PKI기술 적용 '암호화 키' · 암호 푸는 '복호화 키' 달라
비번보다 더 편리하고 안전성 높아
단말기-서버 분리된 정보 이용
공인인증서 원리로 사용자인증
기기분실돼도 타인사용 불가능
비번보다 더 편리하고 안전성 높아
단말기-서버 분리된 정보 이용
공인인증서 원리로 사용자인증
기기분실돼도 타인사용 불가능
# 직장인 김신영씨(38)는 부모님께 드릴 건강식품을 구매하기 위해 '갤럭시 노트6'로 해당 제품 구매 사이트에 접속했습니다. 제품을 선택하자 결제인증 종류를 선택하라는 메뉴가 나왔고 OTP(One Time Password), 공인인증서, 문자, 지문 중 지문을 선택하고 스마트폰에 손 지문을 대자 곧바로 결제가 됐습니다.
카드번호나 공인인증서 암호를 입력할 필요 없이 생체정보로 결제가 가능한 시대가 도래했습니다. 생체인증은 내 몸의 고유정보를 이용해 도난 위험이 적고, 위조가 불가능해 보안이 우수하다는 평가를 받고 있습니다. 이처럼 생체인증을 적용해 모바일로 물건을 손쉽게 구매하는 된 것은 글로벌 온라인 생체인증표준 FIDO(Fast IDentity Online)협회가 인증한 '생체인증 솔루션' 덕분입니다. FIDO협회는 삼성전자, 구글, 마이크로소프트, VISA, 페이팔 등 약 190개 글로벌 회사가 참여 중이며 본인을 확인해주는 온라인 생체 인증 국제표준 단체입니다.◇국내외 솔루션사, 시장 확대 나서=생체인증 솔루션의 역할은 스마트폰에 있는 생체 인식센서에서 취득한 생체정보와 인증데이터를 폰의 독립된 안전한 저장소(TrustZone)에 저장하고 인증·결제 업체에 설치된 서버와 연계해 사용자를 인증해줍니다. 즉 사용자의 생체정보로 FIDO가 정한 표준에 따라 간단하고 강력한 인증방식을 제공하는 셈입니다.
해외에선 미국 녹녹랩(Nok Nok Labs)이 페이팔과 알리페이(Alipay) 등에서 FIDO 클라이언트와 서버를 판매하고 있고, 유비코(Yubico)도 FIDO 인증에 필요한 동글을 시판 중입니다. 국내에선 라온시큐어, 크루셀텍, 한국전자통신연구원(ETRI)도 FIDO 인증을 받은 생체인증 솔루션을 각각 출시하고 시장을 확대하고 있습니다. 삼성SDS는 국내에서 처음으로 FIDO로부터 생체인증 솔루션을 인증받은 데 이어 지난 8월부터 한국정보인증과 제휴해 삼성페이에 FIDO 인증 상용서비스를 해오고 있습니다. 삼성SDS 관계자는 "개인 단말기(생체정보, 개인키)와 서버(공개키)에 분리돼 있는 정보를 이용, 공인인증서 원리(공개키암호화)로 사용자를 인증하기 때문에 단말이 분실돼도 타인의 부정 사용이 불가능하다"고 강조했습니다.
이처럼 FIDO를 이용한 생체인증을 통해 특정 웹 서버에 인증하기 위해 패스워드를 사용하지 않고 디바이스 인증을 이용하면 사용자는 편리하고, 웹 서비스는 필요에 따라 인증기술을 선택할 수 있는 장점이 있습니다.
이같이 보안성과 편리성이 알려짐에 따라 미국 뱅크오브아메리카(Bank Of America)가 지난달부터 FIDO 인증방식을 적용했습니다.
◇공개키 암호화 구조(PKI)로 보안 더욱 강화=FIDO에 사용자의 생체인증을 위해선 생체정보 등록과 인증 2단계를 거치는데 사용자 등록은 사용자의 생체정보와 공개키 개인 키를 생성 등록하는 과정입니다. 즉 사용자가 로그인 시 FIDO인증 등록을 선택하면 단말에 저장된 생체정보(지문)를 이용 해당 서비스에서 인증에 사용할 공개 키와 비밀키가 생성되고, 공개키는 서비스 서버로 전송 저장되고, 개인키는 단말의 보안영역에 저장됩니다.
사용자 인증은 더 간단합니다. 사용자가 인증을 요청할 경우 서비스 업체는 인증에 필요한 한 번만 쓸 수 있는 난수(One Time Challenge)와 인증 리스트를 보내 인증을 요청합니다. 사용자는 디바이스에 등록된 지문으로 개인키가 저장된 보안영역을 열고, 개인 키를 꺼내 서버에서 전송된 난수(One Time Challenge)에 전자 서명해 서버로 전송합니다. 서버는 사용자가 보내온 전자서명을 등록된 공개키로 검증해 원문의 위·변조가 없음을 확인하면 사용자 인증요청을 최종 승인하는 방식이다. 생체정보 활용 부분을 제외하면 현재 우리가 사용하는 공인인증서 원리(PKI)와 흡사합니다.
PKI기술의 특징은 암호화 키와 암호를 푸는 복호화 키가 다르다는 데 있습니다. 공개 키와 비밀키가 한 쌍이 되며 공개키로 암호화 하면 비밀키로 복호화를 하고 비밀키로 암호화하면 공개키로 복호화를 합니다. 예를 들어 A한테 중요한 문서가 있고 B한테 전달하려면, A는 B한테 B의 공개 키를 요구하고 B는 자신의 공개 키를 A에게 전달합니다. 공개키는 타인이 알아도 되는 키로 해커가 중간에 가로채기를 해도 문제가 되지 않습니다. A는 B의 공개 키를 갖고 중요한 데이터를 암호화하고 B에게 전달합니다. 이때 암호화된 정보는 노출이 돼도 다른 사람은 못 보고 오직 B의 비밀 키로만 내용을 알 수 있습니다.
FIDO는 패스워드 사용 없이 생체 기반 인증을 이용해 서비스에 로그인 할 수 있어 편리성을 높였고, 사용자와 서버 간 공개키 기반으로 사용자를 인증해 패스워드보다 안전성을 보장한다는 게 업계의 분석입니다. 업계 관계자는 "기존 인증기술인 비밀번호, 인증서, OTP 등의 방식은 FIDO로 대체될 것"으로 내다봤습니다. FIDO 생체인증을 지원하는 다양한 하드웨어가 증가하고, 내년에 생체인식기가 없는 PC환경도 통합 지원하는 FIDO 2.0 기술까지 상용화되면 FIDO기술의 보급·확산은 더욱 빨라질 전망입니다.
심화영기자 dorothy@
도움말=삼성SDS
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
