한국어
메뉴

ML-KEM란?

미국 NIST가 2024년 8월에 FIPS 203으로 표준화한, 격자 기반의 키 캡슐화 메커니즘(KEM). Module-Lattice-Based Key-Encapsulation Mechanism의 약자로, CRYSTALS-Kyber를 바탕으로 한다. 작은 오차를 더한 연립 일차 방정식으로부터 비밀을 구하는 Module-LWE 문제의 어려움에 안전성의 근거를 두며, 양자 컴퓨터로도 효율적으로 풀 수 없다고 생각된다. ML-KEM-512, ML-KEM-768, ML-KEM-1024의 3가지 파라미터 세트가 있다. TLS 등에서 ECDHE 키 교환을 대체하거나 조합하기 위해 사용된다.

일본어 명칭: ML-KEM

ML-KEM은(는) 암호 기술의 기초와 응용, 양자 컴퓨터의 하드웨어 등 2개 분야의 연습 문제 4개에 나와요.

분야: 암호 기술의 기초와 응용

키 캡슐화 메커니즘이란

KEM은 키 생성, 캡슐화, 캡슐화 해제의 세 가지 연산으로 이루어집니다. 송신자는 수신자의 공개 키로 캡슐화를 수행하여 무작위 공유 비밀과 그것을 감싼 암호문을 얻고, 암호문을 보냅니다. 수신자는 개인 키로 캡슐화를 해제하여 같은 공유 비밀을 얻습니다. 디피-헬먼 키 교환과 달리 송신자는 오래 사용하는 자신의 키 쌍을 준비할 필요가 없습니다.

크기 기준

ML-KEM-768에서는 공개 키(캡슐화 키)가 1,184바이트, 암호문이 1,088바이트, 공유 비밀이 32바이트입니다. 타원 곡선 키 교환 X25519의 공개 값은 32바이트이므로, 보내는 데이터는 훨씬 커집니다. 한편 계산 자체는 가벼워, 타원 곡선 키 교환과 비교해도 느리지 않다고 알려져 있습니다.

하이브리드로의 이용

새로운 방식에 대한 불안에 대비하여, X25519와 ML-KEM-768의 공유 비밀을 둘 다 키 유도에 넣는 하이브리드 키 교환(X25519MLKEM768 등)이 2025년 시점에서 TLS 1.3에서 사용되기 시작하고 있습니다. 어느 한쪽이 안전하면 만들어지는 키는 지켜집니다.

도전해 보기: ML-KEM 관련 문제

ML-KEM 같은 키 캡슐화 메커니즘(KEM)의 사용 방법에 대한 설명으로 올바른 것은?

  1. A송신자가 자신의 개인 키로 공유 비밀에 서명하여 보내고, 수신자는 송신자의 공개 키로 그 서명을 검증하여 비밀을 받는다
  2. B송신자는 수신자의 공개 키로부터 공유 비밀과 그것을 감싼 암호문을 만들고, 수신자는 개인 키로 같은 비밀을 꺼낸다
  3. C송신자와 수신자가 같은 대칭 키를 미리 가지고, 그 키로 메시지를 직접 암호화한다
정답과 해설 보기

정답: B. 송신자는 수신자의 공개 키로부터 공유 비밀과 그것을 감싼 암호문을 만들고, 수신자는 개인 키로 같은 비밀을 꺼낸다

KEM은 키 생성, 캡슐화, 캡슐화 해제의 세 가지 연산으로 이루어집니다. 송신자는 수신자의 공개 키로 캡슐화를 수행하여 무작위 공유 비밀과 그것을 감싼 암호문을 동시에 얻고, 암호문만 보냅니다. 수신자는 개인 키로 캡슐화를 해제하여 같은 공유 비밀을 얻고, 그 후에는 이를 바탕으로 한 키로 대칭 키 암호를 사용합니다. KEM은 키를 공유하기 위한 구조이므로, 상대의 인증에는 ML-DSA 등의 서명을 별도로 사용합니다.

양자 내성 암호로 이행하는 도중에 사용되는, X25519(타원 곡선을 사용하는 디피-헬먼 키 교환)와 ML-KEM을 조합한 하이브리드 키 교환의 사고방식으로 올바른 것은?

  1. A두 방식으로 얻은 공유 비밀을 둘 다 키 유도에 넣어, 어느 한쪽이 안전한 한 만들어지는 키가 안전하도록 한다
  2. B두 방식 중 핸드셰이크에서 먼저 끝난 쪽의 공유 비밀만 사용하고, 다른 쪽은 버린다
  3. CML-KEM은 양자 컴퓨터가 실현될 때까지는 사용하지 않고, 실현되었을 때 자동으로 전환되도록 둘 다 준비해 둔다
정답과 해설 보기

정답: A. 두 방식으로 얻은 공유 비밀을 둘 다 키 유도에 넣어, 어느 한쪽이 안전한 한 만들어지는 키가 안전하도록 한다

ML-KEM은 새로운 방식이어서 구현 실수나 새로운 공격이 발견될 우려를 아직 충분히 부정할 수 없습니다. 한편 X25519는 양자 컴퓨터에는 약하지만, 고전 컴퓨터에 대한 안전성에는 오랜 실적이 있습니다. 하이브리드 키 교환에서는 양쪽 공유 비밀을 이어서 키 유도 함수에 넣으므로, 공격자는 양쪽을 모두 깨지 않으면 키를 얻을 수 없으며, 지금 기록된 통신이 미래의 양자 컴퓨터로 해독되는 것도 막을 수 있습니다. 2025년 시점에서 이 조합(X25519MLKEM768 등)이 TLS 1.3에서 사용되기 시작하고 있습니다.

자주 묻는 질문

ML-KEM으로 서명을 할 수 있나요?

할 수 없습니다. ML-KEM은 키를 공유하기 위한 구조입니다. 양자 내성 암호의 서명에는 마찬가지로 2024년 8월에 표준화된 ML-DSA(FIPS 204)나 SLH-DSA(FIPS 205)를 사용합니다.

양자 키 분배(QKD)와 같은 것인가요?

다릅니다. ML-KEM은 수학 문제의 어려움에 기반하며, 일반 컴퓨터와 네트워크에서 그대로 동작합니다. 양자 키 분배는 광자 등의 양자적 성질을 사용하여 키를 공유하는 기술로, 전용 장치와 통신로가 필요합니다.

해설 속 ML-KEM

ML-KEM이(가) 나오는 문제 (4)

  1. ML-KEM 같은 키 캡슐화 메커니즘(KEM)의 사용 방법에 대한 설명으로 올바른 것은?
  2. 양자 내성 암호로 이행하는 도중에 사용되는, X25519(타원 곡선을 사용하는 디피-헬먼 키 교환)와 ML-KEM을 조합한 하이브리드 키 교환의 사고방식으로 올바른 것은?
  3. 양자 내성 암호(포스트 양자 암호, PQC)의 설명으로 올바른 것은?
  4. 미국 NIST가 2024년 8월에 공표한 양자 내성 암호 표준과 그 종류의 조합으로 올바른 것은?

관련 용어

양자 내성 암호(Post-Quantum Cryptography) 해시 함수(Hash Function) 대칭 키 암호(Symmetric-key Cryptography) 디피-헬먼 키 교환(Diffie-Hellman Key Exchange) TLS 쇼어 알고리즘(Shor's Algorithm) RSA 암호(RSA Cryptosystem) 타원 곡선 암호(Elliptic Curve Cryptography) 디지털 서명(Digital Signature) 논스(Nonce)

용어집으로 돌아가기