[ZDNet] 보안의 핵='공인인증서'「관리 체계 허술」대란 부를라

보안의 핵='공인인증서'「관리 체계 허술」대란 부를라

유윤정 기자 ( ZDNet Korea ) 2007/02/07

국내 인터넷 뱅킹 등록 이용자는 3,454만 명, 공인인증서 발급 개수는 1,022만 개(2006년 9월 기준)다. 하지만 인터넷 뱅킹 이용을 위해 강제적으로 발급받아야만 하는 공인인증서는 전자서명법을 위법하고 있으며 이를 통해 치명적인 오류를 내포하고 있다고 전문가들은 지적하고 있다.

우리가 인터넷 뱅킹이나 카드 조회 등을 이용시 사용하는 "인증서"는 열쇠-자물쇠 관계처럼 클라이언트와 서버가 서로를 검증하도록 돼있다.

이를 위해 인증서는 사용자인증서-공인인증기관-최상위인증기관의 인증연결고리를 형성하고 있다.

인터넷 뱅킹 이용자 ="나" <--<인증>-- 공인인증기관 <--<인증>-- 최상위인증기관 (스스로 인증)

'내'가 신뢰할 수 있는지에 대한 연대보증은 금결원(yessign)을 포함한 6개 공인인증기관에서 하도록 돼있고, 이 6개 공인인증기관의 신뢰성에 대한 연대보증을 최상위인증기관이 하도록 체인이 형성돼 있다. 최상위인증기관은 더 이상 연대보증이 필요 없는 최상위의 존재를 의미한다.

하지만 전자서명법 제25조가 규정하고 있는 최상위인증기관(ROOT CA)은 오로지 한국정보보호진흥원(KISA) 한 곳인데, 막상 우리가 사용하고 있는 인증서 클라이언트를 뜯어보니 이니텍과 소프트포럼과 같은 일개 사설 보안 업체들이 자신들을 최상위인증기관으로 인식하도록 등록해 놓고 있었다. 더불어 이니텍은 2025년까지, 소프트포럼은 2033년까지 자신들의 인증서가 유효하다고 스스로 인증하고 있다.

한 보안 전문가는 "이는 열쇠와 자물쇠의 신뢰성을 담보하기 위해 질문할 수 있는 곳이 다름아닌 "열쇠/자물쇠"를 만드는 회사인 격"이라며 "심각한 것은 이 두 회사가 서버 솔루션까지 취급하고 있는데 그렇다면 묻지마 서버(인증서)를 얼마든지 발급할 수 있다"고 설명했다.

사설 업체=최상위인증기관「왜 안되나」

만약 이니텍과 소프트포럼이 악의적인 마음을 먹었다고 가정할 경우, 자신들이 보유하고 있는 공인인증기관 비밀키를 이용해 서버인증서를 발급하고, 그를 무조건 신뢰하는 전국민 PC의 공인인증서(클라이언트 SW)를 통해 마음대로 국민들의 계좌정보, 금융내역 등을 빼갈 수 있는 최악의 시나리오가 펼쳐질 수 있다.

이 뿐만 아니라 악의적 침입자가 이니텍과 소프트포럼를 해킹해 악의적 서버인증서를 발급한다면 우리나라 1,000만 개의 공인인증서를 해킹해 돈을 빼가거나 계좌정보를 알아내는 것은 어려운 일이 아니라고 보안 전문가들은 경고하고 있다.

이러한 문제 때문에 최상위인증기관은 이의 핵심인 공인인증기관 비밀키를 엄격하게 관리하도록 공인인증기관의 시설 및 장비에 관한 규정 제2장 "8. 보호설비" 규정에서 물리적, 전자적 규정을 지키도록 돼있다.

KISA는 법률상 올바른 최상위인증기관이므로 법에 근거 엄격히 비밀키를 관리하고 있으나, "멋대로" 최상위인증기관으로 등록돼 있는 이니텍과 소프트포럼과 같은 사설보안 업체는 이를 어떻게, 누가 관리하는지 명확치도 않으며 이를 관리할 수 있는 권한도 없다는 점이 전문가들의 지적을 받고 있다.

고려대학교 법과대학 김기창 교수는 "이번 사건은 전자서명법 25조와 그 하위 규정을 위법하고 있는 명백한 위반 사항"이라고 강조했다.

인증서 클라이언트를 감독하도록 돼있는 KISA 관계자는 "모든 인증기업들이 불법을 저지른다는 판단 하에 기업들을 관리하는 것은 문제가 있으며 권력의 남용이라고 할 수도 있다"고 입장을 표명했다.

정통부 정보보호기획단 김태완 서기관은 "사설 기업들의 사설인증서 비밀키는 전자서명법의 대상이 아니다"며 "이 비밀키 관리는 사설 기업이 알아서 하면 되는 것이고 사설 업체의 사설 인증서는 전자서명법 인증체계 안에 들어올 수 없으므로 문제가 되지 않는다"고 설명했다.

이러한 문제점이 지적되자 네티즌들은 "해당 서비스 회사가 법인으로서는 악의적인 목적이 없어도, 내부 개발자 중에 악의적인 목적을 가진 사람이 몰래 모종의 작업을 한다면, 우리나라의 각 은행의 인터넷 뱅킹이 통째로 해킹 당할 수도 있다는 두려움이 생긴다"며 "더불어 우리나라 정부와 각 은행은 그런 해킹을 당하고 나서야 고치지 않을까하는 더 큰 두려움도 생긴다"고 우려를 표명했다.

이에 대해 사설 보안 기업인 이니텍과 소프트포럼은 명확한 답변을 거부했다.@

===============================================

아래는 후속기사입니다.

보안의 핵=공인인증서②「금융권별 사설인증 현황」
http://www.zdnet.co.kr/news/network/security/0,39031117,39155245,00.htm
... (전략) ...

이니텍, 소프트포럼「그들이 왜 최상위인증기관으로 둔갑했나」

"최상위 인증기관"이라는 존재는 더 이상의 인증을 요구할 필요가 없는 존재다. 마치 우리가 일상생활에서 사용하는 "현금"과 같은 존재. 국가가 그 가치에 대해 보증을 하고 있기 때문에 다른 어음이나 수표처럼 굳이 배서를 한다든가, 연대보증을 선다든가, 그 어음/수표의 지불능력을 입증하려 애를 쓸 필요가 없는 것이다.

따라서 "최상위 인증기관"으로 일단 클라이언트에 등록되면 자기 자신의 인증을 확인하기 위해 또 다른 프로세스를 만들 필요가 없어지므로 개발 과정상 편리해지고 설치한 서버에 대한 유지보수 역시 편해질 수 있다는 장점이 있다는 것이 보안 전문가들의 분석이다.

이러한 지적에 대해 이니텍은 내부적으로 아직 대답할 수 있는 상황이 아니라고 전했고, 소프트포럼은 무응답으로 일관했다. @

보안의 핵=공인인증서③「정통부, 사기업 영업방법 관여할 수 없어」
http://www.zdnet.co.kr/news/network/security/0,39031117,39155246,00.htm
... (전략) ...

정통부, 사기업 영업방법은 자유

전자서명법 19조 2항에 의하면 이러한 클라이언트 SW 배포 기관은 최상위인증기관(KISA)의 정기점검을 받도록 규정돼 있다.

클라이언트 SW가 문제가 있는지, 없는지 정기점검 확인과 감독을 하는 업무는 정보통신부의 정보보호기획단과 정보윤리팀이 하도록 규정돼 있다.

이러한 정부의 행태를 감시, 비판하던 고려대 법대 김기창 교수는 금주내 정통부 정보보호기획단 정보보호정책총괄 김태완 서기관을 직무유기 혐의로 서울 중앙 지방검찰청에 형사고발할 방침이라고 밝혔다.

반면 김태완 서기관은 자율적인 사기업의 영업방법을 일일이 침범할 수 없다는 입장을 전했다. 김 서기관은 "다양한 시각이 존재하는 자본주의 국가에서 자율적인 기업방침을 보장해 주는 것이 정부의 역할"이라면서 "사설인증서는 전자서명법의 대상이 아니다"고 강조했다.

정통부는 이번 문제가 법적으로 아무런 문제가 없다는 주장을 개진하고 있어 향후 재판의 결과가 어떻게 진행될지 주목을 끌고 있다. @