라운드 연산

작성자

익명

작성일

2026.07.13

조회수

버전

라운드 연산 블록 암호 혼돈과 확산 S-Box P-Box 키 스케줄링 Feistel 구조 SPN 구조 AES 중급

라운드 연산 (Round Operation)

1. 개요

라운드 연산이란 암호화 알고리즘에서 입력 데이터와 라운드 키를 결합하여 데이터의 상태(State)를 지속적으로 변환시키는 반복적 구조를 의미한다. 이는 단순한 루프(Loop) 연산을 넘어, 여러 가지 단순한 암호화 기법을 결합하여 강력한 보안성을 얻는 '제품 암호(Product Cipher)' 개념을 구현한 것이다. 블록 암호(Block Cipher)나 해시 함수(Hash Function)에서 단일 연산만으로는 입력값과 출력값 사이의 관계를 충분히 복잡하게 만들 수 없기 때문에, 반복적인 라운드 구조를 통해 데이터의 패턴을 완전히 제거하고 보안 강도를 높이는 방식을 취한다.

2. 기본 원리와 구조

라운드 연산은 기본적으로 입력 데이터에 특정 변환을 가하는 '라운드 함수'의 반복으로 구성된다. 각 라운드는 데이터의 비트 패턴을 무작위화하여 공격자가 입력과 출력 사이의 상관관계를 찾지 못하도록 설계된다.

2.1 단일 라운드의 주요 구성 요소

단일 라운드 내에서는 일반적으로 다음과 같은 연산들이 조합되어 수행된다.

연산 종류	명칭	역할 및 설명
치환 (Substitution)	S-Box	입력 비트를 다른 비트로 일대일 대응시켜 교체함으로써 비선형성을 부여한다.
전치 (Permutation)	P-Box	비트의 위치를 재배열하여 특정 비트의 영향력이 전체 데이터로 퍼지게 한다.
키 믹싱 (Key Mixing)	XOR 연산	라운드 키(Round Key)를 데이터와 배타적 논리합(XOR) 하여 사용자 키의 영향력을 반영한다.
모듈러 연산 (Modular Arithmetic)	덧셈/곱셈	특정 법(Modulus)에 대한 연산을 통해 값의 범위를 제한하고 복잡도를 높인다.

※ 연산의 순서는 알고리즘 설계마다 다르나, 일반적으로 키 믹싱 $\rightarrow$ 치환 $\rightarrow$ 전치의 순서로 구성되어 데이터의 확산을 극대화한다.

3. 핵심 설계 원칙

라운드 연산의 궁극적인 목적은 클로드 섀넌(Claude Shannon)이 제시한 두 가지 핵심 원칙인 '혼돈'과 '확산'을 달성하는 것이다.

혼돈 (Confusion): 암호문과 키 사이의 관계를 최대한 복잡하게 만드는 것이다. 주로 치환(Substitution) 연산을 통해 구현하며, 키의 한 비트가 변경되었을 때 암호문의 여러 비트가 예측 불가능하게 변하도록 하여 키 추론 공격을 방어한다.
확산 (Diffusion): 평문의 통계적 특성이 암호문 전체로 널리 퍼지게 하는 것이다. 주로 전치(Permutation) 연산을 통해 구현하며, 평문의 한 비트가 변경되었을 때 암호문의 약 절반의 비트가 변경되게 하는 '쇄도 효과(Avalanche Effect)'를 유도한다.
- 쇄도 효과 예시: 평문 01101001을 암호화했을 때 결과가 10110010이라고 가정하자. 여기서 단 1비트만 변경하여 01101000으로 입력했을 때, 결과값이 00011101과 같이 이전 결과와 완전히 다른(약 50%의 비트가 바뀐) 형태로 나타나는 현상을 말한다.

4. 라운드 키 생성 과정 (Key Schedule)

라운드 연산이 반복될 때 매번 동일한 마스터 키를 사용하면 대칭성으로 인한 취약점이 발생한다. 이를 방지하기 위해 마스터 키로부터 각 라운드에서 사용할 고유한 라운드 키(Round Key)를 생성하는 '키 스케줄링(Key Scheduling)' 과정이 필요하다.

키 확장 (Key Expansion): 마스터 키를 입력으로 하여 회전(Rotation), 치환(S-Box), 상수 더하기 등의 연산을 통해 더 긴 키 스트림을 생성한다.
라운드 키 할당: 확장된 키 스트림을 일정 길이로 나누어 각 라운드($R_1, R_2, \dots, R_n$ / R1, R2, ..., Rn)에 순차적으로 할당한다.
독립성 확보: 각 라운드 키 간의 상관관계를 최소화하여, 특정 라운드 키가 노출되더라도 마스터 키나 다른 라운드 키를 쉽게 유추할 수 없도록 설계한다.

5. 라운드 수의 결정과 트레이드오프

라운드 횟수는 암호 알고리즘의 보안성과 성능을 결정하는 핵심 변수이다.

보안 강도: 라운드 수가 많을수록 혼돈과 확산이 더 완벽하게 이루어지며, 차분 공격이나 선형 공격과 같은 암호 분석 기법에 대한 저항력이 높아진다.
연산 성능: 라운드 수가 증가할수록 CPU 연산량과 메모리 접근 횟수가 늘어나 암복호화 속도가 저하된다.
최적점 결정: 설계자는 알려진 최강의 공격 기법으로도 깨뜨릴 수 없는 '안전 마진(Safety Margin)'을 확보하면서도, 실용적인 처리 속도를 유지할 수 있는 최소한의 라운드 수를 결정한다.

6. 주요 알고리즘 적용 사례

대표적인 블록 암호 구조인 페이스텔(Feistel) 구조와 SPN(Substitution-Permutation Network) 구조는 라운드 연산을 구현하는 방식에서 차이를 보인다.

6.1 Feistel vs SPN 구조 비교

[구조 다이어그램] * Feistel: Plaintext $\rightarrow$ [L | R] $\rightarrow$ (R, K) -> f $\rightarrow$ L XOR f(R, K) $\rightarrow$ Swap(L, R) $\rightarrow$ Repeat * SPN: Plaintext $\rightarrow$ AddRoundKey $\rightarrow$ S-Box $\rightarrow$ P-Box $\rightarrow$ Repeat

비교 항목	페이스텔 구조 (Feistel Network)	SPN 구조 (Substitution-Permutation Network)
데이터 처리	데이터를 좌/우 두 블록으로 나누어 처리	데이터 전체 블록을 한 번에 처리
가역성	라운드 함수가 가역적일 필요 없음 (복호화 시 동일 구조 사용)	모든 연산(S-Box, P-Box)이 가역적(Inverse)이어야 함
효율성	구조가 단순하나, 한 라운드에 절반만 변환됨	한 라운드에 전체 데이터가 변환되어 확산 속도가 빠름
대표 사례	DES, SEED, Blowfish	AES, ARIA

6.2 알고리즘별 라운드 수 사례

최신 및 표준 알고리즘들은 키 길이에 따라 라운드 수를 다르게 설정하여 보안 수준을 조절한다.

AES (Advanced Encryption Standard):
- AES-128: 10 라운드
- AES-192: 12 라운드
- AES-256: 14 라운드
DES (Data Encryption Standard): 16 라운드 (고정)
SHA-256 (Hash): 64 라운드 (압축 함수 내 반복). 단, 블록 암호가 '키'를 사용하는 것과 달리, 해시 함수는 '메시지 스케줄(Message Schedule)'을 통해 확장된 메시지 블록을 라운드마다 사용한다.

6.3 단순화된 라운드 연산 의사코드

# 단순화된 SPN 구조의 1라운드 의사코드
def round_function(state, round_key):
    # 1. 키 믹싱 (Key Mixing): 데이터에 라운드 키를 결합
    state = state XOR round_key
    
    # 2. 치환 (Substitution): S-Box를 통한 비선형 변환 (혼돈)
    state = apply_sbox(state)
    
    # 3. 전치 (Permutation): P-Box를 통한 비트 위치 재배열 (확산)
    state = apply_pbox(state)
    
    return state

# 전체 암호화 과정
def encrypt(plaintext, master_key):
    round_keys = generate_key_schedule(master_key)
    state = plaintext
    
    # 1부터 (N-1) 라운드까지 반복 수행
    for i in range(TOTAL_ROUNDS - 1):
        state = round_function(state, round_keys[i])
    
    # 마지막 라운드 처리
    # 마지막 라운드에서는 전치(P-Box) 연산을 생략한다.
    # 이유는 1) 복호화 과정에서 역전치 연산을 수행할 때의 대칭성을 맞추기 위함이며,
    # 2) 마지막에 위치를 바꾸는 전치 연산은 보안상 추가 이득이 적으면서 연산 비용만 발생하기 때문이다.
    state = final_round(state, round_keys[-1])
    return state

def final_round(state, last_key):
    state = state XOR last_key
    state = apply_sbox(state)
    # P-Box 생략
    return state

7. 라운드 기반 공격과 방어

암호 분석가들은 라운드 연산의 불완전성을 이용하여 암호를 해독하려 시도한다.

차분 공격 (Differential Cryptanalysis): 입력값의 특정 차이(Difference)가 라운드를 거치며 출력값의 차이로 어떻게 전이되는지 확률적으로 분석하여 라운드 키를 찾아내는 기법이다.
선형 공격 (Linear Cryptanalysis): 입력 비트와 출력 비트 사이의 선형 근사 식을 찾아내어 키 비트를 추론하는 기법이다.
방어 전략:
- S-Box 최적화: 선형성 및 차분 확률을 최소화하도록 S-Box를 수학적으로 정밀하게 설계한다.
- 라운드 수 증가: 공격자가 확률적으로 유의미한 통계를 얻기 전에 연산 복잡도가 기하급수적으로 증가하도록 충분한 라운드를 설정한다.
- 키 스케줄 강화: 라운드 키 간의 독립성을 높여 일부 키 노출이 전체 시스템 붕괴로 이어지지 않게 한다.

📝 마크다운 원본

이 문서의 마크다운 원본 내용입니다.

# 라운드 연산 (Round Operation)

## 1. 개요
라운드 연산이란 암호화 알고리즘에서 입력 데이터와 라운드 키를 결합하여 데이터의 상태(State)를 지속적으로 변환시키는 반복적 구조를 의미한다. 이는 단순한 루프(Loop) 연산을 넘어, 여러 가지 단순한 암호화 기법을 결합하여 강력한 보안성을 얻는 **'제품 암호(Product Cipher)'** 개념을 구현한 것이다. 블록 암호(Block Cipher)나 해시 함수(Hash Function)에서 단일 연산만으로는 입력값과 출력값 사이의 관계를 충분히 복잡하게 만들 수 없기 때문에, 반복적인 라운드 구조를 통해 데이터의 패턴을 완전히 제거하고 보안 강도를 높이는 방식을 취한다.

## 2. 기본 원리와 구조
라운드 연산은 기본적으로 입력 데이터에 특정 변환을 가하는 '라운드 함수'의 반복으로 구성된다. 각 라운드는 데이터의 비트 패턴을 무작위화하여 공격자가 입력과 출력 사이의 상관관계를 찾지 못하도록 설계된다.

### 2.1 단일 라운드의 주요 구성 요소
단일 라운드 내에서는 일반적으로 다음과 같은 연산들이 조합되어 수행된다.

| 연산 종류 | 명칭 | 역할 및 설명 |
| :--- | :--- | :--- |
| **치환 (Substitution)** | S-Box | 입력 비트를 다른 비트로 일대일 대응시켜 교체함으로써 비선형성을 부여한다. |
| **전치 (Permutation)** | P-Box | 비트의 위치를 재배열하여 특정 비트의 영향력이 전체 데이터로 퍼지게 한다. |
| **키 믹싱 (Key Mixing)** | XOR 연산 | 라운드 키(Round Key)를 데이터와 배타적 논리합(XOR) 하여 사용자 키의 영향력을 반영한다. |
| **모듈러 연산 (Modular Arithmetic)** | 덧셈/곱셈 | 특정 법(Modulus)에 대한 연산을 통해 값의 범위를 제한하고 복잡도를 높인다. |

※ 연산의 순서는 알고리즘 설계마다 다르나, 일반적으로 **키 믹싱 $\rightarrow$ 치환 $\rightarrow$ 전치**의 순서로 구성되어 데이터의 확산을 극대화한다.

## 3. 핵심 설계 원칙
라운드 연산의 궁극적인 목적은 클로드 섀넌(Claude Shannon)이 제시한 두 가지 핵심 원칙인 '혼돈'과 '확산'을 달성하는 것이다.

*   **혼돈 (Confusion):** 암호문과 키 사이의 관계를 최대한 복잡하게 만드는 것이다. 주로 **치환(Substitution)** 연산을 통해 구현하며, 키의 한 비트가 변경되었을 때 암호문의 여러 비트가 예측 불가능하게 변하도록 하여 키 추론 공격을 방어한다.
*   **확산 (Diffusion):** 평문의 통계적 특성이 암호문 전체로 널리 퍼지게 하는 것이다. 주로 **전치(Permutation)** 연산을 통해 구현하며, 평문의 한 비트가 변경되었을 때 암호문의 약 절반의 비트가 변경되게 하는 **'쇄도 효과(Avalanche Effect)'**를 유도한다.
    *   **쇄도 효과 예시:** 평문 `01101001`을 암호화했을 때 결과가 `10110010`이라고 가정하자. 여기서 단 1비트만 변경하여 `01101000`으로 입력했을 때, 결과값이 `00011101`과 같이 이전 결과와 완전히 다른(약 50%의 비트가 바뀐) 형태로 나타나는 현상을 말한다.

## 4. 라운드 키 생성 과정 (Key Schedule)
라운드 연산이 반복될 때 매번 동일한 마스터 키를 사용하면 대칭성으로 인한 취약점이 발생한다. 이를 방지하기 위해 마스터 키로부터 각 라운드에서 사용할 고유한 **라운드 키(Round Key)**를 생성하는 '키 스케줄링(Key Scheduling)' 과정이 필요하다.

1.  **키 확장 (Key Expansion):** 마스터 키를 입력으로 하여 회전(Rotation), 치환(S-Box), 상수 더하기 등의 연산을 통해 더 긴 키 스트림을 생성한다.
2.  **라운드 키 할당:** 확장된 키 스트림을 일정 길이로 나누어 각 라운드($R_1, R_2, \dots, R_n$ / R1, R2, ..., Rn)에 순차적으로 할당한다.
3.  **독립성 확보:** 각 라운드 키 간의 상관관계를 최소화하여, 특정 라운드 키가 노출되더라도 마스터 키나 다른 라운드 키를 쉽게 유추할 수 없도록 설계한다.

## 5. 라운드 수의 결정과 트레이드오프
라운드 횟수는 암호 알고리즘의 보안성과 성능을 결정하는 핵심 변수이다.

*   **보안 강도:** 라운드 수가 많을수록 혼돈과 확산이 더 완벽하게 이루어지며, 차분 공격이나 선형 공격과 같은 암호 분석 기법에 대한 저항력이 높아진다.
*   **연산 성능:** 라운드 수가 증가할수록 CPU 연산량과 메모리 접근 횟수가 늘어나 암복호화 속도가 저하된다.
*   **최적점 결정:** 설계자는 알려진 최강의 공격 기법으로도 깨뜨릴 수 없는 '안전 마진(Safety Margin)'을 확보하면서도, 실용적인 처리 속도를 유지할 수 있는 최소한의 라운드 수를 결정한다.

## 6. 주요 알고리즘 적용 사례
대표적인 블록 암호 구조인 페이스텔(Feistel) 구조와 SPN(Substitution-Permutation Network) 구조는 라운드 연산을 구현하는 방식에서 차이를 보인다.

### 6.1 Feistel vs SPN 구조 비교

**[구조 다이어그램]**
*   **Feistel:** `Plaintext` $\rightarrow$ `[L | R]` $\rightarrow$ `(R, K) -> f` $\rightarrow$ `L XOR f(R, K)` $\rightarrow$ `Swap(L, R)` $\rightarrow$ `Repeat`
*   **SPN:** `Plaintext` $\rightarrow$ `AddRoundKey` $\rightarrow$ `S-Box` $\rightarrow$ `P-Box` $\rightarrow$ `Repeat`

| 비교 항목 | 페이스텔 구조 (Feistel Network) | SPN 구조 (Substitution-Permutation Network) |
| :--- | :--- | :--- |
| **데이터 처리** | 데이터를 좌/우 두 블록으로 나누어 처리 | 데이터 전체 블록을 한 번에 처리 |
| **가역성** | 라운드 함수가 가역적일 필요 없음 (복호화 시 동일 구조 사용) | 모든 연산(S-Box, P-Box)이 가역적(Inverse)이어야 함 |
| **효율성** | 구조가 단순하나, 한 라운드에 절반만 변환됨 | 한 라운드에 전체 데이터가 변환되어 확산 속도가 빠름 |
| **대표 사례** | DES, SEED, Blowfish | AES, ARIA |

### 6.2 알고리즘별 라운드 수 사례
최신 및 표준 알고리즘들은 키 길이에 따라 라운드 수를 다르게 설정하여 보안 수준을 조절한다.

*   **AES (Advanced Encryption Standard):**
    *   AES-128: 10 라운드
    *   AES-192: 12 라운드
    *   AES-256: 14 라운드
*   **DES (Data Encryption Standard):** 16 라운드 (고정)
*   **SHA-256 (Hash):** 64 라운드 (압축 함수 내 반복). 단, 블록 암호가 '키'를 사용하는 것과 달리, 해시 함수는 '메시지 스케줄(Message Schedule)'을 통해 확장된 메시지 블록을 라운드마다 사용한다.

### 6.3 단순화된 라운드 연산 의사코드
```python
# 단순화된 SPN 구조의 1라운드 의사코드
def round_function(state, round_key):
    # 1. 키 믹싱 (Key Mixing): 데이터에 라운드 키를 결합
    state = state XOR round_key
    
    # 2. 치환 (Substitution): S-Box를 통한 비선형 변환 (혼돈)
    state = apply_sbox(state)
    
    # 3. 전치 (Permutation): P-Box를 통한 비트 위치 재배열 (확산)
    state = apply_pbox(state)
    
    return state

# 전체 암호화 과정
def encrypt(plaintext, master_key):
    round_keys = generate_key_schedule(master_key)
    state = plaintext
    
    # 1부터 (N-1) 라운드까지 반복 수행
    for i in range(TOTAL_ROUNDS - 1):
        state = round_function(state, round_keys[i])
    
    # 마지막 라운드 처리
    # 마지막 라운드에서는 전치(P-Box) 연산을 생략한다.
    # 이유는 1) 복호화 과정에서 역전치 연산을 수행할 때의 대칭성을 맞추기 위함이며,
    # 2) 마지막에 위치를 바꾸는 전치 연산은 보안상 추가 이득이 적으면서 연산 비용만 발생하기 때문이다.
    state = final_round(state, round_keys[-1])
    return state

def final_round(state, last_key):
    state = state XOR last_key
    state = apply_sbox(state)
    # P-Box 생략
    return state
```

## 7. 라운드 기반 공격과 방어
암호 분석가들은 라운드 연산의 불완전성을 이용하여 암호를 해독하려 시도한다.

*   **차분 공격 (Differential Cryptanalysis):** 입력값의 특정 차이(Difference)가 라운드를 거치며 출력값의 차이로 어떻게 전이되는지 확률적으로 분석하여 라운드 키를 찾아내는 기법이다.
*   **선형 공격 (Linear Cryptanalysis):** 입력 비트와 출력 비트 사이의 선형 근사 식을 찾아내어 키 비트를 추론하는 기법이다.
*   **방어 전략:**
    *   **S-Box 최적화:** 선형성 및 차분 확률을 최소화하도록 S-Box를 수학적으로 정밀하게 설계한다.
    *   **라운드 수 증가:** 공격자가 확률적으로 유의미한 통계를 얻기 전에 연산 복잡도가 기하급수적으로 증가하도록 충분한 라운드를 설정한다.
    *   **키 스케줄 강화:** 라운드 키 간의 독립성을 높여 일부 키 노출이 전체 시스템 붕괴로 이어지지 않게 한다.

AI 생성 콘텐츠 안내

이 문서는 AI 모델(gemma-4-31b)에 의해 생성된 콘텐츠입니다.

주의사항: AI가 생성한 내용은 부정확하거나 편향된 정보를 포함할 수 있습니다. 중요한 결정을 내리기 전에 반드시 신뢰할 수 있는 출처를 통해 정보를 확인하시기 바랍니다.

위키너와나