note [🌿 growing]

문제는 풀리지 않는다, 옮겨질 뿐 — 번역으로 읽는 수학과 시스템

created 2026-06-22 updated 2026-07-17 약 13분 · 각주 3분

합성곱(convolution)을 시간 영역에서 직접 계산하면 끔찍하다. 두 신호를 한 점씩 밀어 가며 곱하고 적분하는, 손이 많이 가는 일이다. 그런데 푸리에 변환으로 주파수 영역에 옮겨 놓으면, 그 끔찍한 적분이 그냥 곱셈이 된다.¹

시간 영역:   y = f * g      (합성곱, 어렵다)
주파수 영역: Y = F · G      (그냥 곱셈, 쉽다)

여기서 한 가지를 짚고 넘어갈 필요가 있다. 우리는 문제를 푼 게 아니다. 문제는 그대로다. 우리가 한 일은 좌표계를 바꾼 것뿐이다. 같은 합성곱이, 주파수라는 다른 언어로 쓰이자 쉬운 모양이 되었을 뿐이다.

처음엔 이게 푸리에의 특별한 재주인 줄 알았다. 그런데 최근에 4색정리, 리만 제타 함수, 케르베로스 인증, 양자내성암호, 자가회복 교통망, 공정분배, 파스칼 삼각형을 차례로 들여다보다가, 이 모든 이야기가 사실 같은 동작 하나를 반복하고 있다는 걸 알게 됐다.

어려운 문제를 다루는 가장 흔한 방법은, 그 문제를 푸는 게 아니라 풀리는 좌표계로 옮기는 것이다.

수학의 큰 그림을 한 줄로 줄이면 이렇게 된다 — 수학은 구조를 세우고, 그 위에서 허용된 변환을 정하고, 변환을 거쳐도 변하지 않는 불변량을 찾는 학문이다. 번역은 이 삼각형의 가운데 칸, 곧 변환이다. 그리고 좋은 번역에는 반드시 조건이 하나 붙는다 — 무엇을 보존하기로 약속하는가. 그 약속된 보존량이 바로 불변량이다. 푸리에는 (Parseval 정리의 의미에서) 함수의 $L^2$ 에너지(신호 크기의 제곱을 적분한 양)를 보존하고, 케르베로스는 신원을, 공개키 암호는 “개인키 없이는 되돌릴 수 없음”을, 해시는 “같은 입력은 같은 지문으로 간다”는 검증 가능성을 보존한다.

사실 “표현을 바꾼다”는 동작은 수학과 공학 어디에나 있어서, 그걸 공통점이라 부르는 건 거의 동어반복이다. 그래서 이 글이 보려는 건 공통점이 아니라 차이다 — 같은 동작에 분야마다 무엇을 거는가. 맨 위 칸은 통찰만 건다(잘못 옮겨도 잃을 게 없다). 한 칸 내려갈 때마다 판돈이 커진다 — 계산, 신뢰, 안전, 그리고 끝내 아직 옮길 줄 모르는 자리. 가벼운 재명명에서 번역의 한계까지, 그 비탈을 내려가 보자.

① 고쳐 부른다 — 같은 것을 다르게 쓰면 숨은 동일성이 드러난다

비탈의 맨 위. 여기서 번역은 아무것도 풀지 않는다. 그저 같은 대상에 다른 이름표를 달 뿐이다. 그런데 그 사소한 재명명이, 멀어 보이던 두 세계가 사실 한 몸이었음을 드러낸다.

가장 깨끗한 예가 파스칼 삼각형이다. 규칙은 단 하나, “위 두 수를 더한다”뿐이다. 그런데 이 한 줄짜리 국소 규칙을 다른 언어로 옮겨 적으면, 매번 전혀 다른 분야의 핵심 구조가 튀어나온다.

어떻게 옮겨 읽느냐	파스칼 삼각형이 변신하는 것
$(a+b)^n$ 의 계수표로	이항정리
n개 중 k개 고르는 경우의 수로	조합론
동전 n번 던지기로	이항분포 → 정규분포
홀수만 칠하면	시어핀스키 삼각형(프랙털)
얕은 대각선 합으로	피보나치 수열
베른슈타인 기저 $\binom{n}{k}(1-t)^{n-k}t^k$ 로	베지어 곡선(컴퓨터 그래픽)

삼각형은 가만히 있다. 우리가 그것을 어느 언어로 읽느냐에 따라 대수가 되고, 확률이 되고, 프랙털이 되고, 폰트 렌더링이 된다. 번역이 새 사실을 만든 게 아니라, 원래 거기 있던 동일성을 드러냈을 뿐이다.

수학 전체가 이 동작 위에 서 있다. $x^2 + y^2 = 1$ 은 대수학자에게는 방정식이고 기하학자에게는 원이다. 둘은 같은 것을 다르게 쓴 것뿐이며, 현대 수학의 거의 모든 큰 정리는 이 번역 가능성 — 방정식 ↔ 도형, 공간 ↔ 군, 정수 ↔ 곡선 — 위에서 일어난다.

여기까진 잃을 게 없다. 잘못 읽어도 그냥 안 보일 뿐, 무너지는 건 없다. 그런데 번역이 계산을 떠맡기 시작하면, 이야기가 달라진다.

② 대각화한다 — 좌표를 바꾸면 얽힌 것이 풀린다

이제 번역이 계산을 떠맡는다. 단순한 재명명을 넘어 얽힘을 푸는 것 — 서로 묶여 있던 것들을 독립된 모드로 분리해, 어려운 전역 계산을 모드별 스칼라 계산으로 바꾼다. 선형대수의 언어로는 이걸 대각화라 부른다 — 연산자를 그것이 가장 단순해지는 좌표(고유벡터)에서 바라보는 것.

$Av = \lambda v$ . 고유벡터 방향에서는, 복잡한 변환 $A$ 가 그냥 $\lambda$ 배 스케일링으로 납작해진다. 이 한 줄이 분야마다 옷을 갈아입는다.

분야	복잡한 대상	대각화하면 보이는 모드	그 모드의 숫자
푸리에 해석	신호·합성곱	$e^{i\omega t}$	주파수 $\omega$
기계 진동	구조물의 떨림	mode shape	고유진동수
양자역학	해밀토니안 $H$	파동함수 $\psi$	에너지 준위 $E$
리만 제타	소수의 분포	$x^\rho$ 진동항	영점 $\rho$

마지막 줄이 가장 멋지다. 소수는 불규칙해 보이지만, 리만의 명시적 공식은 소수의 계단함수를 영점들이 만드는 파동의 합으로 옮겨 적는다. 영점 $\rho = \beta + i\gamma$ 하나는 $\log x$ 축에서 $x^\rho = x^\beta \cdot e^{i\gamma \log x}$ 라는 진동 모드 하나로 작동한다 — 진폭은 $x^\beta$ , 주파수는 $\gamma$ .² 그래서 리만 가설(“모든 비자명 영점의 실수부가 ½”)은 이렇게 번역된다.

소수의 모든 비자명 진동 모드가 똑같이 $\sqrt{x}$ 스케일 위에 놓인다.

조심할 게 하나 있다. 이 “파동”은 수학적 의미의 조화 모드지, 진짜 양자 파동이 아니다. 더 정확히 말하면 리만 영점들은 양자 파동이라기보다 양자혼돈계(고전적으로 혼돈한 계를 양자화한 것)의 에너지 스펙트럼에 통계적으로 더 가깝다 — 영점 간격의 통계가 랜덤행렬(GUE; 랜덤 에르미트 행렬 앙상블) 고유값의 통계와 닮았다는, 아직 그 배후의 연산자 $H$ 는 발견되지 않은 유비다.² 그러니 ②의 다른 세 줄과 달리, 리만 영점은 실제로 대각화된 연산자의 스펙트럼이라기보다 아직 찾지 못한 스펙트럼처럼 행동하는 대상에 가깝다. 번역은 강력하지만, 그것이 무엇을 보존하고 무엇을 보존하지 않는지를 흐리면 곧장 과장이 된다.

보존되는 불변량은 스펙트럼이다 — 어느 좌표에서 보든 고유값은 그대로다. 그런데 다음 칸에서 번역은 더 무거운 것을 떠맡는다. 신뢰다.

③ 신뢰를 옮긴다 — 무엇을 믿느냐의 근거를 바꾼다

여기서부터 “번역”은 엄밀한 수학적 동형이라기보다, 시스템이 무엇을 신뢰하고 무엇을 보존할지를 다시 배치하는 설계 동작에 가깝다. 골격은 같다 — 어디에 서서 무엇을 믿을지를 옮긴다. 다만 잘못 옮기면 이번엔 통찰도 계산도 아닌 신뢰 자체가 무너진다.

케르베로스가 교과서적이다. 신뢰할 수 없는 워크스테이션, 도청 가능한 네트워크, 위장 가능한 서버 — 이 불신의 환경에서, 케르베로스는 “이 클라이언트 OS가 Alice라고 말한다”는 믿음을 폐기한다. 대신 신뢰의 근거를 KDC가 서비스 키로 봉인한 티켓과, 그 티켓에 묶인 세션키를 authenticator로 증명하는 구조로 옮긴다.³

이전:  "이 IP/호스트/OS가 Alice라니까 믿자"      ← 신뢰의 근거가 약하다
이후:  "KDC가 봉인한 티켓 + 세션키를 실제로 아는가" ← 신뢰의 근거가 암호학적이다

같은 동작이 두 군데서 더 보인다.

자가회복 교통망. 센서가 죽고, 통신이 끊기고, 신호기가 고장 나도 시스템이 무너지지 않으려면, “센서가 그렇게 말하니까”라는 믿음을 버려야 한다. 신뢰의 근거를 부분 관측에서 재구성된 상태로 옮기는 것 — 이게 교통 상태추정(TSE)이다. 그리고 이 번역이 (선형 모델 안에서) 말이 되는지를 가장 먼저 가르는 1차 게이트가 가관측성(observability)이다. 센서를 많이 까는 게 아니라, 일부가 죽어도 전체 상태가 여전히 식별 가능하도록 까는 것. 관측가능성 행렬 $\mathcal{O} = [\,C;\, CA;\, \dots;\, CA^{n-1}\,]$ 이 full column rank를 — 즉 $\operatorname{rank}(\mathcal{O}) = n$ 을 — 잃는 순간, 번역은 실패한다.
4색정리의 형식 증명. Gonthier의 4색정리 형식 증명은 Coq에서 이루어졌고(현재 Coq는 Rocq Prover로 이어진다), 거기서 일어난 일도 정확히 신뢰의 이전이다. “사람이 손으로 검산했다”는 믿음을, 증명 보조기의 커널이 검산했다는 믿음으로 옮긴 것이다.⁴ 검증의 자리가 사람의 손에서 기계의 논리로 이동했다.

셋 다 약속이 깨지는 자리가 분명하다 — KDC가 뚫리면 realm 전체가, 가관측성을 잃으면 상태 복원이, 커널에 버그가 있으면 증명 전체가 무너진다. 번역이 무거워질수록, 어디서 깨지는가를 아는 일도 함께 무거워진다.

④ 비가역성에 건다 — 되돌리기 어려움 자체가 자산이 된다

지금까지의 번역은 원래 대상으로 되짚어 갈 길을 남겨 두었다 — 푸리에는 시간 영역으로 그대로 되돌아갈 수 있었고, 케르베로스 티켓은 (신원을 복원하는 역함수는 아니어도) KDC가 봉인한 신원 주장으로 검증될 수 있었다. 암호학은 정반대로 간다. 한 방향으로만 쉬운 번역을 만들어 놓고, 그 비가역성에 모든 것을 건다.

가장 순수한 표본은 암호학적 해시, 이를테면 SHA-256이다.⁵ 임의의 입력을 256비트 지문으로 옮기는데, 이 번역에는 애초에 역함수가 없고(다대일 함수다), 지문에 맞는 입력을 현실적 시간 안에 찾는 것조차 사실상 불가능하도록 설계돼 있다(preimage resistance). RSA의 트랩도어와 달리 해시엔 아예 문이 없다. 바로 그 일방향성이 ③과 ④를 한 동전의 양면으로 묶는다 — 지문이 되돌릴 수 없으니, 원본을 다시 읽지 않고 지문만 비교해 “같은 내용으로 보아도 되는가”를 판단할 수 있다(서로 다른 입력이 같은 지문에 떨어지는 충돌은 원리상 있지만, 의도적으로 찾기 어렵게 만든다 — collision resistance). Git이 커밋을 내용 해시로 주소화하고, Merkle 트리가 거대한 데이터를 지문 하나로 봉인하고, 케르베로스가 메시지 무결성에 세션키 기반 checksum을 쓰는 것 — 전부 되돌릴 수 없는 번역을 검증의 지렛대로 되쓰는 한 수법이다. 해시는 불변량의 극단이다. 입력의 거의 모든 것을 버리고, 충돌을 현실적으로 찾기 어렵다는 가정 아래 딱 하나 — “너 아직 같은 바이트냐” — 만 묻고 답한다.

RSA는 여기에 비밀 문 하나를 단다. 해시가 누구에게도 안 열리는 일방향이라면, RSA는 개인키를 쥔 사람에게만 열리는 일방향이다. 메시지를 $c = m^e \bmod n$ 으로 옮기는 건 쉽고(이건 교재용 raw RSA다 — 실제 암호화는 여기에 OAEP 같은 패딩·인코딩을 씌운 프로토콜이다), 개인키를 복구하는 표준적인 길은 $n = pq$ 를 인수분해하는 것인데, 그게 어렵다. 공개키 $(n, e)$ 에서 개인키로 가는 역번역이 뒷문 없이는 계산적으로 막혀 있다는 것 — 이 비대칭이 RSA의 전부다.

여기서 두 가지를 정확히 해 둘 필요가 있다.

RSA에 “인수분해 알고리즘 결함”이 있는 게 아니다. 정확히는 n이 인수분해되면 개인키가 복구되는 구조다. 그리고 “RSA를 깨는 것 ≡ 인수분해”가 일반 계산 모델에서 완전히 증명된 것도 아니다(제한된 모델에서의 동치 결과는 있다). 현재 공개된 범용 인수분해 기록은 여전히 RSA-250(829비트, 2020년) 수준이다.⁶
진짜 누설은 수식이 아니라 번역의 마지막 한 칸에서 일어난다. RSA가 실제로 깨지는 곳은 소인수분해의 수학이 아니라 키 생성(ROCA는 특정 라이브러리의 구조적 prime 생성 결함이고, 약한 난수는 이와 별개로 shared prime 사고를 낳는다), 패딩(PKCS#1 v1.5 padding oracle을 노린 Bleichenbacher류), 사이드채널(타이밍), 약한 파라미터, 키 재사용이다. 수학적 번역은 멀쩡한데, 그 번역을 현실의 하드웨어·구현으로 다시 옮기는 자리에서 비밀이 새는 것이다.

이 칸 전체에 양자컴퓨터라는 그림자가 있다. 충분히 큰 오류정정 양자컴퓨터라면 Shor 알고리즘은 인수분해를 다항시간으로 풀어 — ④의 일방향 번역을 양쪽 모두 쉬운 번역으로 바꾼다(RSA-2048 규모엔 아직 막대한 오류정정 자원과 물리 큐빗이 필요해 현실 하드웨어 너머지만). 그래서 NIST는 격자·해시 기반의 새 표준(ML-KEM, ML-DSA, SLH-DSA)을 이미 확정했다.⁷ 다만 모두가 똑같이 무너지진 않는다. Shor가 깨는 건 인수분해·이산로그라는 수학적 구조다. 그 구조가 없는 해시에는 Grover가 제곱근만큼만 깎아, SHA-256은 preimage 기준 약 128비트로 버틴다(collision까지 같은 숫자로 말하면 부정확하지만). 무너지는 건 트랩도어의 구조이지, 일방향성 자체가 아니다.

같은 칸의 가장 극단적인 형태가 동형암호다. 보통 암호는 “전송 중”에만 비밀을 지키고, 계산하려면 복호화해서 평문으로 되돌려야 한다. 동형암호는 이 되돌림 없이 암호문 상태 그대로 계산한다 — $\mathrm{Dec}(\mathrm{Eval}(\mathrm{Enc}(x), \mathrm{Enc}(y))) = f(x, y)$ . 번역된 좌표(암호문) 안에서 계산을 끝내고, 마지막에 딱 한 번만 되돌아오는 것이다. 보존되는 불변량은 연산 결과고, 새지 않는 것은 입력 평문이다.

여기까지가 번역이 잘 듣는 영역이다. 통찰을 옮기고, 계산을 옮기고, 신뢰를 옮기고, 비가역성에 걸었다. 그런데 비탈의 맨 아래에는, 번역이 옳은데도 듣지 않는 자리가 있다.

⑤ 아직 못 옮긴다 — 옳지만 압축하지 못하는 번역

마지막 칸. 여기서 번역은 거짓말을 하지 않는다. 다만 압축하지 못한다.

4색정리가 그 표본이다. 현재 표준 증명은 문제를 이렇게 옮긴다 — 평면 그래프 → 최소 반례 → 특정 국소 패턴 포함 → 그 패턴은 reducible(있으면 최소 반례가 될 수 없는) → 모순. 논리적으로 완결되어 있다. 문제는 가운데 “특정 국소 패턴”이 633개 configuration(검사해야 할 국소 그래프 조각)과 32개 discharging 규칙(오일러 공식에서 정점·면에 ‘전하’를 매긴 뒤 재분배해, 그런 조각이 어딘가 반드시 나타남을 강제하는 기법)으로 되어 있어서, 사람이 손으로 검산할 수 없다는 점이다.⁴ ②의 리만 영점이나 ①의 파스칼 삼각형처럼 하나의 투명한 원리로 눌러 담는 번역을, 우리는 4색정리에 대해 아직 못 찾았다.

이게 파스칼 삼각형과 정확히 거울상이라는 점이 흥미롭다. 파스칼에서는 하나의 규칙이 만물로 퍼졌고, 4색정리에서는 만물이 하나의 규칙으로 모이지 않는다. 부족한 건 계산력이 아니다 — 컴퓨터는 633개 configuration의 reducibility와 discharging/unavoidability 검증을 모두 해냈다. 부족한 건 구조적 압축 원리, 곧 그 모든 경우를 몇 개의 강한 lemma로 번역해 줄 새로운 좌표계다.

⑤에는 종류가 다른 한계가 하나 더 섞여 있다. 4색정리가 아직 못 찾은 번역이라면, 이쪽은 애초에 깨끗이 옮겨지지 않는 번역이다. 공유 세탁실의 공정 예약을 설계할 때, 우리는 “공정함”을 EF1(한 항목만 빼면 시기심이 사라지는 배분)·DRF(지배 자원 기준 공정성)·MNW(효용 곱을 최대화하는 배분) 같은 수학 대상으로 번역하고, “악용”을 취소 수혜자 그래프의 엔트로피 — 취소 혜택이 소수에게 반복 집중되는지, 여러 사용자에게 흩어지는지를 보는 지표 — 로 번역한다. 번역은 유용하다. 하지만 인간 행위자의 비합리성, 담합(collusion)의 미묘함, 약한 비밀번호 같은 잔차는 깔끔한 수학 대상으로 옮겨지지 않은 채 바닥에 가라앉는다. 4색정리에서 남는 잔차가 계산 가능한 경우들의 폭발이라면, 사회 시스템에서 남는 잔차는 모델링되지 않은 행위자의 전략성이다 — 압축의 부재가 아니라, 애초에 번역되지 않는 나머지. 좋은 설계는 그 잔차를 없는 척하지 않는다.

그래서 비탈의 맨 아래는 실패가 아니라 정직한 한계다. 어떤 문제는 아직 옮길 좌표를 우리가 모를 뿐이다.

비탈을 한눈에

칸	번역이 하는 일	거는 것	보존하는 불변량	예
① 고쳐 부르기	숨은 동일성을 드러냄	통찰	대상 그 자체	파스칼 삼각형, $x^2+y^2=1$
② 대각화	얽힘을 독립 모드로 풂	계산	스펙트럼	푸리에, 고유값, 리만 영점
③ 신뢰 옮기기	믿음의 근거를 이전	신뢰	신원·진실·검증	케르베로스, 교통 TSE, Coq 4색
④ 비가역성에 걸기	한 방향만 쉽게 만듦	안전	정체(지문)·비밀·연산 결과	SHA-256, RSA, PQC, 동형암호
⑤ 못 옮기는 자리	압축의 부재 / 번역 안 되는 나머지	(걸 수 없음)	—	4색정리, 공정분배 잔차

구조를 한 줄로

비탈을 한 칸씩 내려왔다. 맨 위에서 번역은 통찰만 걸고 아무것도 풀지 않았지만, 내려갈수록 계산과 신뢰와 안전을 떠맡았고, 맨 아래에서는 옳은데도 듣지 않는 자리에 닿았다. 그런데 다섯 칸 모두, 밑바닥의 동작은 하나다.

어려운 문제를 만나면, 그 문제를 그 자리에서 풀려 하지 말고 풀리는 좌표계로 옮겨라. 그리고 그 옮김이 무엇을 보존하기로 약속했는지를 똑바로 봐라 — 보존되는 것이 불변량이고, 보존되지 않는 것이 위험이거나 한계다.

이 관점이 좋은 건, 멀어 보이던 분야들이 같은 문법을 공유하면서도 거는 것은 제각각임을 한꺼번에 보여 주기 때문이다. 푸리에 변환과 케르베로스 티켓과 SHA-256 지문은 표면적으로 아무 상관이 없다. 하지만 셋 다 문제를 다른 표현으로 옮긴 뒤, 그 표현에서 무엇이 보존되고 무엇이 새는지로 승부를 본다. 수학자는 이걸 “변환 아래의 불변량”으로, 보안 엔지니어는 “신뢰 경계”로, 제어 이론가는 “가관측성”으로 다룬다. 완전히 같은 개념은 아니지만, 묻는 질문은 하나다 — 무엇이 보존되고, 어디서 깨지는가.

푸리에가 합성곱을 곱셈으로 바꾼 그 순간은, 그래서 특별한 재주가 아니었다. 그건 어려운 문제를 다루는 가장 오래되고 가장 보편적인 동작의 한 사례였을 뿐이다. 문제는 풀리지 않는다. 옮겨질 뿐이다.

여기 적은 수학·암호·시스템의 사실관계는 표준적인 설명을 따랐지만, 리만 가설과 양자혼돈의 연결처럼 유비에 머무는 대목, 그리고 “RSA를 깨는 것 ≡ 인수분해”처럼 일반 모델에서 미증명인 대목은 본문에서 그 한계를 함께 적어 두었다.

푸리에 변환의 합성곱 정리(시간 영역의 합성곱 = 주파수 영역의 곱셈)는 필터링·변조·샘플링의 기반이다. MIT OpenCourseWare, Signals and Systems, Lecture 9: Fourier Transform Properties. 에너지 보존은 Parseval/Plancherel 정리의 의미이며, 정규화 convention에 따라 상수 계수( $2\pi$ 등)가 달라진다. ↩
리만 명시적 공식, 영점의 $x^\rho$ 진동 모드 해석, 그리고 영점 간격 통계와 랜덤행렬(GUE)의 유비는 다음을 참고. Clay Mathematics Institute, “Riemann Hypothesis”; James Maynard, Patterns in the primes. 배후 연산자 $H$ 는 아직 발견되지 않았다(Hilbert–Pólya 추측). “정확히 $\sqrt{x}$ “는 개별 항을 두고 한 말이다 — $\operatorname{Re}\rho = 1/2$ 이면 $|x^\rho| = x^{1/2}$ 로 정확하지만, 누적 오차로 돌아오면 log 인자가 붙는다 — RH 아래 $\pi(x) - \operatorname{li}(x) = O(\sqrt{x}\,\log x)$ , $\psi(x) - x = O(\sqrt{x}\,\log^2 x)$ . ↩ ↩²
케르베로스가 호스트 OS의 주장·호스트 주소·물리 보안에 의존하지 않고 동작한다는 설계 가정은 RFC 4120, The Kerberos Network Authentication Service (V5) 참고. KDC가 뚫리면 해당 realm의 인증이 함께 무너진다는 점도 같은 문서에 명시되어 있다. ↩
633개 configuration·32개 discharging 규칙, 그리고 “각 단계는 사람이 검증 가능하지만 전체는 길이 때문에 손으로 검산하기 어렵다”는 설명은 Robertson–Sanders–Seymour–Thomas, The Four Color Theorem (Georgia Tech). Coq/Rocq 형식 증명은 rocq-community/fourcolor. ↩ ↩²
SHA-256은 NIST FIPS 180-4, Secure Hash Standard의 해시 함수다. 양자 공격에서 Grover 알고리즘은 preimage 탐색을 제곱근만큼만 가속하므로(공개키를 무너뜨리는 Shor와 달리) SHA-256은 대략 128비트 보안을 유지한다. content-addressing의 대표 예인 Git은 객체를 내용 해시로 주소화하는데, 기본 해시는 역사적으로 SHA-1이고 SHA-256 객체 포맷으로 이행 중이다. ↩
RSA의 실제 취약점이 수식이 아니라 키 생성·패딩·사이드채널·약한 파라미터·키 재사용에서 발생한다는 점, 그리고 공개 인수분해 기록(RSA-250, 829비트)은 RFC 8017 (PKCS #1 v2.2)와 IBM Quantum Learning, “Factoring and computing GCDs” 참고. ROCA(CVE-2017-15361)는 특정 RSA 키 생성 라이브러리의 구조적 결함이다: CRoCS. RSA를 깨는 것이 인수분해와 일반 모델에서 동치임은 미증명이다: Boneh–Venkatesan. ↩
NIST는 2024년 8월 첫 양자내성암호 표준(FIPS 203 ML-KEM, FIPS 204 ML-DSA, FIPS 205 SLH-DSA)을 확정했다. NIST, “NIST Releases First 3 Finalized Post-Quantum Encryption Standards”. ↩