진술을 바꿉니다. 하이브리드 키 합의는 주로 기록된 세션에 대한 미래 접근을 추구하는 수동적 '지금 수집, 나중에 복호화' 공격자를 다룹니다. 미래의 능동적 공격자가 고전적 인증서 서명을 위조할 수 있다면 엔드포인트를 사칭할 수 있습니다. 둘 다 양자 시대의 우려이지만, 메커니즘, 성숙도, 운영 통제가 서로 다릅니다.

Westerbaan의 단계화된 전환 근거

Cloudflare Research는 Westerbaan을 암호 엔지니어링과 표준화, 대규모 실험과 배포를 통해 포스트 퀀텀 채택을 추진하는 리서치 엔지니어로 소개합니다. 그의 IETF 기록에는 RFC 10024와 다른 포스트 퀀텀 작업들이 포함되어 있습니다. 그러나 그 기록이 그를 이 하이브리드 메커니즘의 단독 발명자로 만들지는 않습니다. 이 RFC에는 저자가 네 명이고, RFC 9954의 일반 구조, RFC 9794의 용어, TLS 1.3, NIST의 ML-KEM 표준 위에 서 있습니다.

그의 관련성은 1차 배포 계정에서 가장 명확합니다. 2025년 9월, Cloudflare는 자사 네트워크로 들어오는 사람이 생성한 트래픽의 3분의 1 이상이 하이브리드 포스트 퀀텀 키 합의를 사용하는 TLS 1.3이었다고 밝혔습니다. 같은 글은 포스트 퀀텀 디지털 서명과 인증서가 TLS 및 인터넷 PKI에서 사용되기 위한 표준화가 아직 진행 중이며, WARP 클라이언트는 아직 이를 사용하도록 업그레이드되지 않았다고 말했습니다.

이 병치는 포괄적인 '양자 안전' 주장보다 유용합니다. 이는 생산 규모의 진전과 아직 완성되지 않은 인접 통제를 함께 기록합니다. 그러면서도 한계를 안고 있습니다. 이 백분율은 인터넷 전체가 아니라 Cloudflare의 시점이 밀린 관찰을 기술하며, WARP 관련 진술은 이후의 모든 구성을 확립하지 않고, 엣지 핸드셰이크는 모든 내부 홉을 드러내지 않습니다.

단계화된 전환은 실패가 아닙니다. 암호 구성 요소들이 서로 다른 표준, 소프트웨어, 하드웨어, 인증서, 운영 의존성을 가진 시스템의 정상 상태입니다. 실패는 구성 요소의 영수증이 전체 아키텍처 라벨로 승격될 때 시작됩니다.

협상된 그룹이 입증하는 것

클라이언트는 여러 지원 그룹을 광고할 수 있습니다. 그 광고는 최종 선택이 아니라 능력이나 선호를 입증합니다. 서버는 RFC 10024 그룹을 선택할 수 있습니다. 그 협상은 관찰된 엔드포인트와 클라이언트가 시도하기로 합의한 내용을 입증할 뿐, 각 구현이 결함, 사이드 채널, 취약한 난수에서 자유롭다는 것을 입증하지 않습니다.

성공적인 핸드셰이크는 더 강한 운영 근거를 제공합니다. 관찰된 엔드포인트들이 트랜스크립트를 완수하고 협상된 구조 하에서 사용 가능한 트래픽 키를 도출했음을 보여줍니다. 그럼에도 인증 기관, 서명 알고리즘, 개인 키 보관, TLS 종단기, 세션 재개 경로, 0-RTT 정책, 프록시 체인, 오리진 연결의 모든 속성을 드러내지 않습니다.

복호화 이후에 무엇이 일어나는지에 대한 답도 아닙니다. 애플리케이션은 평문을 저장하거나, 무관한 키로 레코드를 암호화하거나, 데이터를 로그나 백업으로 복사하거나, 다른 연결로 보낼 수 있습니다. 복구는 인증서, 세션 티켓, 애플리케이션 비밀, 저장 데이터 키를 독립적으로 교체해야 할 수 있습니다. 한 연결의 'PQ 암호화'는 그러한 표면에 대한 영수증이 아닙니다.

RFC 자체가 무분별한 이식성을 거부합니다. 이 RFC의 보안 절은 명시된 구조에 대한 근거를 제시하며, 독자에게 다른 프로토콜에서 유사한 하이브리드화가 안전하다고 가정하지 말라고 경고합니다. 두 비밀을 연결하는 것이 보편적인 포스트 퀀텀 처방이 아닙니다. 프로토콜 맥락, 컴바이너, 길이 규칙, 트랜스크립트, 위협 모델이 중요합니다.

제품 라벨에서 근거 장부로

Lu Heng의 Running-Code Primacy는 운영 테스트를 제시합니다. 선언이 곧 결과가 아니라는 것입니다. 여기서 선언은 '포스트 퀀텀'이라는 대시보드 배지일 수 있습니다. 실행 결과는 서비스가 재현할 수 있는 관찰된 암호학적·아키텍처적 속성의 집합입니다.

방어 가능한 영수증에는 클라이언트와 엔드포인트, 시각, TLS 버전, 광고 및 협상된 그룹, 구현 버전, 인증서 체인,CertificateVerify서명 방식, 종단 지점, 재개 및 0-RTT 동작, 다운스트림 홉의 보호, 데이터가 복호화되거나 저장되는 경계가 포함되어야 합니다. 미래의 운영자가 관찰을 반복할 수 있도록 프로브 방법과 한계도 기록해야 합니다.

소유권은 이러한 필드를 따릅니다. 표준 그룹은 메커니즘을 명세합니다. 라이브러리와 브라우저 팀은 이를 구현합니다. 서비스 운영자는 그룹, 서명, 인증서, 종단, 폴백을 구성합니다. 인증 기관은 발급을 관리합니다. 네트워크와 플랫폼 팀은 프록시와 내부 홉을 소유합니다. 애플리케이션과 데이터 팀은 저장을 소유합니다. 인시던트 팀은 폐기와 복구를 소유합니다. 하나의 녹색 핸드셰이크가 모든 소유자의 책임을 해소할 수 없습니다.

RFC 9851의 TLS 1.2 기능 동결은 이 방향을 강화합니다. 새로운 프로토콜 역량은 오래된 버전에 임기응변으로 넣는 것이 아니라 TLS 1.3에 속한다는 것입니다. 그러나 올바른 프로토콜 세대로 이동하는 것이 모든 암호 평면이 동시에 이동했다는 근거는 아닙니다.

Bas Westerbaan과 그의 공동 저자들은 키 합의 단계를 명명, 협상, 검증하기 쉽게 만들었습니다. 그다음 정직한 문장도 똑같이 중요합니다. 아직 이동하지 않은 단계는 어디인가?

출처