[김기창] 전자서명의 보안효능에 대한 오해

<아이뉴스24>'장고 끝에 악수'라는 말이 있다. 스마트폰 공인인증서 저장 규격에 대한 최근 행정안전부의 발표를 접하고 드는 생각이다.

아이폰에 이미 구비된 인증서 저장 장치(키체인)에 공인인증서를 저장하기로 하겠다는 것까지는 좋은데, 다른 기종의 스마트폰에는 여전히 '한국형 저장위치'를 고수하는 입장은 납득하기 어렵다.

다른 기종의 스마트폰에도 이미 인증서 저장 장치가 있음에도 불구하고, 이런식으로 아이폰과 다른 스마트폰을 노골적으로 차별하는 것은 합리적 이유가 없다.

그 뿐 아니라, 아이폰 키체인에 저장된 인증서로 거래내역 전자서명을 하려면 어쩔 수 없이 은행마다 별도의 앱을 고객에게 배포해야 하고, 고객은 그때마다 공인인증서를 자신의 아이폰에 거듭해서 설치해야만 한다.

하나의 앱을 설치하고 공인인증서를 한번 아이폰에 저장하면 모든 은행 거래에 공인인증서를 사용할 수 있을 것이라는 행안부의 근거없는 희망은 아이폰 설계구조를 제대로 이해하지 못한 것이다.

아이폰 키체인에 관한 기술 문서를 보면, 각각의 아이폰 앱(프로그램)은 다른 앱이 키체인에 저장한 인증서를 절대로 접근할 수 없도록 되어 있다. 기술적으로불가능한 약속을 행정안전부가 국민에게 하고 있는 격이다.

이런 사태는 거래내역 전자서명을 금융감독원이 획일적으로 강요하기 때문에 발생하는 것이다.거래내역 전자서명을 하게 하면 사고가 발생했을 때 고객이 그 거래 내역을 부인하지 못하게 만들 수 있다는 것이 금융감독원의 주장이다.

인증서 개인키 없이는 전자서명을 만들 수 없으므로, 전자서명이 부착된 거래는 당사자가 나중에 부인할 수 없다는 것이다.

과연 그럴까? 거래 내역에 대한 전자서명은 서명에 사용된 인증서 개인키를 가진 '누군가'가 그런 내역의 거래를 수행하였다는 점을 확인해 줄 뿐, 과연 그자가 공격자인지 거래권한을 가진 고객인지 여부가 확인되는 것은 아니다.

파밍(pharming)이라는 이름으로 알려진 공격 방법으로 수천 장의 공인인증서/개인키가 유출되었다는 점은 이미 확인되고 보도된 사실이다.

키보드보안 프로그램 설치를 강제하는 국내의 관행 자체도 인증서 개인키 유출 상황을 당연히 전제하는 것이다. 인증서 개인키는 이미 유출되었을 가능성이 크므로 인증서 암호라도 보호해야 할 필요가 있다는 것이다.

그러나 사고거래는 인증서 개인키/인증서 암호가 이미 유출된 상태에서 발생한다.

사고거래 상황에서는 인증서 개인키/인증서 암호 유출이 기정사실화 되어 있으므로 전자서명은공격자가 한 것이지 고객이 한 것이 아니라는 주장이 제기되는 것이다. 전자서명이 있다고 해서이런 분쟁이 방지되는 것은 아니다.

은행감독에 관한 바젤 위원회가 2003년 발간한 전자금융 위험 관리 원칙에서도 부인방지를 위해서는 거래의 양당사자(서버 및 클라이언트) 인증을 분명히 하고, 인증된 교신 체널의 안전을 확보하는 것이 중요함을 지적하고 있다.

전자서명만 하면 부인방지 효과를 거둘 수 있다는 금융감독원의 주장은 외국의 어떤 보안전문가도 수긍하지 않는다. 고객인증과 전자서명에만 골몰한 채, 오히려 서버인증은 등한시하고, 아예 비인증 HTTP 접속으로 이루어지는 한국의 보안 해법은국제적 보안 기준과는 동떨어진 것이다.

금융감독원은 어째서 해외에서는 개인인증서 사용을 규제 당국이 획일적으로 강제하는 사례가 전혀 없는지 그 이유를 신중히 검토해 보았으면 한다. 이 사실은 최근 금융보안연구원이 발표한 조사보고서에도 지적되고 있다.

금융감독에 관한 바젤 위원회가 채택한 전자금융 위험관리 원칙에는 "은행은 PIN, 암호, 스마트카드, 생체정보, 디지털인증서 등을 포함한 다양한 인증 기법을 사용할 수 있다.

어떤 인증 기법을 사용할 것인지는 전자금융 시스템 전반 또는 각 구성 부분이 제기하는 위험에 대한 경영진의 평가에 기초하여 은행이 결정하여야 한다"고 규정되어 있다.

외국의 금융감독 기구들은 이 원칙을 준수하여 함부로 그 권한을 남용하지 않고 있다는 점을 한국의 금융감독원은 이제라도 이해했으면 한다.

/고려대 법학과 김기창교수

IT는 아이뉴스24

연예ㆍ스포츠는 조이뉴스24

새로운 시각 즐거운 게임, 아이뉴스24 게임

메일로 보는 뉴스 클리핑, 아이뉴스24 뉴스레터

(Copyright ⓒ 아이뉴스24. 무단전재 및 재배포 금지)