양자 이후 암호화를 위한 준비는 오늘 수집되어 미래에 복호화될 위험으로부터 암호화된 데이터를 보호하는 데 그치지 않는다. 인증서 기반 인증 시스템에도 광범위한 변화가 필요하다. 이러한 변화에는 인증 기관, 신뢰 앵커, 공개 키 인프라 서비스, 애플리케이션, 장치 및 하드웨어 보안 모듈이 포함된다.
Microsoft는 새로운 알고리즘으로 인증서를 발급하거나 이를 검증하는 것만이 과제가 아니라고 본다. 인증서 체인, 플랫폼 및 현재의 운영 절차가 양자 이후 인증 요구 사항과 어떻게 상호 작용하는지를 파악하는 것이 중요하다. 조기 테스트를 통해 프로덕션 규모의 처리가 필요해지기 전에 상호 운용성, 인증서 크기, 성능 및 수명 주기 관리와 관련된 문제를 발견할 수 있다.
기밀성 보호에서 신뢰 시스템의 준비 상태로
양자 이후 암호화 준비에 관한 논의는 통신의 기밀성, 특히 ‘지금 수집하고 나중에 복호화’하는 위험에 크게 초점을 맞춰 왔다. 반면 인증에는 더 광범위한 신뢰 관계망의 관리가 필요하다. 다양한 환경과 공급업체에 걸쳐 키와 인증서를 발급하고, 배포하고, 저장하고, 검증하고, 갱신하고, 관리해야 하기 때문이다.
또한 기관의 인프라는 일반적으로 수십 년에 걸쳐 축적된 것으로, 임베디드 장치, 운영 체제, 보안 장치, 맞춤형 애플리케이션, 외부 서비스 및 하드웨어가 지원하는 신뢰 시스템을 포함한다. 이러한 구성 요소 중 일부는 업그레이드 주기가 길거나 암호화 관련 가정이 고정되어 있어 테스트를 시작해야만 제약이 드러날 수 있다.
Microsoft의 파일럿 프로그램
Microsoft는 2026년 8월 27일 자격을 갖춘 인증 기관이 양자 이후 TLS 루트 및 인증서를 평가할 수 있도록 지원하는 PQC TLS Pilot Program을 시작했다. 이 프로그램은 Microsoft Trusted Root Program을 수용하고 준수하는 인증 기관으로 제한되며, 양자 내성을 갖춘 서명 알고리즘인 ML-DSA-87을 사용한다.
2026년 8월 릴리스에는 ComSign, DigiCert, HARICA, IdenTrust Services, Sectigo, Shanghai Electronic Certification Authority 및 SSL.com이 운영하는 7개의 파일럿 루트가 추가되었다. 수용은 2026년 말까지 일괄적으로 계속된다.
이 프로그램을 통해 발급된 인증서는 공개적으로 신뢰되지 않으며, 폐쇄형 환경, 맞춤형 애플리케이션 및 기관의 연구실에서 호환성 테스트와 시스템 준비 상태 평가를 수행하는 용도로만 사용된다. 공개 웹사이트나 프로덕션 신뢰 시나리오에는 사용할 수 없다. 또한 파일럿 단계에서 ML-DSA 지원은 여전히 제한적이고 발전 중이므로 프로덕션 환경에서 이에 의존해서는 안 된다.
기관은 지금 무엇을 테스트할 수 있는가?
적절하게 구성되고 지원되는 Windows 11 시스템에서 통제된 비생산 시나리오를 통해 ML-DSA 인증서를 테스트할 수 있다. 지원은 2026년 7월 28일 업데이트에서 시작된다. 26H1 버전에는 KB5101681 및 운영 체제 빌드 번호 28000.2608이 적용되며, 25H2 버전에는 KB5101684 및 운영 체제 빌드 번호 26200.8973과 26100.8973이 적용된다. 지원되는 시나리오에서는 플랫폼 요구 사항을 확인한 후 Secure Channel(Schannel)과 함께 인증서를 사용할 수도 있다.
Microsoft는 보안팀, PKI 관리자 및 아키텍트가 인증서에 의존하는 시스템을 목록화하고, 공개 및 비공개 신뢰 관계를 매핑하며, 공급업체 계획을 평가하고, 장기 수명의 인프라를 식별하고, 비생산 테스트 환경을 구축할 것을 권고한다. 결과는 책임을 명확히 하고 업데이트 종속성을 우선순위화하는 다년간의 로드맵으로 전환되어야 한다.
이 소식이 중요한 이유
실질적인 변화는 양자 이후 암호화에 대한 준비를 알고리즘 논의에서 전체 신뢰 시스템의 실무 테스트로 옮기는 것이다. 새로운 인증서를 프로덕션 환경에 도입하기 전에 크기, 성능, 호환성 및 작업 흐름의 한계를 발견할 수 있다는 점이 핵심적인 이점이다. 그러나 이 프로그램이 일반적인 준비 상태나 프로덕션 지원을 입증하는 것은 아니다. 제한된 파일럿 환경이며, 테스트의 성공 여부도 각 기관이 보유한 공급업체, 장치 및 애플리케이션의 역량에 달려 있다.