Cloudflare Workers, 웹 크립토 API에 양자 내성 암호 알고리즘 지원 추가

양자 내성 암호 지원 도입

Cloudflare Workers는 Web Crypto API에 ML-KEM(키 캡슐화 메커니즘)과 ML-DSA(디지털 서명 알고리즘)를 포함한 양자 내성 암호 알고리즘 지원을 추가한다. 이 기능은 'webcrypto_modern_algorithms' 호환성 플래그를 통해 선택적으로 활성화된다. 개발자는 별도의 암호화 구현을 번들링하지 않고도 ML-KEM 및 ML-DSA를 실험할 수 있으며, JWK(JSON Web Key) 가져오기 및 내보내기도 지원한다.

도입 배경 및 필요성

기존에는 JavaScript 환경에서 새로운 양자 내성 알고리즘을 실험하기 어려웠다. 개발자는 Web Crypto API 위에 프로토콜을 직접 구축할 수 없거나, JavaScript 또는 WebAssembly로 자체 암호화 구현을 번들링해야 했다. 이는 구현자에게 암호화 구현 선택 및 유지보수 부담을 지우고, 애플리케이션 크기를 증가시키는 원인이 되었다.

예상보다 빠르게 양자 내성 알고리즘으로의 전환이 필요해지면서, 개발자들은 양자 내성 통합을 테스트하고 평가하며 개선하기 위해 이러한 기본 요소에 대한 접근이 시급했다. Cloudflare Workers의 이번 지원은 이러한 요구에 부응하여 개발자들이 양자 시대에 대비할 수 있는 기반을 제공한다. TLS 및 SSH와 같은 분야에서 이미 양자 내성 알고리즘 지원 노력이 진행되고 있다.

지원 알고리즘 및 구현 방식

현재 Workers에서 지원하는 ML-KEM 알고리즘은 ML-KEM-768과 ML-KEM-1024이다. ML-DSA 알고리즘은 ML-DSA-44, ML-DSA-65, ML-DSA-87을 지원한다. ML-KEM은 'crypto.subtle.generateKey'를 사용하여 키 쌍을 생성하고, 'encapsulateBits' 및 'decapsulateBits' 메서드를 통해 공유 키를 생성한다. ML-DSA는 'crypto.subtle.generateKey'로 키 쌍을 생성하고, 'sign' 및 'verify' 메서드를 사용하여 데이터를 서명하고 검증한다.

'getPublicKey()' 헬퍼 API가 추가되어 개인 키로부터 공개 키를 직접 파생할 수 있게 되어, 공개 키 암호화를 다루는 라이브러리에서 코드 복잡성을 줄인다. Workers의 양자 내성 암호 알고리즘 지원은 V8 기반의 오픈소스 런타임인 'workerd'에 구현되었으며, 'workerd'의 Web Crypto 계층에 ML-KEM 및 ML-DSA 지원이 추가되었고, 이는 BoringSSL 기본 요소를 기반으로 한다.

이 변경 사항에는 현대 알고리즘 API 표면에 대한 Web Platform Tests, 호환성 플래그 동작에 대한 Workers 특정 테스트, 그리고 새로운 Workers 타입에 대한 TypeScript 정의가 포함된다.

개발자 및 라이브러리 영향

이번 지원으로 개발자들은 별도의 암호화 구현을 번들링할 필요 없이 Workers 런타임에서 직접 양자 내성 암호 알고리즘을 활용할 수 있다. 이는 애플리케이션 크기를 줄이고 성능을 향상시키는 데 기여한다.

'panva/jose' 및 'panva/hpke'와 같은 라이브러리는 ML-DSA 및 ML-KEM 작업을 런타임에 위임할 수 있게 된다. 이를 통해 라이브러리 자체에 암호화 구현을 포함할 필요 없이, Workers 런타임이 제공하는 기본 기능을 활용하여 효율적인 통합을 구현할 수 있다.

OHTTP(Oblivious HTTP)와 같은 프로토콜은 HPKE를 사용하며, HPKE가 Web Crypto를 통해 양자 내성 KEM을 사용할 수 있게 됨으로써, 이러한 프로토콜들도 양자 내성 암호 스위트로의 마이그레이션을 시작할 수 있는 기반을 마련한다.

적용 조건 및 한계

이 기능은 'webcrypto_modern_algorithms' 호환성 플래그를 'wrangler.jsonc' 설정 파일에 추가하여 명시적으로 활성화해야 한다. API는 아직 초안(draft) 상태이므로, 라이브러리 개발자들의 피드백을 통해 안정화될 예정이다. 따라서 라이브러리는 모든 런타임에서 API 지원 여부를 확인하는 로직을 포함해야 한다.

이번 지원은 양자 내성 마이그레이션을 위한 빌딩 블록을 제공하지만, 완전한 마이그레이션 경로를 의미하지는 않는다. ML-KEM-512는 Workers가 사용하는 BoringSSL 버전의 제약으로 인해 지원되지 않는다. 또한, WICG 제안에 포함된 SHA-3, cSHAKE, TurboSHAKE, ChaCha20-Poly1305와 같은 다른 알고리즘은 이번 초기 변경 사항에 포함되지 않았다.

ML-DSA 공개 키와 서명은 기존 RSA 또는 Ed25519보다 상당히 크다. 런타임 통합으로 성능 향상 및 번들링 필요성 감소 효과는 있지만, 키, 서명 또는 암호문의 크기 증가는 네트워크 전송 및 저장 시 고려해야 할 현실적인 제약이다. 향후에는 이 API가 기본값으로 전환될 시점에 대한 논의가 필요하다.