클라우드플레어가 지역별로 제한된 키 관리 시스템에 양자컴퓨터 공격을 방어하는 '양자내성암호(Post-Quantum Cryptography)' 기술을 통합했다. 23일(현지 시간) 클라우드플레어 블로그에 따르면, 회사는 데이터 지역화 제품군(DLS)에 포함된 '포스트퀀텀 지오키 매니저(PQ GeoKey Manager)'를 폐쇄 베타로 출시했다.

클라우드플레어는 2026년 1분기 정식 서비스(GA)를 목표로 하고 있다. 이 기술은 고객의 데이터 해독 키가 지정된 지역 내에서만 접근 가능하도록 제한하는 '데이터 주권(Data Sovereignty)' 솔루션의 핵심을 차지한다.

양자 위협에 대한 대응

정부 기관, 금융 기관, 의료 기관, 방위산업체는 수십 년간 민감할 수 있는 데이터를 다룬다. 클라우드플레어가 새로운 기술을 개발한 배경은 현재의 암호화 방식이 미래에 얼마나 취약한지에 있다. 양자컴퓨터가 현재의 공개키 암호화를 깨뜨릴 수 있게 되면, 지금 수집한 암호화된 데이터가 미래에 노출될 수 있다는 점이다. 이를 '지금 수집, 나중에 해독(Harvest Now, Decrypt Later)' 공격이라 부른다.

과거에는 이론적인 위협이었지만, 양자컴퓨터 기술의 발전으로 금융·정부 부문에서 본격적인 대비가 시작된 것이다. 특히 미국 국립표준기술연구소(NIST)가 2022년 양자내성암호 표준을 선정하면서 업계 표준화가 가속화됐다.

지역 제한의 복잡성

클라우드플레어는 글로벌 규모에서 높은 가용성을 위해 수많은 서버에 고객 데이터를 복제해야 한다. 그런데 각국의 데이터 주권 규제(유럽 GDPR, 캐나다 개인정보 보호법 등)는 특정 데이터를 해당 지역 내에서만 처리하도록 강제한다. 클라우드플레어는 이 모순을 해결해야 했다.

회사가 취한 방식은 "전역으로 배포된 암호화된 데이터, 지역별로 제한된 키 해제"라는 구조다. 각 고객의 개인 키는 그 지역에 속한 서버에서만 해독될 수 있도록 설계했다. 예를 들어 독일 고객의 데이터는 스페인이나 프랑스 서버에서는 절대 해독될 수 없다.

기술 진화의 결과물

클라우드플레어는 2017년 지역별 제한된 TLS(전송계층보안) 키 관리를 처음 선보인 업체다. 이후 2022년 '속성 기반 암호화(ABE)' 기술을 추가해 더 유연한 지역 정의(예: "유럽연합" 또는 "캐나다 + 미국 + 멕시코")가 가능해졌다.

이번 양자내성 버전에서 클라우드플레어는 ABE 대신 더 단순한 설계를 선택했다. 프로덕션 수준의 양자내성 ABE 솔루션이 아직 없고, 고객이 다루는 지역 수도 많지 않다는 판단에서다. 대신 NIST 표준인 'ML-KEM-768'과 타원곡선 암호화 'X25519'를 하이브리드 방식으로 조합했다.

새로운 구조에서는 각 지역마다 '지역 루트 키(Regional Root Key)'라는 대칭 비밀키를 두고, 여기서 특정 서비스(Gateway, Tunnel 등)용 키를 파생시킨다. 이렇게 하면 개인키 자료는 "지금 수집, 나중에 해독" 공격으로부터 보호되면서도, 지역별 키 사용 경계가 유지된다.

실무 설계: 완벽한 차단

'Quicksilver'라는 클라우드플레어의 글로벌 설정 배포 시스템은 암호화된 개인 키와 그 메타데이터를 전세계 네트워크에 뿌린다. 하지만 지역 루트 키는 별도 경로로만 배포된다. 해당 지역의 에지 서버에만 전달되는 방식이다.

데이터 평면(실제 요청 처리 단계)에서는 노드의 지역 설정이 어떤 루트 키를 받을 수 있는지 결정한다. 만약 독일 요청이 스페인 서버에서 해독을 시도하면 그 서버는 독일 루트 키를 갖지 않으므로 즉시 거절된다. "혹시 모를 위험을 감수하고 지역 경계를 넘는" 시나리오를 원천 차단하는 구조다.

각 암호화된 고객 개인 키는 ▲사용하는 서비스 컨텍스트(Tunnel, Gateway 등) ▲승인된 지역 범위 ▲키 로테이션 세대(에포크) 정보를 메타데이터로 담는다. 예를 들어 '에임 주식회사(Acme Co.)'는 Tunnel용, Gateway용 등으로 여러 키를 가질 수 있으며, 각각 다른 지역 제한을 받는다.

산업적 의미

이 기술은 규제 당국의 강화된 데이터 주권 요구와 양자 시대의 보안 위협을 동시에 해결하려는 클라우드 산업의 진화를 보여준다. 금융·의료·정부 부문의 고객들은 더 이상 "우리 데이터가 안전하다"는 믿음만으로는 충분하지 않다. "우리 데이터가 우리 지역에만 머무르고, 미래의 양자 공격도 견딜 수 있다"는 기술적 보증이 필수가 되고 있다.

AWS, 마이크로소프트 애저 같은 경쟁사들도 같은 방향으로 움직이고 있다. 클라우드플레어가 2027년 1분기 정식 출시를 목표로 하는 만큼, 규제가 엄격한 금융·정부 부문 고객들의 수용 속도가 기술 채택률을 좌우할 것으로 보인다.