공공 아이핀 발급 전면 중단… 시스템 재구축
예산 확보·보안성 전문 관제·노후시스템도 전면교체
주민번호로 아이핀 발급… '개인정보 돌려막기' 한계
이용자 많은 민간아이핀 보안성강화 시스템개선해야
예산 확보·보안성 전문 관제·노후시스템도 전면교체
주민번호로 아이핀 발급… '개인정보 돌려막기' 한계
이용자 많은 민간아이핀 보안성강화 시스템개선해야
행정자치부가 공공아이핀 발급을 일제 중단하고 전면 재발급 하는 한편 운영 시스템을 재구축 하는 것은 그간 부정발급이나 도용 등으로 국민의 신뢰가 떨어진 공공아이핀을 일대 혁신하겠다는 의도다. 발급 시스템 자체에 보안 허점이 적지 않고 민간 아이핀 시스템에 비해 보안성이 크게 떨어지던 것을 이번 기회에 모두 뜯어고치겠다는 것이다. 민간 아이핀보다 보안성을 높여 주민등록번호 대체번호로 제대로 사용할 수 있도록 한다는 것이 행자부의 계획이다.
시스템 전면 재구축에서 주목할만한 점은 현재 금융기관 등에 폭넓게 활용되고 있는 '부정사용방지시스템(FDS)'의 도입이다. FDS는 금융권에서 이상거래탐지시스템이라는 이름으로 불린다. A카드 이용자가 11시10분에 서울 강남에서 카드를 이용했는데, 11시11분에 중국 베이징에서 또 다시 카드 이용기록이 발생한다면, 이는 정상적인 이용패턴이라 보기 어렵기 때문에 시스템에서 지급 및 거래를 중단하고 부정사용인지를 확인하는 것이 FDS의 개념이다.
행자부는 공공아이핀 발급 및 운영시스템에 FDS를 적용해 도용이나 부정발급을 철저히 감시해나가겠다고 밝혔다.
김석진 행자부 공공서비스정책관(국장)은 "FDS를 도입하면 공공아이핀 이용자의 IP(인터넷접속주소)가 11시10분에 서울이었다가 11시11분에 부산, 혹은 해외 IP를 이용할 경우 도용이나 부정이용이 의심되기 때문에 접속을 차단하고 도용 사실을 확인할 수 있다"면서 "FDS가 고가의 시스템이지만 국민의 개인정보 도용 등에 대한 불안감이 높기 때문에 정부에서 최선의 투자를 통해 보안 불안감을 불식시키고자 한다"고 강조했다.
시스템 전면 재구축 과정에서 프로그램을 짤 때 '소프트웨어 개발보안(시큐어코딩)' 기술도 적용한다. 시큐어코딩은 시스템이나 프로그램 개발 단계에서부터 보안 취약점이 있는지 사전에 검토하고 보안성을 강화하는 개발방식으로, 공공시스템에는 지난 2013년부터 도입이 의무화됐다. 공공아이핀 시스템은 시큐어코딩이 적용되지 않았었기 때문에 이번 재구축 과정에서 새롭게 적용하는 것이다.
김 국장은 "75만건 부정발급 사고의 경우 시스템의 취약점을 해커가 알아내 공격한 것"이라면서 "시큐어코딩을 적용하면 취약점이 상당부분 방지되기 때문에 보안성을 높일 수 있다"고 첨언했다.
이밖에 행자부는 도입 7년이 지나도록 교체를 한번도 하지 않은 노후 시스템을 이번에 모두 교체하고 신형 장비 및 신기술을 적극 도입한다는 방침이다. 아울러 그동안 보안 관제나 장비의 '보안성 유지'에 필요했던 적정 수준의 예산 집행이 제대로 이뤄지지 않았다는 점을 인지, 예산을 확보해 보안성 유지 및 전문 관제에도 역량을 쏟을 예정이다.
다만 이번 공공아이핀 부정발급 재발방지 종합 대책이 공공아이핀 자체의 보안성을 강화하는 것에 그쳤을 뿐, 주민등록번호나 개인정보를 이용하는 아이핀 발급 근본 취지는 바꾸지 못한 것은 한계로 지적된다. 아이핀은 주민등록번호나 휴대폰 인증, 공인인증서 인증 등 개인정보를 입력해 발급을 받아야 한다. 주민등록번호의 대체수단이라고는 하나 결국 상당량의 개인정보를 입력해야 하기 때문에 '개인정보 돌려막기'라는 지적이 나오는 이유다.
이와 관련 이경호 고려대 정보보호대학원 교수는 "결국 인터넷 서비스를 받기 위해 개인정보나 본인인증을 요구하는 국내 생태계 자체를 바꿔야 하지만 그 과정은 복잡하고 어려운 사회적 합의가 수반돼야 하며 주민등록번호 체계 자체에 대한 개편이 요구되는 만큼 상당한 노력과 시간이 필요하다"면서 "근본 문제를 해결해야 하는 것은 변함이 없지만 오늘 당장 인증이 필요한 서비스를 사용해야 하는 이용자를 위해 (아이핀의)보안성을 강화하고 대안책을 제시하는 것으로 보는 것이 맞다"고 설명했다.
행자부의 공공아이핀 개편 노력이 공공분야에 한정된 것도 문제다. 현재 행자부가 관할하는 공공아이핀은 공공 서비스 영역에서 주로 사용하는 것으로 이용자가 400여만명에 불과하다. 방송통신위원회가 관리하는 민간 아이핀의 경우 이용자가 1000만명을 웃도는데 이 민간 아이핀은 게임 사이트 등에서 활발히 이용되기 때문에 더 높은 수준의 보안성이 요구된다.
이 교수는 "민간 아이핀 역시 추가 인증 등이 있기는 하나 보안성이 더 개선돼야 한다"면서 "특히 민간의 경우 공인인증서 탈취, 메모리 해킹 등 고도화된 탈취 공격이 일어날 수 있기 때문에 사이버 위협에 대한 모니터링을 강화하고 시스템을 개선할 필요가 있다"고 조언했다. 그는 또 "공공아이핀의 경우 1년의 이용 유효기간을 설정하고 본인인증을 최소화 했는데, 이런 부분을 민간 아이핀이 수용할 필요가 있다"고 강조했다.
강은성기자 esther@dt.co.kr
시스템 전면 재구축에서 주목할만한 점은 현재 금융기관 등에 폭넓게 활용되고 있는 '부정사용방지시스템(FDS)'의 도입이다. FDS는 금융권에서 이상거래탐지시스템이라는 이름으로 불린다. A카드 이용자가 11시10분에 서울 강남에서 카드를 이용했는데, 11시11분에 중국 베이징에서 또 다시 카드 이용기록이 발생한다면, 이는 정상적인 이용패턴이라 보기 어렵기 때문에 시스템에서 지급 및 거래를 중단하고 부정사용인지를 확인하는 것이 FDS의 개념이다.
행자부는 공공아이핀 발급 및 운영시스템에 FDS를 적용해 도용이나 부정발급을 철저히 감시해나가겠다고 밝혔다.
김석진 행자부 공공서비스정책관(국장)은 "FDS를 도입하면 공공아이핀 이용자의 IP(인터넷접속주소)가 11시10분에 서울이었다가 11시11분에 부산, 혹은 해외 IP를 이용할 경우 도용이나 부정이용이 의심되기 때문에 접속을 차단하고 도용 사실을 확인할 수 있다"면서 "FDS가 고가의 시스템이지만 국민의 개인정보 도용 등에 대한 불안감이 높기 때문에 정부에서 최선의 투자를 통해 보안 불안감을 불식시키고자 한다"고 강조했다.
시스템 전면 재구축 과정에서 프로그램을 짤 때 '소프트웨어 개발보안(시큐어코딩)' 기술도 적용한다. 시큐어코딩은 시스템이나 프로그램 개발 단계에서부터 보안 취약점이 있는지 사전에 검토하고 보안성을 강화하는 개발방식으로, 공공시스템에는 지난 2013년부터 도입이 의무화됐다. 공공아이핀 시스템은 시큐어코딩이 적용되지 않았었기 때문에 이번 재구축 과정에서 새롭게 적용하는 것이다.
김 국장은 "75만건 부정발급 사고의 경우 시스템의 취약점을 해커가 알아내 공격한 것"이라면서 "시큐어코딩을 적용하면 취약점이 상당부분 방지되기 때문에 보안성을 높일 수 있다"고 첨언했다.
이밖에 행자부는 도입 7년이 지나도록 교체를 한번도 하지 않은 노후 시스템을 이번에 모두 교체하고 신형 장비 및 신기술을 적극 도입한다는 방침이다. 아울러 그동안 보안 관제나 장비의 '보안성 유지'에 필요했던 적정 수준의 예산 집행이 제대로 이뤄지지 않았다는 점을 인지, 예산을 확보해 보안성 유지 및 전문 관제에도 역량을 쏟을 예정이다.
다만 이번 공공아이핀 부정발급 재발방지 종합 대책이 공공아이핀 자체의 보안성을 강화하는 것에 그쳤을 뿐, 주민등록번호나 개인정보를 이용하는 아이핀 발급 근본 취지는 바꾸지 못한 것은 한계로 지적된다. 아이핀은 주민등록번호나 휴대폰 인증, 공인인증서 인증 등 개인정보를 입력해 발급을 받아야 한다. 주민등록번호의 대체수단이라고는 하나 결국 상당량의 개인정보를 입력해야 하기 때문에 '개인정보 돌려막기'라는 지적이 나오는 이유다.
이와 관련 이경호 고려대 정보보호대학원 교수는 "결국 인터넷 서비스를 받기 위해 개인정보나 본인인증을 요구하는 국내 생태계 자체를 바꿔야 하지만 그 과정은 복잡하고 어려운 사회적 합의가 수반돼야 하며 주민등록번호 체계 자체에 대한 개편이 요구되는 만큼 상당한 노력과 시간이 필요하다"면서 "근본 문제를 해결해야 하는 것은 변함이 없지만 오늘 당장 인증이 필요한 서비스를 사용해야 하는 이용자를 위해 (아이핀의)보안성을 강화하고 대안책을 제시하는 것으로 보는 것이 맞다"고 설명했다.
행자부의 공공아이핀 개편 노력이 공공분야에 한정된 것도 문제다. 현재 행자부가 관할하는 공공아이핀은 공공 서비스 영역에서 주로 사용하는 것으로 이용자가 400여만명에 불과하다. 방송통신위원회가 관리하는 민간 아이핀의 경우 이용자가 1000만명을 웃도는데 이 민간 아이핀은 게임 사이트 등에서 활발히 이용되기 때문에 더 높은 수준의 보안성이 요구된다.
이 교수는 "민간 아이핀 역시 추가 인증 등이 있기는 하나 보안성이 더 개선돼야 한다"면서 "특히 민간의 경우 공인인증서 탈취, 메모리 해킹 등 고도화된 탈취 공격이 일어날 수 있기 때문에 사이버 위협에 대한 모니터링을 강화하고 시스템을 개선할 필요가 있다"고 조언했다. 그는 또 "공공아이핀의 경우 1년의 이용 유효기간을 설정하고 본인인증을 최소화 했는데, 이런 부분을 민간 아이핀이 수용할 필요가 있다"고 강조했다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
