NSA가 NIST 표준에 백도어를 넣었다는 말, 암호학자가 반박하는 이유

“NIST 표준은 NSA가 30년 전에 백도어를 심은 것 아닌가.” 암호 알고리즘을 고르는 자리에서 자주 나오는 말입니다. 보안 연구자 soatok이 10월 29일 이 주장을 정면으로 다룬 글을 올렸습니다.

글의 요지는 두 가지를 갈라놓는 것입니다. 정부를 믿지 않는 정치적 판단과 특정 표준에 백도어가 있다는 기술적 주장은 다른 문제라는 것입니다. 뒤쪽을 말하려면 근거가 필요하고, 그 근거는 대부분 이미 검증됐거나 반박됐습니다.

먼저 결론부터. 실제 백도어가 확인된 사례는 있고, 그건 외부 암호학자들이 먼저 잡아냈습니다. 반대로 지금 도는 의혹, 그러니까 타원곡선 시드와 양자내성 암호 쪽은 나올 때마다 반증이 쌓였습니다. NSA도 전지전능하지 않다는 것이 글의 한 줄 요약입니다.

DES는 강화와 약화가 동시에 일어난 표준

DES는 1975년 연방 관보에 공개되고 1977년 표준이 됐습니다. 군사용이 중심이던 암호 기술을 상업용으로 쓸 수 있게 내놓은 표준 블록 암호였습니다. 문제는 NSA가 설계에 깊이 관여했다는 점입니다.

IBM이 워싱턴으로 보낸 S-box가 전부 바뀌어 돌아왔다는 증언이 남아 있습니다. 입력을 출력으로 바꾸는 이 표가 백도어가 심긴 자리라는 의심이 1970년대부터 있었습니다. 마틴 헬먼은 1975년 서한에서 “상업적 공격에는 안전하겠지만 정보기관의 공격에는 매우 취약할 수 있다”고 적었습니다.

결과는 반대였습니다. NSA는 차분 암호분석이라는 기법을 비밀리에 개발해 두고, 그 공격에 견디도록 S-box를 골랐습니다. 경쟁국에 기법을 알려 주지 않으려고 침묵했습니다. 강화도 NSA가 했고 약화도 NSA가 했습니다. 권고에 따라 키 길이는 128비트에서 64비트(패리티 8비트를 빼면 56비트)로 줄었습니다. 이 짧은 키 때문에 EFF가 1998년 약 25만 달러 장비로 DES를 깼습니다.

왜 한 기관이 반대 방향으로 움직였을까요. NSA에는 두 개의 임무가 있습니다. 미국 정부와 민간의 통신을 지키는 COMSEC, 상대국의 통신을 훔쳐보는 SIGINT입니다. S-box는 앞쪽 임무의 결과이고 키 길이는 뒤쪽 임무의 결과입니다.

진짜 백도어는 외부에서 먼저 드러났다

클리퍼 칩은 1993년 NSA가 직접 설계하고 밀어붙인 장치입니다. 음성 통신을 암호화하면서 법 집행 기관이 복호화할 수 있는 키 보관 기능을 넣었습니다. 암호 자체인 Skipjack은 80비트로 DES보다 강했습니다. 그런데 법 집행 접근 필드에 들어간 16비트 해시가 허술했습니다. 맷 블레이즈가 1994년 이 결함을 찾아냈습니다.

Dual_EC_DRBG는 2006년 NIST 표준(SP 800-90)에 실린 네 번째 난수 생성기입니다. 나머지 세 개는 지금도 정상적으로 쓰입니다. 이 하나만 다른 것보다 몇 배 느렸고, 공개되자마자 백도어 의심이 붙었습니다. 2007년 브루스 슈나이어는 “NIST와 NSA가 해명해야 한다”고 썼고, 스노든 폭로 뒤 실제 백도어였음이 확인됐습니다.

여기에 중요한 대목이 하나 더 있습니다. 나중에 다른 국가가 Dual_EC에 박힌 공개키를 자기 것으로 바꿔 넣고 주니퍼 네트웍스를 뚫었습니다. 우리만 쓸 수 있는 백도어(NOBUS)는 상대에게도 열쇠가 됩니다.

스노든 문서에서 눈에 띄는 것은 반대쪽입니다. 대량 수집과 해저 케이블 복사, 인터넷 기업 데이터 접근 같은 사업은 잔뜩 나오는데, 표준 암호를 수학적으로 깨는 비밀 기법은 나오지 않았습니다. 당시 토르도 이미 알려진 방식 말고는 뚫리지 않았습니다.

글쓴이는 이 부재를 세 가지로 읽습니다. 민간 암호학이 이미 NSA 수준에 왔거나, 문서 격리가 성공했거나, 아니면 암호를 깨는 대신 통째로 우회하는 쪽이 훨씬 싸서 그랬다는 것입니다. 본인은 세 번째에 무게를 둡니다. 실제로 PRISM이 그 방식이었습니다.

26년 미스터리였던 타원곡선 시드, 올해 10월에 풀렸다

NIST는 2000년 FIPS 186-2에서 타원곡선 묶음 P-192부터 P-521까지를 표준으로 정했습니다. 각 곡선은 시드의 SHA-1 해시로 파라미터를 계산하는데, 그 시드가 어떻게 골라졌는지 NSA는 설명하지 않았습니다. 곡선을 낸 제리 솔리나스 본인도 기억하지 못했습니다.

2015년 닐 코블리츠와 알프레드 메네지스는 수학으로 반박했습니다. NSA가 아는 약한 곡선군이 그렇게 넓고, 1997년의 계산 자원으로 골라낼 수 있으면서, 20년 가까이 외부 연구자에게 걸리지 않을 수는 없다는 논증입니다. 2023년 필리포 발소르다 등이 시드의 정체에 현상금을 걸었고, 2026년 10월 Anthropic이 그 현상금을 받았습니다. 받은 곳은 Let’s Encrypt를 운영하는 비영리단체 ISRG입니다.

양자내성 암호 쪽이 더 불리한 이유

요즘 의혹의 중심은 양자내성 암호입니다. NIST는 ML-KEM(옛 CRYSTALS-Kyber)과 ML-DSA를 표준으로 확정하고 IR 8547로 전환 계획까지 냈습니다. NSA는 2015년에 이미 양자내성 알고리즘으로 옮기겠다고 공표했습니다.

이 과정은 폐쇄적이지 않았습니다. NIST의 pqc-forum 메일링 리스트는 처음부터 공개됐고, 제안된 키 교환과 서명 알고리즘에 대한 공격 시도가 수년간 공개적으로 이어졌습니다. ML-KEM의 주 제출자는 국제 팀 소속 피터 슈바베입니다. NSA는 연방 시스템에 ML-KEM-1024와 ML-DSA-87을 요구하고, 하이브리드 구성은 연방용으로 승인하지 않습니다. 자기 시스템을 지키라고 더 강한 조합을 요구하는 기관이 그 조합에만 통하는 뒷문을 심었다는 설명은 앞뒤가 맞지 않습니다.

구조적으로도 ML-KEM에는 공개키를 심어 취약점을 만드는 NOBUS 방식이 들어갈 자리가 거의 없습니다. 글쓴이는 이 대목에서 NSA도, AI도, 양자컴퓨터도 마법이 아니라고 씁니다. 능력과 예산은 유한하고 행동은 임무에서 나옵니다.

원문 반응

GeekNews 댓글에서는 음모론을 제기하는 쪽의 심리를 지적했습니다. “나는 속는 대중과 달리 진실을 아는 특별한 사람”이라는 자기애에 가깝고, 정부 기관은 개인 한 명을 겨냥할 만큼 한가하지 않다는 것입니다. 동시에 NSA가 암호를 무력화할 능력 자체는 우려할 만하고, NOBUS 전례가 실제로 있으니 가능성까지 음모론으로 몰아가는 것은 부당하다는 반론도 함께 나왔습니다.

글도 같은 선을 긋습니다. 스노든 폭로 이후 미국 정부를 불신할 이유는 충분합니다. 다만 그 불신이 기술적으로 성립하지 않는 주장까지 정당화하지는 않습니다. 판단 근거는 누구나 볼 수 있는 공개 자료뿐이고, 글쓴이 본인도 보안 인가를 받은 적이 없다고 밝힙니다.

표준을 고르는 실무에서는 이 구분이 쓸모 있습니다. 정부를 신뢰하는 문제와 알고리즘이 안전한지는 따로 따져야 하고, 안전성은 공개 검증 기록으로 판단할 수 있습니다. DES처럼 한 기관의 두 임무가 한 설계에 동시에 작용한 사례가 있었지만, 그 사실이 이후의 모든 표준에 같은 일이 벌어졌다는 증거는 아닙니다.

원문 보기