Cloudflare, IPsec 양자 다운그레이드 공격 베타 완화책 배포

Cloudflare가 IPsec 프로토콜의 설계 결함으로 인한 양자 다운그레이드 공격에 대한 베타 완화책을 개발 및 배포했습니다. 이 취약점은 중간 경로 공격자가 엔드포인트를 약한 고전 암호화로 강제 전환할 수 있게 하며, 이후 양자 컴퓨터로 이를 해독할 수 있게 합니다. 양자 암호화(PQ)를 지원하더라도 공격자가 핸드셰이크 메시지를 조작해 PQ 지원을 숨길 수 있어 문제가 지속됩니다.

취약점

이 결함은 IKEv2의 인증 처리 방식에서 비롯됩니다. TLS 1.3과 달리 IKEv2 엔드포인트는 전체 핸드셰이크 트랜스크립트가 아닌 발신 메시지에만 서명합니다. 이를 통해 공격자는 초기 교환 메시지를 가로채고 재작성하여 엔드포인트가 고전 Diffie-Hellman 키 교환으로 후퇴하도록 속일 수 있습니다. 연결이 다운그레이드되면 공격자는 양자 컴퓨터를 사용해 실시간으로 암호화 키를 도출하고 트래픽을 복호화합니다.

해결책: 전체 트랜스크립트 인증

Cloudflare는 IETF IPSECME 워킹 그룹과 협력하여 IKE_SA_INIT_FULL_TRANSCRIPT_AUTH라는 확장 기능을 만들었습니다. 이 확장은 엔드포인트가 전체 핸드셰이크 트랜스크립트에 서명하도록 강제하여, 양측이 동일한 메시지 시퀀스를 관찰했음을 확인합니다.

주요 특징은 다음과 같습니다:

• 무조건적 알림: 이니시에이터와 리스폰더 모두 확장 기능을 지원하는 알림을 항상 전송합니다. 공격자가 알림을 삭제하면 인증 불일치로 인해 조용한 다운그레이드가 방지됩니다.
• 하위 호환성: 다른 기능과 동일하게 협상되므로 생태계 전반에 걸쳐 점진적으로 도입할 수 있습니다.
• 베타 제공: 현재 Cloudflare WAN과 Magic Transit에서 베타로 제공됩니다. 고객은 계정 관리자에게 ipsec_downgrade_protection 플래그 활성화를 요청하여 사용할 수 있습니다.

양자 보안에 미치는 영향

이번 개발은 양자 암호화 원시 요소를 추가하는 것만으로는 부족하며, 능동적 다운그레이드 공격으로부터 프로토콜을 보호해야 함을 시사합니다. 이 공격에 필요한 양자 연산은 핸드셰이크 중 온라인으로 수행되어야 해 난이도가 높지만, Cloudflare는 양자 공격 자원 추정치가 크게 감소했다고 지적했습니다. 이에 따라 회사는 양자 준비 전환 마감일을 2029년으로 앞당겼습니다. 이 확장 기능은 RFC로 채택될 예정이며, Cloudflare는 IPsec 생태계 전반의 도입을 장려하고 있습니다.