트래픽 암호화 키 (Traffic Encryption Key, TEK)

트래픽 암호화 키(TEK)는 통신 채널로 오가는 데이터, 즉 트래픽을 실제로 암호화하고 복호화하는 데 쓰는 대칭 키입니다. 일반 IT 환경의 데이터 암호화 키(DEK)와 비슷한 역할을 하며, 노출되었을 때의 피해를 줄이기 위해 하루 단위나 메시지 단위로 자주 바꿉니다.

자세히 알아보기

키 관리 체계에서는 키를 역할에 따라 나눕니다. TEK는 메시지를 직접 잠그는 '작업용' 키이고, TEK를 안전하게 배포하거나 보관할 때는 TEK 자체를 암호화하는 키 암호화 키(KEK)를 씁니다. 이렇게 계층을 나누면 TEK가 하나 노출되어도 그 키로 보호한 기간이나 메시지만 영향을 받고, 상위 키는 안전하게 유지됩니다.

대칭 키이므로 송신자와 수신자가 같은 TEK를 가져야 합니다. 그래서 TEK를 어떻게 양쪽에 나눠 주느냐가 핵심 과제가 됩니다. 군용 통신(COMSEC)에서는 키 주입 장치나 무선 키 재설정(OTAR)으로 TEK를 배포하고, 일반 IT 환경에서는 키 교환 프로토콜이나 키 관리 시스템이 매 세션마다 새 키를 만들어 줍니다.

TEK를 얼마나 자주 바꿀지는 위협 수준과 운영 비용으로 정합니다. 일부 시스템은 매일, 다른 시스템은 메시지마다 새 키를 씁니다.

블록체인·암호화폐에서는

블록체인 자체는 트래픽을 암호화하지 않지만, 거래소 API, 지갑과 노드 사이의 통신은 TLS로 보호됩니다. TLS 세션 키가 사실상 TEK 역할을 하며, 매 연결마다 새로 합의됩니다. 하드웨어 보안 모듈(HSM)을 쓰는 수탁 서비스도 데이터 키와 마스터 키를 나누는 같은 계층 구조를 씁니다.

키 계층 구조 예시

키 관리 시스템은 보통 다음과 같은 층으로 나뉩니다.

• 마스터 키 / 루트 키: 가장 위에 있으며 거의 사용하지 않고, 하드웨어 보안 모듈 같은 곳에 깊이 보관합니다.
• 키 암호화 키(KEK): 다른 키를 암호화해 전달하거나 저장할 때 씁니다.
• 트래픽 암호화 키(TEK) / 데이터 암호화 키(DEK): 실제 데이터를 암호화합니다. 사용 빈도가 가장 높고 수명이 가장 짧습니다.

키가 많이 쓰일수록 공격자가 관찰할 수 있는 암호문이 늘어나고, 메모리 덤프나 부채널 공격으로 노출될 기회도 많아집니다. 그래서 가장 많이 쓰이는 TEK의 수명을 가장 짧게 잡습니다. 키를 사용해도 되는 기간을 암호 기간(cryptoperiod)이라고 부르며, NIST SP 800-57 같은 지침이 키 종류별 권장 기간을 다룹니다.

현대 프로토콜과의 연결

TLS 1.3, Signal 프로토콜, WireGuard 같은 현대 프로토콜은 세션마다 임시(ephemeral) 키 합의로 새 트래픽 키를 만들고, 장기 키는 인증에만 씁니다. 이렇게 하면 장기 키가 나중에 유출되어도 과거 대화를 풀 수 없는 전방 비밀성(forward secrecy)을 얻습니다. 데이터 자체는 AES-GCM이나 ChaCha20-Poly1305 같은 인증 암호로 보호하는 것이 일반적입니다.

쉽게 말하면

매일 새로 바꾸는 사무실 출입 카드와 같습니다. 카드를 잃어버려도 그날 하루치만 문제가 되고, 카드를 발급하는 마스터 시스템은 따로 보호됩니다.