---
title: 비밀은 어떻게 지켜져 왔나
url: https://oosioo.com/p/%EB%B9%84%EB%B0%80%EC%9D%80-%EC%96%B4%EB%96%BB%EA%B2%8C-%EC%A7%80%EC%BC%9C%EC%A0%B8-%EC%99%94%EB%82%98
date: 2026-10-26T10:49:29+00:00
author: SYSOP
summary: 노트에는 '비밀'이라는 낱말 하나가 적혀 있었다. 비밀을 지키는 가장 좋은 방법은 어디에도 적지 않고 기억만 하는 것이다. 하지만 비밀은 대개 누군가에게 전해야 한다. 노예의 머리에 새긴 글씨와 카이사르의 글자 밀기에서 에니그마, 주파수 도약, 북한 난수방송까지 비밀을 숨기고 섞어 온 역사를 따라간다. 이어 비트코인처럼 숨기지 않고 증명하는 방식, 풀지 않고 계산하는 동형암호, 지금 쓰는 공개키 암호를 흔드는 양자컴퓨터와 양자내성암호 전환을 살핀다. 빈도 분석, 해시 사슬, 동형 덧셈, 양자 시계를 직접 만져 보는 놀이판도 넣었다. 오늘의 한 페이지 스물세 번째 글.
---
# 비밀은 어떻게 지켜져 왔나

![어두운 남색 바탕 왼쪽에 「비밀은 어떻게 지켜져 왔나」라는 제목이 있다. 아래로 긴 띠가 오른쪽으로 흐르며 글자가 차례로 바뀐다. 왼쪽 끝은 읽을 수 있는 글자이고, 가운데로 갈수록 뒤섞인 글자와 0과 1이 되고, 오른쪽 끝은 자물쇠 하나로 모인다. 그 아래에는 0으로 시작하는 지문 여섯 개가 사슬처럼 이어져 있다. 오른쪽 위 줄 노트에는 「비밀」이라는 낱말 하나가 적혀 있다](/uploads/3f6c55b8333ac41b.webp =720)

오늘 펼친 노트에는 낱말 하나만 적혀 있었다.

> 비밀

비밀을 지키는 가장 좋은 방법은 정해져 있다. 어디에도 적지 않고 머릿속에만 두는 것이다. 종이는 도둑맞고 파일은 새어 나가지만, 말하지 않은 생각은 누구도 꺼내 가지 못한다.

문제는 그게 현실에서 잘 안 된다는 데 있다. 기억은 흐려지고, 사람은 아프고, 언젠가는 떠난다. 무엇보다 비밀은 대개 혼자 쓰려고 만드는 게 아니다. 장군은 작전을 부하에게 알려야 하고, 은행은 내 잔액을 나에게 보여 줘야 하고, 나는 비밀번호를 서버에 보내야 한다. 비밀은 누군가에게 전해질 때 비로소 쓸모가 생긴다. 그리고 전하는 순간 엿들을 틈이 생긴다.

그래서 사람들은 2,500년 넘게 같은 문제를 붙들고 있었다. 내가 보낸 말을 상대만 읽게 하려면 어떻게 해야 하나. 오늘은 그 답들이 어떻게 바뀌어 왔는지 따라가 본다. 숨기던 시대에서 섞는 시대로, 섞던 시대에서 증명하는 시대로, 그리고 이제는 양자컴퓨터가 그 섞는 방법 자체를 흔드는 시대까지.

## 숨기거나, 섞거나

비밀을 전하는 방법은 크게 두 갈래다. 메시지가 있다는 사실 자체를 숨기는 방법, 그리고 메시지는 보이되 읽지 못하게 섞는 방법이다. 앞의 것을 스테가노그래피, 뒤의 것을 암호라고 부른다.

숨기기의 오래된 사례는 헤로도토스의 『역사』에 나온다. 기원전 5세기 밀레토스의 히스티아이오스는 믿을 만한 노예의 머리를 밀고 두피에 글을 새긴 뒤, 머리카락이 다시 자라기를 기다려 그를 보냈다. 받는 쪽은 머리를 다시 밀어 글을 읽었다. 느리지만 확실한 방법이었다. 검문하는 병사가 노예의 짐을 아무리 뒤져도 메시지는 나오지 않는다. 대신 누군가 그 머리를 밀어 보는 순간 비밀은 통째로 드러난다. 숨기기는 들키지 않는 동안만 안전하다.

섞기는 들켜도 괜찮도록 만드는 쪽이다. 스파르타 사람들은 스키테일이라는 막대에 가죽 띠를 감고 글을 썼다. 띠를 풀면 글자가 뒤섞인 줄이 되고, 같은 굵기의 막대에 다시 감아야 읽힌다. 수에토니우스는 카이사르가 편지의 글자를 알파벳에서 세 칸씩 밀어 썼다고 적었다. A는 D가 되고 B는 E가 된다. 여기서 이미 암호의 기본 구조가 다 보인다. 섞는 규칙(알고리즘)이 있고, 그 규칙을 여는 열쇠(막대의 굵기, 미는 칸 수)가 있다.

## 빈도가 비밀을 흘린다

카이사르의 방법에는 큰 약점이 있다. 열쇠가 스물다섯 가지뿐이라 하나씩 다 해 봐도 금방 끝난다. 그래서 글자마다 다른 글자를 무작위로 짝지어 바꾸는 방법이 나왔다. 그러면 경우의 수가 26!, 4×10²⁶이 넘는다. 전부 해 보는 건 불가능하다.

그런데 9세기 바그다드의 학자 알킨디가 그 벽을 넘었다. 그는 아랍어 글에서 글자마다 나오는 횟수가 다르다는 점에 주목했다. 영어로 치면 E가 가장 많고 T, A, O가 뒤를 잇는다. 글자를 아무리 다른 글자로 바꿔도 그 빈도는 그대로 남는다. 암호문에서 가장 많이 나오는 글자는 아마 E일 것이다. 이렇게 몇 글자를 맞히고 나면 나머지는 낱말 모양을 보고 채울 수 있다. 빈도 분석이다. 경우의 수가 아무리 많아도 언어의 버릇이 비밀을 흘린다는 사실을 처음 밝힌 셈이다.

이 기술의 대가를 목숨으로 치른 사람도 있다. 1586년, 잉글랜드에 갇혀 있던 스코틀랜드의 메리 여왕은 엘리자베스 1세를 죽이려는 배빙턴의 계획에 동의하는 편지를 암호로 써 보냈다. 편지는 맥주통 마개 속에 숨겨 드나들었지만, 그 통로 자체가 엘리자베스의 비밀경찰 월싱엄이 깔아 둔 것이었다. 암호 해독가 토머스 펠립스가 빈도 분석으로 편지를 읽었고, 이 편지가 재판의 증거가 됐다. 메리는 1587년 처형됐다([영국도서관](https://www.bl.uk/stories/blogs/posts/the-gallows-letter)). 숨기기와 섞기를 둘 다 했는데도 지켜지지 않은 비밀이다.

그 뒤로 암호를 만드는 쪽과 깨는 쪽의 시합이 이어진다. 한 글자를 여러 글자로 바꾸는 비즈네르 암호는 300년 가까이 '풀 수 없는 암호'로 불렸지만, 19세기에 배비지와 카시스키가 반복되는 열쇠의 길이를 찾아내 빈도 분석을 다시 통하게 만들었다.

![비밀을 지켜 온 2,500년을 그린 연표. 기원전 5세기 히스티아이오스가 노예 머리에 글을 새겨 숨긴다. 기원전 1세기 카이사르가 글자를 세 칸 민다. 9세기 알킨디가 빈도 분석을 쓴다. 1587년 메리 여왕이 해독된 암호 편지로 처형된다. 1917년 치머만 전보가 해독된다. 1942년 헤디 라마르가 주파수 도약 특허를 받는다. 1940년대 에니그마가 블레츨리 파크에서 풀린다. 1976~77년 공개키 암호 개념에 이어 RSA가 나온다. 1991년 해시로 문서 시각을 증명하는 방법이 나온다. 2008년 비트코인. 2009년 완전동형암호가 처음 가능해진다. 2017년 서울대에서 암호화한 채 실수를 계산하는 CKKS가 나온다. 2024년 미국이 양자내성암호 표준을 확정한다. 2026년 구글이 2029년까지 전환을 마치겠다고 밝힌다. 연표는 숨기기, 섞기, 증명하기, 계산하기 네 가지 색으로 나뉜다](/uploads/54ad22de6c5da237.webp =720)

## 전파에 실린 비밀

20세기에 들어서며 문제가 커졌다. 무선통신이다. 편지는 가로채야 읽을 수 있지만 전파는 하늘에 뿌려진다. 수신기만 있으면 적도 똑같이 듣는다. 그래서 무선 시대의 비밀은 거의 전부 암호에 기댔다.

1917년 1월, 독일 외무장관 치머만은 멕시코에 보내는 전보를 암호로 썼다. 미국이 참전하면 멕시코가 독일 편에 서 주는 대가로 텍사스와 뉴멕시코, 애리조나를 되찾게 해 주겠다는 내용이었다. 영국 해군 정보부의 '40호실'이 이 전보를 가로채 풀었고, 공개된 전보는 미국이 1차 세계대전에 뛰어드는 계기 가운데 하나가 됐다([미국 국립문서기록관리청](https://www.archives.gov/education/lessons/zimmermann)).

2차 세계대전에서는 기계가 섞었다. 독일의 에니그마는 회전자 여러 개가 글자 하나를 칠 때마다 돌아가며 배선을 바꾸는 기계였다. 같은 A를 쳐도 매번 다른 글자가 나온다. 빈도 분석이 그대로는 통하지 않는다. 이 기계를 처음 뚫은 건 1932년 폴란드 수학자 마리안 레예프스키였고, 전쟁이 나자 그 성과가 영국 블레츨리 파크로 건너가 앨런 튜링의 해독기 '봄브'로 이어졌다. 이때 깨진 건 수학이 아니라 운영이었다. 매일 아침 같은 형식으로 시작하는 기상 보고, 운영병이 습관처럼 고르는 열쇠 같은 사람의 버릇이 실마리가 됐다.

미군은 반대로 사람의 언어를 암호로 썼다. 태평양 전선에서 나바호족 병사 약 400명이 '코드 토커'로 무전을 맡았다. 나바호어는 문자가 없고 구조가 복잡해, 바깥 사람이 녹음을 들어도 무슨 말인지 알 수 없었다. 군사 용어는 나바호 낱말에 빗대 새로 만들었다. 잠수함은 '쇠 물고기', 폭격기는 '말똥가리', 폭탄은 '알'이 됐다. 이 암호는 끝까지 깨지지 않았다고 전해진다.

목소리 자체를 섞는 기술도 이때 나왔다. 1943년부터 루스벨트와 처칠이 쓴 전화 암호 장치 SIGSALY는 목소리를 숫자로 바꾼 뒤, 똑같은 레코드판 두 장에 녹음한 무작위 잡음을 더했다가 빼는 방식이었다. 판은 한 번 쓰고 버렸다([NSA](https://www.nsa.gov/History/National-Cryptologic-Museum/Exhibits-Artifacts/Exhibit-View/Article/2719206/sigsaly/)). 한 장비가 방 하나를 채울 만큼 컸지만, 이 판을 가로챈 적은 끝내 없었다.

전파를 숨기는 방법도 있다. 1942년 배우 헤디 라마르와 작곡가 조지 앤타일은 어뢰 조종 신호가 방해받지 않도록 송신기와 수신기가 미리 약속한 순서대로 주파수를 함께 바꾸는 '주파수 도약' 특허(미국 특허 2,292,387)를 받았다. 피아노 자동 연주 롤에서 따온 생각이었다고 한다. 엿듣는 쪽은 어느 주파수에 귀를 대야 할지 모른다. 당시 해군은 이 아이디어를 쓰지 않았지만, 주파수를 약속대로 건너뛰는 원리는 지금 블루투스에서도 쓴다.

가장 단순한 방식이 가장 오래 살아남기도 했다. 일회용 난수표(원타임 패드)는 메시지와 길이가 같은 무작위 숫자를 한 번만 쓰고 버리는 방식이다. 규칙만 지키면 이론적으로 절대 풀 수 없다는 게 섀넌이 증명한 사실이다. 단파 라디오에서 여성 목소리가 숫자를 읽어 내려가는 '난수방송'이 이 방식이다. 북한 평양방송은 2000년 남북정상회담 뒤 멈췄던 난수방송을 16년 만인 2016년 여름에 다시 내보냈다([38 North](https://www.38north.org/2016/08/mwilliams08092016/)). 숫자는 누구나 듣지만, 난수표를 가진 사람만 읽는다.

다만 규칙을 어기면 그 '절대'가 무너진다. 소련은 전쟁 중 난수표가 모자라자 같은 페이지를 다시 찍어 썼다. 미국은 1943년부터 이 겹친 페이지를 파고들어 1980년까지 소련 전문 3,000건 남짓을 풀었고(베노나 계획), 원자폭탄 기밀을 넘긴 간첩들의 정체가 여기서 드러났다([NSA](https://www.nsa.gov/Helpful-Links/NSA-FOIA/Declassification-Transparency-Initiatives/Historical-Releases/Venona/smdpage14707/93/)). 수학은 완벽했는데, 한 번만 쓰라는 약속을 사람이 지키지 않았다.

## 열쇠를 어떻게 건네나

여기까지의 암호에는 공통된 숙제가 있다. 보내는 쪽과 받는 쪽이 같은 열쇠를 미리 나눠 가져야 한다. 스키테일의 막대, 에니그마의 그날 설정, 난수표 책. 열쇠를 건네는 길이 안전하다면 애초에 그 길로 메시지를 보내면 된다. 그래서 군대는 열쇠를 나르는 사람과 책을 따로 운영했고, 그 비용은 엄청났다.

1976년 휫필드 디피와 마틴 헬먼이 이 숙제를 뒤집었다. 논문 「암호학의 새로운 방향」에서, 공개된 통로로 말을 주고받기만 해도 두 사람만 아는 열쇠를 함께 만들 수 있다는 걸 보였다. 이듬해 리베스트, 샤미르, 애들먼이 RSA를 내놓았다. 자물쇠(공개키)는 누구에게나 나눠 주고, 그 자물쇠를 여는 열쇠(개인키)는 나만 갖는다. 누구든 내 자물쇠로 상자를 잠가 보낼 수 있지만 여는 건 나뿐이다. RSA의 안전은 두 큰 소수를 곱하기는 쉬워도, 곱한 결과를 다시 두 소수로 쪼개기는 엄청나게 어렵다는 사실에 기대고 있다. 오늘 우리가 웹사이트 주소창의 자물쇠를 보며 안심하는 것도 결국 이 두 사람과 세 사람 덕이다.

재미있는 건 이것도 원래 비밀이었다는 점이다. 영국 정보기관 GCHQ의 제임스 엘리스, 클리퍼드 콕스, 맬컴 윌리엄슨은 1970년대 초에 같은 생각에 먼저 이르렀지만, 그 사실은 1997년에야 공개됐다. 암호를 만든 사람들도 자기 발견을 20년 넘게 비밀로 지켜야 했다.

열쇠를 맡긴 기계를 믿을 수 있느냐는 문제도 남는다. 스위스 회사 크립토 AG는 수십 년 동안 120개가 넘는 나라에 암호 장비를 팔았다. 2020년 『워싱턴 포스트』와 독일 공영방송 ZDF는 이 회사가 1970년부터 미국 CIA와 서독 BND의 소유였고, 장비에 일부러 약점을 심어 고객 나라의 통신을 읽어 왔다고 보도했다([워싱턴 포스트](https://www.washingtonpost.com/graphics/2020/world/national-security/cia-crypto-encryption-machines-espionage/)). 수학이 아무리 튼튼해도, 그 수학을 담은 상자를 누가 만들었는지까지 따져야 한다.

## 숨기지 않고 증명하기

지금까지는 비밀을 '못 읽게' 하는 이야기였다. 그런데 디지털 세상에는 다른 종류의 걱정이 있다. 이 기록이 나중에 몰래 바뀌지 않았다는 걸 어떻게 믿나. 계약서의 날짜, 장부의 숫자, 내가 보낸 돈 같은 것들이다.

여기서 쓰는 도구가 해시다. 해시 함수는 어떤 데이터든 넣으면 정해진 길이의 지문을 내놓는다. 글자 하나만 바꿔도 지문이 완전히 달라지고, 지문을 보고 원래 데이터를 거꾸로 알아낼 수도 없다. 1991년 스튜어트 하버와 스콧 스토르네타는 문서의 지문을 앞 문서의 지문과 엮어 사슬로 만드는 방법을 내놓았다. 사슬 중간 하나를 고치면 그 뒤의 지문이 줄줄이 어긋나서 들킨다. 이들이 세운 회사는 1995년부터 매주 이 사슬의 맨 끝 지문을 『뉴욕 타임스』 광고란에 실었다. 수십만 부가 찍혀 전국에 흩어진 신문을 모두 고칠 수는 없으니, 그 지문이 곧 공증이 된 셈이다.

2008년 사토시 나카모토라는 이름으로 나온 비트코인 백서는 참고문헌 여덟 편 가운데 세 편이 하버와 스토르네타의 논문이다([비트코인 백서](https://bitcoin.org/bitcoin.pdf)). 비트코인은 거래 기록을 블록으로 묶어 해시로 줄줄이 엮는다. 여기에 '작업증명'을 더했다. 새 블록을 붙이려면 지문이 0으로 시작하는 특정한 숫자를 찾아야 하는데, 이건 수없이 찍어 보는 수밖에 없어서 막대한 계산이 든다. 과거 기록을 고치려면 그 블록부터 지금까지의 계산을 전부 다시 해야 하고, 그동안 세상의 나머지 참여자들도 계속 사슬을 늘리고 있으니 따라잡을 수가 없다.

여기서 흥미로운 뒤집기가 있다. 비트코인 장부는 비밀이 아니다. 누구나 모든 거래를 볼 수 있다. 지켜지는 건 내용이 아니라 '고쳐지지 않음'이다. 비밀을 감추는 대신 모두에게 펼쳐 놓고, 펼쳐 놓았기 때문에 아무도 못 고치게 한 것이다. 인터넷 인증서가 몰래 발급되지 않았는지 감시하는 인증서 투명성(Certificate Transparency) 로그도 같은 생각으로 돌아간다.

한 걸음 더 나간 게 영지식 증명이다. 비밀을 보여 주지 않고, 내가 그 비밀을 안다는 사실만 증명한다. "나는 성인이다"를 생년월일 없이 증명하고, "이 거래는 잔액 안에서 이뤄졌다"를 금액 없이 증명한다. 2016년 지캐시(Zcash)는 이 방식으로 보내는 사람, 받는 사람, 금액을 감춘 채 거래가 올바르다는 것만 장부에 남겼다. 지금은 이더리움 쪽에서 많은 거래를 묶어 그 계산이 맞다는 증명 하나만 올리는 '롤업' 기술로 널리 쓰인다.

그리고 비트코인에서 오늘 노트의 첫 문장이 다시 돌아온다. 비트코인을 가진다는 건 개인키라는 비밀을 가진다는 뜻이다. 많은 지갑은 이 키를 영어 낱말 12개나 24개로 바꿔 보여 주고, 종이에 적어 두라고 한다. 아예 외워 두자는 '브레인 월렛'도 유행했다. 사람이 고른 문장으로 키를 만드는 방식이었는데, 사람이 떠올리기 쉬운 문장은 공격자도 떠올리기 쉬웠다. 유명한 시구나 속담으로 만든 지갑은 돈이 들어오자마자 털렸다. 기억만 하는 비밀은 안전하지만, 사람이 기억하기 쉬운 비밀은 남도 짐작하기 쉽다.

## 풀지 않고 계산하기

암호에는 오랫동안 받아들여진 한계가 하나 있었다. 데이터를 쓰려면 먼저 풀어야 한다는 것. 병원 기록을 분석하든, 내 사진을 인공지능에 맡기든, 계산하는 쪽은 결국 원문을 본다. 클라우드에 맡기는 순간 비밀은 남의 컴퓨터 메모리 위에 놓인다.

동형암호는 이 전제를 깬다. 암호문끼리 더하거나 곱하면, 그 결과를 풀었을 때 원문끼리 더하거나 곱한 값이 나온다. 서버는 숫자를 끝까지 못 본 채 계산만 해 주고, 답은 열쇠를 가진 나만 본다. 잠긴 장갑 상자에 손만 넣어 작업하는 보석 세공사를 떠올리면 된다. 보통의 암호가 금고라면 동형암호는 손 구멍이 달린 금고다.

생각 자체는 오래됐다. RSA가 나온 이듬해인 1978년, 리베스트와 애들먼, 데르투조스가 이런 '사생활을 지키는 연산'이 가능한지 물었다. 사실 RSA 자체가 곱셈에 대해 동형이다. 암호문 둘을 곱하면 원문 둘을 곱한 값의 암호문이 된다. 1999년 파이에(Paillier) 암호는 덧셈을 할 수 있게 했다. 그런데 덧셈과 곱셈을 둘 다, 원하는 만큼 하는 '완전동형'은 30년 동안 풀리지 않았다. 암호문에는 일부러 잡음을 섞는데, 계산할수록 잡음이 불어나 결국 답이 망가졌기 때문이다.

2009년 크레이그 젠트리가 박사 논문에서 그 벽을 넘었다. 잡음이 커지기 전에 암호문을 암호화된 채로 한 번 '닦아 내는' 부트스트래핑이라는 방법이었다. 초기 구현에서는 이 닦아 내기 한 번에 30분쯤 걸렸지만, 지금은 방식에 따라 1초도 안 걸린다.

이 흐름에서 한국 연구자의 이름이 크게 나온다. 2017년 서울대 천정희 교수 연구팀이 발표한 CKKS는 정수 대신 소수점이 있는 실수를 근사적으로 계산하도록 만든 동형암호다([CKKS 논문](https://eprint.iacr.org/2016/421)). 인공지능은 정확한 정수보다 근삿값 계산을 훨씬 많이 하니, 암호화한 채로 기계학습을 돌리는 길이 여기서 크게 열렸다. 지금은 세계 주요 동형암호 라이브러리가 거의 다 CKKS를 지원한다. 2026년 3월 바르셀로나 MWC에서는 LG유플러스가 동형암호를 넣은 AI 통화 앱을 선보였고, 천 교수가 세운 크립토랩도 현장에서 동형암호 기술을 알렸다([보안뉴스](https://m.boannews.com/html//detail.html?idx=142447)).

일상에도 이미 들어와 있다. 애플은 2024년 iOS 18에서 발신자 확인 앱이 쓰는 '실시간 발신자 조회(Live Caller ID Lookup)'에 동형암호를 썼다. 모르는 번호로 전화가 오면 그 번호를 암호화해 서버에 묻고, 서버는 어떤 번호를 찾는지 모른 채 답을 돌려준다. 애플은 이 라이브러리를 공개했다([Swift.org](https://www.swift.org/blog/announcing-swift-homomorphic-encryption/)). 사진 앱이 명소를 알아보는 기능에도 비슷한 방식이 쓰인다([애플 머신러닝 연구](https://machinelearning.apple.com/research/homomorphic-encryption)).

물론 공짜는 아니다. 같은 계산을 암호화한 채로 하면 여전히 평문보다 수천 배에서 수백만 배 느리고, 암호문은 원문보다 훨씬 크다. 그래서 지금은 무엇이든 동형암호로 하는 게 아니라, 꼭 숨겨야 하는 좁은 계산에 골라서 쓴다. 비슷한 목표를 다른 방법으로 이루는 기술도 있다. 여러 사람이 각자 데이터를 쪼개 나눠 갖고 함께 계산하는 다자간 계산, 칩 안에 잠긴 방을 만들어 그 안에서만 원문을 푸는 보안 영역(TEE) 같은 것들이다. 금고에 손 구멍을 내느냐, 금고를 여러 조각으로 나누느냐, 금고를 방째로 잠그느냐의 차이다.

## 양자컴퓨터가 흔드는 것

이제 지금 가장 시끄러운 이야기다. 앞에서 RSA의 안전은 큰 수를 소수로 쪼개기 어렵다는 데 기댄다고 했다. 요즘 많이 쓰는 타원곡선 암호도 비슷한 종류의 어려운 문제에 기댄다. 그런데 1994년 피터 쇼어가 양자컴퓨터라면 이 두 문제를 빠르게 풀 수 있다는 알고리즘을 내놓았다. 지금 쓰는 컴퓨터로는 우주의 나이만큼 걸릴 계산이, 충분히 큰 양자컴퓨터에서는 며칠이면 끝날 수 있다는 뜻이다.

다행히 모든 암호가 같은 처지는 아니다. AES처럼 같은 열쇠를 나눠 쓰는 대칭키 암호는, 1996년 그로버 알고리즘을 써도 열쇠를 찾는 속도가 제곱근만큼만 빨라진다. 열쇠 길이를 두 배로 늘리면 된다. 위험한 건 앞에서 말한 공개키, 즉 '열쇠를 건네는 문제'를 풀어 준 그 발명이다. 인터넷의 거의 모든 연결이 처음에 이 방식으로 열쇠를 정한다.

그 큰 양자컴퓨터가 언제 나오느냐가 문제인데, 추정은 해마다 무섭게 줄고 있다. 2019년 구글의 크레이그 고시드니와 마르틴 에케로는 RSA-2048을 8시간에 깨려면 오류가 있는 물리 큐비트 2,000만 개가 필요하다고 계산했다([arXiv 1905.09749](https://arxiv.org/abs/1905.09749)). 2025년 5월 고시드니는 같은 하드웨어 가정에서 100만 개가 안 되는 큐비트로 일주일 안에 가능하다는 새 추정을 냈다([arXiv 2505.15917](https://arxiv.org/abs/2505.15917)). 2026년에는 오류 정정 방식을 바꾸면 10만 개 안팎이면 된다는 프리프린트들이 나왔다([The Quantum Insider](https://thequantuminsider.com/2026/02/13/new-architecture-could-cut-quantum-hardware-needed-to-break-rsa-2048-by-tenfold-study-finds/)). 아직 검증 전이고 계산 시간도 한 달 단위로 늘어나지만, 방향은 분명하다. 지금 가장 큰 양자컴퓨터는 물리 큐비트 수천 개 수준이다. 아직 멀다. 그래도 필요하다고 본 큐비트 수는 7년 만에 200분의 1로 줄었다. 추정마다 하드웨어 가정이 달라 그대로 비교할 수는 없지만 말이다.

![RSA-2048 암호를 깨는 데 필요하다고 본 물리 큐비트 수 추정치를 로그 눈금으로 그린 그래프. 2019년 2,000만 개(8시간), 2025년 100만 개 미만(1주 미만), 2026년 프리프린트 약 10만 개(약 1개월)로 내려온다. 아래에는 현재 공개된 양자컴퓨터의 큐비트 수가 수천 개 수준이라는 띠가 깔려 있다. 추정치는 하드웨어 가정이 달라 그대로 비교할 수는 없고, 2026년 값은 검증 전 프리프린트라고 적혀 있다](/uploads/6f1e539365750645.webp =720)

더 무서운 건 시점이다. 공격자는 양자컴퓨터를 기다릴 필요가 없다. 지금 암호화된 통신을 몽땅 저장해 두었다가 나중에 풀면 된다. '지금 모으고 나중에 푼다(Harvest now, decrypt later)'는 이 전략 때문에, 10년, 20년 비밀이어야 하는 정보는 이미 위험하다. 캐나다 암호학자 미셸 모스카는 이걸 간단한 부등식으로 정리했다. 정보가 비밀이어야 하는 기간(x)과 새 암호로 바꾸는 데 걸리는 기간(y)의 합이 양자컴퓨터가 나오기까지 남은 기간(z)보다 길면, 이미 늦었다.

그래서 세계는 갈아타는 중이다. 미국 국립표준기술연구소(NIST)는 8년의 공모 끝에 2024년 8월 양자컴퓨터로도 풀기 어려운 수학 문제에 기댄 양자내성암호 표준 세 가지(FIPS 203·204·205)를 확정했다([NIST](https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards)). 2025년 3월에는 예비용으로 HQC를 하나 더 골랐다. NIST는 지금의 RSA와 타원곡선 암호를 2030년부터 권장하지 않고 2035년부터 쓰지 못하게 하는 일정 초안도 내놓았다. 구글은 2026년 3월 자사 전환을 2029년까지 마치겠다고 밝혔다. 양자 하드웨어와 소인수분해 추정이 예상보다 빨리 나아가고 있다는 이유였다([Dark Reading](https://www.darkreading.com/application-security/google-2029-deadline-quantum-safe-cryptography)). 메신저는 이미 바꿨다. 시그널은 2023년, 애플 아이메시지는 2024년에 양자내성 열쇠 교환을 넣었다.

한국도 따로 준비해 왔다. 2023년 7월 정부가 2035년까지 국가 암호 체계를 양자내성암호로 바꾸는 계획을 내놨고, 2025년 1월 한국형 양자내성암호 공모(KpqC)가 열쇠 교환용 SMAUG-T, NTRU+와 전자서명용 HAETAE, AIMer 네 가지를 최종 선정했다([바이라인네트워크](https://byline.network/2026/02/26-571/)). 이 가운데 SMAUG-T와 HAETAE에는 CKKS를 만든 천정희 교수 팀이 참여했다. 2026년에는 통신, 국방, 금융, 우주, 교통 다섯 분야에서 전환 시범사업이 돌고 있다.

비트코인은 더 곤란한 처지다. 비트코인 주소 가운데 공개키가 이미 장부에 드러난 것들이 있다. 초창기 방식의 주소나 한 번 돈을 보낸 뒤 재사용한 주소들이다. 큰 양자컴퓨터가 나오면 공개키에서 개인키를 계산해 그 안의 코인을 옮길 수 있다. 그런 코인이 수백만 개에 이르고, 사토시의 것으로 추정되는 100만 개 남짓도 여기 들어간다는 분석이 있다. 2026년 2월 양자 공격에 노출되지 않는 주소 형식을 제안한 BIP-360이 초안으로 공식 저장소에 올랐지만([Forbes](https://www.forbes.com/sites/digital-assets/2026/02/23/bitcoin-took-its-first-step-against-quantum-computers/)), 주인이 옮기지 않는 옛 코인을 어떻게 할지를 두고는 논쟁이 한창이다. 그대로 두면 양자컴퓨터를 먼저 가진 사람이 가져가고, 네트워크가 쓰지 못하게 막으면 '누구도 내 돈을 건드릴 수 없다'는 약속을 스스로 깨게 된다. 열쇠를 잃어버린 주인은 옮길 수도 없다. 기억만 하던 비밀이 주인과 함께 사라진 경우다.

반대로 양자 덕분에 생기는 비밀 지키기도 있다. 양자 상태는 측정하는 순간 바뀐다. 이걸 이용하면 누가 중간에 엿보면 반드시 흔적이 남는 통로로 열쇠를 나눌 수 있다. 양자 키 분배(QKD)다. 중국은 2017년 위성 '묵자호'를 써서 베이징과 빈 사이에 양자 키로 암호화한 화상 통화를 했고, 한국 통신사들도 일부 구간에 이 기술을 깔았다. 수학의 어려움 대신 물리 법칙에 비밀을 맡기는 방식이다. 다만 거리와 비용, 장비 신뢰 문제가 남아 있어, 대부분의 나라는 수학으로 지키는 양자내성암호를 주력으로 삼고 QKD는 특수한 구간에 보태는 쪽으로 가고 있다.

## 놀이판: 비밀 실험실

말로만 들으면 감이 잘 안 온다. 그래서 네 가지를 직접 만져 볼 수 있게 했다. 첫째 탭은 글자 밀기 암호를 걸고, 빈도 분석으로 열쇠 없이 푸는 과정이다. 둘째는 블록 다섯 개짜리 해시 사슬이다. 중간 블록 글자 하나를 고치면 뒤가 줄줄이 빨개지고, 작업증명으로 다시 붙이려면 얼마나 찍어야 하는지 볼 수 있다. 셋째는 세 사람의 연봉을 암호화한 채 더하는 동형 덧셈이다. 계산하는 쪽은 숫자를 끝까지 못 본다. 넷째는 모스카의 부등식을 옮긴 양자 시계로, 내 데이터가 이미 늦었는지 따져 볼 수 있다.

```map /embed/secret-lab-2026.html 4:5
비밀 실험실: 글자 밀기·빈도 분석 / 해시 사슬·작업증명 / 동형 덧셈 / 양자 시계. 동형 덧셈은 이해를 돕는 작은 소수 장난감이라 실제로는 안전하지 않다
```

## 결국 가장 약한 고리는 사람이다

2,500년을 훑고 나니 한 가지가 눈에 띈다. 비밀이 깨진 순간을 보면 수학이 진 경우는 의외로 드물다. 메리 여왕은 통로를 믿었고, 에니그마 운영병은 습관대로 열쇠를 골랐고, 소련은 난수표를 아꼈고, 수많은 나라가 남이 만든 상자를 믿었고, 브레인 월렛 주인들은 남도 떠올릴 문장을 골랐다. 양자컴퓨터가 정말 무서운 이유도 마찬가지다. 수학이 깨져서라기보다, 그 수학을 믿고 쌓아 둔 수십 년치 장치와 습관을 사람이 제때 바꾸지 못할까 봐서다.

그러니 노트의 첫 생각으로 돌아가면 반쯤은 맞다. 기억만 하는 비밀이 가장 안전하다. 그러나 그 비밀은 전할 수도 없고, 내가 잊으면 영영 사라진다. 사람들은 그 둘 사이에서 2,500년 동안 균형을 찾아왔다. 숨기고, 섞고, 펼쳐 놓고 증명하고, 풀지 않고 계산하는 방법까지. 그리고 이제 다시 한 번 열쇠를 갈아 끼우는 중이다.

『오늘의 한 페이지』는 아이디어 노트를 아무 데나 펼쳐, 거기 적힌 한 줄에 그날의 생각을 얹는 연재다. 오늘은 낱말 하나가 스물세 번째 글이 됐다. 이 글에 비밀은 없다. 다 펼쳐 놓았으니, 고칠 데가 보이면 알려 주시면 된다.