양자 키 분배

1. 개요[편집]

양자 키 분배 Quantum Key Distribution (QKD)
대표 프로토콜	BB84 (베넷·브라사르, 1984)
얽힘 기반	E91 (에케르트, 1991)
보안 근거	복제 불가 · 정보-교란 상충
도청 지표	QBER (양자 비트 오류율)
BB84 한계 오류율	약 11 % (일방향 후처리)
전제	인증된 고전 채널이 반드시 필요

도청을 막는 암호는 많다. 도청을 들키게 만드는 암호는 이것뿐이다.

양자 키 분배(quantum key distribution, QKD)는 떨어져 있는 두 당사자가 양자 상태를 주고받아, 도청 시도가 반드시 관측 가능한 흔적을 남기도록 보장하면서 공통 비밀키를 만들어 내는 프로토콜이다. 보안의 근거가 계산 난이도가 아니라 물리 법칙이라는 점이 핵심이다 — RSA 계열은 “인수분해가 어렵다고 믿는다”에 기대지만, QKD는 미지의 상태를 복사할 수 없고(복제 불가 정리) 정보를 얻으면 반드시 상태를 교란한다는 사실에 기댄다.

이름이 오해를 부르는데, QKD가 만드는 것은 암호문이 아니라 키다. 그 키를 일회용 암호(one-time pad)에 쓰면 정보이론적으로 완전한 기밀성이 되고, 실무에서는 보통 AES 같은 대칭 암호의 키를 자주 갈아 끼우는 데 쓴다. 그리고 뒤에서 다루겠지만 QKD는 무에서 키를 만들지 못한다 — 이미 공유한 짧은 키로 고전 채널을 인증해야 하므로, 정직하게 말하면 키 생성이 아니라 키 증폭이다.

2. BB84 — 절차 전체[편집]

베넷과 브라사르가 1984년에 제안한 원조다. 큐비트 하나를 두 개의 상호 비편향 기저 중 하나로 보낸다.

기저	비트 0	비트 1
Z (직선편광)	$\lvert 0\rangle$	$\lvert 1\rangle$
X (대각편광)	$\lvert +\rangle$	$\lvert -\rangle$

네 상태 중 어느 두 개도 서로 직교하지 않는 쌍이 존재한다는 것이 전부다. 절차는 이렇다.

1. 전송. 앨리스가 매 펄스마다 비트와 기저를 각각 무작위로 뽑아 그에 해당하는 상태를 보낸다.
2. 측정. 밥이 매 펄스마다 기저를 무작위로 골라 잰다. 기저가 맞으면 앨리스의 비트를 그대로 얻고, 틀리면 완전 무작위 결과를 얻는다.
3. 기저 대조(sifting). 공개 채널로 기저만 서로 알려 주고, 일치하지 않은 펄스는 버린다. 평균 절반이 살아남아 사분키(sifted key)가 된다.¹ 비트값은 절대 공개하지 않는다.
4. 파라미터 추정. 살아남은 것 중 일부를 무작위로 골라 값을 대조해 QBER $e$ 를 잰다. 이 비트들도 버린다.
5. 오류 정정 · 프라이버시 증폭. 아래 절.

도청이 왜 반드시 걸리는가. 이브의 가장 단순한 공격인 가로채기-재전송을 보자. 이브도 기저를 모르니 무작위로 골라 재고 그 결과를 다시 보낸다. 절반의 확률로 기저가 맞아 아무 흔적도 없지만, 절반의 확률로 틀린 기저로 재는 순간 상태가 붕괴하고 이브가 보낸 상태는 앨리스의 것과 무관해진다. 그러면 밥은 기저가 맞았어도 절반의 확률로 틀린 값을 얻는다. 총 오류율은

$$\text{QBER} = \frac12\times\frac12 = 25\%$$

공짜로 얻는 정보가 없다는 것이 일반 원리다. 이브가 상태에 대해 얻는 정보량과 그가 남기는 교란 사이에는 정량적 상충 관계가 있고, 이것이 정보-교란 정리의 내용이다. 부분적으로만 엿듣는 영리한 공격을 써도 이 관계를 벗어날 수 없으므로, QBER 하나만 재면 이브가 가져갈 수 있는 정보량의 상한을 계산할 수 있다. QKD 보안 증명의 뼈대는 전부 이 문장이다.

3. 오류 정정과 프라이버시 증폭[편집]

사분키는 아직 키가 아니다. 앨리스와 밥의 비트열이 $e$ 만큼 다르고, 이브는 그중 일부를 알고 있을 수 있다. 두 단계로 정리한다.

오류 정정(정보 화해). 공개 채널로 패리티 정보를 주고받아 두 비트열을 일치시킨다. 고전적 방식은 캐스케이드 — 블록을 나눠 패리티를 비교하고 불일치 블록에서 이진 탐색으로 오류를 잡아내는 것을 블록 크기를 바꿔 가며 여러 회차 반복한다. 구현이 쉽지만 상호작용 라운드가 많아 지연이 크다. 현대 시스템은 LDPC 부호나 폴라 부호로 단방향 신드롬만 한 번 보내는 쪽을 선호한다. 어느 쪽이든 공개된 정보량은 섀넌 한계 $h(e)$ 의 $f\ge1$ 배다($f\approx1.1$ 이면 좋은 구현). 여기서 $h$ 는 이진 엔트로피

$$h(x) = -x\log_2 x - (1-x)\log_2(1-x)$$

다. 이 단계에서 흘린 정보는 이브도 가져간다는 것을 잊으면 안 된다.

프라이버시 증폭. 이제 이브가 최대 $t$ 비트를 안다고 상한을 잡고, 길이 $n$ 의 비트열을 길이 $\ell < n - t$ 로 압축한다. 도구는 범용 해시 함수족($\varepsilon$-almost universal₂)에서 무작위로 하나를 뽑아 적용하는 것이고, 이 함수의 선택은 공개해도 된다. 잔여 해시 보조정리(Leftover Hash Lemma)가 보장하는 바는 결과 비트열이 이브의 정보와 통계적으로 거의 독립인 균일 난수라는 것이다. 이브가 무엇을 아는지 구체적으로 몰라도, ”$t$ 비트 이하를 안다”는 상한만 있으면 그 정보를 짜낼 수 있다.

두 단계를 합치면 개념적 키율이 나온다. 최대로 짜낼 수 있는 비율에서 오류 정정으로 흘린 만큼을 빼면

$$r \;\ge\; 1 - h(e) - f\,h(e) \;\xrightarrow{\ f\to1\ }\; 1-2h(e)$$

앞의 $h(e)$ 는 이브가 알 수 있는 양의 상한(위상 오류율을 비트 오류율로 묶는 논증에서 나온다), 뒤의 $h(e)$ 는 오류 정정 비용이다. 쇼어와 프레스킬(2000)이 양자 오류 정정의 CSS 부호 언어로 BB84를 다시 써서 이 식을 깔끔하게 증명했다 — 얽힘 정제 프로토콜과 BB84가 사실상 같은 물건임을 보인 것이 이 증명의 요령이다. $r=0$ 이 되는 지점은 $h(e)=1/2$, 즉 $e\approx 11.0\%$ 이고, 이것이 “QBER 11% 넘으면 통신을 포기한다”는 국룰의 출처다.²

4. E91 — 얽힘과 벨 부등식으로 하는 보안[편집]

에케르트(1991)는 전혀 다른 출발점을 잡았다. 광원이 얽힌 쌍을 만들어 앨리스와 밥에게 하나씩 보내고, 둘은 각자 무작위로 측정 기저를 고른다. 기저가 맞은 경우는 완전 상관이므로 키가 되고, 맞지 않은 경우는 버리는 대신 CHSH 값을 계산하는 데 쓴다.

논리는 이렇다. 이브가 정보를 얻으려면 광자와 얽혀야 하고, 얽히는 순간 앨리스–밥 쌍의 얽힘은 희석된다(얽힘의 일부일처성). 그러면 CHSH 값이 $2\sqrt2$ 에서 내려온다. $S$ 가 치렐손 한계에 충분히 가까우면 제3자가 개입할 여지가 물리적으로 없다는 것이 보안 근거다. 미리 정해진 값을 나눠 준 것(“숨은 변수를 심어 둔 광원”)도 $S\le2$ 에 갇히므로 배제된다 — 자세한 것은 벨 부등식과 숨은 변수 이론 참고.

이 발상의 진짜 값어치는 장치 독립 QKD로 이어진다는 데 있다. 상자 안에 무엇이 들어 있는지 전혀 신뢰하지 않고 입력(설정)과 출력(결과)의 통계만 보고 키를 인증하는 것이다. 이론적으로는 완성되었지만 요구되는 검출 효율이 극도로 높아 실증이 매우 어렵고, 시연 수준의 실험이 최근에야 나왔다.

5. 구현의 구멍 — 이론과 장비 사이[편집]

QKD의 보안 증명은 완벽하다. 문제는 증명이 가정한 장치와 실제 장비가 다르다는 것이고, 이 분야의 역사 절반이 그 간극을 메운 기록이다.

약한 결맞음 펄스와 PNS 공격. 이상적인 BB84는 단일광자원을 가정하지만, 실제로는 레이저를 극도로 감쇠시켜 쓴다. 광자 수가 푸아송 분포를 따르므로 가끔 두 개 이상이 나간다. 이브는 광자 수를 비파괴로 세어, 다광자 펄스에서 한 개를 훔쳐 양자 메모리에 넣어 두고 나머지를 손실 없는 채널로 밥에게 보내면 된다. 기저가 공개된 뒤 훔친 광자를 재면 아무 오류도 남기지 않고 정보를 얻는다. 단일광자 펄스는 아예 막아 버려서 손실 통계도 자연스럽게 맞춘다. 이것이 광자 수 분리(PNS) 공격이고, 순진하게 대응하면 키율이 투과율 $\eta$ 의 제곱에 비례하게 떨어져 실용성이 사라진다.

해법은 디코이 상태다(황 2003, 로–마–첸 및 왕 2005). 신호 펄스와 세기만 다른 미끼 펄스를 무작위로 섞어 보내고, 나중에 어느 것이 미끼였는지 공개한다. 이브는 세기를 구별할 수 없으므로 신호와 미끼에 같은 공격을 가할 수밖에 없고, 앨리스와 밥은 세기별 검출률과 오류율을 비교해 “단일광자 펄스만의 수율과 오류율”을 하한/상한으로 추정할 수 있다. 채널을 여러 세기로 탐침해 미지의 파라미터를 푸는 셈이라, 실질적으로는 부등식 제약이 붙은 선형 추정 문제다. 결과적으로 키율이 다시 $\eta$ 에 비례하게 되고, 오늘날 대부분의 상용 시스템이 디코이 BB84다.

검출기 사이드채널. 더 아픈 쪽은 수신단이다. 게이트 타이밍의 미세한 차이를 이용하는 시간이동 공격, 밝은 빛을 쏘아 눈사태 광다이오드를 선형 모드로 몰아넣어 이브가 원하는 검출 결과를 강제하는 검출기 블라인딩 공격(2010년에 상용 장비에서 실증됐다) 등이 실제로 성공했다. 증명에는 없던 물리 자유도가 장비에 있었던 것이다.

여기에 대한 구조적 해법이 MDI-QKD(측정장치 독립 QKD, 2012)다. 앨리스와 밥이 둘 다 송신자가 되어 중간의 신뢰하지 않는 노드로 상태를 보내고, 그 노드가 벨 상태 측정을 수행해 결과만 공표한다. 노드가 이브여도 상관없다 — 벨 측정 결과는 두 입력의 상관만 알려 줄 뿐 개별 비트를 드러내지 않기 때문이다. 검출기 관련 사이드채널 전체를 한 번에 닫는다는 것이 이 프로토콜의 값어치다. 대가는 두 광자의 동시 도착을 요구하는 데서 오는 낮은 계수율이다.

6. 거리와 키율 — 물리적 천장[편집]

광섬유의 손실은 1550 nm에서 대략 0.2 dB/km다. 100 km면 투과율이 1% 아래로 내려가고, 증폭이 불가능하므로(복제 불가) 키율은 대체로 거리에 지수적으로 죽는다.

이 천장에는 정확한 이름이 있다. PLOB 한계(피란돌라·라우렌차·오타비아니·반키, 2017)는 중계기 없는 손실 채널의 비밀키 용량이

$$K = -\log_2(1-\eta) \;\approx\; 1.44\,\eta \quad (\eta \ll 1)$$

임을 보였다. 어떤 프로토콜을 짜든, 무한한 고전 통신을 허용해도 이 값을 못 넘는다. 즉 중계기 없는 QKD의 성능 상한은 물리학이 정해 놓았다.

넘는 길은 두 가지다.

• 트윈 필드 QKD(2018). 중간 노드에서 두 약한 결맞음 상태의 위상을 간섭시켜 단일광자 간섭 사건을 검출한다. 사건 확률이 $\eta$ 가 아니라 $\sqrt\eta$ 로 가므로 PLOB 스케일링을 돌파한다. 양자 메모리가 필요 없어 현재 장거리 실험 기록의 대부분이 이 계열이다. 대가는 수백 km 떨어진 두 레이저의 광위상을 잠가야 한다는 지독한 요구다.
• 양자 중계기. 구간을 나눠 각각 얽힘을 만들고 얽힘 교환으로 이어 붙이며, 중간에 얽힘 정제를 넣어 품질을 회복한다. 원리적으로는 거리에 다항적으로만 나빠지지만 긴 결맞음 시간을 갖는 양자 메모리가 필수라 아직 실험실 단계다.

자유공간·위성 쪽도 유력한 우회로다. 대기는 지상 몇 km에서 손실이 집중되고 그 위 진공은 손실이 없어서, 위성을 쓰면 감쇠가 거리 제곱에 비례하는 회절 손실 정도로 완화된다. 중국의 묵자호 위성이 1200 km 급 얽힘 분배와 위성–지상 QKD를 시연하고, 위성이 중계한 키로 대륙 간 화상 통화를 한 것이 대표적 이정표다.

7. 인증, 그리고 냉정한 평가[편집]

마지막으로 가장 자주 생략되는 전제. 고전 채널은 인증되어 있어야 한다. 그렇지 않으면 이브가 앨리스에게는 밥인 척, 밥에게는 앨리스인 척하면서 각각과 정상적인 QKD를 수행하는 중간자 공격이 완벽하게 통한다 — 양쪽 다 QBER이 낮게 나오므로 아무도 눈치채지 못한다. 인증에는 웨그먼–카터 방식의 정보이론적 안전한 메시지 인증이 쓰이고, 이건 미리 공유된 비밀키를 소모한다. 그래서 정확한 표현은 “키 생성”이 아니라 **“짧은 초기 키를 긴 키로 늘리는 확장”**이다.

실무적 평가도 냉정하게 적어 두는 게 낫다. QKD는 점대점 전용선 문제를 물리적으로 푸는 대신, 인터넷 규모의 인증·키 관리 문제는 전혀 풀지 않는다. 신뢰 노드를 늘어놓은 상용망은 그 노드를 통째로 신뢰해야 하고, 이는 정보이론적 보안이라는 간판과 어울리지 않는다. 그래서 각국 보안 기관 다수는 포스트 양자 암호(격자 기반 등 고전 알고리즘)를 우선 권고하고 QKD는 보완재로 놓는 입장이다. 반대로 “수십 년 뒤에도 해독되면 안 되는 데이터를 지금 지나가는 회선에서 보호해야 한다”는 요구가 있다면 QKD가 답이 되는 자리도 분명히 있다. 양자 컴퓨터가 무섭다고 무조건 QKD인 것은 아니다가 이 절의 요약이다.³

8. 관련 문서[편집]

• 양자 얽힘 · 벨 부등식 · 숨은 변수 이론
• 양자 게이트 · 양자 오류 정정 · 블로흐 구
• 편광 · 결어긋남 · 개방 양자계
• 양자 중계기 · 포스트 양자 암호 · 일회용 암호
• 난수 생성기 · 몬테카를로 방법 · 복제 불가 정리

9. Footnotes[편집]

1. 이 절반을 아까워한 개선판이 효율적 BB84다. 두 기저를 5:5가 아니라 9:1처럼 비대칭으로 뽑으면 사분율이 1에 가까워지고, 소수 기저는 파라미터 추정 전용으로 쓴다. 공짜처럼 보이지만 그 대가로 유한 표본에서 오류율 추정의 통계 오차가 커져서, 짧은 세션에서는 오히려 손해가 나기도 한다. ↩

2. 11%는 일방향 후처리를 쓰는 BB84의 숫자다. 양방향 화해(advantage distillation)를 쓰면 20% 근처까지 올라가고, 여섯 상태 프로토콜은 기저를 셋 쓰는 대신 12.6% 정도로 조금 더 버틴다. 그러니 “QKD의 한계 오류율은 11%“라고 외워 두면 절반만 맞는 셈이다. ↩

3. 이 바닥 학회에서 가장 확실하게 싸움이 나는 주제이기도 하다. “QKD는 물리 법칙이 지켜 준다” 대 “당신 장비의 광다이오드는 물리 법칙이 아니라 협력업체가 지켜 준다”의 구도인데, 사실 양쪽 다 맞는 말이라 결론이 안 난다. 검출기 블라인딩 공격이 학계 데모가 아니라 상용 장비 대상으로 성공했다는 사실이 후자의 가장 강력한 근거로 계속 인용된다. ↩