# 타원 곡선 디피-헬만 (Elliptic Curve Diffie-Hellman)

**타원 곡선 디피-헬만**(Elliptic Curve Diffie-Hellman, 약자 **ECDH**)은 공개 키 암호 시스템에서 사용되는 키 교환 알고리즘입니다. 이 프로토콜은 기존 디피-헬만(Diffie-Hellman) 키 교환 알고리즘을 타원 곡선 암호(Elliptic Curve Cryptography, ECC)에 적용한 변형 버전으로, 두 당사자가 안전하지 않은 통신 채널을 통해 공유된 비밀 키를 생성할 수 있도록 합니다. 생성된 키는 이후 대칭 키 암호화(예: AES)에 사용되어 데이터의 기밀성을 보장합니다.

## 개요 및 배경

1976년 윌리엄 디피와 마틴 헬만이 제안한 원래의 디피-헬만 알고리즘은 정수 모듈러 지수 연산을 기반으로 합니다. 그러나 이 방식은 높은 보안 수준을 유지하기 위해 매우 큰 키 길이가 필요하다는 단점이 있었습니다. 예를 들어, RSA 2048비트와 동등한 보안 강도를 가지려면 디피-헬만도 2048비트 이상의 키가 필요합니다. 이는 계산 자원과 대역폭이 제한된 환경(모바일 기기, 사물인터넷 등)에서 비효율적일 수 있습니다.

타원 곡선 암호학은 수학적 구조로 타원 곡선을 활용하여 공개 키 암호를 구현합니다. 타원 곡선 위의 점 연산은 이산 로그 문제(Discrete Logarithm Problem)의 난해성을 기반으로 하며, 동일한 보안 강도를 훨씬 더 짧은 키 길이로 달성할 수 있게 해줍니다. 따라서 **ECDH**는 기존 디피-헬만보다 효율성이 뛰어나며, 현대 인터넷 보안 프로토콜인 TLS 1.2 및 TLS 1.3에서 널리 표준으로 채택되고 있습니다.

## 작동 원리

ECDH의 핵심은 타원 곡선 위의 점(point)을 사용하여 공유 비밀(shared secret)을 도출하는 것입니다. 이 과정은 다음과 같은 수학적 원리에 기반합니다.

1. **타원 곡선 매개변수 설정**: 두 당사자(일반적으로 Alice와 Bob)는 미리 정의된 타원 곡선 $E$와 그 위의 기본 점(base point) $G$를 공유합니다. 이 곡선과 기본 점은 공개적으로 알려져야 합니다.
2. **개인 키 생성**: 각 당사자는 무작위로 큰 정수(private key)를 생성합니다. Alice는 $a$, Bob은 $b$라고 합시다. 이 값들은 절대 공개되어서는 안 됩니다.
3. **공개 키 계산**: 각 당사자는 자신의 개인 키와 기본 점을 사용하여 공개 키를 계산합니다.
   - Alice의 공개 키: $A = aG$
   - Bob의 공개 키: $B = bG$
   여기서 $G$는 스칼라 곱셈(scalar multiplication) 연산입니다.
4. **공개 키 교환**: Alice와 Bob은 서로의 공개 키($A$와 $B$)를 교환합니다. 이 통신은 공개 채널을 통해 이루어져도 안전합니다.
5. **공유 비밀 도출**: 각 당사자는 상대방의 공개 키와 자신의 개인 키를 사용하여 동일한 공유 비밀 점 $S$를 계산합니다.
   - Alice가 계산: $S = aB = a(bG) = abG$
   - Bob이 계산: $S = bA = b(aG) = baG$
   타원 곡선 연산의 가환성(commutativity)에 의해 $abG = baG$이므로, 두 당사자는 동일한 공유 비밀 $S$를 얻게 됩니다.

이 공유 비밀 $S$의 x좌표(또는 해시 값)를 최종 세션 키로 사용합니다. 외부 공격자가 공개 키($A, B$)와 타원 곡선 매개변수만으로는 개인 키($a, b$)를 추론하거나 공유 비밀 $S$를 계산하는 것은 현재 기술로 사실상 불가능합니다.

## 주요 특징 및 장점

ECDH는 기존 디피-헬만 대비 다음과 같은 명확한 장점을 가집니다.

*   **높은 효율성과 짧은 키 길이**: 256비트 ECDH 키는 약 3072비트 RSA 키와 동등한 보안 강도를 제공합니다. 이는 저장 공간과 네트워크 대역폭을 절약하며, 계산 속도를 향상시킵니다.
*   **빠른 키 생성**: 타원 곡선 연산은 정수 모듈러 지수 연산보다 계산 부하가 적어, 특히 모바일 장치에서 빠른 연결 설정이 가능합니다.
*   **정적 및 일시적 키 지원**: ECDH는 정적(static) 키와 일시적(ephemeral) 키 모두에 적용 가능합니다. 일시적 키를 사용할 경우 **ECDHE**(Elliptic Curve Diffie-Hellman Ephemeral)라고 부르며, 전향 보안(Forward Secrecy)을 제공합니다. 이는 장기적인 개인 키가 유출되더라도 과거의 통신 내용이 해독되지 않도록 하는 중요한 보안 기능입니다.

## 보안 고려사항

ECDH를 안전하게 구현하기 위해서는 몇 가지 주의사항이 필요합니다.

1. **타원 곡선의 선택**: 모든 타원 곡선이 안전한 것은 아닙니다. 약한 곡선(예: 이상 곡선, 초특수 곡선 등)은 이산 로그 문제를 쉽게 풀 수 있는 취약점이 있을 수 있습니다. 따라서 NIST가 권장하는 곡선(예: P-256, P-384)이나 Curve25519와 같이 검증된 곡선을 사용해야 합니다.
2. **키 검증**: 상대방의 공개 키가 유효한 타원 곡선 위의 점인지 검증하지 않으면, 공격자가 약한 곡선이나 작은 부분군으로 유도하는 공격(Subgroup Confinement Attack)을 저지를 수 있습니다. 따라서 수신된 공개 키가 올바른 곡선 위에 있고, 올바른 부분군에 속하는지 확인하는 과정이 필수적입니다.
3. **무작위성**: 개인 키는 예측 불가능한 강력한 난수 생성기(CSPRNG)를 사용하여 생성되어야 합니다. 약한 난수는 개인 키 추측을 가능하게 합니다.

## 관련 표준 및 적용 사례

ECDH는 다양한 현대 보안 프로토콜의 핵심 구성 요소로 사용됩니다.

*   **TLS/SSL**: HTTPS를 통한 안전한 웹 통신에서 널리 사용됩니다.
*   **SSH**: 원격 서버와의 안전한 연결 설정에 활용됩니다.
*   **IPsec**: 네트워크 계층에서의 보안 통신에 적용됩니다.
*   **PGP/GPG**: 이메일 및 파일 암호화에서 키 교환에 사용됩니다.

## 참고 자료

*   Diffie, W., & Hellman, M. (1976). New Directions in Cryptography. *IEEE Transactions on Information Theory*.
*   Koblitz, N. (1987). Elliptic curve cryptosystems. *Mathematics of Computation*.
*   RFC 4492: Elliptic Curve Cryptography.
*   RFC 7748: Elliptic Curves for Security.