Cloudflare, 2029년 PQ 마이그레이션 위해 AI 도구 CryptoLabe 개발

Cloudflare는 2029년까지 완전한 양자 내성(Post-Quantum, PQ) 준비를 마친다는 목표 아래, 고객 트래픽의 미래 보장을 위해 'PQ everything' 전략을 채택했다. 중앙 집중식 코드베이스 전반에 걸친 대규모 마이그레이션을 관리하기 위해 회사는 암호화 사용 현황을 발견하고, 진행 지표 제공 및 선행 조건을 파악하는 내부 AI 도구 CryptoLabe를 개발했다.

CryptoLabe 작동 방식

CryptoLabe는 단순 패턴 매칭의 한계(미사용 코드 과다 계산 또는 간접 의존성 누락)를 극복하기 위해 두 단계로 운영된다.

• 발견 단계: 저장소 매핑 및 소스, 구성, 매니페스트에서 암호화 작업의 원시 관찰 데이터를 검색한다.
• 분석 단계: 소스 코드를 재검토하고 런타임 사용을 조사하여 Classical encryption, Classical signature, PQ-ready hybrid key exchange, More evidence needed 등으로 분류한다.

이 도구는 TLS, JWTs, IPsec 등 특정 프로토콜의 마이그레이션 경로를 상세히 기술한 보고서를 제품 관리자 및 엔지니어에게 생성한다.

아키텍처 및 확장성

Cloudflare Developer Platform 위에 구축된 CryptoLabe는 Workers, Durable Objects, Workflows를 사용하여 스캔을 오케스트레이션한다. 저장소 스냅샷을 R2에 다운로드하고 짧은 수명의 Cloudflare Sandboxes에서 실행하여 코드 분석을 격리한다. 용량 제한을 처리하기 위해 전역 Durable Object가 AI Gateway를 통해 모델 요청을 조절하여, 동시 스캔이 가용 용량을 공유하도록 하고 속도 제한 트리거를 방지한다.

어려운 사례 식별

표준 스캔 외에도 CryptoLabe는 생태계 지원이 부족한 '어려운 사례'를 식별한다. 예를 들어, 고정 크기를 가정하는 시스템을 깨뜨릴 수 있는 더 큰 PQ 서명을 포함할 수 있는 HTTP 헤더 내 인증서를 플래그했다. 또한 post-quantum JWTs (RFC 9964)에 대한 라이브러리 지원 필요성과 같은 공통 선행 조건별로 발견 사항을 그룹화한다.

다른 조직을 위한 지침

Cloudflare는 대부분의 조직이 즉각적인 포괄적인 암호화 인벤토리가 필요하지 않다고 조언한다. 대신 민감한 데이터를 처리하거나 공개 인터넷에 노출된 시스템을 우선시해야 한다. Cloudflare는 자사 플랫폼이 이미 Cloudflare One 및 네트워크를 통해 트래픽에 post-quantum encryption을 제공하여, 조직이 내부 마이그레이션을 계획하는 동안 보상 제어 기능을 제공한다고 밝혔다.