인텔과 MS, DARPA 합류…"완전한 동형암호 기술 구현 가속화"

인텔이 완전 동형 암호화(FHE: Fully Homomorphic Encryption, FHE) 연산 성능을 크게 개선하는 하드웨어와 소프트웨어 개발에 목표를 둔 미국 고등국방연구소(DARPA) 프로그램의 일환으로 마이크로소프트와 파트너십을 체결했다. 인텔은 이 프로그램의 일환으로 데이터를 상시 암호화하고 프라이버시를 보호하면서 머신러닝을 실용적으로 활용할 수 있는 하드웨어 가속기를 개발할 계획이다.

다년 간의 노력이 성공하면 데이터 비밀 유지에 관한 요건이 엄격한 헬스케어, 금융, 은행, 정부 등 여러 분야의 조직이 데이터 노출 위험 없이 퍼블릭 클라우드에서 파트너, 서드파티 서비스와 쉽게 민감한 정보를 공유할 수 있게 된다.
 

인텔 랩스의 로사리오 캄마로타 수석 엔지니어는 CSO에 “통계적 학습 및 머신러닝 전반에 걸친 여러 워크로드를 대상으로 플랫폼을 평가하고 있다. 목표로 삼은 성능은 아주 높다. DARPA는 현재 CPU에 구현된 FHE 소프트웨어 성능보다 5배 이상 향상된 산술 성능을 달성한다는 목표를 갖고 있다. 현재 암호화된 데이터에서 머신러닝을 훈련시킬 수 없지만, 목표 성능을 갖춘 플랫폼에서는 트레이닝이 가능하다”라고 설명했다.
 

FHE가 매력적인 이유

FHE는 먼저 해독할 필요 없이 암호화된 데이터(Ciphertext)에 직접 수학적 연산을 실행할 수 있는 암호다. 계산된 결과 또한 암호화되어, 프라이빗 키를 가진 데이터 소유자만 액세스할 수 있다. 그 결과는 암호화되지 않은 데이터 버전(Plaintext)에서 연산을 실행했을 때와 동일하다.

암호화를 통해 데이터를 휴지(저장), 전송(네트워크를 통한 전송), 인-메모리(처리 동안) 등 여러 상태에서 계속 비밀로 유지할 수 있다. 전통적으로 인-메모리 데이터 보안이 가장 큰 과제를 안고 있었다. 인텔 SGX나 ARM 트러스트존(TrustZone) 같은 TEE(Trusted Execution Environment)가 하드웨어에서 개발된 이유가 여기에 있다. 이런 보안 엔클라이브(Secure Enclaves)는 주 OS의 메모리 공간과 분리된 독자 메모리 공간을 갖고 있으며, 주 OS 아래 실행되는 프로세스에 민감한 데이터가 직접 노출되지 않고 민감한 데이터로 작업을 수행할 수 있다.

그러나 이런 솔루션에는 한계가 있다. 첫째, 전송이나 휴지 상태 데이터 암호화와 같은 관리 측면의 주요 도전과제를 갖고 있다. 해독이 이뤄지는 TEE나 서버에서 암호 키를 제시해야 한다. 클라우드 컴퓨팅의 경우에는 클라우드 운영자를 신뢰해야 한다. 둘째, 데이터 소유자가 클라우드에서 실행되는 서비스나 응용 프로그램의 사용자일 뿐 서비스 또는 응용 프로그램 자체의 소유자가 아닌 경우, 신뢰와 비밀 유지 문제가 해결되지 않는다.

FHE의 가장 매력적인 특징은 서드파티 서비스에 암호 키를 제공하지 않고도 처리할 수 있도록 암호화된 데이터를 보낼 수 있다는 것이다. 따라서 데이터 비밀 유지에 대해 서비스 공급자를 신뢰하지 않고도 연산 결과를 얻을 수 있다.

머신러닝을 사용하는 클라우드 기반 예측 분석 서비스를 예로 들 수 있다. FHE는 의료 시설에서 의료진이 환자 데이터를 노출하지 않고 더 나은 진료 서비스를 제공할 경우에도 활용된다. 이와 유사하게 퍼블릭 데이터와 프라이빗 데이터가 결합된 큰 데이터 세트에 대한 데이터 분석에도 이 기술을 사용할 수 있다. 예를 들어, 신약 개발 회사는 실험적 치료를 시도했지만, 더욱 거대한 데이터세트가 필요한 공공 임상 실험 참여에서도 동의하지 않은 환자의 데이터를 안전하게 분석하기 위해 FHE를 이용할 수 있다. 이때는 클라우드에서 실행되는 서드파티 서비스를 사용한다.

캄마로타에 따르면, 다중 키 동형암호(Multi-key Homomorphic encryption)를 사용하면 사용례는 더 늘어난다. 다중 키 동형암호는 여러 당사자가 분리된 자신의 암호화 데이터를 하나의 풀로 결합하고, 전체 데이터 풀을 대상으로 처리하는 FHE의 일종이다. 결과는 데이터를 제공한 당사자만 볼 수 있다.
 

FHE의 현황

이미 IBM과 마이크로소프트 같은 대형 기업이 FHE 소프트웨어와 다양한 라이브러리, 툴킷을 제공하고 있지만, 현재 CPU에서의 성능은 FHE의 본질적인 문제점인 데이터 손상 때문에 미흡한 실정이다. 데이터 무결성을 보장하는 일반적인 암호화 기법과 달리, 암호문(Ciphertext)를 변경하는 연산 수행에 목적을 두기 때문에 무결성에 영향이 생긴다. FHE는 설계 단계부터 취약한 알고리즘을 사용한다.

DARPA는 “각 동형 연산에서 특정한 양의 노이즈나 오류가 발생하고, 이것이 암호화된 데이터를 손상한다. 노이즈가 특정 지점까지 축적되면, 기반이 되는 최초 평문(Plaintext)를 복구하는 것이 불가능해진다. 그러면서 본질적으로 보호가 필요한 데이터가 상실된다. ‘부트스트래핑(Bootstrapping)’이라고 불리는 연산 구조가 수용할 수 없는 이런 노이즈 축적 문제 해결에 도움을 준다. 노이즈를 원래 평문(Plaintext)와 비교되는 수준으로 줄인다. 그러나 상당한 컴퓨팅 오버헤드를 초래한다”라고 설명했다.

FHE의 실제 적용을 크게 제한하는 것은 바로 이 문제다. 캄마로타에 따르면, 일부 제한 아래 머신러닝 추론이 가능한 상태이다. 그러나 FHE 데이터를 사용하는 머신러닝 트레이닝은 구현된 상태가 아니다. 이 문제를 해결하기 위해서는 FHE 워크로드 성능을 크게 향상시키는 새로운 기법을 개발해야 한다. DARPA가 DPRIVE(Data Protection in Virtual Environment) 프로그램을  만든 이유가 여기에 있다.
 

인텔의 DPRIVE 합류

여러 해에 걸쳐 추진될 DPRIVE 프로그램에서 인텔의 목표는 ASIC(Application Specific Integrated Circuit) 형태의 FHE용 하드웨어 가속기를 개발하는 것이다. 그러나 이런 SoC을 제작하기 전, 첫 단계는 FHE의 산술을 가속화하는 핵심 구성요소를 파악하는 데 초점을 맞출 예정이다.

이 작업은 마이크로소프트와의 협력으로 이루어질 예정이다. 두 회사는 기술을 테스트하고, 상업적 도입을 앞당기기 위해 클라우드 상품에 이를 통합할 계획을 갖고 있다. 마이크로소프트와 인텔은 모두 업계, 정부, 학계로 구성된 동형암호 표준화 컨소시엄(Homomorphic Encryption Standardization)의 회원이다.

ASIC는 일반적으로 주변장치로 작동하며, 특정 작업이나 작업 유형에 맞게 설계되고 최적화된 집적 회로이다. 범용 칩보다 특정 작업에서 더 큰 성능을 발휘할 수 있다. 예를 들어, 비트코인 마이닝용 장치는 비트코인 채굴을 위한 수학 문제 해결에 일반 CPU가 아닌 ASIC를 사용한다.

과거 하드웨어 가속기가 필요했던 일부 연산은 범용 CPU에 통합된 상태이다. 수치 연산 보조 프로세서로 불리는 FPU(Floating-point units)는 과거 애드-온으로 별개로 구현됐었지만, 지금은 대부분 CPU와 GPU에 기본 탑재되어 있다. 독립형 암호화 가속기는 여전히 많이 사용되지만, 기능 가운데 일부가 CPU에 통합되어 있다. 인텔 AES-NI (Advanced Encryption Standard New Instruction)는 현재 대부분의 CPU에서 표준화되어 있는 하드웨어 가속 암호 연산의 좋은 사례이다.

시간이 지나면서 DARPA DPRIVE의 일환으로 개발될 하드웨어 가속 기술 또한 비슷한 길을 걷게 될 가능성이 있다. 그러나 캄마로타는 인텔의 여러 사업 단위가 평가를 해야 한다고 말했다. 또 연구 부문인 인텔 랩스, 데이터 플랫폼 그룹, 설계 엔지니어링 그룹 등 인텔의 여러 부서와 팀이 이 프로젝트에 협력하고 있다고 덧붙였다.

저렴한 FHE를 구현하는 것 또한 이 기술을 대중화하는 방법이다. AES-NI가 AES 암호화에서 했던 일이다. 이를 감안하면 가능한 일이다.

그러나 광범위하게 도입되기 위해서는 FHE 하드웨어 가속기 개발과 더불어 이런 종류의 암호화를 표준화하는 노력이 지속되고 성숙되어야 한다. 캄마로타는 “보안 기술 관점에서 동형암호는 이상한 기술이다. 워크로드 측면에서는 암호화된 데이터에서 연산을 할 수 있다는 것은 흥미로운 일이다. 새 비즈니스 모델을 구축할 수 있고, 자산을 실제 보호할 수 있기 때문이다. 다른 한편으로는 암호화 기술이다. 실제 배포되면 사람들은 표준화되어 있는지, 안전하게 배포할 수 있는지, 안전하게 배포하는 방법은 무엇인지를 물을 것이다. 따라서 DPRIVE 프로그램과 표준화 간에 밀접한 협력이 필요할 것”이라고 말했다. editor@itworld.co.kr