Red Hat Enterprise Linux, 양자 컴퓨팅 시대를 대비한 SSH 보안 역량 강화

Red Hat Enterprise Linux(RHEL)에서 양자 내성 암호화(PQC) 전환이 순조롭게 진행되고 있습니다. 2025년 5월, RHEL 10은 세 가지 주요 암호화 라이브러리(OpenSSL, GnuTLS, NSS)에서 양자 내성 키 교환 알고리즘을 제공하여 TLS 1.3 연결에서 양자 내성 키 교환을 사용할 수 있게 했습니다. 이어 출시된 RHEL 10.1에서는 새로운 키 교환 알고리즘을 TLS의 기본값으로 설정하고, RPM 패키지에 양자 내성 서명을 도입했습니다.

SSH(Secure Shell) 프로토콜 또한 이러한 흐름에 발맞추고 있습니다. RHEL 10은 OpenSSH 9.9와 함께 제공되어 두 가지 하이브리드 양자 내성 키 교환 방법을 지원합니다. sntrup761x25519-sha512는 기존 X25519 키 교환을 격자 기반의 간소화된 NTRU 소수 알고리즘(SNTRUP)과 결합하며, mlkem768x25519-sha256은 X25519를 미국 국립표준기술연구소(NIST)에서 표준화한 모듈 격자 기반 키 캡슐화 메커니즘(ML-KEM)과 결합합니다. RHEL 10.1부터는 별도로 구성하지 않는 한 OpenSSH에서 연결을 설정할 때 후자의 방법을 우선적으로 사용합니다.

RHEL 10.2 SSH의 새로운 기능

RHEL 10.2에는 SSH의 추가 PQC 기능이 통합되었습니다.

FIPS 모드의 양자 내성 SSH 키 교환

mlkem768x25519-sha256에 대한 RFC 초안은 현재 IETF(Internet Engineering Task Force)의 SSHM(Secure Shell Maintenance) 작업 그룹에서 마무리 단계에 있으며, 다양한 SSH 구현에서 이 알고리즘을 점점 더 많이 채택하고 있습니다. 하지만 해당 초안은 mlkem768nistp256-sha256 및 mlkem1024nistp384-sha384라는 다른 두 가지 하이브리드 키 교환 알고리즘도 명시하고 있습니다. 이 알고리즘들은 Curve25519 대신 NIST 권장 곡선(P-256 및 P-384)을 사용하는 ECDH(Elliptic-curve Diffie-Hellman) 키 교환을 ML-KEM 변형과 결합합니다.

P-256/P-384 기반의 ML-KEM 및 ECDH는 모두 FIPS 승인을 받았으므로, Red Hat Enterprise Linux 10.2에서는 mlkem768nistp256-sha256 및 mlkem1024nistp384-sha384를 유일한 두 가지 양자 내성 FIPS 호환 SSH 키 교환 알고리즘으로 제공합니다. 업스트림 OpenSSH 유지 관리자는 이 두 가지 추가 하이브리드 방식을 구현하지 않기로 결정했지만, Red Hat 고객은 Red Hat 개발자가 제공하는 OpenSSH 다운스트림 패치 덕분에 FIPS 모드의 SSH에서 양자 내성 암호화를 사용할 수 있습니다.

libssh의 양자 내성 키 교환 지원

이러한 하이브리드 키 교환 구조는 libssh 0.12.0(SSH C 라이브러리)에도 마침내 도입되었습니다. OpenSSH의 동작 방식에 맞춰, libssh를 기반으로 빌드된 SSH 클라이언트 및 서버는 이제 RHEL 10.2에서 기본적으로 mlkem768x25519-sha256 키 교환 알고리즘을 우선 사용합니다. 따라서 커스텀 libssh 기반 서버를 운영하는 고객은 시스템을 업그레이드하는 것만으로도 '선수집 후해독(harvest now, decrypt later)' 공격으로부터 데이터를 보호할 수 있습니다.

향후 SSH의 발전 방향

더 많은 PQC 기능이 현재 표준화 프로세스를 거치고 있으며, Red Hat도 이 과정에 참여하고 있습니다.

순수 ML-KEM 키 교환 및 양자 내성 SSH 키

Red Hat은 SSH에서 순수(비하이브리드) ML-KEM 키 교환 사용을 표준화하려는 움직임을 주시하고 있습니다. 현재 초안(Draft)은 적절성 여부에 대한 합의가 이루어지지 않아 IETF SSHM 작업 그룹에서 아직 채택되지 않았습니다(반대 측은 ML-KEM이 아직 충분히 성숙하지 않았다고 주장합니다).

SSH 내에서 ML-DSA(NIST 표준 양자 내성 서명 알고리즘 제품군)를 사용하는 방안도 논의 중이며, 여러 RFC 초안이 경쟁하고 있습니다. draft-rpe-ssh-mldsa 및 draft-sfluhrer-ssh-mldsa는 SSH 공개 키에 순수 ML-DSA를 사용하는 표준을 목표로 하는 반면, draft-sun-ssh-composite-sigs 및 draft-josefsson-ssh-ed25519mldsa65는 기존 EdDSA 서명 등과 결합된 복합 ML-DSA 서명의 표준화를 추진하고 있습니다. 이러한 방식 중 하나를 구현하면 SSH 클라이언트와 호스트가 양자 내성 공개 키로 인증할 수 있어, 양자 컴퓨터를 이용한 중간자(man-in-the-middle) 공격으로부터 시스템을 보호할 수 있습니다.

양자 내성 암호화를 통한 GSSAPI 키 교환

마지막으로, Red Hat은 하이브리드 PQC 방식(세 가지 하이브리드 ML-KEM 방식)을 사용하는 GSSAPI 키 교환을 표준화하고 이를 OpenSSH 및 libssh에서 구현하기 위해 노력하고 있습니다. Red Hat이 제안한 RFC 초안은 RFC 4462 및 RFC 8732를 기반으로 하며, 이를 채택하면 SSH의 Kerberos 인증을 양자 공격으로부터 안전하게 보호할 수 있습니다.

결론

RHEL 10.2 출시를 통해 FIPS 모드 작동 여부나 libssh 기반 사용자 정의 SSH 애플리케이션 사용 여부와 관계없이 양자 내성 SSH 키 교환 기능이 기본으로 활성화됩니다.  선수집 후해독 위협을 완화할 수 있도록 시스템을 최신 RHEL 10 버전으로 업그레이드하시기 바랍니다.

Red Hat 엔지니어는 앞으로도 IETF 및 업스트림 커뮤니티에서 활발하게 활동하며 양자 내성 호스트 키 지원 및 양자 내성 GSSAPI(Kerberos) 인증을 포함하여 양자 보안 SSH의 차세대 단계를 정의하는 데 기여할 것입니다. 새로운 SSH 표준이 성숙해지고 합의가 이루어짐에 따라, Red Hat은 향후 RHEL 릴리스에서 해당 표준을 지속적으로 구현하고 지원할 예정입니다.