인증 암호화(AEAD)

작성자

익명

작성일

2026.08.18

조회수

버전

인증 암호화 (AEAD)

인증 암호화(AEAD, Authenticated Encryption with Associated Data)는 데이터의 기밀성(Confidentiality)과 무결성(Integrity)을 동시에 보장하며, 암호화되지 않은 추가 데이터에 대해서도 인증을 제공하는 현대적인 암호화 방식이다.

1. 개요

전통적인 암호화 방식은 데이터를 읽지 못하게 만드는 기밀성 제공에 집중했다. 그러나 기밀성만으로는 공격자가 암호문을 미세하게 수정하여 복호화 결과값을 조작하는 '비트 플리핑(Bit-flipping)' 공격 등을 막을 수 없다. 이를 해결하기 위해 메시지 인증 코드(MAC, Message Authentication Code)를 결합한 인증 암호화가 등장했다.

AEAD는 단순히 데이터를 암호화하는 것을 넘어, 해당 데이터가 전송 과정에서 변조되지 않았음을 증명하는 인증 태그(Authentication Tag)를 생성한다. 특히 '추가 인증 데이터(AAD)'라는 개념을 도입하여, 암호화는 필요 없지만 변조 여부는 확인해야 하는 메타데이터까지 보호 범위에 포함시킨 것이 특징이다.

2. 동작 원리와 구성 요소

AEAD는 입력값으로 키, 논스, 평문, 그리고 추가 인증 데이터를 받아 암호문과 인증 태그를 출력한다.

2.1 전체 동작 과정

graph LR
    subgraph Input
        K[키 Key]
        N[논스 Nonce]
        P[평문 Plaintext]
        AAD[추가 인증 데이터 AAD]
    end

    subgraph AEAD_Process [AEAD 알고리즘]
        direction TB
        Enc[암호화 과정]
        Auth[인증 태그 생성 과정]
    end

    K --> AEAD_Process
    N --> AEAD_Process
    P --> Enc
    P --> Auth
    AAD --> Auth

    Enc --> C[암호문 Ciphertext]
    Auth --> T[인증 태그 Tag]

    C --> Output
    T --> Output

2.2 구성 요소 상세

항목	구분	역할 및 설명
키 (Key)	입력	암호화 및 인증에 사용되는 비밀 키. 송수신자가 공유해야 함.
논스 (Nonce)	입력	'Number used once'의 약자로, 동일한 키로 여러 번 암호화할 때 매번 다른 결과가 나오도록 하는 일회성 값.
평문 (Plaintext)	입력	기밀성이 유지되어야 하는 실제 데이터.
추가 인증 데이터 (AAD)	입력	암호화는 되지 않지만, 무결성 검증이 필요한 데이터 (예: 헤더 정보).
암호문 (Ciphertext)	출력	평문이 암호화되어 기밀성이 확보된 데이터.
인증 태그 (Tag)	출력	암호문과 AAD를 기반으로 생성된 값. 복호화 시 변조 여부를 확인하는 용도.

3. 추가 인증 데이터 (AAD)의 역할

추가 인증 데이터(Additional Authenticated Data, AAD)는 "인증은 필요하지만 암호화는 불필요한 데이터"를 처리하기 위해 사용된다.

3.1 필요성 및 활용 사례

네트워크 통신에서 패킷은 [헤더 | 페이로드] 구조로 이루어진다. 이때 페이로드는 기밀성을 위해 암호화해야 하지만, 라우터나 스위치 같은 중간 장비가 패킷을 목적지로 전달하기 위해서는 헤더(IP 주소, 포트 번호 등)를 읽을 수 있어야 한다.

만약 헤더를 암호화하면 네트워크 장비가 경로를 찾을 수 없고, 헤더를 인증 범위에서 제외하면 공격자가 목적지 주소를 변조하여 데이터를 엉뚱한 곳으로 보내는 공격이 가능하다. AEAD는 헤더를 AAD로 설정함으로써, 헤더는 평문으로 유지하여 라우팅을 가능하게 하되, 변조 시 복호화 단계에서 인증 실패로 처리하여 보안성을 확보한다.

4. 인증 결합 방식 비교 (EtM, MtE, CtM)

AEAD가 표준화되기 전에는 암호화 알고리즘과 MAC 알고리즘을 수동으로 결합하여 사용했다. 결합 순서에 따라 보안 특성이 달라진다.

방식	명칭	동작 순서	특징 및 보안성
MtE	MAC-then-Encrypt	`MAC(평문)` $\rightarrow$ `암호화(평문 + MAC)`	가장 오래된 방식. 복호화 전 MAC 확인이 불가능하여 패딩 오라클 공격에 취약함.
CtM	Encrypt-and-MAC	`암호화(평문)` 및 `MAC(평문)`	암호문과 MAC을 독립적으로 생성. MAC 값이 평문의 정보를 유출할 수 있으며, 복호화 전 무결성 검증이 불가능하여 선택 암호문 공격(CCA)에 취약함.
EtM	Encrypt-then-MAC	`암호화(평문)` $\rightarrow$ `MAC(암호문)`	가장 권장되는 방식. 복호화 전 MAC을 먼저 검증하므로 무결성 확인이 빠르고 안전함.

AEAD는 내부적으로 EtM과 유사하거나 그보다 최적화된 구조를 채택하여, 개발자가 결합 순서를 고민하지 않고 안전하게 사용할 수 있도록 설계된 통합 모드이다.

5. 주요 AEAD 알고리즘 비교

현대 암호학에서 가장 널리 쓰이는 AEAD 모드들의 특성은 다음과 같다.

알고리즘	기반 구조	성능	하드웨어 가속	주요 사용 사례	특징
AES-GCM	AES + Galois Counter Mode	매우 높음	`AES-NI` 지원	TLS 1.2/1.3, IPsec	병렬 처리가 가능하며 표준적으로 가장 많이 쓰임.
ChaCha20-Poly1305	ChaCha20 + Poly1305	높음	소프트웨어 최적화	TLS 1.3, SSH, WireGuard	하드웨어 가속이 없는 모바일/임베디드 환경에서 매우 빠름.
AES-CCM	AES + Counter with CBC-MAC	보통	`AES-NI` 지원	WPA2 (Wi-Fi), Bluetooth	GCM보다 느리지만 구현이 단순하고 표준화된 환경에서 사용.
AES-GCM-SIV	AES-GCM + SIV	높음	`AES-NI` 지원	고신뢰성 시스템	논스 오용 내성(Nonce-Misuse Resistance)을 가져, 논스가 중복되어도 키 노출 위험이 없음.

6. 구현 시 주의사항 및 보안 취약점

6.1 논스(Nonce) 재사용의 위험성

AEAD에서 가장 치명적인 실수는 동일한 키로 동일한 논스를 두 번 사용하는 것이다. 특히 AES-GCM의 경우, 논스가 중복되면 'Forbidden Attack'이 가능해진다. 이는 두 암호문의 XOR 값이 평문의 XOR 값과 같아지는 특성을 이용해 인증 키($H$)를 계산해낼 수 있게 하며, 결과적으로 공격자가 임의의 암호문을 위조할 수 있게 되어 전체 통신의 무결성이 완전히 파괴된다.

6.2 논스 생성 전략 비교

전략	방식	장점	단점
카운터 (Counter)	$0, 1, 2, \dots$ 순차 증가	중복 가능성이 전혀 없음.	상태 저장(State) 필요, 분산 환경에서 동기화 어려움.
랜덤 (Random)	암호학적 난수 생성	상태 저장이 필요 없음.	논스 길이가 짧을 경우 충돌(Collision) 확률 존재.
결합형 (Deterministic)	`ID + Counter`	분산 환경에서 중복 방지 가능.	ID 관리 체계가 필요함.

6.3 구현 예시 (Python `cryptography` 라이브러리)

실제 구현 시에는 검증된 라이브러리를 사용해야 하며, 논스는 반드시 매번 고유하게 생성하여 암호문과 함께 전달해야 한다.

import os
from cryptography.hazmat.primitives.ciphers.aead import AESGCM, ChaCha20Poly1305

# 공통 데이터 설정
key = AESGCM.generate_key(bit_length=128) # 16바이트 키
aad = b"header_data_123"
plaintext = b"This is a secret message"

# ---------------------------------------------------------------------------
# 1. AES-GCM 구현
# ---------------------------------------------------------------------------
aesgcm = AESGCM(key)
nonce_aes = os.urandom(12) # GCM 권장 논스 길이: 12바이트
ciphertext_aes = aesgcm.encrypt(nonce_aes, plaintext, aad)
# 결과값(ciphertext_aes)에는 내부적으로 인증 태그가 포함되어 있음
# 전송 시: nonce_aes + ciphertext_aes

# ---------------------------------------------------------------------------
# 2. ChaCha20-Poly1305 구현
# ---------------------------------------------------------------------------
chacha = ChaCha20Poly1305(key)
nonce_chacha = os.urandom(12) # ChaCha20Poly1305 권장 논스 길이: 12바이트
ciphertext_chacha = chacha.encrypt(nonce_chacha, plaintext, aad)
# 전송 시: nonce_chacha + ciphertext_chacha

print(f"AES-GCM Ciphertext: {ciphertext_aes.hex()}")
print(f"ChaCha20-Poly1305 Ciphertext: {ciphertext_chacha.hex()}")

7. 활용 사례

AEAD는 현대 네트워크 보안 프로토콜의 표준으로 자리 잡았다.

TLS 1.3: 이전 버전의 복잡한 암호화 조합(Cipher Suite)을 제거하고, AES-GCM, ChaCha20-Poly1305와 같은 AEAD 알고리즘만 사용하도록 강제하여 보안성과 성능을 동시에 높였다.
SSH (Secure Shell): 최신 SSH 구현체들은 chacha20-poly1305@openssh.com 또는 aes128-gcm@openssh.com을 기본 암호화 방식으로 사용하여 세션 데이터의 기밀성과 무결성을 보장한다.
IPsec: 네트워크 계층에서 데이터 패킷을 보호하기 위해 ESP(Encapsulating Security Payload) 프로토콜 내에서 AES-GCM 등의 AEAD 모드를 사용하여 헤더 인증과 페이로드 암호화를 동시에 수행한다.

📝 마크다운 원본

이 문서의 마크다운 원본 내용입니다.

# 인증 암호화 (AEAD)

인증 암호화(AEAD, Authenticated Encryption with Associated Data)는 데이터의 기밀성(Confidentiality)과 무결성(Integrity)을 동시에 보장하며, 암호화되지 않은 추가 데이터에 대해서도 인증을 제공하는 현대적인 암호화 방식이다.

## 1. 개요
전통적인 암호화 방식은 데이터를 읽지 못하게 만드는 **기밀성** 제공에 집중했다. 그러나 기밀성만으로는 공격자가 암호문을 미세하게 수정하여 복호화 결과값을 조작하는 '비트 플리핑(Bit-flipping)' 공격 등을 막을 수 없다. 이를 해결하기 위해 메시지 인증 코드(MAC, Message Authentication Code)를 결합한 인증 암호화가 등장했다.

AEAD는 단순히 데이터를 암호화하는 것을 넘어, 해당 데이터가 전송 과정에서 변조되지 않았음을 증명하는 **인증 태그(Authentication Tag)**를 생성한다. 특히 '추가 인증 데이터(AAD)'라는 개념을 도입하여, 암호화는 필요 없지만 변조 여부는 확인해야 하는 메타데이터까지 보호 범위에 포함시킨 것이 특징이다.

## 2. 동작 원리와 구성 요소
AEAD는 입력값으로 키, 논스, 평문, 그리고 추가 인증 데이터를 받아 암호문과 인증 태그를 출력한다.

### 2.1 전체 동작 과정
```mermaid
graph LR
    subgraph Input
        K[키 Key]
        N[논스 Nonce]
        P[평문 Plaintext]
        AAD[추가 인증 데이터 AAD]
    end

    subgraph AEAD_Process [AEAD 알고리즘]
        direction TB
        Enc[암호화 과정]
        Auth[인증 태그 생성 과정]
    end

    K --> AEAD_Process
    N --> AEAD_Process
    P --> Enc
    P --> Auth
    AAD --> Auth

    Enc --> C[암호문 Ciphertext]
    Auth --> T[인증 태그 Tag]

    C --> Output
    T --> Output
```

### 2.2 구성 요소 상세
| 항목 | 구분 | 역할 및 설명 |
| :--- | :---: | :--- |
| **키 (Key)** | 입력 | 암호화 및 인증에 사용되는 비밀 키. 송수신자가 공유해야 함. |
| **논스 (Nonce)** | 입력 | 'Number used once'의 약자로, 동일한 키로 여러 번 암호화할 때 매번 다른 결과가 나오도록 하는 일회성 값. |
| **평문 (Plaintext)** | 입력 | 기밀성이 유지되어야 하는 실제 데이터. |
| **추가 인증 데이터 (AAD)** | 입력 | 암호화는 되지 않지만, 무결성 검증이 필요한 데이터 (예: 헤더 정보). |
| **암호문 (Ciphertext)** | 출력 | 평문이 암호화되어 기밀성이 확보된 데이터. |
| **인증 태그 (Tag)** | 출력 | 암호문과 AAD를 기반으로 생성된 값. 복호화 시 변조 여부를 확인하는 용도. |

## 3. 추가 인증 데이터 (AAD)의 역할
추가 인증 데이터(Additional Authenticated Data, AAD)는 **"인증은 필요하지만 암호화는 불필요한 데이터"**를 처리하기 위해 사용된다.

### 3.1 필요성 및 활용 사례
네트워크 통신에서 패킷은 [헤더 | 페이로드] 구조로 이루어진다. 이때 페이로드는 기밀성을 위해 암호화해야 하지만, 라우터나 스위치 같은 중간 장비가 패킷을 목적지로 전달하기 위해서는 헤더(IP 주소, 포트 번호 등)를 읽을 수 있어야 한다.

만약 헤더를 암호화하면 네트워크 장비가 경로를 찾을 수 없고, 헤더를 인증 범위에서 제외하면 공격자가 목적지 주소를 변조하여 데이터를 엉뚱한 곳으로 보내는 공격이 가능하다. AEAD는 헤더를 AAD로 설정함으로써, **헤더는 평문으로 유지하여 라우팅을 가능하게 하되, 변조 시 복호화 단계에서 인증 실패로 처리**하여 보안성을 확보한다.

## 4. 인증 결합 방식 비교 (EtM, MtE, CtM)
AEAD가 표준화되기 전에는 암호화 알고리즘과 MAC 알고리즘을 수동으로 결합하여 사용했다. 결합 순서에 따라 보안 특성이 달라진다.

| 방식 | 명칭 | 동작 순서 | 특징 및 보안성 |
| :--- | :--- | :--- | :--- |
| **MtE** | MAC-then-Encrypt | `MAC(평문)` $\rightarrow$ `암호화(평문 + MAC)` | 가장 오래된 방식. 복호화 전 MAC 확인이 불가능하여 패딩 오라클 공격에 취약함. |
| **CtM** | Encrypt-and-MAC | `암호화(평문)` 및 `MAC(평문)` | 암호문과 MAC을 독립적으로 생성. MAC 값이 평문의 정보를 유출할 수 있으며, 복호화 전 무결성 검증이 불가능하여 선택 암호문 공격(CCA)에 취약함. |
| **EtM** | Encrypt-then-MAC | `암호화(평문)` $\rightarrow$ `MAC(암호문)` | **가장 권장되는 방식.** 복호화 전 MAC을 먼저 검증하므로 무결성 확인이 빠르고 안전함. |

**AEAD**는 내부적으로 EtM과 유사하거나 그보다 최적화된 구조를 채택하여, 개발자가 결합 순서를 고민하지 않고 안전하게 사용할 수 있도록 설계된 통합 모드이다.

## 5. 주요 AEAD 알고리즘 비교
현대 암호학에서 가장 널리 쓰이는 AEAD 모드들의 특성은 다음과 같다.

| 알고리즘 | 기반 구조 | 성능 | 하드웨어 가속 | 주요 사용 사례 | 특징 |
| :--- | :--- | :---: | :---: | :--- | :--- |
| **AES-GCM** | AES + Galois Counter Mode | 매우 높음 | `AES-NI` 지원 | TLS 1.2/1.3, IPsec | 병렬 처리가 가능하며 표준적으로 가장 많이 쓰임. |
| **ChaCha20-Poly1305** | ChaCha20 + Poly1305 | 높음 | 소프트웨어 최적화 | TLS 1.3, SSH, WireGuard | 하드웨어 가속이 없는 모바일/임베디드 환경에서 매우 빠름. |
| **AES-CCM** | AES + Counter with CBC-MAC | 보통 | `AES-NI` 지원 | WPA2 (Wi-Fi), Bluetooth | GCM보다 느리지만 구현이 단순하고 표준화된 환경에서 사용. |
| **AES-GCM-SIV** | AES-GCM + SIV | 높음 | `AES-NI` 지원 | 고신뢰성 시스템 | **논스 오용 내성(Nonce-Misuse Resistance)**을 가져, 논스가 중복되어도 키 노출 위험이 없음. |

## 6. 구현 시 주의사항 및 보안 취약점

### 6.1 논스(Nonce) 재사용의 위험성
AEAD에서 가장 치명적인 실수는 **동일한 키로 동일한 논스를 두 번 사용하는 것**이다. 특히 AES-GCM의 경우, 논스가 중복되면 'Forbidden Attack'이 가능해진다. 이는 두 암호문의 XOR 값이 평문의 XOR 값과 같아지는 특성을 이용해 인증 키($H$)를 계산해낼 수 있게 하며, 결과적으로 공격자가 임의의 암호문을 위조할 수 있게 되어 전체 통신의 무결성이 완전히 파괴된다.

### 6.2 논스 생성 전략 비교
| 전략 | 방식 | 장점 | 단점 |
| :--- | :--- | :--- | :--- |
| **카운터 (Counter)** | $0, 1, 2, \dots$ 순차 증가 | 중복 가능성이 전혀 없음. | 상태 저장(State) 필요, 분산 환경에서 동기화 어려움. |
| **랜덤 (Random)** | 암호학적 난수 생성 | 상태 저장이 필요 없음. | 논스 길이가 짧을 경우 충돌(Collision) 확률 존재. |
| **결합형 (Deterministic)** | `ID + Counter` | 분산 환경에서 중복 방지 가능. | ID 관리 체계가 필요함. |

### 6.3 구현 예시 (Python `cryptography` 라이브러리)

실제 구현 시에는 검증된 라이브러리를 사용해야 하며, 논스는 반드시 매번 고유하게 생성하여 암호문과 함께 전달해야 한다.

```python
import os
from cryptography.hazmat.primitives.ciphers.aead import AESGCM, ChaCha20Poly1305

# 공통 데이터 설정
key = AESGCM.generate_key(bit_length=128) # 16바이트 키
aad = b"header_data_123"
plaintext = b"This is a secret message"

# ---------------------------------------------------------------------------
# 1. AES-GCM 구현
# ---------------------------------------------------------------------------
aesgcm = AESGCM(key)
nonce_aes = os.urandom(12) # GCM 권장 논스 길이: 12바이트
ciphertext_aes = aesgcm.encrypt(nonce_aes, plaintext, aad)
# 결과값(ciphertext_aes)에는 내부적으로 인증 태그가 포함되어 있음
# 전송 시: nonce_aes + ciphertext_aes

# ---------------------------------------------------------------------------
# 2. ChaCha20-Poly1305 구현
# ---------------------------------------------------------------------------
chacha = ChaCha20Poly1305(key)
nonce_chacha = os.urandom(12) # ChaCha20Poly1305 권장 논스 길이: 12바이트
ciphertext_chacha = chacha.encrypt(nonce_chacha, plaintext, aad)
# 전송 시: nonce_chacha + ciphertext_chacha

print(f"AES-GCM Ciphertext: {ciphertext_aes.hex()}")
print(f"ChaCha20-Poly1305 Ciphertext: {ciphertext_chacha.hex()}")
```

## 7. 활용 사례
AEAD는 현대 네트워크 보안 프로토콜의 표준으로 자리 잡았다.

*   **TLS 1.3**: 이전 버전의 복잡한 암호화 조합(Cipher Suite)을 제거하고, AES-GCM, ChaCha20-Poly1305와 같은 AEAD 알고리즘만 사용하도록 강제하여 보안성과 성능을 동시에 높였다.
*   **SSH (Secure Shell)**: 최신 SSH 구현체들은 `chacha20-poly1305@openssh.com` 또는 `aes128-gcm@openssh.com`을 기본 암호화 방식으로 사용하여 세션 데이터의 기밀성과 무결성을 보장한다.
*   **IPsec**: 네트워크 계층에서 데이터 패킷을 보호하기 위해 ESP(Encapsulating Security Payload) 프로토콜 내에서 AES-GCM 등의 AEAD 모드를 사용하여 헤더 인증과 페이로드 암호화를 동시에 수행한다.

AI 생성 콘텐츠 안내

이 문서는 AI 모델(gemma-4-31b)에 의해 생성된 콘텐츠입니다.

주의사항: AI가 생성한 내용은 부정확하거나 편향된 정보를 포함할 수 있습니다. 중요한 결정을 내리기 전에 반드시 신뢰할 수 있는 출처를 통해 정보를 확인하시기 바랍니다.

위키너와나

인증 암호화(AEAD)

인증 암호화 (AEAD)

1. 개요

2. 동작 원리와 구성 요소

2.1 전체 동작 과정

2.2 구성 요소 상세

3. 추가 인증 데이터 (AAD)의 역할

3.1 필요성 및 활용 사례

4. 인증 결합 방식 비교 (EtM, MtE, CtM)

5. 주요 AEAD 알고리즘 비교

6. 구현 시 주의사항 및 보안 취약점

6.1 논스(Nonce) 재사용의 위험성

6.2 논스 생성 전략 비교

6.3 구현 예시 (Python `cryptography` 라이브러리)

7. 활용 사례

📝 마크다운 원본

🤔 AI의 사고 과정

이 AI 생성 콘텐츠가 도움이 되었나요?

인증 암호화 (AEAD)

1. 개요

2. 동작 원리와 구성 요소

2.1 전체 동작 과정

2.2 구성 요소 상세

3. 추가 인증 데이터 (AAD)의 역할

3.1 필요성 및 활용 사례

4. 인증 결합 방식 비교 (EtM, MtE, CtM)

5. 주요 AEAD 알고리즘 비교

6. 구현 시 주의사항 및 보안 취약점

6.1 논스(Nonce) 재사용의 위험성

6.2 논스 생성 전략 비교

6.3 구현 예시 (Python cryptography 라이브러리)

7. 활용 사례

📝 마크다운 원본

🤔 AI의 사고 과정

이 AI 생성 콘텐츠가 도움이 되었나요?

6.3 구현 예시 (Python `cryptography` 라이브러리)