[디지털산책] 공인인증서, 보안에 득인가 실인가

지난달 20일 청와대에서 열린 규제개혁 점검회의에서 박근혜 대통령이 대표적인 악성 규제로 '공인인증서'를 지목하고, 전경련에서도 '액티브 엑스(Active X)'를 "엑티브하게 X해달라"고 요청한 이후 관련 논의들이 급물살을 타고 있다. 공인인증서를 옹호하는 쪽에서는 "최근 개인정보와 금융정보가 대규모로 유출되는 사건이 있었음에도 불구하고 국민의 직접적인 금전피해를 막을 수 있었던 것은 공인인증서가 안전장치 역할을 하고 있었기 때문이다. 공인인증서를 없애면 보안에 큰 문제가 생길 것"이라고 말하고 있으며, 공인인증서를 반대하는 쪽에서는 "인증서를 설치하려면 액티브 엑스를 사용해야 하기 때문에 웹 표준에 맞지 않으며, 또한 인증서가 파일 형태로 하드디스크나 USB에 저장되기 때문에 본디 해킹에 취약하다. 그러므로 공인인증서가 없더라도 보안에 별 문제가 없다"고 말하고 있다. 누구의 말이 맞는 것인가?

공인인증서를 제대로 구현했을 경우, '거래연동서명(transaction signing) 기능'이 있다는 점에서 보안성 향상에 도움이 되는 것은 사실이다. 실제로 미국 국립표준기술 연구소(NIST)가 2006년 발간한 전자인증 가이드라인에 따르면 보안토큰(공인인증서가 무단 유출되지 않도록 안전하게 보관하는 하드웨어 장치로, 기기 내부에 프로세서와 암호 연산 장치가 있음)을 이용한 공인인증서 기반 전자인증 방식이 여러 가지 인증 수단 중 가장 안전한 것으로 나타나있다. 또한 스위스 최대 은행인 UBS의 경우 계좌 이체시 사용자들로 하여금 보안토큰을 이용한 인증서를 이용케 함으로써 최신 해킹에 대응하고 있다.

그러나 우리나라의 경우, 정부가 초기에 <공인인증서 1,000만명 보급 운동> 을 무리하게 전개하면서 보안토큰이 아닌 액티브 엑스를 이용해 파일 형태로 하드디스크나 USB에 저장하는 방식을 택했고, 결과적으로 공인인증서의 안전성을 떨어뜨리는 결과를 초래했다.

최근 공인인증서를 없애면 보안에 큰 문제가 생길 것이라는 기사를 종종 보게 된다. 우리가 말하는 것은 공인인증서를 없애기만 하라는 것이 아니다. 사용자에게 공인인증서 등 이것 저것을 설치토록 강요하지 말고, 공인인증서가 없어진 빈 자리를 서비스를 제공하는 사업자가 FDS(Fraud Detection System. 카드사용에 이상이 있다고 판단될 경우 자동으로 거래승인을 중지시켜주는 부정거래탐지시스템) 등을 도입해서 채우라는 것이다. 즉 사용자에게 보안의 짐을 지우지 말고, 아마존, 페이팔 등과 같이 서비스를 제공하는 사업자가 보안에 투자하라는 것이다.

'거래연동서명 기능'을 제공하는 공인인증서는 좋은 기술이긴 하다. 그러나 이를 제대로 구현해서 쓰지 않고 있는 우리나라의 경우 공인인증서가 인터넷의 안전장치 역할을 한다고 주장하는 것은 다소 어패가 있다. 공인인증서를 사용하지 않는다 하더라도 서비스를 제공하는 사업자가 예산과 인력을 투자해 좋은 FDS를 개발하고 운영한다면 얼마든지 안전한 인터넷 상거래 환경을 만들 수 있다. 아니 오히려 사용자에게 액티브 엑스를 통한 추가 모듈 설치 등의 부담을 주지 않아 쾌적한 인터넷 환경을 구축할 수 있게 되며, 다양하고 소비자 친화적인 결제수단들을 등장시켜 궁극적으로는 우리나라 쇼핑몰들의 국제 경쟁력을 강화시킬 수 있다.

한국정보화진흥원이 발간한 '2013 국가정보화백서'에 따르면, 국내 기업 중 IT 예산의 5% 이상을 정보보호에 투자하는 기업은 3.1% 밖에 되지 않는다고 한다. 이는 미국(41%), 영국(50%)과 비교해 10분의1 수준에 불과한 금액이다. 이제는 정보보호에 대한 기업의 투자가 좀 더 강화돼야 하지 않겠는가?

김승주 고려대 정보보호대학원 교수