Web Crypto API 기반 클라이언트 사이드 AES-GCM-256 암호화와 PBKDF2 키 유도 수학

1. 영지식(Zero-Knowledge) 클라이언트 암호화의 당위성과 기술적 배경

현대 웹 애플리케이션 보안에서 가장 취약한 지점은 사용자의 평문(Plaintext) 데이터가 서버 메모리에 적재되거나 데이터베이스에 잔존하는 순간입니다. HTTPS/TLS 전송 계층 암호화는 네트워크 전송 구간(In-Transit)의 도청만을 방어할 뿐, 서버 측 관리자 권한 침해, 공급망 공격(Supply Chain Attack), 클라우드 서비스 제공자의 내부자 위협 등에는 무방비로 노출됩니다.

이러한 문제를 근본적으로 해결하기 위해 제안된 것이 영지식(Zero-Knowledge / Zero-Server) 암호화 모델입니다. 이 모델에서 평문 데이터는 오직 사용자의 웹 브라우저 메모리 내부에서만 존재하며, 네트워크 망으로 방출되기 전에 표준 W3C Web Crypto API를 통해 강력한 대칭키 암호화가 완료됩니다. 서버는 오직 암호화된 바이너리 블롭(Ciphertext)과 무작위 초기화 벡터(IV), 솔트(Salt)만을 보관하므로, 마스터 데이터베이스가 전면 유출되더라도 암호학적 기밀성이 완벽하게 보장됩니다.

전통적인 자바스크립트 기반 암호화 라이브러리(CryptoJS 등)는 엔트로피 고갈 문제, 단일 스레드 실행 시의 브라우저 프리징, 그리고 메모리 상의 평문 잔류 취약점을 안고 있었습니다. 반면 모던 브라우저의 Web Crypto API는 운영체제 커널 수준의 암호화 가속기(Intel AES-NI, ARMv8 Crypto Extension)를 직접 호출하여 수 기가바이트의 데이터도 마이크로초 단위로 고속 처리할 수 있는 강력한 하드웨어 백엔드를 제공합니다.

2. 블록 암호 운용 모드 비교: GCM vs CBC vs CTR vs ECB

대칭키 암호화 표준(AES)은 128비트 단위의 고정 블록을 다루므로, 가변 길이 데이터를 안전하게 처리하기 위한 운용 모드(Mode of Operation) 선택이 보안의 성패를 가릅니다.

AES-GCM은 기밀성(Confidentiality)과 메시지 인증(Authenticity)을 단일 패스로 동시에 달성하는 AEAD(Authenticated Encryption with Associated Data) 표준입니다. 암호문 내 단 1비트의 위변조가 발생하더라도 복호화 단계에서 인증 태그 검증이 즉시 실패하여 복호화 파이프라인이 즉각 거부됩니다.

3. AES-GCM-256 수학적 원리와 갈루아 체 $GF(2^{128})$ 인증 태그

AES-GCM은 카운터 모드 암호화와 갈루아 필드 곱셈 기반의 다항식 해시 함수인 GHASH를 결합하여 동작합니다.

3.1. 카운터 스트림 암호화

256비트 비밀키 $K$와 96비트 초기화 벡터 $IV$가 주어졌을 때, 카운터 블록 $J_0$ 및 순차 카운터 $CB_i$를 다음과 같이 생성합니다:

$J_0 = IV \mathbin{\Vert} 0^{31}1$

$CB_i = \text{incr}(J_0) = IV \mathbin{\Vert} (i + 1)_{32} \quad (i \ge 1)$

각 128비트 평문 블록 $P_i$는 AES 암호화된 카운터 블록과의 배타적 논리합(XOR)을 통해 암호문 블록 $C_i$로 변환됩니다:

$C_i = P_i \oplus \text{AES}_K(CB_i)$

3.2. GHASH 함수와 유한체 $GF(2^{128})$ 다항식 곱셈

인증키 $H$는 128비트 영벡터를 키 $K$로 암호화한 값입니다:

$H = \text{AES}_K(0^{128}) \in GF(2^{128})$

이때 유한체 $GF(2^{128})$의 기약 다항식(Irreducible Polynomial)은 표준 규격에 따라 다음과 같이 정의됩니다:

$f(x) = x^{128} + x^7 + x^2 + x + 1$

추가 인증 데이터(AAD) 블록 $A$와 암호문 블록 $C$에 대해 다항식 누산기 $Y_i$는 다음과 같이 순차적으로 갱신됩니다:

$Y_0 = 0$

$Y_i = (Y_{i-1} \oplus X_i) \cdot H \pmod{f(x)}$

최종 128비트 인증 태그 $T$는 GHASH 결과값과 첫 번째 카운터 블록 $J_0$의 암호화 결과값을 XOR하여 완성됩니다:

$T = \text{GHASH}_H(A, C) \oplus \text{AES}_K(J_0)$

4. PBKDF2 키 유도 함수와 단방향 해시 스트레칭 수학

사용자가 입력하는 비밀번호는 정보 엔트로피가 낮기 때문에 256비트 암호화 키로 직접 사용할 수 없습니다. 따라서 **PBKDF2(Password-Based Key Derivation Function 2)**를 사용하여 의도적으로 계산 복잡도를 높이는 해시 스트레칭을 적용합니다.

의사 난수 함수 $PRF = \text{HMAC-SHA-256}$, 사용자 암호 $P$, 솔트 $S$, 반복 횟수 $c$, 유도 키 길이 $dkLen$에 대해 키 유도식은 다음과 같습니다:

$DK = \text{PBKDF2}(P, S, c, dkLen) = T_1 \mathbin{\Vert} T_2 \mathbin{\Vert} \dots \mathbin{\Vert} T_l$

각 256비트 블록 $T_k$는 $c$번의 HMAC 재귀 연산 결과의 누적 XOR로 계산됩니다:

$T_k = U_1 \oplus U_2 \oplus U_3 \oplus \dots \oplus U_c$

$U_1 = \text{PRF}(P, S \mathbin{\Vert} \text{INT\_32\_BE}(k))$

$U_j = \text{PRF}(P, U_{j-1}) \quad (2 \le j \le c)$

OWASP 2026 보안 가이드라인에 따라 Every-Forge 엔진은 $c \ge 600\,000$회의 반복 횟수를 강제하여 GPU 기반 무차별 대입 공격(Brute-force) 및 레인보우 테이블 공격을 원천 차단합니다.

5. Web Crypto API 무결성 암호화 및 복호화 구현체

다음은 브라우저 표준 crypto.subtle 인터페이스를 활용하여 사용자 암호로부터 키를 유도하고 AES-GCM-256 암호화 및 무결성 검증 복호화를 수행하는 TypeScript 구현체입니다.

// Every-Forge Security Lab: Production-Grade Web Crypto Pipeline
export interface EncryptedPayload {
  ciphertext: string;
  iv: string;
  salt: string;
}

export class WebCryptoEngine {
  private static readonly ITERATIONS = 600000;
  private static readonly KEY_LENGTH = 256;

  static async deriveKey(password: string, salt: Uint8Array): Promise<CryptoKey> {
    const enc = new TextEncoder();
    const keyMaterial = await crypto.subtle.importKey(
      "raw",
      enc.encode(password),
      { name: "PBKDF2" },
      false,
      ["deriveKey"]
    );

    return crypto.subtle.deriveKey(
      {
        name: "PBKDF2",
        salt: salt,
        iterations: this.ITERATIONS,
        hash: "SHA-256",
      },
      keyMaterial,
      { name: "AES-GCM", length: this.KEY_LENGTH },
      false,
      ["encrypt", "decrypt"]
    );
  }

  static async encrypt(plaintext: string, password: string): Promise<EncryptedPayload> {
    const enc = new TextEncoder();
    const salt = crypto.getRandomValues(new Uint8Array(16));
    const iv = crypto.getRandomValues(new Uint8Array(12));

    const cryptoKey = await this.deriveKey(password, salt);
    const encodedText = enc.encode(plaintext);

    const ciphertextBuffer = await crypto.subtle.encrypt(
      { name: "AES-GCM", iv: iv },
      cryptoKey,
      encodedText
    );

    return {
      ciphertext: Buffer.from(ciphertextBuffer).toString("base64"),
      iv: Buffer.from(iv).toString("base64"),
      salt: Buffer.from(salt).toString("base64"),
    };
  }

  static async decrypt(payload: EncryptedPayload, password: string): Promise<string> {
    const salt = new Uint8Array(Buffer.from(payload.salt, "base64"));
    const iv = new Uint8Array(Buffer.from(payload.iv, "base64"));
    const ciphertext = new Uint8Array(Buffer.from(payload.ciphertext, "base64"));

    const cryptoKey = await this.deriveKey(password, salt);

    try {
      const decryptedBuffer = await crypto.subtle.decrypt(
        { name: "AES-GCM", iv: iv },
        cryptoKey,
        ciphertext
      );
      return new TextDecoder().decode(decryptedBuffer);
    } catch (err) {
      throw new Error("복호화 실패: 비밀번호가 불일치하거나 데이터가 위변조되었습니다.");
    }
  }
}

6. 부채널 타이밍 공격(Side-Channel Timing Attack) 방어와 메모리 제로화(Zeroization)

자바스크립트 가비지 컬렉터(GC)는 변수나 버퍼가 스코프를 벗어날 때 즉각 메모리 물리 공간을 0으로 소거하지 않고 마킹 후 비동기 회수합니다. 이로 인해 메모리 덤프나 브라우저 익스플로잇 취약점이 발생할 경우, 힙(Heap) 영역에 잔류하던 마스터 패스워드나 파생 키의 평문 바이트가 공격자에게 노출될 위험이 상존합니다.

Every-Forge 보안 랩은 이러한 부채널 공격을 방어하기 위해 다음과 같은 엄격한 메모리 수명 주기 프로토콜을 준수합니다:

1. 버퍼 제로화 (Memory Zeroization): 암호화 및 복호화가 완료되는 즉시 민감한 평문 버퍼에 원시 바이트 수준의 제로화를 호출하여 물리 메모리를 즉각 덮어씁니다.
2. 불변 시간(Constant-Time) 인증 태그 대조: 인증 태그 불일치 여부를 판별할 때 조기 반환(Early Return) 조건문을 배제하고, W3C Web Crypto 표준의 내부 네이티브 하드웨어 레벨 불변 시간 비교를 강제하여 연산 시차를 이용한 부채널 타이밍 공격을 완벽하게 차단합니다.
3. Web Worker 격리: 메인 스레드의 XSS 취약점으로부터 암호화 연산 컨텍스트를 분리하기 위해 독립된 워커 스레드에서 암호화 파이프라인을 실행합니다.

7. 결론 및 Every-Forge 암호화 스튜디오 연동

브라우저 기반 클라이언트 암호학은 사용자가 자신의 데이터 주권을 온전히 통제할 수 있는 가장 강력한 무기입니다. 암호화 키가 서버에 전혀 도달하지 않는 Zero-Knowledge 환경에서는 외부 감사자나 규제 기관의 불시 압수수색 시에도 평문 유출이 물리적으로 불가능합니다.

실제 텍스트 및 바이너리 파일의 AES-GCM-256 대칭키 암호화, PBKDF2 키 스트레칭, 무결성 해시 검증을 웹 환경에서 직접 테스트하고 즉각 활용해 보시려면 Every-Forge Web Crypto 도구 바로가기를 이용해 주시기 바랍니다.