토스페이먼츠, 양자컴퓨터 시대 대비, 10년 앞선 양자내성암호(PQC) 도입
양자컴퓨터(Quantum Computer)의 등장으로 기존 암호화 방식의 위험성이 대두됨에 따라, 토스페이먼츠는 양자내성암호(PQC)를 선제적으로 도입
2022년부터 HTTP/3 도입, 취약한 Cipher Suite 제거, TLS 1.3 전면 도입 등 4년간의 보안 프로토콜 고도화 과정을 거쳐 안정적인 PQC 적용 기반 마련
가맹점 환경을 고려, 점진적이고 호환성을 유지하는 방식으로 보안을 강화하여 결제 중단 없는 보안 수준 향상을 목표
선수집·후복호화(Harvest Now, Decrypt Later) 공격과 같은 미래 위협에 대비하여, 10년 후의 보안을 위한 선제적 투자(Proactive Investment) 결정
Infra, Server Platform, TAM 팀 간 협업을 통해 PQC를 실제 서비스에 적용, 민간 결제 생태계의 안전성 확보에 기여
양자컴퓨터의 위협과 PQC의 필요성
본문에 따르면, 양자컴퓨터(Quantum Computer)는 기존 암호화 방식의 근간을 흔드는 존재이다. RSA, ECDSA 등 현재 널리 사용되는 공개키 암호화 알고리즘(Public Key Cryptography Algorithm)은 양자컴퓨터의 강력한 연산 능력으로 인해 쉽게 해독될 수 있다.
선수집·후복호화(Harvest Now, Decrypt Later) 공격: 현재 암호화된 데이터를 탈취하여 양자컴퓨터 상용화 시점에 복호화하는 공격
2030년 Q-Day: IBM, Google 등에서 2030년 실용 수준의 양자컴퓨터 개발을 목표로 함에 따라, 보안 업계는 Q-Day를 기점으로 대규모 보안 사고 발생을 우려
PQC(Post-Quantum Cryptography) 도입: 양자컴퓨터의 공격에도 안전한 새로운 암호화 알고리즘을 도입하여, 미래의 보안 위협에 대비
4년간의 보안 프로토콜 고도화 과정
토스페이먼츠는 양자내성암호(PQC) 도입을 위해 4년간 단계적인 보안 프로토콜 고도화를 진행했다. 가맹점 환경을 고려하여 점진적이고 호환성을 유지하는 방식을 채택했다는 점이 특징이다.
HTTP/3 도입 (2022): TLS 1.3을 필수로 사용하므로, 최신 보안 프로토콜을 손쉽게 적용
취약한 Cipher Suite 제거 (2022~2025): 가맹점별 Cipher Suite 지원 현황을 분석하고, 개별 기술 지원을 제공하며 단계적으로 제거
TLS 1.3 전면 도입 (2022~2025): TLS 1.2와 1.3을 함께 지원하여, 최신 환경에서는 더 높은 수준의 보안 채널을 사용하도록 유도
이러한 과정을 통해 PQC 도입을 위한 기반을 마련하고, 가맹점의 결제 중단 없이 보안 수준을 향상시켰다.
가맹점 환경을 고려한 보안 강화 전략
토스페이먼츠는 수만 개 가맹점의 다양한 환경을 고려하여 보안 프로토콜 개선을 진행했다. 특히, 가맹점의 기술적 부담을 최소화하고, 기존 시스템과의 호환성을 유지하는 데 중점을 두었다.
단계적 제거 + 개별 지원: 취약한 Cipher Suite 제거 시, 가맹점별 기술 지원을 제공하고 충분한 유예 기간을 부여
TLS 1.3 동시 지원: TLS 1.2와 1.3을 함께 지원하여, 최신 환경에서는 자동으로 더 높은 보안 수준을 적용
가맹점의 작업 최소화: PQC 도입 시, 가맹점의 별도 설정이나 업데이트 없이 자동으로 적용되도록 설계
이러한 전략을 통해, 결제 서비스의 안정성을 유지하면서 보안 수준을 지속적으로 향상시켰다.
PQC 도입의 기술적 과제와 해결
양자내성암호(PQC)를 실제 서비스에 적용하기 위해서는 다양한 기술적 과제가 존재한다. 토스페이먼츠는 Infra, Server Platform, TAM 팀 간의 협업을 통해 이러한 과제를 해결했다.
Infra Team: 자체 데이터센터(IDC) 환경에 PQC를 적용하는 난이도 높은 과제 수행
Server Platform Team: 애플리케이션 전반에 대한 깊은 이해를 바탕으로, AWS 환경에서 PQC를 안정적으로 적용
TAM Team: 가맹점 연동 환경 전반을 살피고, 개선 방향을 가이드
각 팀의 전문성을 바탕으로, PQC를 성공적으로 도입하고 민간 결제 생태계의 안전성을 확보했다.
10년 후를 위한 선제적 투자
토스페이먼츠는 양자내성암호(PQC) 도입을 통해 10년 후의 보안 위협에 대비하고 있다. 이는 단순히 기술적인 업그레이드를 넘어, 미래를 위한 전략적인 투자로 볼 수 있다.
선수집·후복호화(Harvest Now, Decrypt Later) 공격 대비: 현재의 암호화된 데이터가 미래에 해킹당하는 것을 방지
가맹점의 작업 시간 배려: 보안 이슈 발생 시, 가맹점의 즉각적인 대응 부담을 줄임
점진적인 보안 수준 향상: 기존 환경과의 호환성을 유지하면서, 지속적으로 보안 수준을 높여감
이러한 선제적인 투자를 통해, 토스페이먼츠는 안전한 결제 환경을 제공하고, 멈추지 않는 보안 혁신을 이어나갈 것이다.
