Signal, 소거 코드 청크를 이용해 2,272바이트 양자내성 키를 채팅으로 전송하다

Ars Technica에 따르면, Signal Messenger는 2023년 PQXDH 핸드셰이크 변경에 이어 Signal 프로토콜의 추가 양자내성 업데이트에 관한 2025년 10월 보고서를 발표했습니다. 핸드셰이크는 양자 공격에 안전했지만, 핑퐁 Diffie-Hellman 래칫의 임시 키는 그렇지 않았습니다. Signal은 그 검증된 래칫을 유지하고 제거하는 대신 ML-KEM-768 기반의 세 번째 래칫을 추가하기로 했습니다.

장애물은 크기였습니다. X25519 키는 약 32바이트이지만, ML-KEM 키와 암호문을 합치면 2,272바이트로 71배 증가하며, 이는 신뢰할 수 없거나 적대적인 네트워크에서 비동기적으로 작동해야 하는 프로토콜에서의 문제입니다. 50번째 메시지마다 또는 매주 한 번만 키를 보내는 방식은 메시지가 유실되거나 공격자가 더 큰 메시지를 떨어뜨리면 실패합니다. 71개의 청크를 보내는 방식은 적이 하나의 청크를 계속 떨어뜨리면 실패합니다.

Signal의 답은 소거 코드였습니다. 키를 조각으로 나누어 충분한 부분 집합만 있으면 재구성할 수 있게 하여 패킷 손실을 허용하는 것입니다. KEM 계산도 더 작은 단계로 분할하여 공개 키와 암호문의 일부를 병렬로 전송할 수 있게 했습니다.

큰 키를 일반 메시지 전반에 걸쳐 전송되는 소거 코드 청크로 분할하여, 일부가 유실되더라도 충분히 큰 부분 집합만 있으면 재구성할 수 있게 했습니다.

기존 래칫을 유지함으로써 검증된 코드와 오늘날의 고전적 공격자에 대한 보호를 보존합니다.

소거 코딩은 충분한 청크만 있으면 키를 재구성할 수 있음을 의미하므로, 유실된 메시지가 교환을 지연시키지 않습니다.

어떤 단일 청크도 필수적이지 않기 때문에 공격자가 특정 패킷 하나를 떨어뜨려 키 갱신을 차단할 수 없습니다.

KEM 계산을 분할하면 작업을 병렬로 실행할 수 있어 성능 비용을 제한합니다.

새로운 요구 사항이 하나의 패킷에 담기에는 너무 클 때, 스트림이 온전하게 유지되기를 바라기보다는 손실 허용이 인코딩에 내장되도록 분할하십시오.

전 Microsoft 양자내성 책임자는 이 설계를 견고하고 사려 깊은 개선이라고 평가하며 네트워크 성능 영향을 최소화하는 최적화를 언급했습니다. Ars 기사는 Signal을 예외로 규정합니다. 당시 Fortune 500 네트워크 중 18퍼센트만이, Cloudflare 내부 TLS 연결의 절반 미만만이 양자내성 TLS를 지원했습니다. 발췌문은 측정된 성능 수치를 제시하지 않습니다.