은행권 SHA- 2 적용 마무리… OS·IE 업그레이드 문제 부상

기존 SHA-1보다 보안 강화
IE6 이하 환경선 작동 안 해
SW이해부족 정보화취약계층
실행·접속 중단시 대처 미숙
홈피 이외 다양한 홍보 필요

은행권의 SHA-2 인증서 적용이 마무리되어가면서 구형 운영체제(OS)나 인터넷익스플로러(IE) 사용자의 업그레이드 문제가 불거지고 있다.

8일 관련 업계에 따르면 최근 하나은행이 전산 통합 작업과 함께 코드서명 인증 등에 사용하는 암호 함수 표준을 SHA-1에서 SHA-2로 교체했다. 이에 앞서 우리은행은 지난 1월, 국민은행, 기업은행, 씨티은행, 신한은행 등은 지난해 말까지 이미 교체를 마무리했다.

은행뿐 아니라 카드사와 보험사, 증권사, 인터넷 쇼핑몰 등도 대부분 교체를 마쳤다.

SHA는 보안 해시 알고리듬(Secure Hash Algorithm)의 줄임말로, 서로 연관된 암호 해시 함수를 모아놓은 뒤 이를 이용해 검증하는 표준 기술로, 미국 국가안보국(NSA)이 처음 채택한 뒤 널리 이용됐다. 초기 버전을 SHA-0이라고 부르기 시작했고 이후 SHA-1을 거쳐 SHA-2, SHA-3 기술 표준까지 개발된 상태다.

지난해까지 특히 국내에서 SHA-1을 많이 사용해왔으나 1995년 등장 이후 오랜 기간 동안 각종 보안 취약점이 노출되면서 해커의 공격 목표로 전락했다.

이에 마이크로소프트(MS)와 구글 등 주요 IT 기업이 당초 내년 1월이었던 지원 종료 시점을 올해 중으로 앞당기면서 SHA-2 표준으로 교체할 필요성이 커졌고, 금융권도 이에 따라 교체 작업을 기한 내에 간신히 완료하게 됐다.

SHA-2는 보안성이 기존 SHA-1보다 높고, 취약점도 덜 노출돼있는 장점이 있다. 하지만 윈도XP 서비스팩(SP)2이나 안드로이드2.2 버전 이하, 인터넷익스플로러(IE) 6 이하 환경에서는 작동하지 않는 단점이 있다.

현재 대부분의 경우 윈도7이나 안드로이드 4.0 이상을 사용하고 있지만, 지난해 말 기준 국내 윈도XP 사용자 비중은 8.49%, 세계 안드로이드 2.2 버전 이용자 비중은 0.4%가 존재한다. IE6 버전 국내 이용자 비중은 약 60%에 육박했다. 문제는 이들 대다수가 IT 기기나 소프트웨어에 대한 이해가 부족한 정보화 취약계층으로, 갑작스럽게 실행이나 접속이 되지 않는 경우 업그레이드 등 필요한 조치를 취하기 어렵다는 점이다. IT 업계 관계자는 "현재 은행들이 홈페이지나 앱 내 공지사항을 통해서만 안내하고 있어 접속 자체가 안 되는 이들은 영문을 모르고 당황할 수밖에 없다"며 "관계 기관이나 금융사가 문자 메시지나 우편 발송, 캠페인 전개 등 다양한 수단을 통해 적극적으로 알릴 필요가 있다"고 지적했다.

이재운기자 jwlee@dt.co.kr