다양하게 응용되고 활용되는 생체인식 중심 제품과 솔루션의 보안성 평가 등 진행
지난 7월, TTA 생체인식 인증 브랜드 출시
생체인식 인증, 기업과 소비자 그리고 공공 서비스 환경에 따라 고민하고 적용 필요

[쿠알라룸푸르= 보안뉴스 엄호식 기자] 한국정보통신기술협회(이하 TTA)는 FIDO Alliance의 정부 회원으로 FIDO 기술표준 개발과 정책 제정에 적극적으로 참여하고 있으며, 2017년 FIDO Alliance로부터 국제공인 보안 평가기관 및 2019년 국제공인 생체인식 시험기관으로 지정받아 국내외 기업 제품의 보안성과 적합성 평가를 수행하고 있다. 그리고 올해 말레이시아 쿠알라룸푸르에서 열린 FIDO APAC 2024 서밋 현장에서 생체인식 인증서 상호인정 양해각서를 체결했다. 이에 김재범 TTA AI융합시험연구소 융합보안기술팀장에게 TTA의 최근 활동과 FIDO 얼라이언스와의 협력에 대해 들어봤다.


▲김재범 TTA AI융합시험연구소 융합보안기술팀장[사진=보안뉴스]

지난해 행사에서 만난 후 어느새 1년여가 지났습니다. 그동안 어떻게 지내셨나요?
굉장히 바쁘게 지냈습니다. 특히 온라인과 오프라인의 경계를 나누는 것이 무의미해진 환경으로 변하면서 자신의 신원을 확인하는 주민등록증과 같은 오프라인 증명 도구가 온라인으로 옮겨지고 있습니다. 이에 그동안 표준 규격 등에 주목하던 것에서 확장해 다양하게 응용되고 활용되는 생체인식을 중심으로 한 제품과 솔루션에 대한 보안성 평가 등을 진행하다 보니 시간이 빠르게 지나간 것 같습니다.

최근에는 원격으로 얼굴을 인식해 신원을 확인하는 비대면 원격 신원확인 인증제도(IdV : Remote Identity Verification)가 급속하게 확산·발전하고 있습니다. 이해를 돕기에 가장 적절한 국내 사례로는 모바일 신분증을 들 수 있을 것 같습니다.

정부는 ‘모바일 공무원증’을 시작으로 2022년 1월 시범 도입 후, 같은 해 7월 전국으로 발급을 확대한 ‘모바일 운전면허증’ 그리고 오는 12월 6일 본격적으로 발급받을 수 있는 ‘모바일 주민등록증’ 발급에 있어 당연히 지켜져야 할 데이터를 잘 보호하고 관리할 수 있는지 검사하고 평가해야 하기 때문입니다. 특히 삼성월렛을 이용한 모바일 신분증 시범 사업 진행 후 내년에는 네이버와 카카오, KB국민은행, 비바리퍼블리카(토스) 그리고 NH농협까지 5개 민간사업자의 앱에서 모바일 신분증을 발급받고 관리할 수 있게 도입될 예정입니다.

무엇보다 생체인식이 이러한 신분증 등의 인증 도구로 가장 활발하게 적용되고 있기에 이에 대한 철저한 준비와 검사, 그리고 평가가 필요합니다.

올해 행사에서 TTA는 FIDO 얼라이언스와 생체인식 인증서 상호인정 양해각서(MoU)를 체결했습니다. 어떤 내용인가요?
이는 지난 7월 TTA가 생체인식 기술을 체계적으로 평가하기 위해 출시한 자체 인증브랜드에 대해 ‘TTA 생체인식 브랜드 인증 제품’은 별도의 추가 시험이나 평가 없이 FIDO 생체인식 인증을 획득할 수 있도록 하는 것입니다. 이에 따라 FIDO 생체인식 인증 획득 제품은 TTA 생체인식 브랜드 인증을 위한 시험 및 평가 항목 중 일부를 면제받을 수 있습니다.


▲TTA는 행사기간 동안 FIDO 얼라이언스와 생체인식 인증서 상호인정 양해각서(MoU)를 체결했다[사진=보안뉴스]

TTA 생체인식 인증 브랜드에 대한 자세한 소개 부탁드립니다.
모바일 신분증뿐만 아니라 스마트폰의 잠금 해제 등 FIDO 얼라이언스를 비롯한 다양한 노력으로 생체인식은 가장 편하고 빠르며 쉽게 사용하는 인증 수단으로 자리 잡았습니다. 그리고 이러한 생체인식 기술의 개발 및 평가 기준은 ‘인식률’에 초점이 맞춰져 있습니다.

인식률은 크게 두 개의 요소를 보는데 하나는 다른 사람으로 잘못 인식할 수 있는 확률이 얼마나 되는가이며 또 다른 하나는 위조 생체를 이용한 인증을 살펴봅니다. 하지만, 이 두 가지 외에 다른 취약점으로 인해 피해를 볼 수도 있습니다.

결국 과거에는 인식 성능이나 위조 피해 예방에 초점이 맞춰졌다면, 기술 성숙도가 높아진 현재에는 이와 더불어 다른 취약점 등의 보안에 대해서도 살펴야 하는 환경이 도래했다고 생각합니다. 이에 TTA는 지난 7월 이러한 환경 변화에 맞춰 ‘TTA 생체인식 인증 브랜드’를 출시했습니다.

TTA의 생체인식 인증 브랜드는 생체인식 기술과 생체인증 제품의 성능과 신뢰성, 안정성 및 보안성을 체계적으로 평가하는 인증제도입니다. 생체인식이 이루어지는 과정에서 다양한 취약점과 기능적인 요소들이 안정적으로 돌아갈 수 있는지를 종합적으로 평가하는 것으로 ‘ImReadyBIO’와 ‘AuthReadyBIO’로 구성됩니다.

ImReadyBIO(Implementation Ready Biometric)는 생체인식 부품 또는 솔루션에 대한 인증이며, AuthReadyBIO(Authentication Ready Biometric)는 생체인식을 바탕으로 사용자를 인증하는 생체인증 장치 또는 서비스에 대한 인증입니다.

특히 브랜드라고 표현한 이유는 단순히 하나의 인증을 획득하도록 하는 제도나 역할에서 한발 더 나아가 신뢰할 수 있는 브랜드처럼 쓰이기를 바라는 마음을 담았습니다.

FIDO 얼라이언스의 장점은 무엇인가요?
생체인식 분야에서 FIDO 얼라이언스의 장점이라고 하면 생체인식 제품이나 서비스가 어떤 방식으로 동작되게 하고 어떤 방식으로 평가해야 한다는 규정에 대해 표준을 만들어 좋은 가이드라인을 제시하고 있으며 전 세계 다양한 국가와 기관, 그리고 기업과 협업하며 더 나은 표준과 서비스를 제시하고 공유하기 위해 노력하고 있다는 점입니다.

또한 현재 생체인식 인증의 국제 통용 인증은 FIDO BCC(생체인식부품 인증)과 FIDO IdV(비대면 신원확인 인증) 밖에 없습니다.

물론 모든 분야에 천편일률적으로 반드시 FIDO 얼라이언스 인증을 사용하는 것이 바람직하지 않을 수도 있습니다. 이는 크게 구분해 보면 기업 환경과 소비자 환경, 그리고 공공 서비스 환경에 따라 고민하고 적용해야 하는 포인트가 각각 다르기 때문입니다.

생체인식 인증을 보다 더 안전하게 사용할 수 있는 방법은 어떤 것이 있을까요?
다중 사용자가 있는 환경과 단일 사용자만 있는 환경 등 각각의 생체 인증 환경을 고려해야 합니다. 또한 보안 등급에 따른 출입 제한을 위해 멀티팩터 인증을 사용한다든지, 각각의 등급에 따라 다른 회사의 인증 장치나 솔루션 또는 서비스를 사용하는 것도 하나의 방법이 될 수 있을 것 같습니다.

무엇보다 생체인식 인증과 관련한 기술이 발달하고 환경이 변함에 따라 기업뿐만 아니라 FIDO 얼라이언스나 TTA 등도 지속해서 변화하고 노력해야 한다고 생각합니다.

내부 보안 강화를 위한 TTA만의 보안 문화가 있을까요?
보안은 결국 내부 직원 한 사람 한 사람이 보안에 대한 관심을 가져야 하고 소양을 갖추고 있어야 합니다. 이를 위해 TTA는 주기적으로 교육을 진행하고 최신의 정보를 빠르게 업데이트할 수 있도록 정보를 공유하고 있습니다. 이러한 것들이 내부 보안을 강화하는 TTA의 강점이라고 생각합니다.
[말레이시아 쿠알라룸푸르= 엄호식 기자(eomhs@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>