'플러그 없는 공인인증' 내달 시행… 입력정보 해킹 예방
USIM내 탑재ㆍ전자서명 원격생성 '로밍서비스' 추진도
USIM내 탑재ㆍ전자서명 원격생성 '로밍서비스' 추진도
■ 스마트 시큐리티 시대 열자
2-2. 공인인증서도 변화한다
공인인증서 2500만 시대를 맞이하면서 공인인증서도 더 이상 10년 전 시스템을 고집하고 있을 수 없는 상황이 됐다. 이용자가 많아진 만큼 이들의 변화 양식에 공인인증서도 맞춰갈 수밖에 없는 것이다.
◇대면 창구 거래에서 스마트폰 뱅킹 시대로=과거 직접 대면에 의한 창구거래는 전자금융시대 도래로 폰뱅킹, PC뱅킹을 거쳐 스마트폰 뱅킹으로까지 진화했다. 유선전화기, 컴퓨터, 스마트폰 등 다양한 기기에서 전자거래를 하기 위해서는 안전한 사용자 인증이 중요한 요소로 등장했다.
특히 스마트폰 이용자 1000만 맞으면서 스마트폰 뱅킹은 점차 대중화되고 있다. 한국은행에 따르면 지난해 말 국내 17개 금융기관의 스마트폰 뱅킹 등록회원은 260만명에 이른다. 금융감독원은 올 들어 은행 15곳에서 스마트폰 기반 금융서비스가 이뤄질 것으로 전망했으며, 증권, 신용카드사 등 다양한 금융분야에서 서비스를 제공할 계획이다.
스마트폰을 이용한 전자금융 거래 절차는 우선 사용자가 금융회사의 애플리케이션을 다운 받아 스마트폰에 설치하고, PC에 다운받아 놓은 공인인증서를 전송 받는다. 이후 금융회사에 공인인증서와 함께 일회용비밀번호(OTP)발생기 또는 보안카드를 사용해 인증을 거친 다음 전자금융 서비스를 제공받는다. 현재는 공인인증서의 경우 스마트폰에서 직접 발급 받기 어려워 PC에서 발급 받은 공인인증서를 스마트폰으로 이동시켜 사용할 수 있도록 설계돼 있다.
◇스마트 환경에 발맞춰 가는 공인인증서=스마트폰 보급이 확산되면서 공인인증서도 다양한 기기 및 운영체제에서 이용될 수 있도록 변화하고 있다.
우선 웹브라우저에 별도의 플러그인 프로그램 설치 없이 공인인증서비스를 제공받을 수 있는 `플러그인 없는 공인인증서비스'가 다음달부터 본격 시작된다. 이를 통해 웹서버와 웹브라우저간에 액티브엑스(ActiveX) 방식이 아닌 SSL등 표준기술을 이용해 암호화 통신을 하게 된다. 이 서비스는 운영체제, 웹브라우저 종류에 상관없이 자신의 기기를 통해 전자금융서비스를 이용할 수 있다. 특히 액티브 엑스 등 별도의 플러그인 설치에 따른 이용고객의 불편을 해소해주고, 중요정보를 스마트폰에서 입력하므로 PC 이용 시 발생하는 입력정보에 의한 해킹사고를 예방해준다. 이 서비스는 지난 달 금융위원회의 보안성 심의를 통과했으며, 스마트폰 2종(아이폰, 안드로이드)과 태블릿 PC(아이패드, 갤럭시탭)를 지원할 계획이다.
또 유심(USIM)내에 공인인증서를 탑재하는 방식도 진행중이다. 현재 행정안전부와 한국인터넷진흥원(KISA)은 이동통신사들과 유심내에 공인인증서가 안전하게 보관되고 이용할 수 있도록 협의를 추진중이다. KISA 관계자는 "현재 이동통신 3사 모두 관심을 갖고 있기 때문에 조만간 론칭 할 것으로 보인다"고 말했다. 이렇게 유심에 공인인증서가 기본 탑재될 경우 분실 위협이 줄고 간편하게 공인인증서를 사용할 수 있을 전망이다.
정부는 공인인증서 로밍 서비스도 선보인다. 이 서비스는 공인인증서를 PC등에 보관하지 않고 공인인증기관 등에 위탁, 보관해 필요할 경우 전자서명을 원격에서 생성하는 서비스다. 가입자가 공인인증기관으로부터 공인인증서를 발급 받고, 로밍 서버에 공인인증서를 보관한다. 이후 모바일, PC 등에서 전자서명을 요청할 경우 로밍 서버를 통해 전자서명 값을 받아 뱅킹 서버로 전송하면 결제가 진행된다. 현재 KISA는 공인인증서 위탁보관 및 전자서명 원격 생성 서비스 안전성 가이드라인을 마련하고 있다.
◇진화하는 보안 위협도 스마트하게 대비=공인인증서 이용도 변하지만, 안전하게 이를 이용할 수 있도록 공인인증서의 보안도 강화되고 있다. 행안부와 KISA는 공인인증서의 보안성을 높이기 위해 안전한 공인인증서 이용을 위한`공인인증서비스 소프트웨어(SW) 취약점 분석 평가 환경'을 구축중이다. 이 사업은 스마트폰, 태블릿 PC등 공인인증서 이용 기기가 늘어남에 따라 다양한 환경에서 나타날 수 있는 보안 취약점들을 확인하고 위협을 미연에 방지하고자 추진됐다. 이를 통해 PC나 스마트폰에 설치되는 공인인증서 SW소스, 액티브 엑스 및 플러그인 방식을 통한 SW 이용 환경에 대해 점검하고 이를 통해 도출된 취약점에 따라 점검 항목 등을 개발한다. 이렇게 개발된 점검항목과 매뉴얼을 통해 공인인증서 SW취약점 분석 평가가 이뤄지며, 공인인증서 SW취약점 분석 환경을 5개 공인인증기관 테스트 사이트와 연동해 SW 설치 및 이용과정에서 일어날 수 있는 취약점(개인키 노출, 메모리 덤핑 등)을 확인할 수 있게 된다.
이 밖에 공인인증서 암호체계 고도화 사업이 현재 진행중이다. 이 사업은 공인인증서 해킹을 방지하고 신뢰성을 보장하기 위해 전자서명키를 현행 1024비트에서 2048비트로 상향조정하는 것이다.
이 같은 공인인증서 취약점 개선 및 고도화 작업등을 통해 스마트 환경에서 나타나는 다양한 보안 위협에 대처하고 있다.
김지선기자 dubs45@
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
2-2. 공인인증서도 변화한다
공인인증서 2500만 시대를 맞이하면서 공인인증서도 더 이상 10년 전 시스템을 고집하고 있을 수 없는 상황이 됐다. 이용자가 많아진 만큼 이들의 변화 양식에 공인인증서도 맞춰갈 수밖에 없는 것이다.
◇대면 창구 거래에서 스마트폰 뱅킹 시대로=과거 직접 대면에 의한 창구거래는 전자금융시대 도래로 폰뱅킹, PC뱅킹을 거쳐 스마트폰 뱅킹으로까지 진화했다. 유선전화기, 컴퓨터, 스마트폰 등 다양한 기기에서 전자거래를 하기 위해서는 안전한 사용자 인증이 중요한 요소로 등장했다.
특히 스마트폰 이용자 1000만 맞으면서 스마트폰 뱅킹은 점차 대중화되고 있다. 한국은행에 따르면 지난해 말 국내 17개 금융기관의 스마트폰 뱅킹 등록회원은 260만명에 이른다. 금융감독원은 올 들어 은행 15곳에서 스마트폰 기반 금융서비스가 이뤄질 것으로 전망했으며, 증권, 신용카드사 등 다양한 금융분야에서 서비스를 제공할 계획이다.
스마트폰을 이용한 전자금융 거래 절차는 우선 사용자가 금융회사의 애플리케이션을 다운 받아 스마트폰에 설치하고, PC에 다운받아 놓은 공인인증서를 전송 받는다. 이후 금융회사에 공인인증서와 함께 일회용비밀번호(OTP)발생기 또는 보안카드를 사용해 인증을 거친 다음 전자금융 서비스를 제공받는다. 현재는 공인인증서의 경우 스마트폰에서 직접 발급 받기 어려워 PC에서 발급 받은 공인인증서를 스마트폰으로 이동시켜 사용할 수 있도록 설계돼 있다.
◇스마트 환경에 발맞춰 가는 공인인증서=스마트폰 보급이 확산되면서 공인인증서도 다양한 기기 및 운영체제에서 이용될 수 있도록 변화하고 있다.
우선 웹브라우저에 별도의 플러그인 프로그램 설치 없이 공인인증서비스를 제공받을 수 있는 `플러그인 없는 공인인증서비스'가 다음달부터 본격 시작된다. 이를 통해 웹서버와 웹브라우저간에 액티브엑스(ActiveX) 방식이 아닌 SSL등 표준기술을 이용해 암호화 통신을 하게 된다. 이 서비스는 운영체제, 웹브라우저 종류에 상관없이 자신의 기기를 통해 전자금융서비스를 이용할 수 있다. 특히 액티브 엑스 등 별도의 플러그인 설치에 따른 이용고객의 불편을 해소해주고, 중요정보를 스마트폰에서 입력하므로 PC 이용 시 발생하는 입력정보에 의한 해킹사고를 예방해준다. 이 서비스는 지난 달 금융위원회의 보안성 심의를 통과했으며, 스마트폰 2종(아이폰, 안드로이드)과 태블릿 PC(아이패드, 갤럭시탭)를 지원할 계획이다.
또 유심(USIM)내에 공인인증서를 탑재하는 방식도 진행중이다. 현재 행정안전부와 한국인터넷진흥원(KISA)은 이동통신사들과 유심내에 공인인증서가 안전하게 보관되고 이용할 수 있도록 협의를 추진중이다. KISA 관계자는 "현재 이동통신 3사 모두 관심을 갖고 있기 때문에 조만간 론칭 할 것으로 보인다"고 말했다. 이렇게 유심에 공인인증서가 기본 탑재될 경우 분실 위협이 줄고 간편하게 공인인증서를 사용할 수 있을 전망이다.
정부는 공인인증서 로밍 서비스도 선보인다. 이 서비스는 공인인증서를 PC등에 보관하지 않고 공인인증기관 등에 위탁, 보관해 필요할 경우 전자서명을 원격에서 생성하는 서비스다. 가입자가 공인인증기관으로부터 공인인증서를 발급 받고, 로밍 서버에 공인인증서를 보관한다. 이후 모바일, PC 등에서 전자서명을 요청할 경우 로밍 서버를 통해 전자서명 값을 받아 뱅킹 서버로 전송하면 결제가 진행된다. 현재 KISA는 공인인증서 위탁보관 및 전자서명 원격 생성 서비스 안전성 가이드라인을 마련하고 있다.
◇진화하는 보안 위협도 스마트하게 대비=공인인증서 이용도 변하지만, 안전하게 이를 이용할 수 있도록 공인인증서의 보안도 강화되고 있다. 행안부와 KISA는 공인인증서의 보안성을 높이기 위해 안전한 공인인증서 이용을 위한`공인인증서비스 소프트웨어(SW) 취약점 분석 평가 환경'을 구축중이다. 이 사업은 스마트폰, 태블릿 PC등 공인인증서 이용 기기가 늘어남에 따라 다양한 환경에서 나타날 수 있는 보안 취약점들을 확인하고 위협을 미연에 방지하고자 추진됐다. 이를 통해 PC나 스마트폰에 설치되는 공인인증서 SW소스, 액티브 엑스 및 플러그인 방식을 통한 SW 이용 환경에 대해 점검하고 이를 통해 도출된 취약점에 따라 점검 항목 등을 개발한다. 이렇게 개발된 점검항목과 매뉴얼을 통해 공인인증서 SW취약점 분석 평가가 이뤄지며, 공인인증서 SW취약점 분석 환경을 5개 공인인증기관 테스트 사이트와 연동해 SW 설치 및 이용과정에서 일어날 수 있는 취약점(개인키 노출, 메모리 덤핑 등)을 확인할 수 있게 된다.
이 밖에 공인인증서 암호체계 고도화 사업이 현재 진행중이다. 이 사업은 공인인증서 해킹을 방지하고 신뢰성을 보장하기 위해 전자서명키를 현행 1024비트에서 2048비트로 상향조정하는 것이다.
이 같은 공인인증서 취약점 개선 및 고도화 작업등을 통해 스마트 환경에서 나타나는 다양한 보안 위협에 대처하고 있다.
김지선기자 dubs45@
▶김지선기자의 블로그 : http://blog.dt.co.kr/blog/?mb_id=dubsrep
[저작권자 ⓒ디지털타임스 무단 전재-재배포 금지]
