남다 자체 개발 라이브키, NIST PQC 최상위 ‘카테고리 5’ 수준 구현… 상용화 준비 완료

남다(대표 안동연)는 자체 개발한 인증보안 솔루션 ‘라이브키(LiveKey)’에 양자내성암호(PQC)를 적용해 미국 국립표준기술연구소(NIST)의 보안 카테고리 5 수준을 구현하는 데 성공하고, 상용화 준비를 완료했다고 밝혔다. 카테고리 5는 NIST가 양자내성암호 평가를 위해 제시한 다섯 가지 보안범주 가운데 최상위 수준이다.

이번 발표의 핵심은 이용자가 인증을 수행하는 순간의 위험을 점검하는 라이브키에 양자컴퓨팅 시대를 대비한 암호 보안성을 결합했다는 데 있다. 인증정보가 사용되는 환경을 보호하는 기능과 암호체계 자체의 안전성을 강화하는 기술을 함께 다루겠다는 접근이다.

NIST는 미국 상무부 산하 국립표준기술연구소로, 측정과 기술표준을 비롯해 암호·사이버보안 분야의 기준을 마련하는 기관이다. 양자내성암호 분야에서는 알고리즘의 안전성과 성능을 평가하고, 실제 시스템에 적용할 수 있는 암호 표준을 정립하는 역할을 수행한다.

양자내성암호는 일반 컴퓨터와 양자컴퓨터를 이용한 공격 모두에 견딜 수 있도록 설계하는 암호기술이다. 충분한 성능의 양자컴퓨터가 등장할 경우 기존 RSA·타원곡선암호(ECC) 등 공개키 암호체계의 안전성이 위협받을 수 있다는 문제의식에서 출발한다. 양자컴퓨터를 이용해 정보를 암호화하는 기술이 아니라 양자컴퓨터가 공격에 사용되는 환경에서도 안전성을 확보하기 위한 수학적 암호체계라는 점이 특징이다.

NIST의 양자내성암호 보안 카테고리는 암호를 공격하는 데 필요한 계산 자원을 기준으로 1부터 5까지 구분된다. 카테고리 1·3·5는 각각 AES-128·AES-192·AES-256의 키 탐색을, 카테고리 2·4는 각각 256비트·384비트 해시함수의 충돌 탐색을 비교 기준으로 삼는다. 해시 충돌 탐색은 같은 해시값을 만드는 서로 다른 입력을 찾아내는 공격을 뜻한다.

이 가운데 카테고리 5는 관련 보안성을 깨뜨리는 공격에 AES-256의 키 탐색과 동등하거나 그 이상의 계산 자원이 필요해야 한다는 기준이다. 단순히 암호키의 길이를 늘렸다는 의미를 넘어 고전적·양자적 공격을 고려하는 NIST 평가체계에서 가장 높은 보안범주에 해당한다.

라이브키는 기존 일회용 비밀번호(OTP) 인증체계에 기기의 보안 환경과 거래 상황을 확인하는 기능을 결합한 솔루션이다. 남다는 앞서 통화 중 인증코드 노출 제한, 원격제어 앱 실행 여부 확인, 화면공유·녹화 환경 감지, 등록 기기를 통한 인증 승인 등의 기능을 소개했다. 인증번호의 일치 여부와 함께 인증이 이뤄지는 환경의 위험요인을 점검하는 것이 설계의 중심이다.

이러한 접근은 인증정보가 정확하더라도 그 정보가 사용되는 과정은 공격에 노출될 수 있다는 문제를 다룬다. 이용자가 조작된 안내에 따라 인증정보를 전달하거나 외부에서 기기를 통제하는 상황에서는 암호 알고리즘의 강도만으로 거래의 정당성을 판단하기 어렵다. 인증환경에 대한 위험 점검과 암호학적 보호가 함께 필요한 이유다.

양자내성암호 적용은 이와 다른 층위의 위협에 대응한다. 인증환경 보호가 정보 노출과 기기 악용 등의 위험을 다룬다면 양자내성암호는 암호체계의 수학적 안전성을 위협하는 계산능력의 변화에 대비한다. 두 기술은 보호 대상과 작동 원리가 다르지만, 인증 절차의 신뢰성을 높인다는 공통 목적 아래 상호 보완적으로 설계될 수 있다.

남다가 밝힌 이번 개발 성과는 이러한 두 보안 영역을 자체 개발한 라이브키에 연결하고, 상용화 준비를 마쳤다는 것이다. 다만 카테고리 5는 암호 알고리즘과 파라미터의 보안 강도를 나타내는 분류며, 개별 제품 전체에 대한 NIST 공식 검증과는 구분된다. 알고리즘 구현 검증이나 FIPS 140-3 암호모듈 검증 역시 각각의 대상과 절차를 갖는다.

라이브키의 이번 발표는 인증보안의 범위를 이용자의 인증 순간에서 암호체계의 장기적 안전성까지 확장하려는 시도로 볼 수 있다. 현재의 인증환경에서 발생하는 위험에 대응하면서 미래의 양자컴퓨팅 위협에도 대비한다는 점에서 남다가 제시한 개발 방향은 인증보안과 양자내성암호의 결합에 초점을 맞추고 있다.