256비트 데이터 키를 더 약한 키로 보호하면 전체 강도는 얼마일까

NIST SP 800-57 Part 1 Rev. 5는 256비트 키를 AES-256으로 사용하더라도 AES-128로 래핑하면 제공 가능한 보안 강도는 최대 128비트로 낮아지는 예를 명시합니다.

키 래핑 계층이 깨지면 데이터 키에 도달하는 단순 모델에서는 256비트 데이터 암호만 보고 전체 경로를 256비트라고 부를 수 없습니다. 이는 현실의 정확한 공격비용이나 모든 암호 조합의 보편 법칙은 아닙니다.

키 길이와 보호 경로의 강도를 구별합니다

AES-256이라는 이름만 보면 데이터 보호 체계 전체가 256비트 강도라고 생각하기 쉽습니다. 하지만 저장된 데이터 키를 꺼낼 때는 다른 키나 절차가 관여할 수 있습니다. 데이터 암호를 직접 공격하는 경로와 키 래핑을 풀어 데이터 키를 얻는 경로가 함께 존재한다면, 공격자는 반드시 가장 비싼 경로만 고를 필요가 없습니다. 한 경로라도 성공하면 평문에 접근할 수 있다는 가정 아래에서는 어느 경로가 더 쉬운지 비교해야 합니다.

NIST SP 800-57 Part 1 Rev. 5는 암호 키 관리 일반 지침입니다. §5.6.2의 조합 예에서 AES-256으로 사용되는 256비트 키를 AES-128로 래핑할 경우, 키의 보안 강도는 AES-128이 제공할 수 있는 최대 128비트로 낮아진다고 명시합니다. 이는 ‘키 길이가 128비트면 성공 확률이 정확히 얼마’라는 뜻이 아니라 비교 가능한 보안 강도의 상한을 설명하는 것입니다. 2025년에 공개된 6차 개정 초기 공개 초안은 최종본이 아니므로 여기서는 최종 Rev. 5의 공식 예를 기준으로 합니다.

평문에 도달하는 두 경로를 나란히 놓습니다

단순화한 모델에서 데이터 키 K는 256비트이며 AES-256으로 데이터를 암호화한다고 합시다. 그 K는 별도의 래핑 키 W로 보호되어 저장됩니다. 직접 데이터 암호를 깨는 추상 경로의 비교 강도를 256비트, 래핑 계층을 통해 K를 얻는 경로의 비교 강도를 128비트로 놓겠습니다. 이 수치는 실제 공격을 수행해 잰 비용이 아니라 알고리즘 조합을 이해하기 위한 이상화된 비교 단위입니다.

따라서 이 모델을 256비트 전체 보호라고 설명하면 약한 키 보호 경로를 무시하게 됩니다. NIST의 비교 예에서도 AES-128 래핑이 제공 가능한 강도를 128비트로 제한한다고 말합니다. 다만 이를 현실에서 공격이 정확히 2^128번 만에 성공한다거나, 특정 공격자의 성공 확률이 2^-128이라고 해석하면 안 됩니다. 보안 강도는 사용 알고리즘, 키 길이, 처리 데이터와 공격자의 능력 등 여러 조건에 따라 달라질 수 있습니다.

키 래핑의 역할도 함께 구분해야 합니다. NIST SP 800-38F Final은 AES KW와 KWP 같은 승인된 방식이 암호 키의 기밀성과 무결성을 보호하도록 설계된 키 래핑 방법이라고 설명합니다. 이 기능은 ‘아무 키로 감싸도 강도가 충분하다’는 뜻이 아닙니다. 래핑 알고리즘의 선택, 래핑 키의 강도와 보관, 키 수명, 구현의 적합성은 따로 확인해야 합니다.

시스템의 강도를 검토할 때 경로를 그립니다

1. 보호하려는 데이터와 실제 데이터 암호화 키를 식별합니다.
2. 키를 생성·래핑·저장·복구·배포하는 데 필요한 모든 키와 경로를 표시합니다.
3. 각 경로에서 쓰이는 알고리즘과 키 길이를 확인하고 공식 기준의 보안 강도를 대조합니다.
4. 평문이나 데이터 키에 도달하는 가능한 경로 중 더 낮은 강도를 제공하는 병목을 찾습니다.
5. 키 유출, 엔드포인트 침해, 구현 오류 등 암호 계산 외 경로도 별도로 평가합니다.

이 비교는 여러 암호를 조합한 모든 시스템이 무조건 가장 약한 숫자 하나와 같다는 일반 법칙을 증명하지 않습니다. 어떤 경로가 실제로 독립적인지, 실패가 키 노출로 이어지는지, 공격 조건이 어떻게 정의되는지에 따라 분석이 달라집니다. 여기서는 NIST가 든 키 래핑 예처럼 보호 계층이 무너지면 데이터 키에 접근하는 한 가지 단순 경로를 비교합니다. 현실 설계에서는 검증된 구성과 키 관리 절차가 필요합니다.

회상 연습: 보호 키의 강도를 비교합니다

가상의 데이터 키는 AES-256으로 사용되고, 이를 감싸는 보호 계층이 최대 192비트의 비교 강도를 제공한다고 합시다. NIST의 키 조합 비교 원칙을 적용할 때 단순 모델의 병목은 몇 비트인가요? 그 숫자를 실제 공격에 필요한 정확한 시도 횟수라고 해석해도 될까요?

이 단순 비교 모델의 병목은 더 낮은 192비트입니다. AES-256 경로만 보았을 때의 256비트보다 낮은 키 보호 경로가 데이터 키 획득의 쉬운 경로가 될 수 있습니다. 그러나 192비트를 정확한 공격 횟수, 시간, 성공확률로 바꿀 수는 없습니다. NIST SP 800-57은 보안 강도가 공격자 능력과 여러 기술적 조건에 따라 달라진다고 설명합니다.

실무에서 강도 숫자를 적을 때는 숫자의 출처와 조합을 함께 남기세요. 데이터 암호 알고리즘, 보호 키의 종류, 적용 방식, 키 관리 요구가 모두 드러나야 검토자가 동일한 조건을 재현할 수 있습니다. 이 글은 설계 검증이나 암호 구현 권고를 대신하지 않고, 보호 경로를 하나 빠뜨렸을 때 생기는 추론 오류를 설명합니다.