# RFC 8017 (PKCS #1 v2.2)

**공식 문서:** [RFC 8017 - PKCS #1: RSA Cryptography Specifications Version 2.2](https://datatracker.ietf.org/doc/html/rfc8017)

RFC 8017은 RSA 암호 알고리즘의 구현 및 사용 방법을 정의한 **PKCS #1 v2.2** 표준 문서로, 공개키 암호 시스템의 상호 운용성과 보안성을 보장하기 위한 기술 규격을 제공합니다.

---

## 개요
RFC 8017은 RSA(Rivest-Shamir-Adleman) 알고리즘을 기반으로 한 암호화, 서명, 키 생성의 표준 인터페이스를 정의합니다. PKCS(Public-Key Cryptography Standards)는 RSA Security LLC에서 처음 제안한 표준 시리즈로, 현재는 IETF(Internet Engineering Task Force)를 통해 RFC 형태로 관리되고 있습니다.

RSA 알고리즘의 표준화는 서로 다른 소프트웨어 및 하드웨어 구현체 간의 데이터 호환성을 확보하고, 단순한 수학적 알고리즘을 넘어 실제 환경에서 발생할 수 있는 보안 취약점을 보완하는 패딩(Padding) 기법 등을 규격화함으로써 암호학적 안전성을 높이는 데 목적이 있습니다.

## RSA 알고리즘의 기본 원리
RSA는 큰 정수의 소인수분해가 어렵다는 수학적 난제에 기반한 비대칭키 암호 알고리즘입니다.

### 키 생성 과정
1. 두 개의 매우 큰 서로 다른 소수 $p$와 $q$를 선택합니다.
2. $n = p \times q$를 계산합니다. $n$은 모듈러스(Modulus)라고 하며, 공개키와 개인키 모두에 사용됩니다.
3. 오일러 피 함수 $\phi(n) = (p-1)(q-1)$ 또는 Carmichael 함수 $\lambda(n) = \text{lcm}(p-1, q-1)$를 계산합니다. RFC 8017 표준에서는 $\lambda(n)$ 사용을 권장합니다.
4. $1 < e < \lambda(n)$이며 $\gcd(e, \lambda(n)) = 1$인 정수 $e$(공개 지수)를 선택합니다.
5. $e \cdot d \equiv 1 \pmod{\lambda(n)}$을 만족하는 $d$(개인 지수)를 계산합니다.

### 암호화 및 복호화
- **암호화:** 평문 $M$을 암호문 $C$로 변환
$$C = M^e \pmod n$$
- **복호화:** 암호문 $C$를 평문 $M$으로 변환
$$M = C^d \pmod n$$

### 키 구성 요소 비교
| 구분 | 공개키 (Public Key) | 개인키 (Private Key) |
| :--- | :--- | :--- |
| **구성 요소** | $(n, e)$ | $(n, d)$ 또는 $(p, q, d, \dots)$ |
| **역할** | 데이터 암호화, 서명 검증 | 데이터 복호화, 서명 생성 |
| **공개 여부** | 누구나 접근 가능 (Public) | 엄격히 비밀 유지 (Secret) |

## 암호화 및 복호화 스킴 (Encryption Schemes)
단순한 RSA(Textbook RSA)는 동일한 평문에 대해 항상 동일한 암호문을 생성하는 결정론적(Deterministic) 특성이 있어 선택 암호문 공격(Chosen Ciphertext Attack)에 취약합니다. 이를 해결하기 위해 RFC 8017은 **OAEP(Optimal Asymmetric Encryption Padding)** 방식을 권장합니다.

### OAEP의 작동 원리
OAEP는 무작위 값(Seed)과 해시 함수를 이용해 평문을 마스킹하는 확률적(Probabilistic) 패딩 방식입니다. 이를 통해 동일한 평문을 암호화하더라도 매번 다른 암호문이 생성되어 보안성이 극대화됩니다.

### MGF1 (Mask Generation Function 1)
OAEP와 PSS 스킴의 핵심 요소인 MGF1은 해시 함수를 기반으로 입력된 시드(Seed) 값으로부터 임의의 길이의 마스크(Mask)를 생성하는 함수입니다.

- **작동 원리:** 입력값 $Z$와 원하는 길이 $L$이 주어지면, $Z$에 카운터(Counter) 값을 결합하여 반복적으로 해시를 수행하고 이를 이어 붙여 $L$ 바이트의 출력을 생성합니다.
- **예시:** $\text{MGF1}(Z, L) = \text{Hash}(Z || 0x00000000) \parallel \text{Hash}(Z || 0x00000001) \parallel \dots$ (원하는 길이 $L$에 도달할 때까지 반복)

### OAEP 처리 흐름 (의사코드)
```python
# This is a conceptual pseudocode, not a production-ready implementation.
def RSA_OAEP_Encrypt(message, public_key):
    # 1. 메시지 패딩 및 마스킹
    seed = generate_random_bytes(hash_len)
    db = message + padding_string + hash(label)
    
    # 2. MGF(Mask Generation Function) 적용
    db_mask = MGF1(seed, len(db))
    masked_db = db XOR db_mask
    
    seed_mask = MGF1(masked_db, hash_len)
    masked_seed = seed XOR seed_mask
    
    # 3. 최종 블록 구성 및 RSA 연산
    EM = 0x00 || masked_seed || masked_db
    ciphertext = pow(EM, public_key.e, public_key.n)
    return ciphertext
```

## 서명 및 검증 스킴 (Signature Schemes)
디지털 서명은 송신자의 신원을 확인하고 데이터의 무결성을 보장합니다. RFC 8017은 두 가지 주요 서명 방식을 정의합니다.

### RSASSA-PKCS1-v1_5
가장 널리 사용되는 고전적인 방식으로, 데이터의 해시값 앞에 정해진 패턴의 패딩을 붙여 서명합니다. 구현이 간단하지만, 일부 환경에서 패딩 오라클 공격에 취약할 수 있습니다.

### RSASSA-PSS (Probabilistic Signature Scheme)
최신 표준으로, 암호화의 OAEP와 유사하게 무작위성을 도입한 서명 방식입니다. MGF1을 사용하여 서명 값에 무작위성을 부여하며, 수학적으로 보안 증명이 가능하여 v1_5보다 훨씬 강력한 보안성을 제공합니다.

### 서명 방식 비교
| 특성 | RSASSA-PKCS1-v1_5 | RSASSA-PSS |
| :--- | :--- | :--- |
| **결정론적 여부** | 결정론적 (항상 같은 서명) | 확률적 (매번 다른 서명) |
| **보안성** | 상대적으로 낮음 (취약점 존재) | 매우 높음 (보안 증명됨) |
| **복잡도** | 단순함 | 복잡함 (MGF1 필요) |
| **권장 사항** | 하위 호환성 필요 시 사용 | **신규 시스템 구현 시 강력 권장** |

### OAEP vs PSS 비교
| 구분 | RSA-OAEP | RSA-PSS |
| :--- | :--- | :--- |
| **목적** | 데이터 암호화 (Confidentiality) | 디지털 서명 (Authenticity/Integrity) |
| **핵심 기법** | 무작위 시드 기반 평문 마스킹 | 무작위 솔트(Salt) 기반 해시 마스킹 |
| **공통점** | MGF1 사용, 확률적(Probabilistic) 특성, 보안 증명 가능 | |

## 키 생성 및 관리
안전한 RSA 키 쌍을 생성하기 위해서는 다음의 기준을 준수해야 합니다.

### 생성 기준
1. **소수($p, q$) 선택:**
   - $p$와 $q$는 매우 크고 서로 비슷하지 않은 크기의 소수여야 합니다.
   - 충분한 엔트로피를 가진 난수 생성기를 사용하여 선택해야 합니다.
2. **공개 지수($e$) 선택:**
   - 계산 효율성을 위해 일반적으로 $65537(2^{16}+1)$이 사용됩니다. 이는 작은 소수이면서 비트 셋팅이 적어 거듭제곱 연산 속도가 빠르기 때문입니다.

### 키 길이별 보안 강도 권고
| 키 길이 (bits) | 보안 강도 (bits) | 권고 상태 | 비고 |
| :--- | :--- | :--- | :--- |
| 1024 | 80 | **사용 금지** | 현대적 컴퓨팅 성능으로 해독 가능성 높음 |
| 2048 | 112 | **최소 권장** | 현재 대부분의 표준 시스템에서 사용 |
| 3072 | 128 | **권장** | 장기적인 보안이 필요한 경우 권장 |
| 4096 | 152 | **매우 높음** | 극도의 보안이 필요한 경우 사용 (연산 비용 증가) |

## 이전 버전(v2.1)과의 차이점
RFC 8017(v2.2)은 이전 버전인 PKCS #1 v2.1과 비교하여 알고리즘의 근본적인 변화보다는 **명확한 정의와 최신 보안 요구사항의 반영**에 집중했습니다.

- **RSA-PSS의 정교화:** RSA-PSS 서명 스킴의 공식적인 표준 채택 과정을 거쳐, 알고리즘의 단계별 입력과 출력 정의를 더욱 명확히 하여 구현체 간의 오차를 제거했습니다.
- **명세의 정밀화:** 모호했던 텍스트 설명을 수학적 표기법과 엄격한 알고리즘 단계로 재정의하여 구현체 간의 불일치를 줄이고 불필요한 구문을 제거했습니다.
- **해시 함수 유연성:** 특정 해시 함수에 의존하지 않고, 다양한 최신 해시 알고리즘(SHA-2, SHA-3 등)을 수용할 수 있도록 구조를 일반화했습니다.
- **보안 가이드라인 업데이트:** 최신 공격 기법에 대응하기 위한 패딩 처리 및 키 생성 절차에 대한 권고 사항이 강화되었습니다.

## 보안 고려사항 및 구현 지침
### 부채널 공격(Side-channel Attack) 방지
- **타이밍 공격:** 개인키 연산 시 입력값에 따라 연산 시간이 달라지는 것을 이용하여 키를 유추하는 공격입니다. 이를 방지하기 위해 **블라인딩(Blinding)** 기법(연산 전 무작위 값을 곱하고 나중에 제거하는 방식)을 적용해야 합니다.
- **전력 분석 공격:** 연산 중 발생하는 전력 소모 패턴을 분석하는 공격으로, 상수 시간(Constant-time) 알고리즘 구현이 필요합니다.

### 구현 권장 파라미터
- **최소 키 길이:** 2048 bits
- **권장 공개 지수:** $e = 65537$
- **권장 패딩:** 암호화 $\rightarrow$ OAEP, 서명 $\rightarrow$ PSS

## 실제 라이브러리 적용 사례
대부분의 현대적 암호화 라이브러리는 RFC 8017 표준을 준수하여 구현되어 있습니다.

- **OpenSSL:** `RSA_padding_add_oaep`, `RSA_verify_PSS` 등의 함수를 통해 RFC 8017의 OAEP 및 PSS 스킴을 지원합니다.
- **Java (JCA/JCE):** `Cipher.getInstance("RSA/ECB/OAEPWithSHA-256AndMGF1Padding")`와 같이 표준화된 알고리즘 문자열을 통해 구현체를 호출합니다.
- **Python (PyCryptodome):** `PKCS1_OAEP` 및 `PSS` 모듈을 제공하여 개발자가 표준에 맞는 패딩을 쉽게 적용할 수 있도록 지원합니다.
- **Go (crypto/rsa):** `rsa.EncryptOAEP` 및 `rsa.SignPSS` 함수를 통해 표준 규격을 엄격히 준수하는 API를 제공합니다.