이현진 네이버페이 CISO “양자내성암호, 연내 네이버 전사 서비스에 적용될 것”

"네이버 서비스의 80%가 양자내성암호(PQC)를 적용했습니다."

이현진 네이버페이 최고보안책임자(CISO)는 한국경제신문과의 인터뷰에서 이같이 말했다. 이 CISO는 "네이버페이에 선제적으로 도입한 PQC를 네이버 메일, 블로그, 카페 등에 순차적으로 적용하고 있다"며 "양자컴퓨터는 확정적으로 일어날 미래로 보고 대비해야 한다"고 강조했다.

네이버페이는 국내에서 처음으로 전사 서비스에 PQC를 도입해 주목받았다. PQC는 양자컴퓨터로도 쉽게 풀 수 없게 설계된 암호 기술이다. 2030년대 본격 도입될 것으로 예상되는 양자컴퓨터는 일반 컴퓨터와 달리 양자역학을 활용해 연산 속도가 매우 빠르다. 이 때문에 현재 해독이 어려운 암호도 뚫릴 것이란 우려가 커졌다.

네이버페이에서 네이버로 확대

네이버페이가 PQC를 선제적으로 도입한 건 해커가 암호화된 데이터를 광범위하게 수집한 뒤 양자컴퓨터로 푸는 '선(先)수집 후(後)해독' 공격에 대비하기 위해서다. 이 CISO는 "양자컴퓨터를 이용한 해독 알고리즘은 수학적으로 검증이 끝난 상태"라며 "현재의 암호 체계를 무력화하는 시점이 오더라도 네이버페이 이용자 정보를 안전하게 보호하도록 선제적으로 투자했다"고 말했다.

네이버에서도 PQC 적용을 확대하고 있다. 네이버페이는 PQC 기술 확보 단계부터 네이버 계열사인 네이버클라우드와 협업했다. 이 CISO는 "네이버클라우드는 데이터센터 등 인프라 운영 기술을 갖추고 있어 도움을 요청했다"며 "네이버는 대규모 정보기술(IT) 서비스를 안정적으로 제공한 경험이 있어 PQC를 빠르게 적용할 수 있다"고 말했다.

네이버페이는 미국 국립표준기술연구소(NIST) 표준 PQC 알고리즘을 채택하되 기존 암호화 방식도 함께 적용했다. PQC는 국내는 물론 해외에서도 도입 사례가 많지 않은 만큼 신중하게 접근했다는 설명이다. 이 CISO는 "새 암호 체계에 예상치 못한 문제가 생기더라도 기존 방식이 최소한의 안전망 역할을 하도록 설계했다"며 "현재 장애 없이 서비스 전환을 마쳤다"고 했다.

얼굴 결제로 시작... "AI도 대비"

네이버페이가 PQC 도입을 서두른 건 지난해 하반기 얼굴 결제 기능을 갖춘 '엔페이 커넥트' 단말기 사업을 본격화하면서다. 이 단말기는 카페와 음식점처럼 개별 사업장에 설치돼 네트워크를 통한 해킹은 물론 물리적 해킹에도 노출될 가능성이 크다. 생체 정보는 물론 결제 정보까지 함께 다루는 만큼 회사 내부에서도 단말기 도입의 가장 큰 걸림돌로 보안 우려가 꼽혔다.

보안 담당자가 엔페이 커넥트 기획 단계부터 참여한 결과 네이버페이의 모든 서비스 데이터 전송 구간에 PQC가 적용됐다. 이 CISO는 "얼굴 정보는 비밀번호와 달리 유출되더라도 바꿀 수 없는 생체 정보인 데다 정확하게 인식되는 신뢰성이 매우 중요하다"며 "확보할 수 있는 최신 보안 기술은 상용화 초기 단계라도 선제적으로 적용하자는 게 내부 원칙이었다"고 말했다.

양자컴퓨터 외에 인공지능(AI)을 현재 기업 보안의 최우선 요소로 꼽았다. 기술적 변화가 가장 활발하게 이뤄지고 있다는 점에서다. 이 CISO는 "AI를 안전하게 활용하는 방법과 AI를 악용한 외부 위협에 효과적으로 대응하는 방법에 중점을 두고 있다"며 "AI 기반 자율 모의해킹처럼 새로운 보안 기술을 지속적으로 도입할 것"이라고 했다.

박시온 기자 ushire908@hankyung.com