[단독] 네이버페이, 국내 첫 '양자보안 방벽' 쌓았다

네이버페이가 국내에서 처음으로 양자컴퓨터 환경에서도 견디는 양자내성암호를 전면 적용했다. 암호화된 데이터를 미리 훔쳐 저장해뒀다가 향후 상용화될 양자컴퓨터로 해독하는 이른바 ‘선(先)수집 후(後)해독형’ 공격에 대비하기 위해서다. 일부 서비스와 기술을 검증하는 수준을 넘어 실제 금융 서비스 전반에 차세대 암호체계를 적용한 것은 해외에서도 찾아보기 어렵다. 금융정보는 해킹 등으로 한 번 유출되면 그 피해가 막대한 만큼 국내 금융권도 양자컴퓨터 시대에 맞는 ‘암호 대전환’을 서두르고 있다.

◇얼굴인식 결제가 앞당긴 암호 전환

18일 금융권에 따르면 네이버페이는 모든 서비스의 데이터 전송 구간을 양자내성암호 체계로 전환했다. 이현진 네이버페이 최고보안책임자(CISO)는 “양자컴퓨터 위협은 발생할 수도 있는 사고가 아니라 언젠가는 확정적으로 일어날 미래로 보고 대비해야 한다”며 “이용자 정보를 안전하게 보호하기 위해 선제적으로 투자한 것”이라고 말했다.


현재 인터넷과 금융거래에서 사용하는 암호는 일반 컴퓨터로는 풀기 어렵다. 하지만 고성능 양자컴퓨터가 등장하면 기존 암호체계를 해독할 가능성이 커진다. 더 큰 문제는 양자컴퓨터가 보급된 뒤에야 공격이 시작되는 게 아니라는 점이다. 해커가 지금 암호화된 데이터를 빼내 보관했다가 수년 뒤 양자컴퓨터로 해독하는 게 가능하기 때문이다. 이 CISO는 “2030년대 이후까지 비밀로 지켜져야 하는 정보는 지금부터 대비해야 의미가 있다”며 “얼굴정보처럼 평생 변하지 않는 생체정보와 계좌·거래 내역 같은 금융정보가 가장 먼저 보호해야 할 대상”이라고 강조했다.

금융권은 이런 형태의 공격에 민감할 수밖에 없다. 은행과 카드사 등은 계좌 정보와 거래 내역, 개인정보 같은 대규모 금융정보를 장기간 보관해야 한다. 얼굴 및 지문 인식 결제가 확산하면서 한 번 유출되면 바꾸기 어려운 생체정보도 핵심 보호 대상이 됐다.

네이버페이가 양자내성암호를 도입한 것도 얼굴인식 결제가 계기가 됐다. 지난해 하반기 오프라인 결제 단말기 ‘엔페이 커넥트’를 준비하면서다. 카페와 음식점 등 외부 매장에 설치되는 단말기가 결제정보와 얼굴정보를 처리하는 만큼 기존보다 높은 수준의 보안이 필요하다고 판단했다. 이 CISO는 “얼굴정보는 비밀번호와 달리 유출되더라도 바꿀 수 없는 생체정보”라며 “상용화 초기 단계라도 확보할 수 있는 최신 보안기술은 선제적으로 적용하자는 게 내부 원칙이었다”고 했다.

다만 양자내성암호 전환은 간단한 작업이 아니다. 우선 기존 전산 시스템과 새 암호체계가 제대로 호환되는지 점검해야 한다. 실제 운영 환경에서 예상하지 못한 문제가 생길 가능성도 살펴야 한다.

◇발 빠르게 움직이는 빅테크

해외 기업은 이미 양자내성암호 도입에 속도를 내고 있다. HSBC는 토큰화한 금을 거래하는 과정에 양자 보안기술을 적용하는 실증을 했다. 빅테크의 전환 속도는 더 빠르다. 구글은 전체 인프라의 양자내성암호 전환을 2029년까지 마친다는 목표를 세웠다. 아마존웹서비스(AWS) 역시 주요 클라우드 서비스로 적용 범위를 넓히고 있다.

국내 금융회사는 전면 도입보다 기술 검증 단계에 머물고 있다. 오래된 전산시스템과 신규 시스템이 복잡하게 얽혀 있어 암호체계 하나를 바꾸더라도 인프라 전반을 다시 점검해야 해서다. 전면 도입 사례는 지난 4월 전자결제서비스 접점에 PQC를 적용한 토스페이먼츠 정도다.

정부는 2030년까지 전환 준비를 마치고 2035년까지 국가 주요 인프라 전환을 완료한다는 로드맵을 세웠다. 최경진 가천대 법학과 교수는 “양자내성암호는 글로벌 표준이 자리 잡는 데 시간이 걸리는 만큼 지금부터 다양한 환경에서 적용 경험을 쌓는 게 중요하다”고 말했다.

▶양자내성암호

post-quantum cryptography(PQC). 양자컴퓨터로도 쉽게 풀 수 없도록 설계된 차세대 암호기술. 기존 컴퓨터와 인터넷 환경에서도 사용할 수 있어 기존 암호체계를 대체할 기술로 꼽힌다.

박시온/조미현 기자 ushire908@hankyung.com