데이터를 지키는 기술, 암호화… 핵심은 ‘키 관리’ [보안TMI]

데이터를 안전하게 보호하는 가장 기본적인 방법으로 ‘암호화(Encryption)’가 있다. 이는 제3자가 데이터를 보더라도 내용을 이해할 수 없도록 변환하는 기술이다. 대화는 물론 결제, 뱅킹 등 오늘날 대부분의 인터넷 통신 과정에서 주고받는 정보는 대부분 이 방식으로 보호된다. 우리가 일상적으로 사용하는 인터넷 브라우저의 HTTPS 접속 역시 대표적인 데이터 암호화 사례다.

암호화는 사람이 읽을 수 있는 ‘평문(Plaintext)’ 데이터를 정해진 규칙과 키를 이용해 의미를 알 수 없는 형태로 바꾸는 과정이다. 예를 들어 ‘HELLO’라는 문장이 있다면 이를 그대로 보내는 대신 특정 규칙을 적용해 전혀 다른 문자열로 변환한다. 이렇게 변환된 결과를 ‘암호문(Ciphertext)’이라고 한다. 이후 원래 데이터로 되돌리는 과정을 ‘복호화(Decryption)’라고 하며, 이 역시 정해진 규칙과 키를 알아야만 가능하다.

이 같은 암호화 과정에서 핵심은 ‘키(Key)’에 있다. 키는 데이터를 어떤 방식으로 변환하고 다시 되돌릴지를 결정하는 값으로, 같은 데이터라도 어떤 키를 쓰느냐에 따라 완전히 다른 결과가 만들어진다.

좀 더 구체적으로 살펴보면, 암호화는 정해진 규칙에 숫자 값을 하나 더해 데이터를 바꾸는 과정으로 이해할 수 있다. 예를 들어 알파벳을 순서대로 나열하면 A, B, C, D 순으로 이어진다. 여기서 각 글자를 뒤로 1단계씩 이동시키는 규칙을 적용한다면 A는 B로, B는 C로 바뀐다. 이 규칙을 ‘HELLO’에 적용하면 H→I, E→F, L→M으로 변환돼 ‘IFMMP’가 된다. 만약 3단계씩 이동하는 규칙을 적용하면 H→K, E→H처럼 바뀌어 전혀 다른 결과가 나온다. 이때 이 ‘이동 단계 수’가 바로 키다.

키가 중요한 이유는 암호화된 데이터를 복호화하려면 정확한 키 값을 알아야 하기 때문이다. 어떤 규칙을 사용했는지 알더라도, 키를 모르면 가능한 경우를 하나씩 시도해야 하기 때문에 해독이 어렵다. 실제 암호화는 1칸 이동이나 3칸 이동처럼 단순한 문자 이동이 아니라 훨씬 복잡한 수학 연산을 사용한다. 따라서 키 없이는 사실상 복호화가 불가능하다.

즉 데이터 암호화는 문서를 상자에 넣고 자물쇠를 채워전달하는 것과 같다. 상자는 외부에 그대로 노출되지만, 열쇠가 없으면 안의 내용을 확인할 수 없다. 디지털 환경에서 암호화는 이 ‘자물쇠’ 역할을 한다.

이 때문에 보안 분야에서는 “암호 알고리즘은 공개해도 되지만, 키는 반드시 보호해야 한다”는 원칙이 중요하게 여겨진다. 실제로 현재 사용되는 암호화 기술은 대부분 공개된 알고리즘을 기반으로 하며, 보안의 강도는 ‘키 관리 수준’에 의해 좌우된다.

암호화는 키를 사용하는 방식에 따라 크게 ‘대칭키’와 ‘비대칭키’로 나뉜다. 대칭키 암호화(Symmetric Encryption)는 하나의 키로 암호화와 복호화를 모두 수행하는 방식이다. 같은 열쇠로 문을 잠그고 여는 구조로, 연산이 단순해 속도가 빠르다는 장점이 있다. 이 때문에 파일 암호화나 데이터 저장 보호처럼 대용량 데이터를 처리하는 데 널리 사용된다. 다만 데이터를 주고받기 전에 동일한 키를 안전하게 공유해야 한다는 한계가 있다.

비대칭키 암호화(Asymmetric Encryption)는 서로 다른 두 개의 키를 사용하는 방식이다. 공개키와 개인키로 구성되며, 공개키로 암호화한 데이터는 개인키로만 복호화할 수 있다. 반대로 개인키로 생성한 전자서명은 공개키로 검증할 수 있다. 키를 사전에 안전하게 전달할 필요가 없다는 점이 특징이다.

실제 서비스 환경에서는 두 방식을 함께 사용한다. 초기 연결 단계에서는 비대칭키로 안전하게 키를 교환하고, 이후 데이터 통신은 속도가 빠른 대칭키로 처리하는 방식이다. 결국 암호화 기술은 하나의 방식이 아니라 상황에 따라 역할을 나눠 사용하는 구조로 발전해왔다.

최근에는 클라우드, 서비스형 소프트웨어(SaaS), 인공지능(AI) 환경 확산으로 데이터가 다양한 경로를 통해 이동하고 저장되는 구조가 일반화됐다. 이에 따라 암호화는 선택이 아니라 필수 요소로 자리 잡고 있다. 특히 기업 환경에서는 ‘암호화를 적용했는가’보다 ‘키를 어디에 저장하고 누가 접근할 수 있는가’가 더 중요한 보안 과제가 됐다. 접근 권한과 키 관리 부실이 문제로 지적된 쿠팡 사례는 이를 단적으로 보여준다.

정종길 기자
jk2@chosunbiz.com