기술만을 강제할 것이 아니라 다양한 인증 및 결제 수단을 제공해야

최근 몇 달 동안 공인인증서와 관련된 찬반 논쟁이 인터넷과 신문 지상을 뜨겁게 달구고 있다. 1999년 전자서명법 제정과 동시에 시작된 공인인증서 제도는 인터넷뱅킹 및 주식거래, 카드결제, 주택청약, 연말정산, 각종 민원서비스, 전자여권 등 생활 전반에 활용되고 있다. 공인인증서란 전자적인 형태의 인감증명서로서 인터넷 상에서의 서명 날인을 가능케 하는 기술을 말하는데 한국인터넷진흥원에 따르면 2010년 2월 현재 2천272만건의 공인인증서가 발급되어 우리나라 경제활동인구의 90% 이상이 사용하고 있다고 한다.

현재 공인인증서와 관련된 논란은 ▲공인인증서가 과연 안전한가 ▲공인인증서가 정말 부인방지에 도움이 되는 수단인가 ▲사용자들에게 다양한 기술 선택권을 준다는 점에서 인터넷뱅킹시 공인인증서 기술만을 강제할 것이 아니라 다양한 인증 및 결제 수단을 제공해야 한다! 이상 크게 3가지로 나누어 요약할 수 있다.

첫째 공인인증서의 안전성과 관련해서 살펴보면 여기에는 다음과 같은 두 가지 문제가 중요하게 제기된다. 하나는 “공인인증서 방식은 키의 안전한 보관이 어려워 해킹에 취약하다”는 것이고 또 다른 하나는 “공인인증서가 마이크로소프트사의 인터넷익스플로러와 액티브엑스(ActiveX) 하에서만 동작하도록 되어있기 때문에 해킹에 취약하고 공정거래를 저해한다”는 것이다.

공인인증서 사용시 개인의 인감도장에 해당하는 ‘.key’ 형태의 개인키 파일은 외부로부터 안전하게 보호되어야 한다. 초기에 대다수의 사용자들은 공인인증서 및 개인키 파일을 주로 PC의 하드디스크에 저장해 보관하였다. 그러나 PC 해킹을 통한 공인인증서 유출·도용 사례가 점차 증가하면서 2005년 정부는 공인인증서 및 개인키 파일을 PC의 하드디스크 대신 USB 메모리 등과 같은 이동식 저장장치나 HSM(Hardware Security Module) 등과 같은 보안토큰에 저장하도록 의무화하는 방안을 검토하게 된다. 하지만 이 계획은 사용자들이 추가비용 부담 문제 및 이용이 불편한 점을 들어 반발할 가능성이 있다는 판단하에 보류되었고 현재 사용자들은 PC 하드디스크, USB 메모리, 보안토큰, 휴대폰 중 하나를 임의로 선택하여 저장하고 있는 실정이다(2009년 한국인터넷진흥원의 조사결과에 따르면 공인인증서를 하드디스크에 저장하고 있는 사람이 67.7%로 가장 많았고 그 다음이 USB 메모리 63.8%, 휴대폰 8.5%, e-메일 또는 웹하드 1.7% 순이었음).
그러나 당초 공인인증서 기술이라는 것이 사용자의 키를 스마트카드(IC카드)나 보안토큰 장치에 저장하는 것을 전제로 개발되었다는 점을 고려할 때, 공인인증서의 안전한 사용을 위해서는 지금이라도 키의 저장시 반드시 보안토큰을 사용토록 의무화하는 것이 바람직하다고 생각한다. 물론 2005년 당시 진작에 의무화하였다면 더욱 좋았겠지만...

미국 국립표준기술 연구소(NIST)가 2006년 4월 발간한 ‘전자인증 가이드라인’에 따르면 HSM 보안토큰을 이용한 공인인증서 기반 전자인증 방식이 여러 가지 인증 수단 중 가장 안전한 것으로 나타나있다. 현재 공인인증서 방식의 대안으로서 국내에서 가장 주목받고 있는 것은 OTP(One Tine Password) 방식인데, 이는 이용할 때마다 다른 비밀번호가 생성돼 해킹이나 사용자의 관리소홀 등으로 비밀번호가 노출되는 것을 방지하는 특징이 있다. 그러나 공인인증서 방식은 키를 본인만이 소지하고 있는 반면 OTP 방식의 경우 일회용 비밀번호 생성시 사용되는 키를 두 거래당사자(예를 들어 본인과 은행)가 모두 알고 있어야 하므로, 공인인증서 방식이 은행 내부직원에 의한 거래 내역 조작에 대해 보다 본질적으로 더 안전하다.

액티브엑스와 관련해서는 우선 공인인증서는 국제표준을 준용하는 기술 중립적인 것으로써 액티브엑스로만 구현 가능한게 아니라 자바 등 다양한 기술로도 구현할 수 있으며 마이크로소프트사의 인터넷익스플로러 이외에 파이어폭스, 애플 사파리, 오페라, 구글 크롬 등 다양한 웹브라우저에서 이용하는 것이 가능하다는 점을 명확히 할 필요가 있다. 그럼에도 불구하고 사용자들이 공인인증서를 이용하려면 반드시 인터넷익스플로러와 액티브엑스가 필요한 것처럼 느끼는 이유는 국내의 경우 마이크로소프트사의 제품이 시장점유율이 가장 높아서 대부분의 보안업체들이 인터넷 익스플로러에 최적화 된 제품들만을 만들어내기 때문이다.

사실 업체가 시장원리를 쫓아 점유율이 가장 높은 플랫폼에 최적화된 제품을 만드는 것을 잘못이라고 탓할 수는 없다. 그러나 리눅스, 맥O/S 등 다른 운영체제를 사용하거나 혹은 파이어폭스, 사파리, 크롬 등과 같은 다른 웹브라우저를 사용하는 소수의 국민들을 포용하기 위한 정책적·기술적 배려가 없었다는 점에서 어느 정도는 정부가 비난을 받아 마땅하다. 지금부터라도 정부는 이들을 위한 공인인증서 프로그램을 지속적으로 개발·보급해 나가야 할 것이다.

혹자는 국내의 경우 공인인증서를 특정위치(NPKI 폴더)에 저장토록 하고 있기 때문에 기술 중립적이라고 할 수 없으며, 이로 인해 공정거래를 저해하고 있다고 한다. 그러면 어디에 저장해야 한단 말인가? 일반 PC의 MSCSP store에 저장하게 되면 대부분의 웹브라우저에서는 공인인증서를 인식할 수 있게 되지만 파이어폭스 웹브라우저에서는 쓸 수가 없게 된다. 아이폰에서 프로파일 Keyring에 저장하게 되면 사파리 웹브라우저에서만 쓸 수 있다. 국내의 경우 이러한 문제들로 인해 특정 회사의 특정 제품에 편향되지 않은 독립적인 위치(NPKI 폴더)에 저장토록 하고 있는 것이다. 만일 저장 위치를 옮기고 싶다면 인증서 관리 프로그램에서 제공하는 Export/Import 기능을 사용하면 된다.

둘째로 공인인증서(정확히 말하면 공인인증서를 이용한 전자서명)의 부인방지 효과에 대해 살펴보자. 인증서의 부인방지 효과에 대해 회의적인 사람들은 종종 사용자가 “내 키를 분실했다. 내가 한 거래가 아니다”라고 주장하면 공인인증서는 부인방지 효능을 가질 수 없다고들 말한다. 오프라인 상에서의 은행 거래를 생각해 보자.  계좌 이체시 이체용지에 계좌번호, 금액 등을 쓰고 서명 날인한 후 은행 창구에 제출한다. 인터넷 뱅킹에서는 오프라인 은행 거래에서와 마찬가지로 은행 홈페이지에서 입금정보를 입력하고 공인인증서를 이용하여 전자서명을 하게 된다. 오프라인 은행 거래에서 인감 또는 서명의 위조 및 도용이 잦다는 이유로 인감을 폐지하지는 않는다. 그런데 왜 온라인 인터넷 뱅킹에서는 전자서명을 없애야 하는가? 보안기술은 만능이 아니다. 현실 세계에서 못 막는 것은 사이버 공간에서도 막을 수 없다.

셋째로 기술 선택의 자유 측면에서 살펴보자. 국제결제은행(BIS, Bank for International Settlements) 산하 바젤은행감독위원회(Basel Committee on Banking Supervision)의 ‘전자금융 위험관리 원칙’에 따르면 전자금융 보안에 있어서 특정 기술을 강제하지 않고 각 은행에 기술선택권을 주고 있다. 그러나 우리나라의 경우 과거 금융감독원에서 전자금융거래시 공인인증서만을 사용하도록 강제하였다가 최근 들어 공인인증서 이외에 이와 동등한 보안수준을 갖는 다른 방식도 허용하는 방향으로 정책이 추진되고 있다. 이를 위해 금융감독원은 '인증방식평가위원회'를 두어 공인인증서 방식 이외의 방식에 대한 안전성 심사를 추진할 계획이다.

늦긴 했지만 다양한 기술을 수용할 수 있는 기반이 마련된다는 점은 칭찬받을만 하다. 그러나 이러한 정책이 실효성을 갖기 위해서는 우선 인증방식평가위원회 및 관련 심사기준을 객관적이고 독립적으로 구성할 수 있는 방안을 찾아야 할 것(예를 들어 IT제품의 보안성을 평가하기 위한 국제 표준인 Common Criteria를 활용해도 좋을 것)이다. 또한 인증방식평가위원회는 모든 전자금융거래에 대해 획일적인 기준을 적용할 것이 아니라, 보호해야 할 자산의 가치와 국가 안보에 미치는 영향을 고려하여 적절한 보안 수단이 적용될 수 있도록 심사기준을 완화해 탄력적으로 운용해야 할 것이다. 배보다 배꼽이 더 크다고 10만원짜리 자산을 100만짜리 금고에 넣어 보호할 수는 없지 않은가?

공인인증서는 글로벌 스탠다드를 한국적으로 성공시킨 사례로서 관련 경험 및 노하우를 해외 여러 나라에 역으로 수출하고 있는 우수한 기술이다. 현재의 공인인증서의 안전성과 관련된 논쟁들은 대부분 개인키의 안전한 관리와 관련한 것들로서 논의의 중심을 안전하고 편리한 공인인증서 저장매체 보급에 두어야지 공인인증서를 OTP로 대체하자는 말은 이치에 맞지 않는다. 그러나 사용자들에게 다양한 기술 선택권을 준다는 점에서 공인인증서 기술만을 강제할 것이 아니라 다양한 인증 및 결제 수단을 제공해야 하는 만큼 큰 규모의 거래에는 공인인증서 방식을 작은 규모의 거래에는 공인인증서 방식 또는 OTP 방식을 병행하여 적용하는 것이 타당하다. 또한 해당 정부기관과 보안업체들은 공인인증서 방식이 보다 다양한 웹 환경에서 손쉽게 사용될 수 있도록 노력해야 하고, 특히 사용자들의 편리성을 증진하기 위해 힘써야 한다.

[글 - 김승주 성균관대학교 정보통신공학부 교수(skim@security.re.kr)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>