김인석 고려대 정보보호대학원 교수
![[포럼] 新인증시스템 `뱅크사인`에 거는 기대](http://contents.dt.co.kr/images/201809/2018090602102369640002[1].jpg "[포럼] 新인증시스템 `뱅크사인`에 거는 기대")
더욱 나를 안타깝게 만드는 것은 공인인증서가 마치 우리나라 전자금융의 발전을 가로 막은 주범이라고 일부 전문가들이 주장하여 폐지했다는 점이다. 사실 공인인증서와 같이 법적으로 보증되었고 광범위하게 사용되는 인증시스템은 전 세계적으로 과거에도 없었고 지금도 없으며, 앞으로도 탄생하기가 어렵다고 본다.공인인증서는 금융보다는 전자정부의 핵심 인증시스템으로 개발되었으며, 금융권에서는 1998년 8월 인터넷 뱅킹이 도입될 당시 각 은행별로 사설 인증시스템을 사용했다. 은행이 다를 경우 각각의 인증서를 사용하여야 하는 불편을 해소하기 위하여 한 개의 인증으로 모든 금융거래가 가능한 수단이 필요함에 따라 공인인증시스템을 도입하게 된 것이다. 그러함에도 공인인증서로 인하여 거래가 복잡하고, 공인인증서 때문에 액티브X에 종속되어 다양한 인증 시스템 개발을 저해하므로 공인인증서를 폐지하여야 한다는 주장은 이해가 안되는 논리라고 본다. 즉 액티브X 문제는 공인인증서와는 전혀 별개의 문제이기 때문이다.
이번에 도입된 뱅크사인은 블록체인을 기반으로 하여 보안성과 해킹에 의한 서비스 마비 등의 안전성에도 문제가 없는 시스템이라고 한다. 그러나 하나의 인증시스템을 모든 은행이 공동으로 사용한다는 점과 은행연합회가 중심이 되어 특정 개발업체를 통하여 개발하였다는 점 등은 기존 공인인증서와 특별히 다른 점이 없다고 본다. 그러나 이미 개발되었고 서비스가 시작된 상황에서 성공적으로 운영되기 위하여 과거 공인인증서 도입시 겪었던 시행착오를 반복하지 않기 위하여 몇 가지 의견을 제시하고자 한다.
첫째 사용범위의 확대를 최소화하는 것이 필요하다. 공인인증서도 처음에는 은행과 증권용으로 제한하였다. 그 이유는 은행과 증권사의 경우 공인인증서 이외에 보안카드 또는 OTP 등과 병용하여 서로의 문제점을 보완할 수 있기 때문이었다. 그러나 공인인증기관들의 운영비용에 대한 보전을 위하여 보험사, 신용카드사, 전자상거래 등 인터넷이나 모바일에서 발생되는 모든 거래에 추가적인 보안수단이 없는 업무로 확대되어 다양한 사고와 전자상거래 결제의 복잡성을 증가시켰다.
둘째는 공인인증서와 같이 부인방지 및 전자거래의 효력을 보증해 주는 것이다. 현재의 뱅크사인은 사고 발생시 누가 책임을 부담하고 보상을 해줄 것인가에 대한 명시적인 조항이 없고 거래에 대한 부인방지와 전자문서의 효력에 대한 법적인 근거도 없다. 특히 최초 발급시 신원확인을 통신사의 스마트 폰 인증을 사용하고 있는데 만약 잘못된 본인인증으로 인하여 사고가 발생한다면 누가 책임을 질 것인가에 대한 명확한 정의가 없다.이러한 시스템은 고객들에게 사용을 요구할 수가 없어 이용자 확보가 어려워진다. 이는 시스템을 개발하고 운영하는데 소요되는 비용을 분담하여야 하는 은행들의 부담이 가중되고 비용문제를 해소하기 위하여 공인인증서와 같이 이용범위 확대로 이어질 우려가 있다.
셋째는 시스템에 대한 끊임없는 업그레이드이다. 공인인증서의 가장 큰 문제 공인인증기관들이 새로운 환경에 맞는 기술개발을 하지 않은 것이다. 법적으로 보장된 사업자의 지위를 가지고 금융회사의 분담금으로 운영하는 사업구조로 인하여 독자 생존을 위한 기술개발을 외면한 것이다. 뱅크 사인은 블록체인이라는 새로운 기술의 시험대가 될 것이다. 특히 블록체인이 가지고 있는 취약점인 키 분실과 도난, 거래 검증 합의, 참여자 권한 관리, 블록체인 소프웨어 보안, DDOS 등의 문제점에 대하여 끊임없이 기술을 개발하여야 할 것이다
넷째는 금융소비자 보호이다. 금융소비자는 뱅크사인 뿐만 아니라 금융분야의 가장 큰 고객이다. 고객이 있어야 거래도 있고 뱅크사인도 존재한다, 그러므로 소비자 보호는 다른 무엇보다도 가장 우선하여 보호되어야 한다. 사고가 발생하면 우선적으로 피해를 보상해 주는 정책이 필요하다. 사고 조사결과가 나오면 보상해주겠다, 보험에 가입하였으니 보험사와 협의하라 하는 것은 바람직한 대응이 아니다. 중국의 알리페이가 왜 단시간에 성장할 수 있었는가를 분석해보면 많은 요인 중 가장 큰 요소는 신속한 피해보상이다. 사고 신고를 하면 이유보다는 보상을 먼저 해 주기 때문이라고 본다.
마지막으로 전문가의 보호와 양성이다. 블록체인을 비롯한 IT와 정보보호는 고도의 전문성을 요하는 분야이다. 한 번의 실수에 대하여 처벌하는 현실이 너무 안타깝다. 고의 또는 자신의 이익을 취하기 위한 문제가 아닌 경우에는 처벌은 관대 할 필요가 있다. 또한 전문 인력은 단기간 내에 만들어지지 않기 때문에 장기적인 안목으로 인력을 양성할 필요가 있다. 그리고 금융회사들은 뱅크사인 이외의 자기의 특성에 맞는 다양한 인증시스템을 개발하여 만일의 사태에 대비할 필요가 있다. 아울러 정책 당국도 과거와 같이 모든 것을 주도하던 시대가 지났음을 인식하고 자율적인 기술개발 환경을 조성하는데 지원을 하여 주기를 바란다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
