문서

양자컴퓨터 시대에 대비한 양자내성암호 적용, 왜 10년 먼저 서비스에 적용했을까?

하태호 토스 · 토스 기술 블로그

AI 핵심 요약

수만 개 가맹점의 서버 환경이 제각각인 결제 서비스에서는 보안 프로토콜을 한꺼번에 바꾸면 결제가 중단될 수 있어, 토스페이먼츠는 가맹점과 보조를 맞추며 보안을 높이는 방법을 고민했습니다. 2022년 HTTP/3를 도입한 뒤 취약한 Cipher Suite를 가맹점별로 안내하고 유예 기간을 둬 제거했으며, TLS 1.3도 엔드포인트별로 적용해 2025년 전면 지원을 마쳤습니다. 이 경험을 바탕으로 ‘선수집·후복호화’ 위협에 대비해 2026년 4월 NIST 표준 양자내성암호(PQC)를 도입하고, 지원 클라이언트는 자동으로 PQC 채널을 사용하도록 구성했습니다. 핵심 교훈은 대규모 보안 전환은 미리 시작하고 호환성을 유지하며, 가맹점이 각자의 속도로 따라올 수 있도록 충분한 시간과 지원을 제공해야 한다는 것입니다.

보안 프로토콜 변경은 서버 적용보다 가맹점별 호환성 확인과 전환 지원에 더 많은 시간이 들 수 있습니다.
취약한 Cipher Suite는 일괄 제거 대신 사용 현황을 파악하고, 사전 안내와 유예 기간을 거쳐 단계적으로 정리할 수 있습니다.
TLS 1.2와 1.3을 함께 지원하면 구형 클라이언트의 호환성을 유지하면서 최신 환경에는 더 강한 채널을 제공할 수 있습니다.
장기간 가치가 유지되는 데이터는 ‘선수집·후복호화’ 위험을 고려해 암호화 전환을 미리 준비해야 합니다.
대규모 생태계의 보안 개선에는 인프라·플랫폼 엔지니어링뿐 아니라 가맹점과 소통하고 지원하는 역할도 중요합니다.

소개

오랜 기간에 걸쳐 진행된 보안 프로토콜 고도화, 그리고 그 여정의 최종 결과물인 양자내성암호 도입 이야기를 들려드려요.

비슷한 학습 자료

컨퍼런스 SLASH

토스ㅣSLASH 23 - 모든 순간을 안전하게, 토스의 서비스 보안 자동화 여정

컨퍼런스 SLASH

애자일한 문화와 우수한 보안, 두 마리 토끼를 모두 잡을 수 있는 방법은 뭘까요? 더 안전하고 지속 가능한 보안을 위한 토스의 ‘서비스 보안 자동화’ 여정을 소개합니다. 표상영 / 토스 Security Researcher 발표 자료 👉🏻 https://bit.ly/3qyp7Qx 토스 개발자 컨퍼런스 SLASH에 대한 자세한 정보는 👉🏻 https://bit.ly/43kW3tO 컨퍼런스 및 세션에 대한 문의는 👉🏻 slash@toss.im 토스에 합류하고 싶다면 👉🏻 https://toss.im/career/jobs #보안자동화 #보안솔루션 #securityresearcher #토스 #개발자컨퍼런스 #SLASH *본 발표자료의 저작권은 연사에 있으며, 저작권자의 사전 서면 동의 없이 자료의 일부 또는 전부를 이용하거나 배포할 수 없습니다. *또한 해당 자료를 복제하여 SLASH 행사 홈페이지를 제외한 온라인상에 게재하는 행위는 연사가 동의한 저작권 및 배...

데브옵스 · 인프라 보안

문서 Taeho Ha

Why We Adopted Post-Quantum Cryptography a Decade Before Quantum Computers Arrive

문서 Taeho Ha

*This is the English version of a previously published article. Hello, Toss Tech readers. I'm Tae-ho Ha, Head of Technology at Toss Payments. Ever since we started the Legacy Overhaul Series, one question has followed us everywhere: "What was the biggest challenge in overhauling a 20-year-old legacy...

보안