'관치보안'의 온상 공인인증서 폐지 논의 탄력...쟁점은?

강경훈 기자 qwereer@vop.co.kr
입력 2013-05-27 22:19:09l수정 2013-05-30 10:24:27
그동안 시중은행 등 금융기관에 대한 해킹 사건이 벌어질 때마다 문제점으로 빼놓지 않고 거론돼온 것이 있다. 바로 공인인증서의 보안취약성이다. 다른 나라와 차별화된 한국만의 공인인증 방식이 실제로는 보안에 매우 취약한 구조라는 지적에서다.

이 같은 여론에 힘입어 민주당 이종걸 의원과 최재천 의원은 공인인증서 폐지를 핵심으로 하는 전자금융거래법과 전자서명법 개정안을 발의했다. 전자금융거래법 개정안은 금융위원회가 금융회사 등에게 특정 기술이나 서비스 사용을 강요할 수 없고, 인증 및 보안기술의 공정한 경쟁을 저해해서는 안 된다는 것이 주요 골자이며, 전자서명법 개정안은 정부가 인증기관을 지정하지 못하도록 규정, 최상위 인증기관의 검증 제도를 도입하는 내용을 담고 있다.

두 개정안 발의로 그동안 활발하게 진행되지 않았던 공인인증서 폐지 문제에 대한 정책적 논의가 탄력을 받을 것으로 보인다.

한국식 공인인증서, 무엇이 문제인가?

다른 나라들과 달리 우리나라는 온라인상의 본인확인을 위해 1999년부터 공인인증서를 의무적으로 설치하도록 돼 있다. 한국인터넷진흥원이 최상위 인증기관이며, 금융결제원, 증권전산원, 한국정보인증, 한국전자인증, 한국무역정보통신 등이 개인들에게 공인인증서를 발급해주는 방식이다.

정부가 의무 사용토록 한 공인인증서의 가장 큰 문제점으로 지적되는 것은 웹브라우저가 기본적으로 인식하지 못하도록 설계돼 있다는 점과 이때문에 액티브엑스와 같은 부가 프로그램 설치가 필요하다는 점이다.

공인인증서는 한국 내에서만 통용되는 윈도우 위치('NPKI폴더'라고 불림)와 파일 명(signCert.der, sighnPri.key)으로 저장된다. 따라서 웹브라우저가 자체적으로 이 공인인증서를 인식할 수 없다.

이 때문에 이 공인인증서를 웹브라우저에서 인식하기 위해서는 부가 프로그램을 설치해야 한다. 그것이 바로 액티브엑스다. 액티브엑스란 자체적인 보안 기능이 없는 웹브라우저의 기능을 확장시켜주는 부가 프로그램으로, 파이어폭스, 크롬, 사파리 등 다른 웹브라우저에도 유사한 프로그램이 존재한다. 이를 통틀어 '브라우저 플러그인'이라고 부른다. 공인인증서 설치 과정에서 발생하는 문제점은 1차적으로 이 '브라우저 플러그인'을 설치해야 하는 데서 비롯된다.

인터넷 보안이 지켜지기 위해서는 인터넷과 웹브라우저, PC 등 단말기 간 명확한 구분이 있어야 한다. 하지만 브라우저 플러그인과 같은 인터넷 프로그램이 웹브라우저에서 보안프로그램을 열 수 있도록 다운로드되는 순간 그 구분은 의미가 없어진다. 즉 이 프로그램 속에 들어있는 악성코드들이 PC를 마음대로 조종할 수 있는 환경이 조성된다는 뜻이다.

이때문에 액티브엑스는 주요 악성코드 유포 원인으로 지목돼왔다. 액티브엑스의 강력한 후원사였던 마이크로소프트사 조차도 액티브엑스 지원 종료를 선언하고, '어도비'가 자사 플래시 개발을 포기하는 등 웹표준인 HTML5로 이동하는 움직임을 보이고 있는 것과는 달리 국내에서는 아직 기존에 구축된 보안 기술에 안주하고 있다는 지적을 받고 있는 현실이다.

브라우저 플러그인 프로그램 설치를 전제로 하는 파일 저장 형식의 공인인증 방식은 곧 '누구나 훔쳐갈 수 있는 공인인증서'라는 지적을 받는다. 김인성 한양대 교수는 자신의 칼럼에서 "공인인증서는 하드디스크에 파일 형태로 존재해 누구나 쉽게 복제할 수 있다"며 "누구나 쉽게 훔쳐갈 수 있는 공인인증서로 본인 인증을 한다는 건 무의미하다"고 지적했다. 김 겸임교수는 "악성코드가 침투하면 일단 공인인증서부터 빼간다. 인증서를 사용할 때 필요한 비밀번호는 해킹한 포털 사이트의 개인정보에서 얻을 수 있다"며 "이렇게 구한 비밀번호와 훔친 인증서로 해커들은 인터넷에서 무엇이든 할 수 있다"고 말했다.

이러한 브라우저 플러그인 프로그램의 위험성 문제를 해소하기 위해 제기되고 있는 방안 중 하나는 차세대 웹표준 규약인 HTML5 활성화 방안이다. HTML5란 웹문서를 만들기 위한 기본 프로그래밍 언어인 'HTML'의 최신 규격으로, 액티브엑스 등 브라우저 플러그인을 설치하지 않아도 동일한 기능을 구현할 수 있고, 특히 플래시나 실버라이트, 자바 없이도 웹브라우저에서 뛰어난 그래픽 효과를 낼 수 있다.

이때문에 일각에서는 HTML5로 전환하면 공인인증서를 안전하게 쓸 수 있다는 주장이 나오기도 한다. 하지만 공인인증서 자체가 갖고 있는 독특한 저장 위치는 무차별적인 복제를 양산한다. 공인인증서가 저장된 NPKI 폴더는 단순 복사.붙여넣기를 통해 재생산될 수 있기 때문이다.

김기창 고려대 법학전문대 교수는 한 언론에서 "공인인증서 자체가 보안 취약점인데, 공인인증서를 고집하면서 HTML5만 사용하면 모든 문제가 해결되는 것처럼 호도하고 있다"며 "기술은 시시각각 변하고 있는데 14년전 기준으로 허술하게 만든 공인인증서가 안전하다고 맹신하도록 하는 건 사기"라고 지적했다.

공인인증제도가 정부 주도로 총괄되고 있다는 점도 문제점으로 지적된다. 한국과 같이 국가가 특정 보안 서비스를 강제하게 되면 해당 기술이 상대적으로 보안이 취약함에도 불구하고 '안전성'에 대한 과장된 인식이 자리잡게 돼 오히려 안전을 해할 수 있다는 것이다. 한국의 금융기관이 해커들의 주요 타깃이라는 점은 이를 뒷받침해준다.

공인인증서가 없다면 어떤 방식으로 온라인상 본인확인을 할 수 있을까? 우리나라를 제외한 대부분의 국가에서는 사설 인증서, 전자서명 등을 이용하는데, 금융기관에서 거래내용 자체를 실시간으로 분석해 사기로 의심되는 행위가 발생하는 순간 추가 확인을 요구한다.

예를 들어 금융기관은 고객 개개인의 거래 규모, 거래 시간, 거래 수단 등을 실시간으로 모니터링해 그들의 거래 패턴을 파악해놓고, 이 패턴에 위배되는 행위가 감지될 때 일시적으로 거래가 차단되며, 거래 승인 전 전화를 통해 사실 여부를 확인한다.

찬반 논란 속 관련법 발의까지...

공인인증서에 대한 민간 전문가들과 정부의 시각차는 꽤 크다. 위와 같이 전문가들은 공인인증서가 지닌 본질적 문제를 지적하는 반면, 정부는 공인인증서 제도를 유지해야 한다는 입장이다. 공인인증서 자체가 기본적으로 부인방지 효과가 있으며, 인증 수단의 난립은 오히려 해킹 위협을 극대화시켜 더 큰 안전성 문제를 야기시킨다는 것이다. 여기서 부인방지란 금융회사와 금융소비자 상호간에 거래한 사실을 부인하지 못하도록 방지하는 기능을 일컫는다.

이러한 시각차 속에서 나온 것이 바로 공인인증서 폐지를 핵심으로 하는 이종걸.최재천 의원의 전자금융거래법과 전자서명법 개정안이다.

이종걸 의원실은 법안 발의 자료에서 "그동안 금융규제 당국이 보안기술에 개입해 공인인증서 사용을 강요하면서 국내 보안기술은 90년대 수준의 낙후된 상태에 머물게 됐고, IT산업 전반의 국제공쟁력을 저해해왔다"며 "한국 금융당국도 OECD 회원국이 준수해야 하는 전자금융 위험관리 원칙에 따라 금융규제 업무를 기술중립적으로 수행하도록 해야 한다"고 강조했다.

최재천 의원실도 "정부의 권위에 의존하는 현행 공인인증 제도는 국경을 넘어 국제적으로 작동하는 인터넷의 기본 전제에 어긋날 뿐 아니라 세계로부터 고립돼 있다"고 주장했다.

최 의원실은 "전자서명법 개정안은 국내 인증기관들도 국제적으로 통용되는 기준에 따라 기술 안전성을 검증받도록 귝정하며, 이미 그러한 검증을 거친 인증기관은 국내에서 차별 없이 인증서비스를 제공할 수 있도록 했다"고 설명했다.

이 개정안과 관련해 지난 23일 국회에서 열린 법안 공청회에서는 다양한 주장들이 제기됐다. 공인인증제 폐지를 주장해온 김기창 교수는 "13년 동안 정부 주도의 관치 보안을 해왔지만 결과는 '북한이 그랬어요' 말고는 할 말이 없는 현실"이라며 "공인인증서가 바로 이러한 면피용 보안이다"라고 말했다.

그러면서 김 교수는 "전자금융거래법이 개정돼 특정기술을 강제하지 않는다는 것을 법에 명시해야 하고, 전자서명법을 개정해 일방적인 전자서명 사용 강요를 중단해 거래 당사자간 합의에 의해 사용토록 해야 한다"고 주장했다.

이주혁 플래티푸스소프트 대표도 "공인인증서와 같은 한국적 보안의 특징은 적은 비용으로 안전하고 편리한 시스템을 구현하자는 것"이라며 "안전하게 하려면 상당히 많은 비용과 불편함이 수반된다. 현실적으로 전혀 교집합이 없는 것을 규정해 (공인인증서만이) 진정한 솔루션인 것처럼 강조하고 있다"고 지적했다.

이 대표는 그러면서 "정부는 특정 솔루션을 강제하면 안되고, 보안성 심사나 가이드라인은 최소의 규정으로 만들어야 한다"고 강조했다.

공인인증서 폐지가 핵심이 아니라 이를 강제하는 법조항을 바꾸는 것이 핵심이라는 주장도 있다. 김승주 고려대 정보보호대학원 교수는 "공인인증서를 없앤다고 액티브엑스가 사라지는 것은 아니다. 공인인증서를 폐지시켜 엑티브엑스를 없앤다는 관점은 문제가 있다"고 지적했다. 그러면서 "공인인증서, 사설 인증서의 공존은 필요하며 문제는 강제조항을 없애는 것"이라고 말했다.

공인인증기관 관계자들의 입장은 상반됐다. 공청회에서 한국무역정보통신 관계자는 "인증서 파일 복사 등 보안성 문제는 기술로 해결할 수 있다는 점에서 법제도 변경이나 폐지가 필요한 문제가 아니다. 법 개정이나 폐지는 또다른 폐단을 낳는다"고 했고, 한국정보인증 관계자는 "인증수단을 다양화하면 안전한 관리 책임이 발생하기 때문에 더 많은 안전한 보관.관리 이슈와 해킹 문제가 일어날 수 있다"고 우려했다.

  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7

  • 1
  • 2
  • 3