현지 시각 7월 28일 앤트로픽이 공개한 연구에서, 클로드 미토스 프리뷰가 양자내성 전자서명 알고리즘 호크(HAWK)의 수학적 약점을 찾아냈다. 양자내성 암호는 미래의 양자컴퓨터가 현재 공개키 암호를 풀어낼 상황에 대비해 설계하는 차세대 암호 규격을 말한다. 양자역학 원리로 키를 주고받는 양자암호와는 다르며, 일반 컴퓨터에서 그대로 돌아가는 암호다. 이번 약점도 양자컴퓨터가 아니라 일반 연산으로 찾아냈다. 호크는 서명 크기가 작고 처리가 빨라 미국 국립표준기술연구소(NIST) 공모의 유력 후보로 평가받아 왔다.

미토스는 약 60시간 연산과 API 비용 약 10만 달러(약 1억 4천만 원)를 들여 호크-256의 전체 키 복구 비용을 2의 64제곱에서 2의 38제곱 연산으로 낮췄다. 앤트로픽은 이를 두고 유효 키 크기가 사실상 절반으로 줄었다고 설명했다. 연구는 앤트로픽 프런티어 레드팀 소속 연구자 1명과 모델이 함께 수행했으며, 취리히 연방공대와 텔아비브대, 베를린공대와의 협업은 평가용 벤치마크 제작에 한정됐다.

같은 연구에서 미토스는 AES 축소판 공격도 가속했다. AES-128은 10라운드로 구성되는데 미토스가 다룬 것은 7라운드로 줄인 버전이며, 선택 평문 2의 105제곱을 가정한 조건에서 기존 최고 공격보다 200배에서 800배 빨랐다. 실제 배포된 AES에는 영향이 없다.

호크 개발팀은 7월 28일 NIST 양자내성 암호 포럼 메일링 리스트에서 후보를 철회했다. 약점을 보강하면 성능 경쟁력을 잃는다는 이유를 밝혔다. 철회를 결정한 주체는 앤트로픽이 아니라 개발팀이다.

앤트로픽은 이번 결과가 다른 NIST 후보나 격자 기반 암호 전반으로 확장되지는 않는다고 명시했다. 호크는 아직 표준으로 채택되지 않아 실제 서비스에 배포된 적도 없다.

미토스가 취약점을 찾아낸 사례는 앞서도 있었다. 5월에는 파이어폭스에서 271건을, 7월에는 미국 사이버안보·인프라보안국(CISA)의 연방 코드 저장소에서 다수를 찾아냈다. 다만 두 사례는 소프트웨어 구현체의 버그였고, 이번에는 암호 알고리즘의 설계 자체가 대상이다.

▶︎ 관련기사: 美 CISA, 연방 코드 스캔 후 “다수 취약점 발견”…미토스가 또 해냈다

▶︎ 관련기사: 모질라 “클로드 미토스가 찾은 파이어폭스 취약점 271개, 진짜였다”

자세한 내용은 앤트로픽에서 확인할 수 있다.

이미지 출처: 앤트로픽