요약

  • RFC 7146은 RFC 3723의 3DES-CBC 구현 요구 사항을 AES-CBC로 대체하여, 블록 스토리지 프로토콜을 보호하는 IPsec의 상호운용성 기준선으로 삼았습니다.
  • 문서의 3 GiB 수치는 64비트 블록 암호의 32 GiB 생일 한계보다 한 자릿수 아래 여유를 보여주는 예시일 뿐이며, 보편적인 재키잉 규칙도 공격 보고도 아닙니다.

데이터 볼륨이 세션을 앞지른 순간

IPsec 보안 연결은 스토리지 세션이 정상적으로 동작하는 동안에도, 세션이 끝나기 전에 문제가 될 암호학적 한계에 다다를 수 있었습니다. 2014년 4월에 발표된 RFC 7146은 좁지만 결과가 큰 불일치를 다루었습니다. 블록 스토리지 프로토콜은 초당 수기가비트 속도로 동작할 것으로 기대되었는데, 3DES는 64비트 블록 단위로 데이터를 처리합니다. 여기서 중요한 단위는 단순한 경과 시간이나 키 나이가 아니라, 하나의 키 아래 통과한 데이터의 양이었습니다.

이 문서는 RFC 3723이 IPsec 프레임워크를 사용하는 프로토콜에 대해 설정한 IPsec 요구 사항을 갱신했습니다. 이전 기준선에서는 구현체가 CBC 모드의 3DES를 지원해야 했고, 카운터 모드의 AES 구현이 권장되었습니다. RFC 7146은 둘 다 선택적 구현 항목으로 바꾸고 대신 AES-CBC를 요구했습니다. NULL 암호화 지원 요구는 그대로 유지되었는데, 이 변환은 기밀성 없이 인증과 무결성을 제공하는 보안 연결에 사용될 수 있습니다. 이것들은 구현 요구 사항이지, 모든 배포가 특정 암호를 쓰라는 명령이 아닙니다.

한계는 타이머가 아니다

RFC 7146은 고속 스토리지 트래픽에서 3DES가 왜 불편해졌는지 설명합니다. 64비트 블록 크기 암호의 생일 한계 규모는 32 GiB입니다. 이 RFC는 하나의 키 아래 데이터가 이 한계에 가까워지면 보안 약점이 나타나므로 그보다 훨씬 전에 재키잉할 것을 권합니다. 이어서 예시 계산을 제시합니다. 초당 수기가비트 링크에서 3 GiB마다 재키잉하면 한 자릿수의 여유를 확보할 수 있다는 것입니다. 이는 운영 비용의 예시일 뿐, 모든 시스템에 적용되는 프로토콜 강제 임계값이 아닙니다.

이 구분이 중요합니다. 스토리지 전송은 몇 기가바이트를 빠르게 이동할 수 있으므로, 익숙한 세션 수명에만 기반한 정책은 데이터 볼륨을 추적하지 못할 수 있습니다. 잦은 재키잉에는 운영적 결과도 따릅니다. 데이터 트래픽이 계속되는 동안 피어들이 새 보안 연결을 안정적으로 협상하고 설치해야 하기 때문입니다. 이 RFC의 예시는 모든 3DES 세션이 한계에 도달했다거나 실제 공격이 성공했다고 주장하지 않으면서, 그 압박을 읽을 수 있게 만듭니다.

AES는 다른 규모를 제시했습니다. 128비트 블록 크기는 훨씬 큰 생일 한계 규모를 갖으며, RFC에는 2^68바이트로 명시되어 있습니다. 상호운용성을 위해 AES-CBC가 기본 필수 구현 대체 항목으로 선택되었습니다. 그렇다고 모든 AES 모드가 서로 바꿔 쓸 수 있는 것은 아닙니다. RFC 7146은 별도로 IKEv2를 지원하는 구현체는 AES-GCM도 구현해야 한다고 말합니다. AES-CTR로의 변경은 또 달랐습니다. 이 RFC에 따르면 하드웨어 고려 사항이 GCM을 선호하면서 CTR이 더 이상 하드웨어 구현에 가장 적합한 변환이 아니게 되었을 뿐, CTR에서 보안 실패가 있었다고는 서술하지 않습니다.

이 표준 변경이 증명한 것과 증명하지 않은 것

RFC 7146은 요구 사항 기준선의 갱신이지, 설치된 장비의 조사, 스토리지 네트워크 배포에 대한 측정, 현재 시점의 보편적 암호 권고가 아닙니다. 저속 사례를 위한 여지도 남겼습니다. 재키잉 빈도가 수용 가능하다면 3DES-CBC를 여전히 구현할 수 있습니다. 이 표준은 명시된 블록 스토리지 맥락에서 상호운용성을 위해 구현체가 공유해야 할 사항을 이동시켰을 뿐, 모든 레거시 사용을 지우지는 않았습니다.

역사적 교훈은 '오래된 암호 교체'보다 '구현 기준선은 운영 가정을 담는다'에 가깝습니다. 데이터 속도가 변하면, 기술적으로는 여전히 사용 가능한 변환이라도 의도된 범위 안에 유지하는 비용이 달라질 수 있습니다. 따라서 중요한 통제 지점은 결합되어 있습니다. 알고리즘 지원, 협상된 연결 수명, 전송된 바이트 수, 시퀀스 번호 용량, 그리고 서비스를 끊지 않고 재키잉하는 능력입니다. RFC 7146은 이 결합을 명시적으로 만들지만, 실제 정책과 배포 근거는 운영자에게 맡깁니다.

출처:RFC 7146;RFC 7146 정보;RFC 7146 정오표;RFC 3723;RFC 4106;RFC 3602;RFC 4303;RFC 4301;RFC 8221;RFC 6071;RFC 6176.