염흥열 순천향대 정보보호학과 교수
한국정보보호학회 수석부회장
한국정보보호학회 수석부회장
국내 인터넷 및 모바일 인터넷 뱅킹과 연관된 보안환경은 날로 척박해지고 있다. 최근 중국 해커 등이 국내 유명 백화점 사이트 등을 통해 2000만 명의 개인정보를 유출하는 보안사고가 발생했고, 비교적 안전하다고 여겼던 아이폰마저 해킹될 가능성이 발표되고 있다.
현재 국내 인터넷뱅킹을 위한 기술적 보안대책은 공인인증서 기반 사용자 인증 및 거래사실 부인방지, 은행과 고객간 안전한 통신채널 설정, 사용자 인증을 위한 일회용 보안카드, 해커의 다양한 공격을 막기 위한 보안 등에 기반을 두고 있다.
외국의 경우 일부 인증서를 이용하는 경우도 있지만, 대체로 안전보안채널(SSL) 방식을 이용한 보안채널 설정 및 은행 인증과 일회용패스워드장치(OTP)를 이용한 사용자 인증에 기반을 두고 있는 것으로 보고되고 있다. 결국 국내 인터넷뱅킹 보안수준이 외국의 보안수준보다 높다는 데는 이의가 없을 듯 하다.
지난달 31일 정부 여당은 30만원 이하 스마트폰 소액결제인 경우 공인증서 외에 다른 인증방식도 허용하고 전자금융도 공인인증서 외에 이와 동일한 보안수준을 갖는 다른 인증방식도 허용할 것으로 알려졌다. 따라서 앞으로는 동일한 보안수준을 가지면서 경제성을 동시에 확보하는 대안을 찾고 이에 대한 안전성을 검증하는 노력으로 넘어갈 듯 하다.
현재 인터넷뱅킹 관련 보안성의 쟁점은 편의성 향상을 통한 모바일 인터넷뱅킹 서비스의 활성화에 가치의 우선순위를 둘 것인지, 모바일 인터넷뱅킹 서비스의 보안성에 가치의 우선순위를 둘 것인지에 대한 가치관의 차이로부터 나온다고 볼 수 있다.
모바일을 포함한 인터넷뱅킹 보안을 위한 대책은 다음과 같다.
첫째, 모바일 인터넷뱅킹 보안수준은 장기적인 관점에서 일관성을 확보하면서 대체기술의 성숙성을 고려하고 관련 주체들의 자발적 참여를 유도하면서 결정돼야 한다. 인터넷뱅킹의 경우 보안성보다 높은 가치는 없다. 또 최소 보안수준 확보를 위한 정부의 역할도 필요하며 부인방지를 위해 공인인증서 이용을 의무화하는 것도 일정부분 타당하다고 본다.
보안수준이 동일한 다른 인증방법도 허용한다면, 공인인증서와 동일한 보안수준을 유지하면서 경제성이 유지하는 인증방법을 찾는 연구와 노력이 선행돼야 하고, 보안 전문가들에 의한 안전성 검증이 요구된다.
둘째, 스마트폰 기반 모바일 인터넷뱅킹의 보안수준을 편리성만을 고려해 낮추는 것은 신중해야 한다. 왜냐하면 전체 시스템에서 가장 취약한 부분의 보안성이 전체 시스템의 보안성으로 연결되기 때문이다. 또 이는 대규모 금융보안 사고의 원인이 될 수 있고, 다시 고스란히 국민들에게 부담이 전가될 수 있다.
셋째, 인터넷뱅킹 보안대책에 대한 주기적인 재검토와 새로운 기술 및 서비스 수용을 위한 진화는 필요하다. 구체적으로 다양한 브라우저에서도 동작 가능한 기존 플러그인방식을 대체할 수 있는 공통 보안 플랫폼 개발이 시급하다. 인터넷뱅킹에 사용되는 보안 프로그램에 대한 웹 접근성 향상은 절대 요구되며, 이를 위해 액티브엑스 방식을 지양하고 다른 대체 기술의 개발 및 적용이 필요하다. 또 공인인증서 개인키 보관장소와 보안 프로그래밍 실행장소로 보안성이 뛰어난 보안토큰을 사용해야 하며, 이의 보급 확산을 위한 정부 지원도 필요하다.
넷째, 모바일 인터넷뱅킹과 전자결제의 보안정책은 다르게 접근해도 무방하다. 전자결제의 경우, 기존의 인증방법 이외의 다른 인증수단을 통해 탄력성 있게 보안수준의 조정이 가능하다고 생각한다. 최근 공인인증서 외에 다른 인증수단을 허용한 당정 논의 결과는 일단 긍정적 진전으로 보여지나, 후보 인증수단에 대한 안전성 검증이 선행돼야 하고, 오용 최소화를 위한 대비책이 절대적으로 요구된다.
작금의 인터넷뱅킹 보안성 논란이 인터넷뱅킹 서비스의 편리성과 안전성을 확보하고 인터넷 경제의 안전성 확보를 위한 계기가 됐으면 한다.
현재 국내 인터넷뱅킹을 위한 기술적 보안대책은 공인인증서 기반 사용자 인증 및 거래사실 부인방지, 은행과 고객간 안전한 통신채널 설정, 사용자 인증을 위한 일회용 보안카드, 해커의 다양한 공격을 막기 위한 보안 등에 기반을 두고 있다.
외국의 경우 일부 인증서를 이용하는 경우도 있지만, 대체로 안전보안채널(SSL) 방식을 이용한 보안채널 설정 및 은행 인증과 일회용패스워드장치(OTP)를 이용한 사용자 인증에 기반을 두고 있는 것으로 보고되고 있다. 결국 국내 인터넷뱅킹 보안수준이 외국의 보안수준보다 높다는 데는 이의가 없을 듯 하다.
지난달 31일 정부 여당은 30만원 이하 스마트폰 소액결제인 경우 공인증서 외에 다른 인증방식도 허용하고 전자금융도 공인인증서 외에 이와 동일한 보안수준을 갖는 다른 인증방식도 허용할 것으로 알려졌다. 따라서 앞으로는 동일한 보안수준을 가지면서 경제성을 동시에 확보하는 대안을 찾고 이에 대한 안전성을 검증하는 노력으로 넘어갈 듯 하다.
현재 인터넷뱅킹 관련 보안성의 쟁점은 편의성 향상을 통한 모바일 인터넷뱅킹 서비스의 활성화에 가치의 우선순위를 둘 것인지, 모바일 인터넷뱅킹 서비스의 보안성에 가치의 우선순위를 둘 것인지에 대한 가치관의 차이로부터 나온다고 볼 수 있다.
모바일을 포함한 인터넷뱅킹 보안을 위한 대책은 다음과 같다.
첫째, 모바일 인터넷뱅킹 보안수준은 장기적인 관점에서 일관성을 확보하면서 대체기술의 성숙성을 고려하고 관련 주체들의 자발적 참여를 유도하면서 결정돼야 한다. 인터넷뱅킹의 경우 보안성보다 높은 가치는 없다. 또 최소 보안수준 확보를 위한 정부의 역할도 필요하며 부인방지를 위해 공인인증서 이용을 의무화하는 것도 일정부분 타당하다고 본다.
보안수준이 동일한 다른 인증방법도 허용한다면, 공인인증서와 동일한 보안수준을 유지하면서 경제성이 유지하는 인증방법을 찾는 연구와 노력이 선행돼야 하고, 보안 전문가들에 의한 안전성 검증이 요구된다.
둘째, 스마트폰 기반 모바일 인터넷뱅킹의 보안수준을 편리성만을 고려해 낮추는 것은 신중해야 한다. 왜냐하면 전체 시스템에서 가장 취약한 부분의 보안성이 전체 시스템의 보안성으로 연결되기 때문이다. 또 이는 대규모 금융보안 사고의 원인이 될 수 있고, 다시 고스란히 국민들에게 부담이 전가될 수 있다.
셋째, 인터넷뱅킹 보안대책에 대한 주기적인 재검토와 새로운 기술 및 서비스 수용을 위한 진화는 필요하다. 구체적으로 다양한 브라우저에서도 동작 가능한 기존 플러그인방식을 대체할 수 있는 공통 보안 플랫폼 개발이 시급하다. 인터넷뱅킹에 사용되는 보안 프로그램에 대한 웹 접근성 향상은 절대 요구되며, 이를 위해 액티브엑스 방식을 지양하고 다른 대체 기술의 개발 및 적용이 필요하다. 또 공인인증서 개인키 보관장소와 보안 프로그래밍 실행장소로 보안성이 뛰어난 보안토큰을 사용해야 하며, 이의 보급 확산을 위한 정부 지원도 필요하다.
넷째, 모바일 인터넷뱅킹과 전자결제의 보안정책은 다르게 접근해도 무방하다. 전자결제의 경우, 기존의 인증방법 이외의 다른 인증수단을 통해 탄력성 있게 보안수준의 조정이 가능하다고 생각한다. 최근 공인인증서 외에 다른 인증수단을 허용한 당정 논의 결과는 일단 긍정적 진전으로 보여지나, 후보 인증수단에 대한 안전성 검증이 선행돼야 하고, 오용 최소화를 위한 대비책이 절대적으로 요구된다.
작금의 인터넷뱅킹 보안성 논란이 인터넷뱅킹 서비스의 편리성과 안전성을 확보하고 인터넷 경제의 안전성 확보를 위한 계기가 됐으면 한다.
