AES

AES는 블록 암호의 일종으로, 고정된 길이의 평문 블록을 암호문 블록으로 변환하는 대칭키 암호 알고리즘이다. AES의 기본 블록 크기는 128비트(16바이트)로 설계되었다. 이는 암호화와 복호화의 기본 처리 단위가 128비트의 데이터 덩어리임을 의미한다.

암호화의 강도를 결정하는 핵심 요소인 암호화 키의 길이는 AES에서 세 가지로 제공된다. 각 키 길이는 서로 다른 보안 강도와 호환성 요구 사항을 충족시키기 위해 도입되었다. 사용 가능한 키 길이는 128비트, 192비트, 256비트이다. 키 길이가 길수록 이론적으로 무차별 대입 공격에 대한 저항력이 증가한다.

키의 길이는 알고리즘 내부의 라운드 수에 직접적인 영향을 미친다. 라운드 수는 데이터 블록에 반복적으로 적용되는 암호화 변환의 횟수를 말한다. 각 키 길이에 따른 라운드 수는 다음과 같다.

이러한 설계로 인해 AES-128, AES-192, AES-256은 서로 다른 성능과 보안 특성을 가지게 되었다. 일반적으로 가장 널리 사용되는 것은 AES-128이며, 극도로 민감한 정보를 보호해야 하는 경우 AES-256이 선택되기도 한다. 모든 버전의 AES는 동일한 128비트 블록 크기를 사용하며, 내부 변환 과정의 구조는 동일하지만 라운드 키 생성 방식과 라운드 수에서 차이를 보인다.

AES는 블록 암호로, 고정된 크기의 데이터 블록(128비트)을 암호화한다. 이 과정은 여러 번의 반복적인 변환, 즉 라운드를 거쳐 완성된다. 라운드의 횟수는 사용하는 암호화 키의 길이에 따라 결정된다[1]. 각 라운드는 SubBytes, ShiftRows, MixColumns, AddRoundKey라는 네 가지 기본 변환으로 구성되며, 마지막 라운드에서는 MixColumns 단계가 생략된다.

첫 번째 라운드 전에는 초기 라운드 키 덧셈(AddRoundKey) 단계만 수행된다. 이후 정규 라운드가 시작되면, 각 라운드는 네 단계를 순서대로 실행한다. SubBytes 단계에서는 S-Box라고 불리는 미리 정의된 치환 테이블을 사용하여 각 바이트를 비선형적으로 대체한다. ShiftRows 단계에서는 상태 행렬의 각 행을 고정된 횟수만큼 순환 시프트한다. MixColumns 단계에서는 행렬 연산을 통해 각 열의 데이터를 혼합한다. 마지막으로 AddRoundKey 단계에서는 해당 라운드에 맞게 확장된 라운드 키를 상태와 XOR 연산한다.

라운드 키는 원본 암호화 키로부터 키 스케줄 알고리즘을 통해 생성된다. 이 알고리즘은 키 확장 과정을 통해 필요한 모든 라운드 키를 미리 계산해 둔다. 각 라운드 키는 128비트(16바이트)이며, 라운드마다 고유한 키를 사용한다. 라운드 구조의 설계는 차분 암호 분석과 선형 암호 분석과 같은 알려진 암호 공격에 대한 내성을 강화하는 데 중점을 두었다.

이러한 라운드 구조의 반복적 적용과 각 단계의 조합은 혼돈과 확산의 원칙을 구현하여 높은 수준의 보안성을 달성한다.

각 라운드는 바이트 치환(SubBytes), 행 이동(ShiftRows), 열 혼합(MixColumns), 라운드 키 덧셈(AddRoundKey)의 네 가지 기본 변환으로 구성된다. 마지막 라운드에서는 열 혼합 단계가 생략된다.

바이트 치환은 비선형 변환 단계로, 각 바이트를 미리 정의된 S-Box(치환 상자)를 사용하여 다른 값으로 치환한다. 이 과정은 암호의 비선형성을 제공하여 차분 공격이나 선형 공격에 대한 저항성을 높인다. 행 이동 단계에서는 상태 배열의 각 행을 고정된 양만큼 순환적으로 왼쪽으로 이동시킨다. 이는 열 간의 확산을 증가시키는 역할을 한다.

열 혼합 단계에서는 상태의 각 열을 고정된 행렬과 갈루아 체(GF(2⁸)) 상에서 곱셈 연산을 수행한다. 이 연산은 한 열의 각 바이트가 해당 열의 모든 네 바이트 값에 영향을 받도록 만들어, 데이터 간의 확산을 더욱 강화한다. 마지막으로, 라운드 키 덧셈 단계에서는 현재의 라운드 키를 상태 배열과 XOR 연산한다. 이 키는 키 확장 과정을 통해 원본 암호화 키로부터 생성된다.

이러한 변환들은 여러 라운드를 거치며 반복 적용되어, 평문과 암호문 간의 관계를 매우 복잡하게 만든다. 각 변환은 서로 다른 형태의 혼돈과 확산을 제공하며, 이들의 조합이 AES의 높은 보안성을 이루는 기반이 된다.

AES는 블록 암호이므로, 고정된 길이의 데이터 블록(128비트)을 암호화한다. 그러나 실제 데이터는 다양한 길이를 가지므로, 여러 블록을 어떻게 처리할지에 대한 규칙이 필요하다. 이 규칙을 운용 모드라고 한다. ECB, CBC, CFB는 가장 기본적이고 널리 사용되는 운용 모드들이다.

ECB(Electronic Codebook) 모드는 가장 단순한 방식이다. 평문을 128비트 블록으로 나누어 각 블록을 독립적으로 동일한 키로 암호화한다. 이 방식의 주요 단점은 동일한 평문 블록은 항상 동일한 암호문 블록을 생성한다는 점이다. 이는 데이터 패턴이 암호문에 그대로 드러날 수 있어 보안에 취약하다. 예를 들어, 단색 배경의 이미지를 ECB 모드로 암호화하면 원본 이미지의 윤곽이 암호문에서도 식별될 수 있다[2]. 따라서 중요한 데이터에는 일반적으로 권장되지 않는다.

CBC(Cipher Block Chaining) 모드는 이러한 ECB의 문제점을 해결한다. 각 평문 블록은 암호화되기 전에 이전 블록의 암호문과 XOR 연산을 수행한다. 첫 번째 블록의 경우 이전 암호문이 없으므로, 초기화 벡터(IV)라는 무작위 값을 사용한다. 이로 인해 동일한 평문이라도 IV가 다르면 전혀 다른 암호문이 생성된다. 또한 한 블록의 오류(변조)가 다음 블록의 복호화에 영향을 미치는 오류 전파 특성을 가진다. CBC 모드는 오랜 기간 동안 사실상의 표준으로 널리 사용되어 왔다.

CFB(Cipher Feedback) 모드는 블록 암호를 스트림 암호처럼 동작하게 만드는 모드이다. 먼저 IV(또는 이전 암호문)를 암호화하여 키 스트림을 생성한 후, 평문과 XOR하여 암호문을 만든다. 이 암호문은 다음 블록의 키 스트림 생성에 사용된다. CFB 모드도 CBC와 마찬가지로 초기화 벡터를 필요로 하며 오류 전파가 발생한다. 특이점은 암호화 과정에서 블록 암호의 *암호화* 함수만 사용되며, 복호화 시에도 동일한 암호화 함수를 사용한다는 것이다. 이는 하드웨어 구현을 단순화할 수 있는 장점이 있다.

OFB는 블록 암호를 스트림 암호처럼 사용하는 모드이다. 초기화 벡터를 암호화하여 생성된 키 스트림을 평문과 XOR 연산하여 암호문을 만든다. 이때 생성된 키 스트림은 다음 블록의 키 스트림을 생성하는 데 재사용되므로, 암호화와 복호화 과정이 동일하다는 장점이 있다. 그러나 OFB 모드는 오류 전파가 제한적이며, 암호화 전에 키 스트림을 미리 생성해 둘 수 있다.

CTR 모드는 카운터 값을 암호화하여 키 스트림을 생성하는 방식이다. 일반적으로 nonce와 블록 번호를 조합하여 각 블록마다 고유한 카운터 값을 만든다. 이 방식은 각 블록의 암호화가 다른 블록에 의존하지 않아 병렬 처리가 가능하며, 임의 접근이 용이하다. 또한 CTR 모드는 OFB와 마찬가지로 오류 전파가 발생하지 않는다.

GCM은 CTR 모드의 변형으로, 인증된 암호를 제공하는 모드이다. CTR 모드를 사용하여 데이터를 암호화하면서 동시에 Galois/Counter Mode 인증 알고리즘을 통해 암호문과 추가 인증 데이터에 대한 무결성 검증 값을 생성한다. 이는 암호화와 인증을 하나의 연산으로 효율적으로 처리할 수 있게 해준다. GCM은 높은 성능과 병렬 처리 가능성 덕분에 고속 네트워크 프로토콜과 저장 장치 암호화에 널리 사용된다.

AES는 128비트, 192비트, 256비트의 세 가지 키 길이를 제공합니다. 각 키 길이는 서로 다른 수준의 보안 강도를 가지며, 이는 브루트 포스 공격에 필요한 계산량으로 측정됩니다. 128비트 키를 사용하는 경우, 가능한 키의 수는 2^128개로, 현존하는 가장 빠른 슈퍼컴퓨터로도 모든 키를 시도하는 데 걸리는 시간은 우주의 나이보다 훨씬 길어 실질적으로 불가능한 수준입니다. 192비트와 256비트 키는 이보다 훨씬 더 큰 키 공간을 가지므로 이론적 보안 강도는 더욱 높습니다.

키 길이에 따른 보안 강도는 특정 공격에 대한 저항성과도 연결됩니다. 예를 들어, 관련 키 공격이나 차분 공격과 같은 암호학적 분석에서, 더 긴 키 길이는 일반적으로 더 많은 안전 마진을 제공합니다. 256비트 키를 사용하는 AES-256은 극도로 민감한 정보를 장기간 보호해야 하는 경우, 예를 들어 정부 기밀 문서나 금융 기관의 마스터 키 보관 등에 권장됩니다. 반면, 대부분의 상업적 및 일반적인 응용 분야에서는 AES-128로도 충분한 보안을 제공합니다.

다음 표는 세 가지 AES 변형의 주요 매개변수와 이론적 보안 강도를 요약한 것입니다.

실제 보안 수준은 알고리즘 자체의 강도뿐만 아니라 올바른 운용 모드 선택, 키 관리의 안전성, 구현상의 결함 없음 등에 크게 의존합니다. 따라서 더 긴 키를 사용한다고 해서 자동으로 시스템 전체가 더 안전해지는 것은 아닙니다. 미국 NIST는 2030년 이후까지도 AES-128은 충분히 안전하지만, 매우 장기적인 보호가 필요하거나 양자 컴퓨터의 위협을 고려할 경우 AES-192 또는 AES-256의 사용을 고려할 수 있다고 조언합니다[5].

AES는 널리 사용되는 블록 암호로, 현재까지 실용적인 완전 공격은 알려지지 않았다. 그러나 여러 이론적 공격과 부채널 공격이 연구되었다. 주요 이론적 공격으로는 차분 공격과 선형 공격이 있으며, 이들은 AES의 안전성 마진을 평가하는 데 사용된다. 예를 들어, 256비트 키를 사용하는 AES-256에 대한 최상의 차분 공격은 9라운드에만 효과적이다[6]. 이는 전체 라운드 수에 비해 공격 가능한 라운드가 제한적이어서, 실질적인 위협으로 간주되지 않는다.

부채널 공격은 암호 알고리즘 자체의 취약점이 아니라, 알고리즘이 구현되고 실행되는 물리적 시스템에서 유출되는 정보를 이용한다. 대표적인 방법으로 타이밍 공격과 전력 분석 공격이 있다. 타이밍 공격은 연산 시간의 미세한 차이를 분석하여 비밀 키 정보를 추론한다. 전력 분석 공격은 장치가 암호화를 수행할 때 소비하는 전력 패턴을 측정하여 키를 찾아낸다. 이러한 공격들은 주로 스마트 카드나 암호화 장비와 같은 하드웨어 대상으로 수행된다.

관련키 공격은 서로 논리적 관계가 있는 여러 키를 사용할 수 있을 때를 가정한 공격이다. AES-192와 AES-256에 대해 이 공격의 복잡도가 이론적으로 낮아지는 것이 발견되었지만, 공격자가 관련된 키를 다수 생성해야 하는 매우 까다로운 조건을 요구한다. 따라서 실제 환경에서 실행되기 어려운 공격으로 평가된다. 결론적으로 AES 알고리즘의 핵심 구조는 여전히 강력하지만, 구현 시 부채널 공격에 대한 적절한 대응 방안을 마련하는 것이 중요하다.

AES의 효율적인 실행을 위해 주요 CPU 제조사들은 특수 명령어 집합을 도입했다. 인텔과 AMD는 x86 및 x86-64 아키텍처에 AES-NI(AES New Instructions)를 추가했다. 이 명령어 집합은 AES 암호화와 AES 복호화의 핵심 라운드 연산을 하드웨어로 직접 수행하도록 설계되어, 소프트웨어만으로 구현했을 때보다 성능을 크게 향상시키고 부채널 공격에 대한 취약성을 줄인다.

ARM 아키텍처에서는 ARMv8부터 AES 확장 명령어가 표준으로 포함되었다. 이는 주로 모바일 및 임베디드 시스템에서 AES 성능을 가속화하는 데 기여한다. 일부 고성능 ARM 코어(예: Cortex-A 시리즈)와 애플 실리콘의 M 시리즈 칩에도 이 가속 기능이 탑재되어 있다.

다양한 CPU의 AES 명령어 지원 여부와 도입 시기는 아래 표와 같다.

이러한 하드웨어 가속 지원은 TLS/SSL, WPA2/WPA3, 디스크 암호화 소프트웨어, VPN 등 광범위한 암호화 응용 프로그램의 실용적 성능을 보장하는 데 결정적 역할을 한다. 소프트웨어 라이브러리(예: OpenSSL, CNG)는 일반적으로 지원되는 경우 자동으로 이러한 명령어를 활용한다.

AES는 상대적으로 낮은 계산 자원과 메모리를 가진 임베디드 시스템 환경에서도 널리 적용된다. 이는 AES 알고리즘이 효율적이고 결정론적이며, 하드웨어 가속 구현이 비교적 간단한 구조를 가지고 있기 때문이다. 스마트 카드, IoT 센서 노드, 마이크로컨트롤러 기반 장치 등에서 데이터의 기밀성을 보장하는 핵심 요소로 사용된다.

임베디드 환경에서의 구현은 크게 소프트웨어와 하드웨어 방식으로 나뉜다. 자원이 매우 제한된 8비트 또는 16비트 마이크로컨트롤러에서는 메모리 공간을 최소화하기 위해 사전 계산된 S-박스를 사용하거나, 연산을 위한 루크업 테이블 크기를 줄이는 최적화 기법이 적용된다. 반면, 성능과 보안이 중요한 스마트 카드나 TPM 같은 칩에서는 전용 암호화 코프로세서나 하드웨어 가속기를 내장하여 전력 소모를 줄이고 처리 속도를 극대화한다.

적용 사례는 다음과 같이 다양하다.

이러한 환경에서는 전력 분석 공격이나 타이밍 공격 같은 물리적 공격에 대한 저항력도 중요한 고려사항이다. 따라서 상수 시간에 실행되는 알고리즘 구현이나, 전력 소모 패턴을 마스킹하는 대응책이 함께 연구되고 적용된다.

AES는 네트워크 통신에서 데이터의 기밀성을 보장하기 위한 핵심 암호화 알고리즘으로 널리 채택되었다. 특히 TCP/IP 기반의 주요 보안 프로토콜들에 표준으로 내장되어 있다. 가장 대표적인 예는 TLS와 그 전신인 SSL이다. 이 프로토콜들은 웹 브라우징(HTTPS), 이메일(SMTPS), 가상 사설망(VPN) 등에서 안전한 통신 채널을 구축할 때 핵심 암호 스위트의 일부로 AES를 사용한다. 또한, IPsec 프로토콜은 네트워크 계층에서 패킷 단위의 인증과 암호화를 제공하며, ESP 프로토콜을 통해 AES를 암호화 알고리즘으로 지정할 수 있다.

AES는 다양한 네트워크 보안 표준과 응용 프로토콜에 공식적으로 포함되어 있다. IEEE 802.11i 표준, 즉 WPA2 및 WPA3는 무선 와이파이 네트워크의 보안을 강화하기 위해 AES 기반의 CCMP 암호화 방식을 의무사항으로 채택하였다. 이는 이전에 사용되던 취약한 WEP를 대체하였다. 또한, SSH, SFTP와 같은 안전한 원격 접속 및 파일 전송 프로토콜도 AES를 지원하는 일반적인 암호화 옵션이다. 많은 프로토콜 구현체들은 AES의 여러 운용 모드를 지원하며, 그중 GCM 모드는 인증 암호화를 동시에 제공하여 효율성과 보안성을 높인다.

AES는 블록 암호의 특성상 대용량 데이터를 효율적으로 처리할 수 있어, 저장 매체의 전체 또는 일부를 암호화하는 데 널리 사용된다. 디스크 암호화는 운영 체제가 부팅되기 전에 전체 하드 디스크나 파티션을 암호화하여 물리적 분실이나 도난 시 데이터 유출을 방지한다. 비트로커 (윈도우), 파일볼트 (맥OS), LUKS (리눅스) 등의 도구가 AES를 핵심 암호화 알고리즘으로 채택하고 있다. 이들은 일반적으로 XTS 모드나 CBC 모드와 같은 운용 모드를 결합하여 디스크 섹터 단위로 안전하게 암호화를 수행한다.

파일 또는 폴더 단위의 암호화에도 AES가 적극적으로 활용된다. 파일 암호화는 전체 디스크를 암호화하지 않고 개별적인 중요한 파일에 대해 암호화를 적용하는 방식이다. 많은 압축 소프트웨어 (예: 7-Zip, WinRAR)는 AES-256을 옵션으로 제공하여 암호화된 압축 파일을 생성할 수 있다. 또한, 가상 디스크나 컨테이너 파일을 생성하여 그 내부에 파일을 저장하는 방식도 있다. 이 경우 사용자는 하나의 대용량 암호화 파일을 마운트하여 일반 디스크처럼 사용하며, AES는 이 컨테이너 파일 전체를 암호화하는 데 사용된다.

이러한 적용의 핵심 장점은 표준화된 강력한 알고리즘을 통해 높은 수준의 기밀성을 제공하면서도, 현대 CPU의 AES-NI와 같은 전용 명령어 집합 지원으로 인해 암호화/복호화 속도 저하가 최소화된다는 점이다. 따라서 사용자는 실시간으로 데이터에 접근하면서도 강력한 보안을 유지할 수 있다.

AES는 무선 통신에서 데이터의 기밀성을 보장하는 핵심 암호화 알고리즘으로 널리 사용된다. 특히 Wi-Fi 보안 표준인 WPA2와 WPA3에서 필수적인 구성 요소이다. WPA2는 CCMP 프로토콜을 사용하며, 이 프로토콜의 핵심 암호화 방식이 AES를 기반으로 한 AES-CCMP이다. WPA3는 더 강화된 보안을 제공하기 위해 AES를 여전히 핵심으로 사용하면서 SAE 같은 강력한 키 교환 프로토콜과 결합한다.

블루투스 기술에서도 저전력 버전인 블루투스 로우 에너지의 보안 연결 기능은 AES 암호화를 활용한다. 무선 개인 영역 네트워크와 스마트 홈 기기 간의 안전한 통신을 지원한다. 또한, 4G LTE 및 5G NR과 같은 이동 통신 네트워크에서 사용자 데이터와 신호 정보를 보호하는 데에도 AES가 적용된다. 네트워크 슬라이싱과 같은 5G의 고급 기능에서도 가상화된 논리적 네트워크 간의 트래픽을 분리하고 보호하는 역할을 한다.

무선 환경은 제한된 대역폭과 전력, 변화하는 채널 상태라는 제약이 있기 때문에 AES의 효율적인 구현이 중요하다. 많은 무선 칩셋과 모듈에는 AES 암호화 및 복호화를 가속화하는 전용 하드웨어 가속기가 내장되어 있다. 이를 통해 소프트웨어만으로 처리할 때보다 훨씬 빠른 속도와 더 낮은 전력 소비로 강력한 보안을 제공할 수 있다.