핵심 요약
Cloudflare가 IPsec의 양자 다운그레이드 공격 방어 기능을 베타로 제공하기 시작했습니다. IETF와 함께 IKEv2 전체 핸드셰이크를 인증하는 확장을 개발했으며, 현재 Cloudflare WAN과 Magic Transit 고객이 계정 단위 기능 플래그를 요청해 시험할 수 있습니다.
주요 변경
- Cloudflare는 IPsec의 설계상 다운그레이드 문제를 완화하기 위해
IKE_SA_INIT_FULL_TRANSCRIPT_AUTH확장을 IETF와 개발했습니다. - 현재 상태는 베타·옵트인이며, Cloudflare WAN과 Magic Transit에서 지원됩니다.
- 사용하려면 계정 담당자에게
ipsec_downgrade_protection기능 플래그 활성화를 요청해야 합니다. - 양쪽 엔드포인트가 확장을 지원해야 보호가 동작하며, Cloudflare는 충분한 베타 테스트 뒤 전체 고객 계정에 플래그를 활성화할 계획이라고 밝혔습니다.
개발자 영향
포스트퀀텀 IPsec을 사용하는 네트워크 팀은 단순히 ML-KEM을 지원하는 것뿐 아니라 협상 과정의 다운그레이드 방어도 점검할 필요가 있습니다. 다만 Cloudflare가 설명한 공격은 핸드셰이크 중 실시간 양자 연산이 필요한 위협이며, 현재 실제 공격 가능 시점은 확인되지 않았습니다. 운영 적용 전에는 베타 상태와 양쪽 장비의 확장 지원 여부를 확인해야 합니다.
발표 시각(KST): 2026년 9월 29일 · 세부 시각 미공개
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.