Cloudflare 연구진, 포스트 양자 웹 프라이버시 토큰 제시: PoMFRIT 블라인드 서명 4.3 KB·공개 키 46.6 KB, MOLE 후보 6.5~12.0 KB이나 미완성 방식의 추정치이며 안전성 증명은 미비하고 인용된 IETF 초안은 만료

2026년 11월 6일 Cloudflare 연구자 Christopher Patton, Tianyu Zhang, Bas Westerbaan은 웹의 프라이버시 토큰이 양자컴퓨터 시대에도 버틸 방법을 다룬 연구 글을 공개했습니다. 이는 에이전트와 사이트에 관한 11월 5일 입장 문서의 후속입니다. 그 문서는 11월 6일에 저희가 다뤘고, Privacy Pass류 토큰의 차세대 설계인 MOLE을 언급했습니다. 그 문서가 계획을 말했다면, 이 글은 그 뒤의 암호학과 첫 크기 추정치를 보여 줍니다. 여기 있는 것 중 출시된 것은 없습니다. 숫자는 아직 개발 중인 방식에 대한 Cloudflare의 추정입니다.

글은 두 가지 위험을 구분합니다. 지금의 Privacy Pass는 RSA와 타원곡선 같은 고전 암호를 쓰므로, 양자 공격자는 토큰을 마음대로 위조하고 속도 제한을 우회할 수 있습니다. 하지만 Privacy Pass는 무조건적으로 프라이버시를 지킵니다. 양자든 아니든 어떤 공격자도 토큰의 사용과 발급을 연결할 수 없다는 뜻입니다. Cloudflare는 설계 중인 새 기능도 이 보장을 유지할 수 있다고 말합니다. 현재 Privacy Pass의 즉각적인 양자 위험은 위조 저항에 있지만 새 방식의 실험적 커밋먼트는 별도의 프라이버시 분석이 필요합니다. 장애물은 크기입니다. ML-DSA-44 서명은 2,420바이트이고 ECDSA-P256 서명은 64바이트입니다.

MOLE은 Moderation Of unLinkable Endorsements(연결할 수 없는 보증의 심사)의 약자입니다. 보증(endorsement)은 앵커(anchor)가 발급하고 심사자(moderator)가 받아 처리합니다. 양쪽은 앵커 집합, 즉 심사자가 신뢰하는 앵커의 공개 키 모음에 합의하고, 클라이언트는 집합 안의 어느 앵커가 자신의 보증을 발급했음을 어느 것인지 밝히지 않고 증명합니다. 그러면 심사자는 클라이언트의 이후 상호작용을 관리하는 자격 증명을 발급합니다. 발급자를 숨기는 것이 요점입니다. 사이트는 누가 발급했는지에 따라 토큰을 다르게 다룰 수 없으므로 더 많은 종류의 클라이언트가 참여할 수 있습니다. 자격 증명은 블라인드 서명, 익명 크레딧 토큰, 익명 속도 제한 자격 증명이 될 수 있습니다.

제안된 구성 요소는 두 아이디어를 합칩니다. 하나는 VOLE-in-the-Head로, 작은 이진 체 위의 명제에 구체적으로 효율적인 영지식 증명 시스템입니다. 다른 하나는 다변수 서명, 특히 Unbalanced Oil and Vinegar(UOV)로, 서명은 135바이트이지만 공개 키는 46.6 KB입니다. USENIX Security 2026에서 발표된 최근 블라인드 서명 PoMFRIT는 서명 6.7 KB, 발급은 수백 바이트에 그쳤습니다. Cloudflare 저자들은 MAYO를 UOV로 바꾸면 서명이 4.3 KB가 된다고 말합니다. UOV와 FAEST-EM-128s에 NIST 3라운드 매개변수를 쓴 수치이며, 격자 기반 설계와 견줄 만하다고 합니다.

글은 이어서 만들고 있는 방식의 추정치를 제시합니다. UOV를 쓰면 모든 공개 키는 46.6 KB입니다. UOV를 쓴 PoMFRIT는 발급이 1 KB 미만, 사용(redemption)이 4.3 KB입니다. MOLE 보증의 후보인 VOLE-IHAT는 발급 5.6 KB, 사용 6.5 KB입니다. MOLE 자격 증명의 후보인 VOLE-ACT는 발급 5.4 KB, 소비(spend)당 12.0 KB입니다. 저자들의 구현에서 각 연산은 몇 밀리초가 걸립니다. 고전 방식보다 훨씬 크며, 저자들은 RSA 블라인드 서명을 PoMFRIT로 바꾸는 부담이 ECDSA를 ML-DSA로 바꾸는 부담과 비슷하다고 말합니다. 고전 토큰은 요청마다 사용할 만큼 쌌을지 모르지만, 포스트 양자 방식의 사용은 여러 요청에 나눠 처리해야 할 것 같다고 덧붙입니다.

글의 실질은 이 단서들에 있습니다. 다변수 방식의 암호 해독 연구는 아직 어립니다. UOV와 MAYO는 버텨 왔지만 매개변수가 바뀌어 비용이 늘 수 있습니다. 가장 작은 크기는 one-more-UOV라는 더 강한 가정에 기댄 최적화를 씁니다. 글은 UC 샌디에이고와 INRIA 연구자들이 최근 Privacy Pass 발급자를 서명 오라클로 이용해 1024비트 RSA 서명을 위조했으며, Privacy Pass 자체는 2048비트 RSA를 쓴다고 짚습니다. 위조 저항만 영향을 받는다는 결론은 위 one-more-UOV 최적화에만 해당합니다. 새 방식이 UOV만큼 강하다는 보안 증명은 아직 써야 합니다. 다변수 커밋먼트나 저차 의사난수 생성기 같은 아이디어는 증명을 더 줄일 수 있지만, 안전한지는 아직 알려지지 않았습니다. 별도의 다변수 커밋먼트 실험은 매개변수의 안전성이 불명확하며 원문은 클라이언트 프라이버시까지 위험해질 수 있다고 명시합니다.

표준 쪽 확인이 한 가지 한계를 더합니다. 글은 IETF의 익명 속도 제한 자격 증명(Anonymous Rate-Limited Credentials) 초안을 인용합니다. 이 초안 draft-ietf-privacypass-arc-crypto-01의 datatracker 페이지는 만료된 Internet-Draft로 표시하며, 마지막 개정은 2026년 3월 2일이고 소속 워킹그룹 문서는 'Dead'로 표시되어 있습니다. 이는 인용된 해당 초안 판본의 상태일 뿐입니다. 후속 문서나 다른 관련 표준을 모두 조사하지 않았으므로 분야 전체에 유효한 표준이 없다고 단정할 수 없습니다.

저희 판단은 아직 연구 단계라는 것입니다. 약 4~12 KB 추정치는 사용·소비 같은 presentation 연산에 해당하고 PoMFRIT 발급은 1 KB 미만이며 공개 키는 46.6 KB입니다. 이 수치가 후속 검증에서도 유지된다면 암호 설계에서 프로토콜 공학으로 옮겨갈 수 있지만 보안 증명과 추가 암호 분석은 아직 필요합니다. 제품, RFC, 도입 날짜는 없습니다. 운영자는 토큰 크기, 사용 분산, 매개변수 변화를 살펴야 합니다.