[기자수첩] 액티브엑스가 남긴 것

공인인증서·액티브엑스만 없앴을 뿐, 추가 프로그램 내려받는 건 여전
전문가 "사용자PC에 프로그램 파일을 설치하는 웹 구현 방식이 문제"
디지털 기술은 동전의 양면, 속도보다 제대로 활용하는 것이 중요

【서울=뉴시스】송혜리 기자 = "액티브엑스 뿐만 아니라 웹사이트에서 PC에 프로그램 설치를 하도록 하는 것이 문제다."

한글과컴퓨터와 안랩 등 국내 간판 소프트웨어 기업들이 연내 액티브엑스(ActiveX) 기술 지원을 중단한다고 선언했다. 이제 기술 지원을 안 해줘도 될 정도로 사용자 수가 많지 않다는 얘기다.

개발사인 마이크로소프트(MS)가 2015년 웹브라우저 '엣지'를 내놓으면서 액티브엑스 지원을 중단하고, 지난해 6월에는 액티브엑스가 작동되는 웹브라우저 '인터넷익스플로러(IE)' 지원을 공식 종료했지만, 여전히 일각에선 액티브엑스 기반의 프로그램들을 써왔다.

1996년 등장한 액티브엑스는 MS의 초창기 웹브라우저 'IE'에서 쓰는 확장 프로그램 기술이다. 인터넷을 즐기면서 필요한 응용 프로그램들을 PC에 손쉽게 자동 설치할 수 있다. 당시 국내 웹 브라우저 시장을 IE가 사실상 독점하면서 민간·공공기관 가리지 않고 모든 사이트들이 액티브엑스 기술 적용했다. 우리나라가 인터넷 뱅킹과 증권거래·쇼핑몰 서비스와 전자정부 서비스들을 선도적으로 도입하고 인터넷 강국으로 부상할 수 있었던 것도 엑티브엑스 기술을 적극적으로 활용하고 장려한 덕분이다. 사실상 액티브엑스 기술 적용을 의무화했던 전자서명법이 그 예다.

이 덕분에 국내 웹 환경은 빠르게 성장했으나 기술 중독에 따른 부작용도 만만치 않았다. MS 운영체제 및 IE 종속 논란이 대표적이다. 여기에 액티브엑스가 악성코드 유포 용도로 활용되면서 이용자들의 원성도 끊이지 않았다.

박근혜 정부 시절 '천송이 코트' 논란을 계기로 액티브엑스가 국내 웹 환경을 갈라파고스로 만든 주범으로 낙인 찍히면서 정부는 대대적인 탈(脫) 액티브엑스 정책을 벌였고 공인인증서 제도를 폐지했다. 한국인터넷진흥원에 따르면, 이 결과 지난 2020년 기준 국내 민간 500대 웹사이트에서 사용 중인 액티브엑스 중 91%가 삭제된 것으로 조사됐다.

그렇다고 액티브엑스의 병폐가 아예 사라진 건 아니다. 공인인증서와 액티브엑스만 없앴을 뿐, 인터넷 뱅킹·증권·민원 등 아직도 많은 사이트들이 이용자들에게 추가로 프로그램을 내려받을 것을 요구하고 있다. 보안 전문가들은 "액티브엑스에서 다른 플러그인 프로그램이든 실행파일(exe)로 바뀌었을 뿐 구조는 비슷하다"고 토로했다.

한 보안 전문가는 액티브 엑스의 근본적인 문제는 기술 자체보다도 사용자PC에 프로그램 파일을 설치하는 웹 구현 방식이라고 지적한다. 올해 초 금융보안인증 소프트웨어(SW) 이니세이프 사태로도 이 같은 구조에 따른 한계를 여실히 보여줬다.

국내 1위 금융보안인증SW기업인 이니텍의 이니세이프가 북한 해커들의 사이버 공격에 악용됐는데, 이 프로그램은 금융기관 인터넷 뱅킹, 관공서 웹사이트를 방문할 때 이용자 PC에 깔리는 SW다. 인터넷 은행업무를 보거나 전자정부 서비스를 이용할 때 무조건 깔리기 때문에 정작 이용자들은 자신들의 컴퓨터에 프로그램 설치됐는 지 모르는 경우가 허다했다. 보안당국에 따르면 이니세이프는 국내외 1000만대 이상의 기관·업체·개인 PC에 설치돼 있었던 것으로 추정됐다.

보안 전문가들은 과거 금융·공공기관들이 자사 웹 서비스를 안전하게 제공한다는 명목으로 공인인증서와 함께 관리 프로그램, 암호화·키보드 보안 SW 등을 패키지로 이용자 컴퓨터에 강제 설치하던 관행을 공인인증서 제도 폐지 이후에도 사실상 유지하는 바람에 이 같은 부작용들이 터졌다고 지적했다. 이제는 웹사이트 접속 시에만 프로그램이 작동하도록 보안 서비스 방식을 바꿔야 한다는 것이 전문가들의 지적이다.

액티브엑스처럼 디지털 기술은 동전의 양면이다. 잘 쓰면 더 없이 편리한 도구이지만 그만큼 위험성도 공존한다. 인공지능(AI), 메타버스 기술도 마찬가지다. 얼마나 빨리 도입해 선도하느냐를 고민하기보다 어떻게 해야 제대로 활용할 수 있을 지를 고민할 때다.

☞공감언론 뉴시스 chewoo@newsis.com