Cloudflare가 말하는 양자 시대 웹 프라이버시: Privacy Pass와 MOLE의 다음 단계

무슨 일이 있었나

Cloudflare는 2026년 11월 6일 글에서 Privacy Pass가 Cloudflare 같은 웹사이트 운영자가 애플리케이션을 남용으로부터 보호하는 데 쓰는 프로토콜이라고 설명했습니다. 한 가지 방법은 '속도 제한'으로, 개별 클라이언트를 제한해 한 클라이언트가 사이트 자원을 과도하게 쓰지 못하게 하는 것입니다.

Cloudflare에 따르면 기존의 남용 방지 방식은 보통 사용자에게 부담을 줍니다. CAPTCHA 같은 확인을 통과하거나, 계정에 로그인하거나, 신원이 식별되어야 합니다. Privacy Pass는 클라이언트가 여러 '토큰'(디지털 통행증으로 이해하면 됩니다)을 받아 두었다가 이를 사용해 사이트에 접근하도록 설계되었습니다. 각 토큰은 발급받은 사람에게 연결될 수 없으므로 사용자는 편의성과 프라이버시 중에서 하나를 고르지 않아도 됩니다.

Cloudflare는 10년간의 배포 경험이 있으며, 예를 들어 iCloud Private Relay 같은 프라이버시 프록시 서비스에 쓰인다고 밝혔습니다. 또 다른 기관들과 함께 차세대 기술을 개발 중입니다. 목표에는 자원을 과도하게 쓸 수 있는 AI 에이전트 트래픽 관리와, 더 다양한 유형의 클라이언트가 쉽게 참여하도록 하는 것이 포함됩니다.

양자컴퓨터가 Privacy Pass에 미치는 영향

Cloudflare에 따르면 Privacy Pass는 여전히 RSA와 타원곡선 같은 기존 암호에 의존합니다. 이런 암호를 깰 수 있는 양자컴퓨터가 등장하면 양자 공격자는 토큰을 마음대로 위조해 속도 제한 같은 보호 장치를 우회할 수 있습니다. 양자컴퓨터 공격에 견디는 암호를 '양자내성 암호'라고 합니다.

하지만 Cloudflare는 Privacy Pass가 '무조건적 프라이버시'를 가진다고도 말합니다. 공격자가 양자컴퓨터를 가졌든 아니든 특정 토큰 사용을 당초 발급과 연결할 수 없다는 뜻입니다. Cloudflare는 개발 중인 새 기능도 같은 보장을 유지할 것이라고 밝혔습니다.

MOLE이란 무엇인가

Cloudflare는 이 새 기술의 현재 명칭이 MOLE(Moderation Of unLinkable Endorsements, '연결 불가능한 보증의 중재')이라고 밝혔습니다. MOLE에서 '보증'은 앵커(anchor, 신뢰할 수 있는 발급자)가 발급하고 중재자(moderator)가 사용 처리합니다. 클라이언트는 자신이 받은 보증이 신뢰하는 앵커 목록 중 하나에서 나왔다는 것만 증명하면 되고, 어느 앵커인지는 밝힐 필요가 없습니다.

Cloudflare는 MOLE이 발급자 신원을 의도적으로 숨겨 시스템이 발급자에 따라 토큰을 차별하지 못하게 한다고 설명했습니다. 이렇게 하면 서로 다른 유형의 클라이언트가 동등하게 대우받고, 더 많은 클라이언트가 쉽게 참여할 수 있습니다.

양자내성 방식과 비용 추정

Cloudflare는 양자내성 방식의 주된 과제가 데이터 크기라고 지적했습니다. 디지털 서명의 경우 양자내성 서명 ML-DSA-44는 2,420바이트인 반면 기존 ECDSA-P256 서명은 64바이트에 불과하며, 단기간에 그대로 대체할 방법은 마땅치 않습니다.

글은 Baum 등이 USENIX Security 2026에서 발표한 PoMFRIT를 소개합니다. 이는 '블라인드 서명'으로, 발급자가 내용을 보지 못한 채 클라이언트를 위해 서명하므로 나중에 서명을 당초 발급과 대응시킬 수 없습니다. PoMFRIT의 블라인드 서명은 6.7KB이고 발급에는 수백 바이트만 필요합니다. Cloudflare는 UOV(Unbalanced Oil and Vinegar) 서명 방식을 쓰면 서명을 4.3KB로 줄일 수 있지만 공개 키가 커진다고 말합니다. UOV는 '다변수 암호'에 속하며, 안전성은 다변수 2차 방정식 풀이의 어려움에 기반하고 양자컴퓨터로도 깨기 어렵다고 여겨집니다.

Cloudflare는 자사 구현에서 각 연산이 수 밀리초면 된다고 밝혔습니다. RSA 블라인드 서명을 PoMFRIT로 바꿀 때 늘어나는 부담은 ECDSA를 ML-DSA로 바꿀 때와 대체로 비슷합니다.

한계와 남은 과제

• Cloudflare는 다변수 암호에 대한 공격 연구(암호 분석)가 아직 상대적으로 미성숙해 매개변수가 조정되거나 비용이 늘어날 수 있다고 말합니다.
• Cloudflare는 UOV가 안전하다면 이 프로토콜들도 안전하다는 보안 증명을 아직 제시해야 합니다.
• 해시 연산 횟수를 줄이는 최적화는 더 강한 one-more-UOV 가정에 의존하는데, Cloudflare는 이 가정이 지나치게 낙관적일 수 있다고 합니다. 가정이 깨지면 영향받는 것은 토큰 위조 가능성이지 클라이언트 프라이버시가 아닙니다.
• Cloudflare에 따르면 UC 샌디에이고와 INRIA 연구진은 Privacy Pass 발급자에게 반복적으로 서명을 대행시켜 1024비트 RSA 서명을 위조한 적이 있습니다. Privacy Pass는 2048비트 RSA와 다른 방어책을 함께 써서 충분한 안전 여유를 제공합니다.
• Cloudflare는 기존 블라인드 서명은 요청마다 한 번씩 사용해도 될 만큼 저렴할 수 있지만, 양자내성 버전은 한 번의 사용을 여러 요청에 쓸 수 있도록 하는 방법이 필요하다고 말합니다.

이 주제의 최신 뉴스 보기

• 테크 뉴스