Skip to content

Post-quantum-cryptography

  • Published on
    2026년 7월 6일에 나온 OpenSSH 10.4는 겉보기에 버그픽스 릴리스지만, 릴리스 노트를 정독하면 두 흐름이 보입니다. 하나는 포스트양자 전환의 다음 단계입니다 — 키 교환은 10.0(2025-04)에서 mlkem768x25519-sha256이 기본값이 되며 사실상 일단락됐고, 10.4는 ML-DSA-44와 Ed25519를 묶은 복합 서명 ssh-mldsa44-ed25519@openssh.com을 실험 지원하면서 서명 전선을 열었습니다. 다른 하나는 조용히 쌓여 온 비호환 변경들입니다 — DSA 제거, 서버 기본값에서 modp DH 제거, 에이전트 소켓의 /tmp 탈출, rekey 미지원 구현과의 호환 코드 제거, seccomp 실패의 치명화가 각각 오래된 클라이언트, 자동화 스크립트, 레거시 장비를 서로 다른 시점에 뭅니다. 이 글은 10.0부터 10.4까지의 릴리스 노트 원문, IETF 드래프트, FIPS 204, 그리고 10.4 소스 코드를 직접 대조해 정리합니다. 복합 서명 드래프트(-00)는 본문에 TODO가 남아 있고 서명 크기 숫자가 FIPS 204와 어긋나는 초기 문서라는 점 — 즉 이 기능을 프로덕션에 켜면 안 되는 이유까지 포함해서 다룹니다.
  • Published on
    포스트양자 전환에서 키 교환(암호화)은 이미 상당히 진행됐지만, 인증서와 서명 쪽은 아직 출발선에 있습니다. 이유는 암호학이 아니라 크기입니다 — FIPS 204가 정한 ML-DSA-44 서명은 2,420바이트로 ECDSA P-256의 64바이트보다 훨씬 크고, 오늘날 웹 핸드셰이크가 서명 5개와 공개키 2개를 나르기 때문에 그대로 갈아끼우면 인증 데이터만 1만 바이트를 넘습니다. Cloudflare가 2021년에 실측한 바로는 인증서 체인에 10kB 넘게 더하면 클라이언트·미들박스 실패율이 급증하고, 9kB 미만이어도 핸드셰이크가 약 15% 느려졌습니다. 이 글은 그 숫자들이 어디서 나왔는지 1차 출처로 확인하고, 업계가 택한 우회로인 Merkle Tree Certificates(배치 서명 + 포함 증명)의 설계와 IETF PLANTS·Chrome·Let's Encrypt의 실제 일정, 그리고 이 접근에 붙은 조건과 반론(추정치의 가정, 클라이언트 최신성 의존, 핸드셰이크 시간 중심 관점에 대한 pushback)까지 정직하게 정리합니다.