참고:
자세한 정보는 이 기능을 활성화하고 사용하는 방법에 대해 feature-releases@catonetworks.com 으로 문의하십시오.
개요
양자후 암호화(PQC)는 양자 저항 키 교환 메커니즘을 도입하여 IPsec 터널 보안을 강화합니다. 양자 컴퓨팅 기능이 발전함에 따라 RSA 및 타원곡선 암호화(ECC)와 같은 널리 사용되는 알고리즘이 결국 취약해질 수 있습니다. PQC는 사이트 간 WAN 트래픽이 현재 및 미래의 암호화 위협에 대항하여 보호되도록 돕습니다.
IPsec 사이트 및 터널에 대한 PQC 활성화는 조직의 암호화 전략을 장기적인 보안 및 준수 요구 사항에 맞추는 것을 가능하게 하며, 사이트가 Cato Cloud에 연결되는 방식을 변경하지 않습니다.
지금 수집하여 나중에 해독하는 공격에 대한 보호
양자 컴퓨팅과 관련된 주요 위험 중 하나는 "지금 수집하여 나중에 해독하는" 모델입니다. 이 시나리오에서는 공격자가 오늘 암호화된 트래픽을 캡처하고 저장하여 양자 컴퓨팅 기능이 고전 암호화를 깨뜨릴 만큼 성숙할 때까지 기다립니다.
트래픽이 지금 해독할 수 없더라도 보존 가치가 긴 민감한 정보는 미래에 노출될 수 있습니다. PQC는 IPsec 협상 과정에 양자 저항 키 교환 알고리즘을 통합하여 이러한 위험을 완화합니다. 결과적으로 오늘 캡처된 트래픽은 향후 양자 해독 시도에 대해서도 보호 상태를 유지합니다.
운영 및 보안 고려 사항
장기 데이터 보호
많은 조직들이 사이트, 데이터 센터 및 클라우드 환경 간에 민감한 트래픽을 전송하기 위해 장기적인 IPsec 터널에 의존합니다. 이 트래픽은 규제되거나 비즈니스에 중요한 데이터를 포함하는 경우가 많으며 몇 년 또는 수십 년 동안 기밀로 유지되어야 합니다. PQC를 활성화하면 암호화 강도를 장기 데이터 보호 전략과 새로운 보안 표준에 맞출 수 있도록 돕습니다.
하이브리드 IKEv2 협상 모델
IPsec 터널에 대한 PQC는 하이브리드 우선 IKEv2 협상 접근 방식을 사용하여 구현됩니다. 터널 설정 중에 고전 암호화와 PQC 알고리즘이 함께 협상됩니다. 이 설계는 아직 PQC를 지원하지 않는 피어와의 상호 운용성을 유지하며 필요시 제어된 폴백 메커니즘을 통해 연결성을 유지합니다.
이 접근 방식은 기존 사이트 간 연결을 방해하지 않고 모든 피어에 동시에 업그레이드를 요구하지 않으면서 양자 저항 암호화를 도입할 수 있게 합니다.
가시성과 마이그레이션 제어
PQC 지원에는 터널 협상 동작에 대한 통찰력을 제공하는 원격 측정이 포함됩니다. 협상 결과를 모니터링하고 폴백 시나리오를 식별하며 성공적인 양자 안전 협상을 검증할 수 있습니다. 이 가시성은 어떤 피어가 PQC 준비가 되어 있는지 결정하고 제어 가능하고 측정 가능한 방법으로 마이그레이션 프로세스를 관리하는 데 도움을 줍니다.
CMA에서 중앙 집중식 관리
PQC 구성은 IKEv2와 IPsec 터널 설정에 직접 통합되며 관련 API와 AccountSnapshot 필드를 통해 노출됩니다. 이렇게 하면 암호화 설정을 중앙에서 관리할 수 있는 Cato 관리 애플리케이션(CMA)이 허용됩니다. PQC를 채택한다고 해서 추가적인 운영 복잡성이 초래되는 것은 아닙니다. 구성 모델은 기존 IPsec 관리 프로세스와 일치합니다.
PQC를 언제 활성화해야 할까요
조직에서 중요한 인프라를 운영하거나 규제된 환경을 관리하거나 보존 요구 사항이 긴 민감한 데이터를 전송하는 경우 IPsec 터널에 대한 PQC 활성화를 고려해야 합니다.
암호화 표준과 네트워크 아키텍처를 양자 이후 시대에 맞추어 준비하고 있는 경우 PQC도 관련됩니다.