진승헌 ETRI 정보보호연구본부장
![[포럼] 사용자 인증, `다양성`을 허하라](http://contents.dt.co.kr/images/201711/2017111402102251607001[1].jpg "[포럼] 사용자 인증, `다양성`을 허하라")
요즘 스마트폰을 중심으로 삼성 페이, 애플 페이 등 다양한 결제서비스가 나왔다. 기존 공인인증서 외 지문이나 홍채처럼 사용자 인증수단이 이용되고 있다. 몇 년 전부터 공인인증서의 문제점이 제기되고 새로운 인증 수단 도입의 필요성을 이야기할 때마다 가끔 질문을 받는다. "홍채인증이 지문인증 보다 좋지요?" 필자는 이러한 질문을 받으면 잠깐 고민을 한다. 왜 이렇게 질문을 하는지 이해가 가지만, 단순화된 답변이 또 다른 오해를 불러일으킬 수도 있다는 걱정이 앞서기 때문이다. 최소한 필자가 이해하는 한도 내에서 어떤 인증수단이 무조건 좋거나 나쁘지 않기 때문이다. 공인인증서 이슈도 동일하게 바라볼 수 있다. 공인인증서 문제점은 다른 인증수단보다 나쁘기 때문이 아니라, 공인인증서만 사용하도록 규정한 환경 때문이라 생각한다. 하지만, 공인인증서를 보완하겠다고 하나의 대체 기술로 답을 찾으려는 것은 모순이다.
사용자와 인터페이스를 통해 직접적인 보안 서비스를 제공하는 인증 기술은 이론적인 안전성뿐만 아니라 사용자의 편의성도 고려해야 한다. 스마트폰을 사용하는 대부분 사용자가 아이폰에서는 핀번호를 안드로이드폰에서는 보안패턴을 편의성 때문에 이용한다.
최근에는 지문을 이용해 스마트폰 잠금 화면을 인증하는 사용자가 늘고 있다. 과거에도 지문과 같은 바이오인증에 대한 관심이 많았다. 사람마다 차별적이고 휴대할 필요가 없는 바이오 정보를 이용하려는 다양한 시도도 있었다.
그러나, 바이오인증기술이 아무리 좋다고 하더라도 사용하려면 부가적 비용이 들었다. 지문을 예로 들면 지문을 인식할 수 있는 센서가 탑재된 장치를 별도 구입해 컴퓨터나 스마트폰에 부착해야 했기 때문이다. 그런데 요즘은 센서 기술의 발달과 가격 하락으로 노트북이나 스마트폰에 기본적으로 장착해 출하되고 있는 비율이 높아지고 있다. 지문을 보편적인 사용자 인증 기술로 받아들이고 사용할 수 있게 된 것이다.
지문 외에도 홍채, 얼굴, 음성 등과 같은 바이오정보를 사용하려는 시도가 최근 늘고 있다. 물론, 바이오인증 기술도 완벽한 것은 아니다. 기존의 아이디나 패스워드보다 편하고 안전할 수 있지만, 사용자에게 명시적인 협조를 요구하기 때문이다. 사용자가 센서에 지문을 스캔하거나 카메라를 정면으로 응시하는 행위를 해야 하는 것이다. 물론 기존 많은 수의 패스워드를 기억하고 있어 필요시 입력하는 수고를 덜어주기는 하지만 여전히 서비스와 분리된 절차로서의 불편함은 남아있다.
이에 따라 요즘은 사용자의 행위기반 인증에 대한 연구개발이 점차 이뤄지고 있다. 행위기반 인증은 사용자가 서비스를 이용하는 중에 키보드나 마우스의 입력, 스마트폰 터치 패턴들이 개인마다 서로 다른 특징이 있음을 파악하고 이를 통해 사용자를 인증하는 기술이다. 예컨대 스마트폰에 동일한 '1234'를 터치해도 사람마다 각 숫자를 입력하는 시간 간격과 압력 등이 다름을 확인하여 사용자 본인과 타인을 구분한다. 이러한 행위기반 인증은 스마트폰에 다양한 센서가 탑재되고 정밀화되면서 등장하게 된 인증 기술이다.
앞으로도 더욱 다양한 인증기술이 나올 것이고 이러한 기술을 사용할 수 있는 환경이 만들어질 것이다. 공인인증서를 통해 얻은 교훈처럼, 하나의 수단으로 모든 것을 해결하려고 하기 보다는 '다양성'을 수용할 수 있는 환경을 만들어 나가는 것이 필요하다. 새로운 ICT가 우리 삶에 밀접히 파고들고 있는 오늘날, 지속적으로 변화하는 서비스 안전을 확보하기 위해선 인증 기술의 다양성 확보는 필수적이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
