4월부터 공인인증 기반 스마트폰뱅킹 '스타트'
글쓴이: cleansugar / 작성시간: 일, 2010/03/21 - 2:05오후
http://news.mt.co.kr/mtview.php?no=2010032110421673170&type=1
김기창 교수님에 따르면 부인 방지는 무의미하다고 합니다.
그렇다면 외국은 잘 쓰고 있는데 이유가 뭐냐 이거죠.
크래킹 때문에 컴퓨터 안에 인증서 내장하지 말라는 게 지침인데 스마트 폰에는 내장해야 됩니다.
공인인증서 정말 짜증나네요.
공인 인증서는 일종의 정부가 개인 영역에 침투한 교두보입니다.
공인인증서를 기반으로 감시와 통제가 됩니다.
억지로 사용하면 정치, 사회, 경제적으로 손해를 입게 됩니다.
이런 짓 안해도 은행이나 쇼핑몰 마음대로 하게 두면 알아서 잘 합니다.
기업 입장에서는 결제가 간편할수록 수익에 도움이 됩니다.
현재는 송금하려면 공인 인증서 관리자, 키보드 보안, 방화벽 깔고 프로그램 실행하고 USB 꼽고 선택하고 인증서 암호 입력하고 은행 코드 암호 입력하고 이래야 되는데 이게 뭡니까 대체.
경쟁력를 저하시키는 규제입니다.
궁금한 게 있는데요 비밀키와 공개키 생성이 서버에서 생성되나요 클라이언트에서 생성되나요?
제가 알기에 한국의 공인인증서는 그냥 키위탁이라서 진정한 PKI가 아닌 거 맞나요?
그리고 공개된 기술이면서 클라이언트 소스는 왜 공개되지 않는건가요?
만일 키쌍이 서버에서 생성된다면 공인 인증서는 금고 열쇠를 정부가 보관하겠다는 제도고 공인 인증서 프로그램은 넓은 의미의 악성 코드입니다.
Forums:
금고 열쇠를 정부가
금고 열쇠를 정부가 보관하는 것 자체에 문제가 있나요?
아무 때나 열어보는 건 당연히 문제가 있겠지만, 법원의 영장이 갖춰졌을 때 꺼내는 정도는 할 수 있어야 하지 않을까요?
그리고 부인 방지가 무의미하다는 것에 대해서도 납득이 가지 않네요.
지금 공인 인증서 제도가 짜증나는 것에 공감은 하지만, 그렇다고 폐지하자는 것에는 공감할 수 없네요.
Summa Cum Laude http://ceraduenn.egloos.com
그걸 의무로 강제하지 말라는 거죠
내일부터 아무도 쓰지 못하게 천지개벽하자는 게 아니라요 -_-;;
[예진아씨 피카사 웹앨범] 임예진 팬클럽 ♡예진아씨♡ http://cafe.daum.net/imyejin
[예진아씨 피카사 웹앨범] 임예진 팬클럽 ♡예진아씨♡ http://cafe.daum.net/imyejin
"행안부는 미국과
인용
"행안부는 미국과 유럽처럼 SSL과 OTP만을 사용해 인터넷뱅킹을 할 경우 계좌이체(타행이체)에 2~3일이 소요되기 때문에 하루에 수십조씩 거래되는 우리나라의 인터넷뱅킹 환경을 고려할 때 큰 사회적 혼란과 국민불편을 초래할 수 있다고 덧붙였다. "
이게 왜 공인인증서 때문에 한국만이 가능한건지 설명해주실분 있나요? 잘 이해가 안가네요.
한국은 인터넷 타행 이체시 은행연합에서 중간 통로 역할을 한다고 들었는데, 이게 공인인증서와 무슨 상관인가요?
부인방지 기능 없이
부인방지 기능 없이 즉시 처리해 주기에는 위험하다는 의미 같네요.
외국도 충분히 즉시 처리할 수 있지만,
일부러 지연시켜서 사고를 방지한다는 건가...
보안카드+OTP 정도면 부인방지 기능을 충분히 수행할 수 있을 것 같은데 뭐가 문제일까요.
보안카드,OTP 를 분실했으면 분실한 사람 책임.
어차피 스마트폰이 이슈니까 +SMS 인증코드 정도면 충분하고 남을 것 같네요.
emerge money
http://wiki.kldp.org/wiki.php/GentooInstallSimple - 명령어도 몇 개 안돼요~
http://xenosi.de/
https://xenosi.de/
스마트폰 금융
스마트폰 금융 갈라파고스화 논란 점화
http://news.naver.com/main/hotissue/read.nhn?mid=hot&sid1=101&cid=302840&iid=197161&oid=001&aid=0003180037&ptype=011
"보안카드를 사용하도록 한 것은, 공인인증서의 안전성 문제로 사실상 OTP가 최후 방어막이라는 점을 인정한 셈이라고 보안전문가들은 지적했다."
보안카드가 OTP는 아니지만 공인인증서가 완벽하다면 이런 거 입력이 필요없죠.
정부가 계속 인증서 설치를 밀고 나가는 까닭은 안전이라기 보다는 인증서 프로그램 설치로 감시하려는 게 주목적입니다.
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
오픈 웹의 주장이..
자꾸 정설인 것처럼 인용되는데, 오픈웹의 주장은 굉장히 아마추어적입니다.
OTP로 부인방지가 된다고 하는데 실질적으로 OTP는 부인방지를 위한 tool이 아니고 그렇게 사용할 수도 없습니다.
공인인증서는 개인키로 '서명'을 하는 프로세스가 있기 때문에 일종의 신분증으로 간주를 해서 부인방지의 효과를 인정하는 겁니다. 공인인증서의 분실은 신분증의 분실과 동일한 것이구요.
외국은 문제 없이 쓴다고 하는데 외국은 문제가 많아도 그냥 그렇게 쓰는 겁니다. 그래서 온라인 뱅킹은 각종 제한을 걸어두고 있구요. 실제로 통계상 우리 나라만큼 온라인 뱅킹에 문제가 적은 나라는 없습니다.
그 통계 데이터를
그 통계 데이터를 어디서 볼 수 있나요? 저도 그런 얘기는 많이 들었는데, 구체적인 데이터를 본 적이 없어서... 얼핏 듣기로는 캐나다에서는 은행 가서 계좌 만들면 디폴트가 인터넷 거래 계좌고, 통장을 만드려면 별도로 돈을 내야 한다는 얘기도 들었는데, 좀 상반되는 이야기 같기도 하구요.
통계자료는..
'전자금융 사고 통계' 라고 구글링만 해봐도 바로 나오는군요.
2009년 10월 자료입니다. 금감원에서 나온 자료라서 '드립' 취급 당할려나요.
2009년 피해 건수는 16건이고 피해액이 2억 7천 2백만원입니다. 일 평균 인터넷 뱅킹 거래액은 28조원이니 1년이면 1경이 넘어가는 액수군요.
http://www.itsa.or.kr/down.asp?f_name=(20091027)%C0%FC%C0%DA%B1%DD%C0%B6%BB%E7%B0%ED%B9%DF%BB%FD%C0%AF%C7%FC%B9%D7%B4%EB%C0%C0%C7%F6%C8%B2.pdf
미국의 경우 2009년 온라인 뱅킹 사고에 대해 언급한 FDIC 보고서를 인용한 단문입니다. FDIC 보고서는 잘 못찾겠네요.
2009년 3/4 분기에 1억 2천만 달러를 넘었다고 되어 있군요. 아쉽게도 일 거래량 규모는 찾질 못하겠습니다만, 우리 나라 일 거래량과 피해액 관계로 단순 계산하면 541경원 정도 됩니다. 미국의 온라인뱅킹 금액이 우리 나라의 541배는 안되겠죠. 미국의 GDP 규모는 약 우리나라의 20배쯤 되는 것으로 알고 있으니 온라인 뱅킹 거래액수도 대충 2~30배 정도로 추정할 수 있지 않을까 합니다.
http://pindebit.blogspot.com/2010/03/more-on-fdics-online-banking-report.html
이렇게 보면 대충 미국의 온라인 뱅킹 거래액과 피해금액과의 관계는 계산 편의를 위해 미국 거래액이 우리 나라의 50배 정도로라고 해도 11배 정도 온라인 뱅킹 사고가 많은 셈입니다. (실은 2007년 기준 미국 GDP는 우리 나라의 17배 정도이고, 온라인 뱅킹에는 오프라인 카드 결제도 포함되는데 미국은 우리 나라 보다 카드 사용이 보편화 되어 있기 때문에 실제로 인터넷을 통한 뱅킹 사고 비율은 우리 나라의 3~40배를 상회하지 않을까 생각합니다.)
물론, 저게 우리 나라가 공인 인증서를 썼기 때문이냐고 따지기 시작하면 정확하게 그것 때문에 우리 나라 금액이나 건수가 작은 것인지는 증명하기 어렵습니다만, 외국의 경우 아무 문제 없이 사용하고 있다고 보기는 어렵다는 얘깁니다. 그래서 이런 저런 제약을 많이 걸어놓기도 한 것이구요.
요약된 부분만
요약된 부분만 읽어보셔도
The vast majority of the hacking incidents "related to malware on online banking customers' PCs," according to Nelson. Victims are typically tricked into visiting malicious Web sites, or downloading Trojan horse programs, which gives hackers access to their banking passwords. Money is then transferred out of their accounts using the Automated Clearing House system, which banks use to process payments between institutions.
패스워드 보안의 문제점을 잘 보여주는 내용인걸요. -_-;;
SSL + OTP의 경우 공인인증서 + 보안카드보다 사용자 입장에서 더 위험한 부분은 전혀 없습니다. 은행쪽에서 부인 가능성 강조하는 건 그게 그나마 유일하게 더 나은 점처럼 보이기 때문에 물고 늘어지는건게, 그게 정말 의미가 있다고 생각하면 온라인에서 보안카드 + 개인정보로 공인인증서 재발급을 해주면 안됩니다. 오프라인에서 신분증 확인하고, 인증서 유출시 금융 사고 책임을 개인이 진다고 동의받고 발급해줘야죠. 애초에 신뢰 사슬의 형성이 안됩니다 (신뢰 사슬상 보안카드에 종속됩니다).
글쎄요,
SSL+OTP 와 공인인증서+보안카드가 같은 레벨이라고는 생각이 안되는 게 일단, SSL은 그냥 통신되는 패킷의 암호화죠. 공인인증서는 패킷 암호화(SSL)+개인키에 의한 전자서명을 포함합니다.
OTP와 보안카드는 사실 같은 레벨이죠. 보안카드가 일종의 구식 난수표와 같은 것이니까요.
이렇게 보면 어쨌거나 공인인증서는 공인인증서 파일을 획득하고 인증서 패스워드를 알아내야 하는 하나의 단계를 더 거쳐야 합니다. 아무리 그 과정이 허접해 보여도 거시적으로 보면 해커에게는 허들이 하나 더 있는 셈입니다.
아, 그리고 공인인증서(범용) 폐기 후 재발급의 경우 오프라인으로 신청해야 하던데요.
그리고.. 통계 데이터에 대한 얘기를 하고 싶었는데 다른 걸 읽어내시는군요. 그리고 저 기사는 계정/패스워드로 이루어진 미국식 온라인 뱅킹의 위험성을 강조하는 것이지 거기에 우리 나라의 공인인증서 방식을 대입하는 건 그다지 논리적이지 못한 것 같은데요.
> OTP와 보안카드는
> OTP와 보안카드는 사실 같은 레벨이죠. 보안카드가 일종의 구식 난수표와 같은 것이니까요.
OTP와 보안카드의 같은 점은 최종 사용자가 물리적으로 보안을 합리적인 수준에서 확보할 수 있다는 점입니다. 다른 점은 확률적 보안성이 OTP가 월등이 높다는 점이구요 (수학적 안정성은 인증서 보안과 대등한 수준이죠). 정성적으로 얘기하면 보안 인증서도 일종의 구식 난수표입니다.
> 이렇게 보면 어쨌거나 공인인증서는 공인인증서 파일을 획득하고 인증서 패스워드를 알아내야 하는 하나의 단계를 더 거쳐야 합니다. 아무리 그 과정이 허접해 보여도 거시적으로 보면 해커에게는 허들이 하나 더 있는 셈입니다.
그럼요 거기에 동의하니 패스워드 인증으로 가자거나 보안카드를 없애자고 주장하지는 않는 것 아니겠습니까?
> 아, 그리고 공인인증서(범용) 폐기 후 재발급의 경우 오프라인으로 신청해야 하던데요.
1. 범용 쓰는 사람이 얼마나 되던가요?
2. 설사 사용한다손 치더라도 일정기간마다 범용 인증서를 오프라인으로 재발급 받아야하는데, 이럴 경우 OTP에 비해 비용 측면에서의 장점도 많이 사라집니다.
3. 운영하는 쪽에서조차 별의미없이 운영하고 있다는 걸 강조하기 위해 발급 과정을 언급한거고, 발급을 아무리 제대로 받아도 파일 복사당하면 도루묵인 건 똑같습니다.
5000만원 이상 거래시 OTP를 괜히 요구하는 것도 PKI를 이런 용도로 괜히 안쓰는 것도 아닙니다.
> 그리고.. 통계 데이터에 대한 얘기를 하고 싶었는데 다른 걸 읽어내시는군요. 그리고 저 기사는 계정/패스워드로 이루어진 미국식 온라인 뱅킹의 위험성을 강조하는 것이지 거기에 우리 나라의 공인인증서 방식을 대입하는 건 그다지 논리적이지 못한 것 같은데요.
OTP + SSL 주장을 아마추어리즘이라고 몰아 붙이며 패스워드 인증의 위험성을 강조하는 통계를 가지고 오시니 의미가 없다고 말씀드린겁니다. 인증서 발급 과정은 현재 상태에선 이론적으로도 보안 카드 이상의 의미가 없다는 걸 말씀드린거구요.
저도 공인인증서 폐지나 activex 사용하지 않는 게 하루아침에 이루어 질 수 있거나 이루어져야 한다고도 생각하지 않습니다 (그러기엔 현재 환경이 너무 만신창입니다). 그리고 OTP를 강제할 경우 비용 문제가 분명히 있습니다. 근데 SSL + OTP 주장을 기술적으로 무지해서 그렇다고 하시면 PKI가 직관적이지 않긴 않은가부다라고 생각할 수 밖에 없습니다.
계속 얘기가 다른 방향으로 흐르는데요.
SSL+OTP = 부인방지 라는 결론이 아마추어적이지 않다는 얘기인가요..? 그리고 부인방지에 대해서 얘기하려면 아래에 아마추어적이라고 쓴 부분에 쓰레드를 달지 그러십니까.
그 오픈웹 사이트 운영자께서는 관련 공부는 많이 하셨는지 모르지만, 기술적인 기반이 없다보니 엉뚱한 결론을 내릴 때가 많고 그 하나의 예가 OTP가 부인방지 효과가 있다는 겁니다. (SSL은 전혀 상관 없으니 빼는 게 좋겠죠.)
그리고 OTP의 수학적 안정성이 인증서 보안과 대등한 수준이라는 것은 수학적 확률에 의해 제 3자가 키를 획득할 가능성에 대한 것이지 방식에 대한 건 아니니 맞비교할 것은 아니죠.
저는 공인인증서는 일단 신분증과 같은 레벨로 보고 OTP는 보안카드와 같은 레벨이지만 그 안정성이 심화된 상태로 봅니다. 그 간극은 여전한 것 같군요.
그리고 범용 인증서는, 30만원이상 전자상거래 시 필수입니다. 그거 쓰는 사람이 얼마나 되냐니오..
그리고, 아랫글 같은 것 보면 한숨 나옵니다.
http://openweb.or.kr/?p=2803
SSL+OTP는 왜 항상 쌍으로 다니나요. 국내 공인인증서 방식도 SSL로 통신합니다. 서버인증서? 당연히 있죠. 그런데 저 비교표 좀 보시죠. 관련 시스템을 구축해 봤다면 절대 저런 비교표는 못 만들 겁니다.
> SSL+OTP = 부인방지
> SSL+OTP = 부인방지 라는 결론이 아마추어적이지 않다는 얘기인가요..?
정확하진 않습니다만 공인인증서가 안전하다고 주장하는 것보다는 훨씬 덜 아마추어적입니다. 그 방향의 거래 내용 증명이 그렇게 핵심적인 문제도 아니구요.
> 그 오픈웹 사이트 운영자께서는 관련 공부는 많이 하셨는지 모르지만, 기술적인 기반이 없다보니 엉뚱한 결론을 내릴 때가 많고 그 하나의 예가 OTP가 부인방지 효과가 있다는 겁니다. (SSL은 전혀 상관 없으니 빼는 게 좋겠죠.)
SSL+OTP 주장에서 기술적으로 잘못된 부분은 부인방지 하나 밖에 안보이는걸요. 바닥부터 모래성인 공인인증서 안정성 주장하는거에 비하면 양반이지요.
> 저는 공인인증서는 일단 신분증과 같은 레벨로 보고 OTP는 보안카드와 같은 레벨이지만 그 안정성이 심화된 상태로 봅니다. 그 간극은 여전한 것 같군요.
최종 사용자가 파일 복사 당하지 않도록 지켜야하는 걸 신분증으로 어떻게 씁니까? 오픈웹 주장이 기술적인 기반이 없는거면 신분증 주장은 현실 감각이 없는거죠. 오픈웹이 반감을 살만한 발언도 꽤 했고 약간씩 틀린 부분들도 있었지만 적어도 기술적인 측면에서 전체적인 줄거리는 제대로 잡고있습니다.
> 그리고 범용 인증서는, 30만원이상 전자상거래 시 필수입니다. 그거 쓰는 사람이 얼마나 되냐니오..
제 주변엔 쓰는 사람 거의 없던걸요. 30만원 이하는 카드 결제하고 그 이상은 은행에서 이체하면 필요없지 않나요?
-- 추가하신 부분에 대한 답변 --
> SSL+OTP는 왜 항상 쌍으로 다니나요. 국내 공인인증서 방식도 SSL로 통신합니다. 서버인증서? 당연히 있죠. 그런데 저 비교표 좀 보시죠. 관련 시스템을 구축해 봤다면 절대 저런 비교표는 못 만들 겁니다.
업계에 종사하신다면 자잘한 디테일 틀린거에 한숨쉬시는 것보다 이게 어쩌다 이 짝-_-;;이 났는지 생각해보고 어떻게 하면 피해를 최소화하며 빠져나갈 수 있을지 고민하는게 직업 윤리에 맞는 일이라 생각합니다. 다른 업종이고 월급만 잘나오면 무슨 상관이냐 싶은 건 저도 마찮가지입니다만 제대로 해보겠다는데 도와주진 못할망정 초칠 거 까진 없잖습니까.
음...
본 글을 봐도, 오픈웹이 SSL+OTP = 부인방지라고 주장하지는 않는 것 같군요.
공인인증서의 부인방지 역시 그 인증서로 서명을 했다 이지 '누가' 했는지는 알 수 없습니다.
OTP 도 그런 맥락에서, 누군가가 이를 가져간 경우 '누가' 인지 알 수 없습니다.
단지 본인 물건에 대한 소유의 개념에서 봤을 때, PC/USB 에 있거나, 바지 주머니에 있거나의 차이일 뿐..
공인인증서와 마찬가지로 비슷한 부인방지 효과를 얻을 수 있을거다.. 정도의 주장으로 보입니다.
오픈웹의 글을 보니.. 그들의 주장은 결제 방식을 정부가 나서서 강제하지 말라는 것이지..
공인 인증 방식을 포기하라는 것으로는 보이지 않습니다.
정부에서 공인 인증 방식이 최고다~! 라고 하니, 다른 방식으로도 비슷한 효과를 얻을 수 있다.. 정도의 주장이지..
새로운 시스템을 관철시키고자 하는 건 아닌것 같습니다.
되면 한다! / feel no sorrow, feel no pain, feel no hurt, there's nothing gained.. only love will then remain.. 『 Ｍｉｚｚ 』
되면 한다! / feel no sorrow, feel no pain, feel no hurt, there's nothing gained.. only love will then remain.. 『 Ｍｉｚｚ 』
분실에 대한 것은..
원론적인 문제죠. 어떤 수단도 '누가'에 대해서 자유로울 수는 없습니다. 인감도장도, 신분증도 마찬가지이구요.
그런데, OTP의 경우 어떻게 부인방지 효과를 가지죠? 각 OTP가 가지는 개별 그룹 ID 때문인가요..? 그렇게 따지면 보안카드도 부인방지 효과가 있겠네요. 은행에서 개인별로 발급한 보안카드는 몇가지 그룹이 나뉘어져 있으니까요.
음..
'부인방지 효과가 있다' 는 뜻이 아닙니다.
인증서의 부인 방지 역시, 그 인증서로 서명했다 뿐이지, 누가 했는지는 알 수 없습니다.
그래서 기껏해야 본인이 잃어버리거나 도난당하지 않았다면.. 아마도 본인이 했을거다.. 정도로 의미가 축소되었다는 의미이고...
그 정도면, (인증서와 마찬가지로 유니크하게 개인이 절대적으로 소유하고 있을 확률이 높은) OTP 나 보안카드로도 충분할 것이다.
그러니.. 부인방지 때문에라도 인증서를 반드시 써야 한다는 당위는 상실되었다고 봐도 무방하지 않겠는가.. 정도의 의미입니다.
되면 한다! / feel no sorrow, feel no pain, feel no hurt, there's nothing gained.. only love will then remain.. 『 Ｍｉｚｚ 』
되면 한다! / feel no sorrow, feel no pain, feel no hurt, there's nothing gained.. only love will then remain.. 『 Ｍｉｚｚ 』
도대체 인증에 대해
도대체 인증에 대해 기본적인 이해는 하고 계신건지요? OTP도 키패어 인증입니다. 당연히 개별키의 사용 여부를 수학적으로 실용적인 수준에서 특정할 수 있습니다. 인증 키의 수학적인 강도는 공인인증서와 OTP가 다를 이유가 전혀 없습니다. 공인인증서의 경우엔 키 내용이 전자적으로 직접 노출이 되어있어서 위험한 거고, OTP의 경우엔 입출력 데이터 양의 한계가 있으니 (사람이 보고 입력해야하죠) 내용 증명에 쓰기가 곤란한거구요. 공인인증서 OTP 모두 당연히 보안카드와의 차이는 수학적 확률의 차이입니다. 그 차이가 엄청나게 커서 실용적으로 충분히 안전하다고 하는거구요. 오픈웹 아마추어리즘 비웃을 입장이 아니신 것 같습니다.
도대체 OTP의 원리는..
이해하고 있습니다만?
저는 논리적인 레벨에서 보안카와 OTP를 얘기한 것이지 보안차이를 무시한 게 아닙니다. 그건 중학생 정도만 되어도 이해할 수 있는 수준 아닌가요?
가령, 보안카드 난수가 2백만개쯤 되고 개인 별로 유니크하거나 적어도 특정할 수 없는 수준의 배열로 난수 순서가 부여된다면 그 보안카드의 보안 안정성도 OTP 수준으로 올릴 수 있겠죠? 단지, 가지고 다닐 수 없겠지요. 그래서 그걸 데이터로 입력해서 갖고 다니게 한 게 초기의 OTP라고 알고 있습니다.
이 부분에서 기초적인 내용에 대한 이해가 없다고 단정하신 거군요. 제가 글솜씨가 없나 보네요.
무슨 황당한 말씀을
무슨 황당한 말씀을 하시는지?
보안카드는 복사되면 그걸로 끝이고, 마우스, 키보드 로깅만 하면 게임 끝이지만,
OTP는 그렇지 않은 것으로 아는데요.
그리고 같은 의미에서 봤을 때에 공인인증서도 털리면 게임 끝나는 건 마찬가지겠지만, 마지막에 OTP가 남아있게 됩니다.
물론 OTP도 털리면 끝나는 건 마찬가지...ㅋ
국내 통계가 좀 ...
인터넷뱅킹, 조선족에 또 뚫렸다
http://www.itdaily.kr/news/articleView.html?idxno=21398
인용:
...
박씨 등은 지난해 3월부터 지난 6월까지 은행, 증권사, 보험사, 카드사 등 국내 금융기관 32곳에서 고객의 인터넷뱅킹 아이디와 비밀번호 300여개를 해킹해 그 중 86명의 계좌에서 4억4000만원 가량을 빼간 혐의를 받고 있다.
...
기사가 2009년 12월 16일 (수) 이니 지난해는 2008년이고
링크해주신 금감원 자료에서 2008년 피해금액이 인터넷 뱅킹,텔레뱅킹,폰 뱅킹,인터넷 신용카드 결제,카드 복제등 포함
(단, 보이스피싱은 제외)해서 4억 2천 8백 만원인데...
위 기사에 따르면 조선족 해커 2명이 약 3-4개월 동안 인터넷 뱅킹 해킹으로 4억 4000만 원을 빼갔는데
2008년 전체 통계가 그것도 인터넷 뱅킹,텔레뱅킹,폰 뱅킹등등 포함한 금액이 4억 2천 8백 만원???
--
은행권에서는 해킹 사고가 발생해도 이미지 때문에 쉬쉬하는 분위기고
그래서 아직까지 신뢰할 만한 통계가 없는 것으로 알고 있습니다.
제가 오픈웹에 자주 가보는데..
madhatter님이 오픈웹 사이트 어디에서 "OTP 가 부인방지가 된다" 라는 주장을 했다는 걸 보셨나요?
제가 오픈웹에서 자주 가보는 편인데요. 제가 띄엄띄엄 읽긴 하지만 그런 어이없는 주장은 본 기억이 없습니다.
부인방지기술은 '공개키암호화로 개인키로 암호한 것은 같은 쌍의 공개키로만 복호화할 수 있다' 라는 기술에 근거한 것입니다. 이 정도는 공인인증서 이슈에 관심 좀 가지고 있으면 쉽게 알 수 있습니다.
오픈웹 김기창교수님은 비전문가이긴 하지만 상당한 관심을 가지고 노력하시는 분인데
그런 이해 안되는 언급을 했다고 믿기 어렵습니다.
그리고 분명 "통계상" 이라고 얘기하셨는데요.
제가 알기로는 정부/민간 통틀어서 공인인증서 관련으로 온라인뱅킹 피해실태에 국내/외 비교조사해서 공개된 자료는 한 건도 없는 걸로 알고 있습니다. 어디서 그런 통계를 보셨다는 건지 모르겠군요.
그런 통계자료가 어디 있는지 아신다면 저에게도 좀 알려주시면 감사하겠습니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
다시 확인해보니
제가 늦게 확인하고 코멘트를 달았군요. 죄송합니다.
http://openweb.or.kr/?p=2803
"OTP 수단을 입수하지 않고는 거래할 수 없으므로 고객이 부인하기 어려움" 라는 부분을 보시고
얘기하신 것 같은데요.
기술적인 목적상으로 따지자면 부족함이 있습니다. 저 부분에 대한 내용은 좀 아쉬운 부분이네요.
다만 공개키방식에서 부인방지기술이 "개인키의 소유자가 거래한 것"이라는 점에 착안한 것처럼
OTP도 마찬가지로 인증과정에서 뿐만 아니라 이체거래발생시 다시 재요구함으로서 "OTP 소유자가 거래한 것"임을 충분히 인정받을수 있으므로 '부인방지' 성격을 부여하는 것도 가능하다고 여겨집니다.
이렇게 생각하는 것이 아마츄어적인 것이라면 프로적인 것은 어떻게 되야 하는지도 좀 궁금합니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
부인 방지는
부인 방지는 "개인키의 소유자가 거래한 것"이 아니라 "개인키로 거래 내용을 서명함"에서 발생합니다. 즉, 고객이 은행은 (혹은 다른 거래 대상) 모르는 자신의 비밀키를 사용해 거래 내용을 확인하고 서명하기때문에 그 후에 "은행이 고의적으로 혹은 버그로인해 나에게 보여준 내용과 다른 거래를 실행했다"고 부인할 수 없게됩니다. OTP의 경우 거래 내용 확인과 인증 절차가 분리되기 때문에 이론적으로 이런 보장이 가능하지 않습니다.
*다만* 이 모든 것은 사용자가 비밀키를 안전하게 지킬 수 있다고 가정할 때, 그리고 사이닝을 하는 기계의 안전성이 보장될 때에만 의미가 있습니다. 다시 말해, 개인 사용자가 스스로의 컴퓨터가 해킹당하지 않았고 공인 인증서 화일을 도난당하지 않았음을 보장할 수 없다면 패스워드 이상의 보안성을 전혀 제공할 수 없습니다. 아이러니하게도 반강제적으로 사용해야하는 activex들 덕에 거의 불가능에 가까운 요구사항이 되버렸구요. 한 번 더 풀어 얘기하면, 그냥 다 헛소리입니다. 아무리 선의를 가지고 생각해보려해도 애초에 PKI를 이런 식으로 최종 사용자에게 적용한게 그 특성을 전혀 이해하지 못했기때문이라고 생각할 수 밖에 없습니다. 아마추어성으로 따지자면 공인인증서 도입 결정한 분들 넘어서기가 힘들지요.
OTP 미사용시 현 은행 거래 과정에서 가장 높은 보안성을 가지는 부분은 보안카드-_-;;;입니다. 이게 괜히 유지되는게 아닌게 이거 빼면 그냥 패스워드 인증이랑 기본적으론 같은 보안성입니다. 몇년전에 앞 두자리 뒷 두자리 조합 입력으로 바뀐 것도 사용자 PC해킹 후 거래 과정을 여러번 보면서 보안카드 내용을 알아내는 걸 힘들게 하기 위해서구요.
PKI가 좀 직관적이지 않은 부분이 있어서 어느 부분에서 보안성이 발생하는지 오해하는 경우가 많고, 실제로 안전하지 않은데 안전하다고 착각하는 경우가 종종 생기긴하는데, 아무리 그래도 국가적으로 이 짓을 십년이 넘게 하고 있으니 이것도 나름 대단하다고 생각이 들긴 합니다. 개인적으론 220v 승압 사업, 010 번호 통일, 새 주소 체계와 함께 대표적 정책 실패로 꼽고 싶습니다. :-(
> 공인인증서의
> 공인인증서의 분실은 신분증의 분실과 동일한 것이구요.
이게 전혀 말이 안되기 때문에 PKI를 이런 경우엔 보통 안씁니다. 최종 사용자가 합리적인 수준에서 만족시킬 수 있는 조건이 아닙니다.
> 외국은 문제 없이 쓴다고 하는데 외국은 문제가 많아도 그냥 그렇게 쓰는 겁니다. 그래서 온라인 뱅킹은 각종 제한을 걸어두고 있구요. 실제로 통계상 우리 나라만큼 온라인 뱅킹에 문제가 적은 나라는 없습니다.
이런 통계가 있긴 있나요? 그리고 설사 사고율에 대한 통계가 있다고 하더라도 보안이 기술적인 부분만으로 결정되는 게 아니기 때문에 단순 비교하기는 힘듭니다 (와중에 사고중 가장 흔한건 피슁입니다). 온라인 뱅킹에서 무엇이 되고 사람들이 어떻게 사용하느냐는 더욱더 광범위하게 결정이 되는 문제구요. 최종사용자에게 공인인증서는 패스워드 인증과 정확하게 같은 수준의 보안성을 제공합니다. 혹시 우리나라 은행들의 보안성이 더 높다면 보안카드 조합 입력의 힘이겠지요. -_-;;;
저도 이 통계가
저도 이 통계가 궁금합니다.
보안카드 조합을 제외한 공인인증서 효과여야 하는데 어디에도 정확하거나 정확하려고 노력(?)하는 통계를 못봤는데 늘 이런 주장을 하더군요.
외국인이 국내
외국인이 국내 사이트 가입이나 쇼핑몰 이용하려면 안되는 경우도 많지만 내국인과 절차가 다릅니다.
선진국은 안그런데 왜 한국인은 이런 차별을 당해야 하죠?
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
....
근데 한가지 놓치고 있는부분들이 있는데.
공인인증서고 OTP + SSL 이고 떠나서, 오픈웹의 취지는 우선 윈도우에서 익스플로러만이 아닌 다른 OS에서, 다른 브라우저에서도 금융거래를 할수 있게끔 하자는게 목적 아니던가요.
근데 실제 은행들과 보안업체들이 다른 플랫폼용 솔루션을 만들던가요? 이제 이슈가 되니까 불여우용 익스텐션을 이용한 솔루션 하나 만들어서 크로스 플랫폼을 내세우기도 하지만, 오페라에서 됩니까? 아니면 웹킷기반 브라우저 사용자들은요?
스마트폰에서도 공인인증서를 써서 하겠다고요. 말은 좋죠. 근데 아이폰과 안드로이드용만 만들겠죠. 심비안은요? 블랙베리는요? 또 최근 이슈가 되고있는 한두개 플랫폼용으로만 만들어 놓고 스마트폰에서만 된다 생색내면 그게 진정 스마트폰용 인터넷뱅킹인가요?
지금 노키아 카페 가보셨나요. 노키아도 스마트폰인데 왜 인터넷 뱅킹은 노키아폰은 배제되냐고 원성이 빗발치고 있죠. 왜 심비안용 뱅킹은 배제됬냐고요. 블랙베리는 안써서 모르겠지만 아마 그쪽 상황도 마찬가지 일겁니다. 뉴스에 보면 아이폰, 안드로이드, 윈모만 언급되고 있는 상황이니.
대안이나 만들어 놓고 공인인증서를 쓰게끔 하면 누가 말을 하나요? 공인인증서도 잘 쓰면 좋지요. 하지만 아니지 않습니까. 물론 공인인증서가 자물쇠의 역할을 하지만, 그 자물쇠 떄문에 한정된 플랫폼에서만 금융거래가 가능하게 되서 우리나라가 다른나라보다 뒤처지고 있는데...
한가지 예를 들어보죠. 우리나라 경매사이트나 쇼핑몰중 전 세계적으로 이용되고있는데가 있나요? 이베이는 전 세계적으로 사용되고 있는 온라인 거래장터인데, 우리나라의 사이트중에서 외국인들까지 와서 거래하는 장터나 쇼핑몰이 과연 존재하나요
여기까지. 뭐, 국내 거래만으로 한정한다 칩시다.
국내에서 익스 아니면 거래할 수 있는 사이트가 몇이나 되죠? 공인인증서가 좋다 치고, 그 결제 시스템을 익스 아닌 다른브라우저에서 사용할 수 있게 만들어 놨으면 오픈웹도 애초에 시작되지도 않았을겁니다.
그래서 오픈웹도 공인인증서를 다른 브라우저에서도 사용하게 해달라고 소송까지 걸었는데, 법원에서 시장자율에 맡겨야 한다고 해서 대안으로 내놓은건데, 그걸 보고 아마추어리즘이니 뭐니, 그딴 말 하는건 대안도 내놓지 않으면서 대안 내놓은 사람보고 아마추어니 뭐니 헛소리하는거나 마찬가지 아닌가요?
허면 아마추어니 뭐니 하신분이 프로의 관점에서 해결책을 제시해 주세요. 그리고 그걸 오픈웹에서 지지하고 밀고 나가면 되지 않을까요?
기술적으로 부족하면 그 부족함을 매꿀수 있는 기술을 제시해서 오픈웹에서 그 제안을 채택하게끔 하시면 되는거 아닌가요?
무조건 오픈웹이 제안한걸 비난만 하는게 아니라 프로페셔널한 해결책을 부디 제안해 주시길 바랍니다.
프로관점에서의 해결책 제시는
검색만 해봐도 각 전문가들이 오픈웹 주장을 비판하며 대안 제시해 놓은 글들이 널려 있습니다.
그리고, 잘못된 걸 잘못됐다고 하는 것은 부족하고 대안까지 제시를 해야 하나요? 저도 멀티 플랫폼에서의 결제 수단 구비는 원하는 바이지만, 오픈웹에서 주장하는 것에는 논리적 오류가 있다는 입장일 뿐입니다. 그리고 그런 경도된 주장의 기반이 '저는', 아마추어적 발상에서 출발한다고 생각하지만, 어떤 사람들은 '이권' 문제라고 하는 사람도 있습니다. 그리고 아마 오픈웹 소송도 파폭에 대한 것에 한정했던 것으로 압니다. 그게 진정한 멀티 플랫폼인지는 의문이군요.
사실 이 주제는 대안이랄 것도 없습니다. 공인인증서의 멀티 플랫폼 솔루션 도입. 그거죠. 그리고, 국가 정책을 개선하는 쪽으로 가야 하는데 오픈웹은 보안 솔루션 업체를 타게팅 해서 공격하죠. 그 부분이 문젭니다.
..?
어디가 오픈웹이 보안 솔루션 업체를 타게팅 하고 있나요?
아무리 오픈웹을 봐도 오픈웹은 국가정책을 변경하자는 쪽으로 가고 있는데. 공인인증서의 멀티플랫폼 도입하자 소송했던게 법원에서 업체 자율이라고 결정 내린 것인데..
그대로 하면 멀티플랫폼용 솔루션을 개발하지 않는 업체들이 공격당해야 하는게 당연한거 아닐까요?
오픈웹이 멀티플랫폼에서 금융결제를 하게하자는 취지에서 시작한것이니. 당연히 법원에서 시장 자율에 맡긴다고 했으면, 그에 따라서 멀티플랫폼을 내놓지 않은 업체들을 공격해야 하는게 마땅하죠. 아닌가요? 그러지 않아야 하는 이유가 있나요? 오픈웹이 업체에게 멀티플랫폼용 솔루션을 내놓아라 하지 말아야할 이유가?
그런데 업체들은 콧방귀도 뀌지 않고 멀티플랫폼용을 내놓지 않으니 국가에 다른 대안을 내놓는 오픈웹이 잘못된걸까요?
업체들이 해결책을 내놓지 않아서 OTP와 SSL을 대안으로 제시한게 어째서 보안 솔루션 업체를 타겟팅한다고 받아들여지는지 전 이해가 안가는군요.
당연히 제시해야
당연히 제시해야 하는게 보안업계의 임무겠죠.
어떤 주장의 단편전 오류를 지적하는 것은 쉽습니다. 그러나 새로운 주장을 펼치기는 어렵죠.
언제 보안업계에서 제대로 된 새로운 대안을 제시한 적이 있었던가요? 액티브X와 공인인증서 조합을 스마트폰에서 사용할 수 있게 만들 기술력이라도 있나요?
액티브X에 종속적 기술은 태생적으로 한계가 있을 수 밖에 없고, 그것이 아무리 뛰어난 기술이라고 해도 그걸 다른 플랫폼에서 사용할 수 없는 배타적 기술이기때문에
스마트폰 천국 PC지옥의 엄연한 현실속에서는 완전히 무용지물이 된다는 이 간단한 사실도 아직 인지하지 못하고 있는 건 아닌지요?
애플 iphone용 백신 만드는 소동이 바로 그런 업계의 무지함 수준을 떠나.... ㅄ 드립질로밖에 안보이는 것입니다.
무슨 오픈웹 아마추어 운운은 이제 그만하시길.. 아마추어 보다 못해보이니... ㅉㅉ
공인인증서의 멀티
공인인증서의 멀티 플랫폼 도입을 쉽게 말하면, 지금의 방식을 플랫폼별로 만들어서 팔아 먹겠다는 것이지요. 또 다른 플랫폼 의존 기술을 만들어 나가는 건가요.
다른 사람이 아닌 수혜업체들이 이런 주장을 하면 진정성을 의심해 볼 수 있지 않습니까? 현 제도 안에서 자라난 보안 업체들이고, 실제로 다른 플랫폼 수요가 생기면 팔려고 잔뜩 개발해 놓은 상태이니까요.
이해 관계 때문이라고 의심받지 않고 정말 전문가로 인정받고 싶다면 문제가 계속될 것이 뻔한 (하지만 보안 업체들의 시장은 유지시켜 줄) 현상 유지/확장 해법을 내 놓지 말고 공공의 이익이 되는 대안을 생각해 제안해 보세요.
많은 오해들이 있는 것 같군요.
일단, 저는 보안업체 관계자가 아닙니다. (확실히 요즘은 내쪽이 아니다 싶으면 이해 관계가 있는 쪽이라고 단정 짓는 경향이 있군요.)
그리고, 오픈웹에서 최초에 걸었던 소송은 위의 어느 분께서도 언급하셨지만 현재 공인인증서 방식을 파이어 폭스 플러그인으로 구현한 솔루션 도입에 대한 것으로 알고 있습니다. 즉, 공인인증서의 멀티플랫폼 솔루션 도입을 하지 않는 것을 문제 삼았던 거죠. 이건 제 독창적인 대안이 아닙니다.
그리고.. ActiveX 기술이 절대악이고 그 기술만을 고집하는 보안 솔루션 업체가 공격당하는 건 사실입니다. 지금도 어디 가면 n프로텍트 술상무 운운하는 글들은 많이 볼 수 있습니다. 그게 오픈웹에서 영향을 받지 않았다고는 글쎄요, 항상 그 분들이 근거로 거는 링크는 오픈웹이더군요.
내 쪽이 아니다가
내 쪽이 아니다가 문제가 아니라 프로/아마추어 구분을 열심히 주장하시니 그 쪽 프로신가부다라고 생각하게 된거구요. 술상무 운운은 증거가 없는 상태에서 꺼낼 말은 아니라 예전에 오픈웹에서 읽으면서 껄끄럽긴 했는데, 사정 알면 말은 안해도 결정 과정에 대해 뭐 그런거지라고 생각이 드는게 아주 이상한 일은 아니라고 생각합니다. 발주하면서 업체에게 RFP, BMT 시안 써오라고 하는 게 드문 일도 아니고, 낙찰 업체 미리 알고 입찰 들어가는 경우들도 그렇구요. 더 투명했으면 좋겠지만 전체적인 사회 투명도 수준에 크게 어긋남이 없다고 생각합니다. 결정 과정 문제는 그런거지 뭐 라고 넘어가는 수밖에 없지 싶구요. -_-;; 기술적인 부분에서만이라도 어느 방향이 좋겠다는 공감대를 형성할 수 있으면 그나마 가장 발전적이지 않을까 싶습니다.
저는,
프로라는 얘기를 꺼낸 적도 없고, 열심히 주장한 적도 없고 글 하나에 아마추어적이라고 생각한다고 적었을뿐입니다. 그 한마디 갖고 참 열심히도 공격을 받는데 내가 프로라 저쪽이 아마추어란 얘기가 아니라 fact에 대해서 결론을 도출하는 과정이 비약이 있고 end user 단에서는 어차피 같으므로 같은 거다라는 과정이 아마추어적으로 느껴졌단 얘깁니다.
실제로 '부인방지'라는 측면을 보면 논리적으로 공인인증서쪽이 훨씬 '부인방지'로서의 기능에 적합하다는 것은 대부분 인정하는 게 사실 아닙니까..?
인증서 유출 시 인증서 암호 유출은 대부분 웹사이트 로그인 암호와 같게 해놓기 때문에 반드시 유출된다는 식은 참 뭐라 설명하기 어렵군요.
그리고 현재 우리 나라에 도입된 OTP가 정확히 어떤 방식인지는 모르겠는데 time sync로 보기엔 서버 관리가 그닥 신뢰가 안가니 아마 대부분은 미리 키들을 생성해 놓고 랜덤 혹은 일정한 룰로 선택하거나 seed를 던져주고 인코딩된 난수 값을 받아 비교하는 방식이 아닐까 생각이 드는데 (일종의 오프라인 challenge 입력 방식?) 이런 대칭키 방식이 비대칭키 방식과 동일한 보안 안정성을 가진다고는 글쎄요, (굳이 중간 가로채기가 아니더라도) 여전히 의문이군요.
계속 프로/아마추어
계속 프로/아마추어 구분을 주장하시는데 기본적인 부분에 대한 이해조차 부족한 주장을 하며 상대의 주장을 권위로 누르려고 하면 1. 정말로 무지해 상황에 대해 이해를 하지 못하거나 2. 이해는 하지만 현상황 유지가 득이 되기때문에 바꾸기가 싫거나 두 경우밖에 없겠지요. 1이면 직종에 있으면서 월급은 받고있다는 점 말고는 아마추어에 비해 나은 점이 하나도 없는거고, 2면 이권 문제구요.
오픈웹이 보안 솔루션 업체들을 직접 타게팅한게 좋은 전략이었냐는 부분은 저도 좀 의문이긴 합니다. 정책이 이미 결정된 상태에서 업체들이 능동적으로 방향을 바꿀 수 있는 입장도 아니고 갑작스럽게 방향을 바꾸는 건 실질적으론 더 큰 피해를 불러올 수도 있는 일이구요. 현재 인증 시스템에 대해 제가 생각할 수 있는 유일한 합리적인 변명은 "지금은 곤란하다, 기다려달라"입니다 (비꼬는 게 아니고 정말로 좀 천천히 해야된다고 생각합니다). 기술적인 면에선 쉽게 동의할 수 있는 지점이라고 생각하는데 그것마저 힘드네요.
윗글에 '프로'라고 쓴 건
제 얘기가 아니라 다른 전문가들이 그런 관점에서 해결책들을 제시했다는 얘깁니다.
글 내용은 안읽으십니까? 그리고 앞에 다른 분이 '프로페셔널한 해결책을 제시해라'라고 하시니 그 답변의 연장선으로 쓴 용어이지 제가 프로라는 얘기가 아닙니다.
그리고 기본적인 부분에 이해조차 부족한 부분이 구체적으로 뭔가요?
> 제 얘기가 아니라
> 제 얘기가 아니라 다른 전문가들이 그런 관점에서 해결책들을 제시했다는 얘깁니다.
네, 제 비판도 그 전문가들에게 가는 겁니다. 비밀키 보안이 엉망인데 다 뜬 구름 잡는 얘기라구요.
> 그리고 기본적인 부분에 이해조차 부족한 부분이 구체적으로 뭔가요?
댓글을 달면서 점점 공격적이 된 부분은 사과드립니다만 확률의 오더 차이나 특정 구현의 한계와 방식의 한계를 구분하지 못하는 글들을 쓰면서 오픈웹에는 사소한 부분의 기술이 정확하지 않은 점을 들며 (그렇게 아주 틀린 얘기도 아닙니다) 아마추어리즘이라고 공격하는게 저에겐 굉장히 거슬립니다. 전체적 구도를 이해하시고 그러신다면 적극적으로 물타길 하시는 거고 잘 이해하지 못하신다면 물타길 당하신겁니다.
기업 입장에서는
기업 입장에서는 결제가 간편할수록 수익에 도움이 됩니다.
현재는 송금하려면 공인 인증서 관리자, 키보드 보안, 방화벽 깔고 프로그램 실행하고 USB 꼽고 선택하고 인증서 암호 입력하고 은행 코드 암호 입력하고 이래야 되는데 이게 뭡니까 대체.
경쟁력를 저하시키는 규제입니다.
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
아래는 얼마전
아래는 얼마전 openweb의 어떤 게시물을 보고 답글을 달기 위해 작성하던 글 입니다. 사정이 생겨 완성하지 못하고 있다 여기 KLDP에서 관련 논쟁이 있어 완성하여 포스팅합니다.
------------------------------------------------------------------------------------------------------------
channy님을 비롯한 김기창 교수님을 아우르는 openweb 진영의 최종 목표가 궁금합니다. 제 입장에서는 'openweb 운동의 일관성이 시간이 지남에 따라 훼손되고 있는 것이 아닌가?' 하는 걱정이 들기 때문입니다.
1. openweb 운동의 초기 목표
처음 openweb 운동의 목표는 그당시 온라인 금융거래가 보여주는 운영체제, 브라우져 차별을 철폐하는 것이였습니다. 즉 firefox, opera, safari 등의 브라우져에서도 자유로운 온라인 금융거래를 할 수 있게 되는 것이지요.
이 목표는 차츰 이루어져 가는 듯 합니다. 정부기관 홈페이지를 비롯하여 여러 금융기관이 점차 다양한 브라우져를 지원하고 있습니다. 앞으로 1~2년 안에 주요 운영체제, 브라우져에서 온라인 금융거래가 원활히 이루어지게 될 것으로 예상됩니다. 제 2의 PC의 역할을 맡게 될 스마트폰 역시 관련 제도 및 규정, 표준의 정비가 진행 중이며 적어도 '국내 표준' 하에서 편리하고 자유로운 이용이 가능 할 것으로 보입니다.
openweb운동의 목표의 달성이 눈에 보이는 것이지요. 그런데 이상하게도 시간이 지날수록 openweb운동의 공격 목표가 변화합니다.
2. 공인인증체계로의 목표 변화
위에서 설명한대로 openweb운동을 큰 성과를 거두었습니다. 다양한 운영체계, 브라우져를 사용하여 금융거래를 할 수 있도록 변화를 이끌어 내었지요. 그리고 그 와중에 ActiveX기술에 대하여 일반 사용자들이 반감을 가지도록하여 보안 의식을 고취시키는데도 큰 역활을 하였습니다.
그런데 이상하게도 이런 기술적인 사항인 초기 공격 목표가 공인인증체계 자체로 변화합니다. 이미 ActiveX를 절대 용납하지 못할 것으로 인식시킨 것을 이용하여 공인인증체계 역시 그와 동일한 것으로 선전하고 있습니다. 다양한 글에서 '공인인증체계 == ActiveX == 절대악'라는 설명이 보입니다.
하지만 관련 기술적 배경을 가진 입장에서 이는 너무나도 억지로 보입니다. 공인인증체계 및 그 기술규격 자체는 ActiveX 같은 기술에 종속적이지 않습니다. 누구나 능력만 있으면 ActiveX든 Java든 Object-C 어떤 기술을 가지고도 만들 수 있습니다. 몇몇 글에서 말하고 있는 것과 같이 공인인증체계가 특정 암호기술을 강요하지도 않습니다. PKI 알고리즘은 RSA 등의 국제 표준 기반이며 비밀기 보호 알고리즘도 예전에 SEED만 인정하던 것에서 변경되어 3DES등도 표준으로 인정되고 있습니다. 물론 SEED 자체역시 구조 및 구현이 공개되어 있는 자유로운 기술입니다. 절대 공인인증체계 및 그 기술규격이 폐쇄적인 것은 아닙니다.
최근 openweb진영은 공인인증체계를 공격하기 위해 "14년이 넘은 구닥다리"라는 표현까지 동원하고 있습니다. 제가 보기에는 참으로 악의적인 매도 입니다. 우리나라의 공인인증체계는 그 당시 매우 혁신적이였다고 인정받고 있습니다. 오프라인에 비해 보다 많은 위협이 존재하는 온라인 상에서 신뢰할 수 있는 인증수단을 마련함으로서 많은 분야에서 이득을 볼 수 있었습니다. 공인인증체계를 늦게 나마 마련하려는 다른 국가에서 참고하는 대상이 되고 있기도 합니다.
3. 공인인증체계에 대한 변명
우리나라의 공인인증체계에 대해 좀 더 설명하는게 좋을 듯 하네요. 전자서명법에 따르면 전자서명은 법적으로 실제 서명 및 날인 등과 동등한 효력이 보장됩니다. 은행창구에서 다른 계좌로 돈을 부치기 전에 서명하는 것과 인터넷뱅킹에서 전자서명하는 것은 동일한 효력을 가집니다. 반면 OTP, 보안카드, 비밀번호등 다른 모든 인증수단은 이에 준하는 법적 효력을 기대하기 어렵습니다.
예를 들어 고객이 자신이 직접 계좌이체했다는 것을 부정하고 은행에게 돈을 돌려달라고 한다고 합시다. 전자서명이 없는 경우 은행쪽에서 고객이 실제로는 자신이 이체를 했는데 거짓말하고 있다는 것을 증명해야 할 것입니다. 하지만 전자서명을 했다면 당연히 고객이 직접 이체했다는 것이 우선적으로 인정되고 오히려 고객이 실제로 전자서명하지 않았다는 것을 증명해야 합니다.
좀 더 쉬운 예를 들어 볼까요? 아파트를 계약한다고 합시다. 전자서명을 하는 것은 표준 계약서를 작성하고 거래 당사자들이 인감으로 날인하고 인감증명서를 첨부하는 것으로 생각할 수 있습니다. 반대로 다른 인증수단을 사용하는 것은 음... 도장은 찍지않고 주민등록증 혹은 명함만 보여주면서 자신이 거래 당사자라고 말하는 정도랄까요? 인감이 찍힌 계약서는 절대적인 효력이 있습니다. 나는 사실 계약할 생각이 없었다고 발뺌을 하더라도 되돌릴 방법이 없지요. 하지만 계약서가 없다면? 그냥 말로만 계약한 경우라면? 문제가 생길경우 꽤나 복잡해질 것이 당연합니다. 보증금 50만원에 월세 20만원 내는 대학촌 쪽방이라면 도장없이도 계약할 수 있어도(저는 대학생때 많이 그랬습니다) 5억짜리 아파트를 살 때는 누구나 공인중개소에서 표준 계약서에 인감을 찍습니다.
우리나라의 공인인증제도는 온라인에서도 오프라인의 인감처럼 신뢰할 수 있는 수단을 제공한다는데 의미가 있습니다. 그로 인해 국민 누구나 몇 초만에 한 은행에서 다른 은행으로 수천만원의 돈을 옮길 수 있는 사회적/제도적 근거가 생긴겁니다. 이러한 근거가 없다면 우리나라 역시 외국과 같이 타행이체는 몇 일이나 걸리고 큰돈은 옮기는게 불가능 했을 겁니다. 미국에서 타행이체가 쉽지 않은게 기술력이 부족해서일까요? 미국인들이 원래 게으르고 느긋한 사람들이여서 일까요?
물론 HSM처럼 보안이 보장되는 장치가 아닌 하드디스크, USB드라이브 등에 저장되는 공인인증서(정확히 말하면 비밀키)가 외부 공격에 취약한 것은 사실입니다. 보안 업데이트가 안되고 백신도 안쓰고 방화벽도 안켜는 사용자들은 특히나 취약하죠. 하지만 그런 이유로 공인인증제도의 의미 자체를 부정하는 것은 넌센스입니다. 인감도장을 분실한 가능성이 있기 때문에 인감제도가 의미없다고 말하는 것과 동일한 수준이라고 할까요?
인증서를 사용할 사람만 사용하고 원치 않는 경우는 쓰지 않도록 하자... 는 것도 마찬가지입니다. 계약서에 원하는 사람만 도장을 찍으면 된다... 라고 하면.. 계약서가 지금처럼 절대적인 효력을 가지기는 힘들겠지요.
4. 결론
저는 openweb 분들의 공인인증체계 자체에 대한 공격은 오해에서 비롯된 것으로 생각하고 싶습니다. 요즘 관련 업계에 유행이라고 할 수 있는 "pure web", 즉 "오직 순수한 WEB 만으로 모든 온라인 활동을 할 수 있도록 하자" 라는 이념을 강조하다 보니 WEB 자체가 아닌 다른 모든 것에 의심하게 된 건 아닐까 합니다.
순수한 WEB의 추구는 물론 좋은 목표입니다. WEB은 잘 규격화되어 있으면서 그 이용은 근본적으로 열려있기 때문에 접근성, 비용의 측면에서 이점이 있습니다. 하지만 모든 분야에서 '순수한 WEB'이 최선은 아닐지도 모릅니다. '순수한 WEB'을 고집하는 것보다 WEB이 아닌 다른 기술/표준도 받아들임으로써 얻는 이점이 더 크다면 말입니다.
---
My Passion for the Vision!
My Passion for the Vision!
궁금한 게 있는데요
궁금한 게 있는데요 비밀키와 공개키 생성이 서버에서 생성되나요 클라이언트에서 생성되나요?
제가 알기에 한국의 공인인증서는 그냥 키위탁이라서 진정한 PKI가 아닌 거 맞나요?
그리고 공개된 기술이면서 클라이언트 소스는 왜 공개되지 않는건가요?
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
공개된 기술이면 무조건 공개된 구현이 있어야 하는 것은 아닙니다
인터넷을 이루는 기술.. 예를 들어 HTTP, HTML 등이 공개되어 있다고 해서
W3C가 브라우져 구현을 꼭 만들어서 소스를 공개해야 하는 걸까요?
(물론 W3C는 그렇게 했습니다만.. 그게 의무는 아니라는 말씀입니다)
My Passion for the Vision!
My Passion for the Vision!
안녕하세요. 초보
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
일반적인 국내사용자 환경(National PKI)에서는, 보통 클라이언트 측에서 생성을 하게 됩니다
클라이언트 소스는 그 만드는 방법이 RSA Lab의 PKCS#1,3,5,7,8,10,12 등과 KISA 전자인증기술규격체계(이름이잘,, 몰겠네요 ㅎㅎ 하여간 NPKI를 따라하라는 표준)에 공개되어있습니다~
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
그 표준의 문제에
그 표준의 문제에 대해서만 말해보고 싶습니다. 표준이라면 제 3자가 표준을 보고 구현할 수 있습니까?
물론 인증서 포맷과 알고리즘은 표준 형식이죠. 당연히 ActiveX가 아닌 방법으로 구현 가능합니다. 하지만 정확히 어떻게 구현해야 하는가 규정이 없습니다. 웹이나 인터넷 프로토콜과는 달리 detail을 모두 업체의 판단에 맡겨 놓고 있습니다. 관련 규정은 몇비트 암호화를 사용하고, 공인인증서를 어디에 저장하고, 전자 서명을 하면 효력을 갖는다. 대략의 기준밖에 없습니다. 정확한 통신 프로토콜, 서명 방법 따위는 업체의 선택에 맡겨 놨습니다. 문제는 여기에 있습니다. 자세한 상세 표준이 없이 독립적인 구현이 불가능한 방법을 표준이라고 주장할 수 있습니까? ActiveX를 쓰지 않는 클라이언트에서 개발을 하려면 바로 ActiveX 개발을 했던 그 해당 업체에 개발 비용을 싸들고 가서 의뢰를 하는 수밖에 없습니다.
만약 프로토콜을 문서에 따라 오픈소스 프로젝트로 스펙을 구현해 동작할 정도로 정확히 독립적 구현이 가능한 수준으로 표준화한다면, 그리고 그렇게 독립적으로 구현해도 기술적으로든 규정 상으로든 사용하는데 문제가 없다면 저는 받아들일 수 있습니다. 그 독립적 구현에 참여할 수도 있습니다. 하지만 그렇게 된다면 시장 진입 장벽이 없어져서 현재 관련 사업을 하고 있는 보안 업체들이 내키지 않겠지요.
조금의 프로그래밍 실력만 있어도 누구나 가능합니다
저 같은 경우도 공개된 PKCS 및 CMS 표준문서, KISA의 기술문서 등과 Bouncy Castle, OpenOCES 등의 오픈소스 프로그램의 기반으로 공인인증 전자서명 클라이언트를 개발적이 있기 때문에... 누구나 할 수 있다고 감히 단언할 수 있습니다.
My Passion for the Vision!
My Passion for the Vision!
스펙에 있는 기능
스펙에 있는 기능 구현이 아니라, 간단히 말해 지금 ActiveX로 이용하고 계신 금융 사이트의 리눅스용, 스마트폰용 클라이언트를 공개된 표준만으로 호환되게 만드는 게 (기술적으로든 제도적으로든) 해당 업체가 갑자기 사라져도 가능하느냐는 거예요. 각종 detail이 업체 의존적으로 구현되어서 해당 업체가 아니면 할 수 없습니다.
....
스펙에 있는 기능만 구현해도 되는데, 기존 activex 기반 플러그인과 호환되어야할 이유가 있습니까? 하나도 없어 보이는데요.
스펙에 있는 기능만
스펙에 있는 기능만 구현했는데 호환이 안 된다면, 호환되는 은행을 하나 만들어야 되나요? (실제로 농담 반 은행 만들면 어떨까 말하는 분들도 있죠.)
표준은 기술을 공유해 효율을 높이고 널리 이용하게 하자는 목적입니다. 클라이언트 하나하나마다 시스템을 구축했던 개발 비용을 싸들고 가야 개발할 수 있다면 표준의 목적이 충분히 달성되나요? 신규 업체가 쉽게 진입할 수도 없죠. 그 개발 비용 싸들고 개발해 주는 은행이 있기를 사용자도 바랬고 보안 업체들도 바랬는데 지금 시장에선 기대하기 어려운 일이네요.
Viz님 개인적인 질문이 있는데요.
제게 메일로 연락처(E-Mail도 좋습니다.) 하나 남겨주세요.
제 메일 주소는 n2mart@gmail.com 입니다.
미리 감사드립니다.
토론 내용과 관계없는 글 올려서 다른 분들께 죄송합니다.
메일 받으면 자폭하겠습니다.
그럼.
제 생각
Viz님의 글에 빗대어 저의 몇 가닥 생각을 정리하여 포스팅하여 봅니다.
------------------------------------------------------------------------------------------
1. openweb 운동의 초기 목표 -- 잦은 실패로 인한 전략상 변화가 보이지만 전체적인 목표의 일관성은 유지되고 있다.
오픈웹이 그 이상을 이루기 위해서 그동안 많은 노력을 기울여왔음에도 불구하고 미미한 변화만 감지될 뿐
아직 가시적인 성과를 이루어내지 못했습니다. 잠시 몇몇 쇼핑몰/서점에서 플러그인없이 결제가 되었다가
그마저도 금감원의 규제로 바로 막혀버렸습니다.
Viz님이 보시기에는 낙관적으로 보시는 지 몰겠지만, 제가 보기엔 지금의 한국 웹/인터넷 환경은 소위
'IT갈라파고스'로 더욱 치닫아가기만 합니다. 금감원은 스마트폰에서까지 공인인증서를 사용하도록 하는
규제를 제정하려하고, 보안업체는 새로운 스마트폰시대에 글로벌시대에 동떨어지는 보안기술을 개발하여
잇속을 챙기려들려 하고 있습니다. 과연 누구를 위한 보안기술인지 이해할 수 가 없습니다.
오픈웹이 변화를 이루어내려는 노력에도 불구하고 보안업체/보안전문가 집단과 감정싸움, 잇따른 법원소송에서의
패소등으로 인해 새로운 돌출구를 찾아보려고 전략상 변화를 주는 모습이 공격적으로 비춰질 수 있을텐데요.
제가 보기에는 아직 오픈웹이 전체적인 목표의 일관성은 잃지 않았다는 것을 알려드리고 싶습니다.
저도 openweb.or.kr 을 자주 가보지는 못하지만, 시간나실때 한번씩 들러보시면 제 말을 이해하실꺼라 생각됩니다.
2. 공인인증체계로의 목표 변화 -- 왜 오픈웹이 공개키기반구조(PKI,공인인증서)를 공격하게 되었는가?
오픈웹에서 요즘들어 의도적으로 공개키기반구조(PKI)를 집중공격하는 이유를 제가 생각하기에는 이렇습니다.
현재 국내인터넷뱅킹에서 IE브라우저 종속적인 ActiveX를 사용하는 기술은
1. 공인인증서(전자서명) 2. 보안플러그인(통신암호화) 3.방화벽,안티스파이웨어 4.키보드보안으로 4가지 입니다.
오픈웹은 저 4가지중에서 2,3,4번에 대해서는 브라우저 플러그인방식의 배포(ActiveX)에 대한 기술적/관리적대안을 제시하였지만
유독 공인인증서(전자서명)만은 플러그인을 사용하지 않고 현재 존재하는 웹브라우저 자체기술만으로
해결이 불가능합니다. 금감원에서 현재와 같이 공인인증서를 강요하는 이상은 절대로 ActiveX 와 같은
브라우저 플러그인 기술의 종속에서 벗어날 수 없기 때문에 오픈웹이 저렇게 공인인증서를 필사적으로 까고(?)
있는거라고 보시면 됩니다. 오픈웹에서는 저 공인인증서문제만 해결할 수 있다면 소기의 대안을 완성하는데 있어
큰 산을 넘을 수 있게 됩니다. 금감원에서 법규제를 일방적인 방향으로만 시행하고 있는 공인인증서 문제를
해결할 수 있다면 ActiveX 플러그인기술에서 벗어날 수 있는 근거를 충분히 확보할 수 있게 됩니다.
하지만 오픈웹의 목표가 공인인증서에 집중포화를 던지는 이유가 공개키기반구조(PKI)를 철폐하는 것이 목적이 아닙니다.
오픈웹은 목적을 정확하게 말하자면 기존 공인인증서도 계속 사용하되, SSL + OTP 도 사용자/은행이 원하는대로
선택할 수 있게 해달라는 것입니다.
3. 공인인증체계에 대한 변명
오픈웹은 그동안 인감증명서를 대신하여 공인인증서기술로 누려왔던 편의와 혜택을 무용하다거나 거부하자는 것이 아닙니다.
공인인증서는 앞으로도 공공기관 민원처리등에서 아주 유용히 쓰여질 기술입니다.
오픈웹은 계약서의 서명과 같은 법적효력을 발휘하는 전자서명기술이 무용하다라는 주장은 하지 않습니다.
단, 공인인증서 없이도 가능한 분야이고 다른 대안 기술들도 충분한 보안성을 갖추고 있다면
공인인증서 사용 유무를 선택하여 사용할 수 있는 환경을 조성해달라는 것입니다.
법규(전자서명법)에 명시되어 있지도 않는 공인인증서(PKI)만을 사용하도록 하는 일방적인 법규제의 시행은
다양성을 거부하고 독점제품만을 사용하도록 강요하고 있습니다.
지금의 작태는 사회적으로나 경제적으로 볼 때 분명히 고쳐야되는 것입니다.
금융거래를 하기 위해서 오로지 ActiveX - IE브라우저 - Windows 운영체제 조합만을 사용하도록
강요하는 것은 자유로운 기술경쟁을 저해하고, 사용자의 편의성을 떨어뜨립니다.
오픈웹이 설득력이 있는 근거를 제시함에도 불구하고 금감원/KISA 에서는 공인인증서를 이용한 거래만을 인정하려고 할 뿐만
아니라 오히려 스마트폰 같은 모바일환경에까지 확장하겠다고 어이가 없을 지경입니다.
저토록 공인인증서를 수구하려는 가상한 노력을 보노라면 공인인증서를 둘러싼 이해집단간의 어떠한 결속(?)이 있지 않은지
상상하지 않을래야 않을 수가 없네요.
4. 결론 -- 'plug-in web' 이든 'pureweb'이든간에 둘 다 자유롭게 쓸 수 있게 하자.
오픈웹의 이상은 '순수한 pureweb'이겠지만, 현실적으로 그렇게 할수만은 없다는 것을 충분히 인지하고 있습니다.
PKI(공인인증서, 전자서명) vs SSL+OTP 간의 보안성을 잘 따져보고 PKI(브라우저 플러그인으로 사용하도록 강요하는 것)만큼
SSL+OTP 방식도 그에 상응하는 보안성을 갖추고 있으므로 사용자들이 자유롭게 선택해서 쓸 수 있는 환경을 만들어보자는 것이 핵심입니다. 즉, 오픈웹의 목적은 'plugin-web' 뿐만 아니라 'pureweb'이 서로 동일한 경쟁을 할 수 있는 환경을 조성해주고 사용자들이 자유롭게 선택하여 사용할 수 있는 권리를 돌려주자라는 것이라고 보시면 좋겠습니다.
덧)
혹시나 싶어서 하는 말입니다만 내가 SSL에 대해서 좀 압시네 하고 자랑하고픈 보안기술자분에게 미리 드리는 얘기입니다.
"SSL strip 공격으로 SSL이 현재 보안통신플러그인보다 보안성이 취약하므로 SSL 도입은 안된다" 와 같은 기술맹목적인 발상에서 나오는 말은 제발 좀 안하셨으면 좋겠습니다. 반사~
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
금감원에서는 인터넷
금감원에서는 인터넷 뱅킹에 전자서명이 필요하고, 기술적으로 여기에는 공인인증서가 필요하기 때문에 공인인증서를 계속 사용하려고 하고 있고, 오픈웹에서 그 전자서명이 필요없다고 주장하는 이유가 플러그인 말고는 전자서명을 구현할 방법이 없기 때문이라는 건가요? 좀 충격이네요...
편리한 것도 좋지만 그렇다고 안전을 포기할 수는 없잖아요. SSL+OTP가 PKI만큼의 보안을 제공할 수 없다면 PKI를 계속 쓰는 것은 합리적인 방법이라고 생각되는데요.
ActiveX 전용인 것은 문제지만, 이건 플랫폼을 확대해서 해결해야 하는 일 아닌가요?
안전은 당연히 확보되어야 합니다.
안전이야 당연히 포기할 수 없는 것이지요.
굳이 '안전을 포기' 한다고 여기실게 아니라 현재의 공인인증서를 사용하는 '전자서명(부인방지)'를 포기하는게 어떻겠느냐 라고 보시는 게 정확합니다.
전자서명은 SSL처럼 직접적으로 거래의 안정성에 관여하는게 아닙니다. 전자서명이 없어도 안전한 거래를 할 수 있고,
외국은행들은 전자서명없이도 안전하게 인터넷뱅킹을 하고 있습니다.
전자서명은 오로지 부인방지목적으로만 쓰이는 건데
오픈웹은 거래(인터넷뱅킹 이체)의 직접적인 안정성과 관계없는 그 전자서명때문에 굳이 플러그인방식을 고수할 필요가 있느냐는 거죠.
그나마 전자서명 자체의 보안성도 따져보자면
이 쓰레드에서 언급되는대로 전자서명이 제대로 효력을 발휘하기위해서는 공인인증서가 안전한 위치에 보관되어 있어야 하는데 그렇지가 못합니다.
안전하지 답보되지 않는 PC에 개인키가 유출되고 개인키를 해독하기위한 비밀번호만 안다면 도용당할 소지가 충분한 현재의 전자서명은
패스워드 수준 이상의 안전을 보장하지 못하고 있습니다.
또한 법규(전자서명법)에도 전자서명을 하기 위해서 반드시 공인인증서를 사용해야한다고 명시되어 있지 않습니다.
기술적으로 전자서명(부인방지)을 할 수 있는 게 공인인증서(PKI)말고 없는지
많은 사람들이 ActiveX의 불편함을 토로하고 있는데 브라우저 플러그인 방식이 아닌 다른 대안을 모색해볼수 있겠지요.
위의 이유들로 오픈웹은 공인인증서가 필수불가결하게 사용되어야만 하는지 묻고 있습니다.
오픈웹이 전략적인 선택으로 '공인인증서'를 까는 것은 맞습니다만
그 공격적 주장에도 나름 충분한 근거를 가지고 있는 점도 살펴볼만 하다고 생각합니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
전자서명법을 읽어보셨는지요?
전자서명법에서는 공인인증은 언제나 의미를 가지지만 사설인증은 당사자들 사이에서 합의가 이루어진 경우에만 의미를 가진다고 되어 있습니다.
당연히 가능한 상황에서는 공인인증을 사용하는 것이 합리적이겠지요.
My Passion for the Vision!
My Passion for the Vision!
제가 되묻고 싶습니다
먹고 살기 바빠서 전자서명법은 제대로 읽어보지 못했습니다.
하지만 아래 인용글을 본 적은 있습니다
--------------------------------------------
http://openweb.or.kr/?p=2781
4. 전자서명법
전자서명법에는 공인인증서 사용을 강제하는 규정이 없습니다. 사설인증서 사용을 강제하지도 않고, 아예 인증서 사용 자체를 강제하지 않습니다. 행안부/금감원은 법률이나 제대로 지켰으면 좋겠습니다.
--------------------------------------------
공인인증서 사용을 강요하는 것은 전혀 합리적이지 못합니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
위에서도 썼지만
위에서도 썼지만 소프트웨어로만 구현된 PKI는 이런 용도로 쓸 물건이 아니고 이렇게 최종사용자에게 광범위하게 사용하는 경우도 없습니다. 최종 사용자에게 화일을 나누어 주면서 복사되지 않도록 지키라고 요구하는건데, 합리적인 수준에서 만족시킬 수 있는 요구사항이 아닙니다. 나름 전문가들이 이게 좋은 방법이라고 주장한다는 것 자체가 왜 우리나라 아이티가 고립되어가는지 잘 보여준다고 생각합니다. PKI의 기본적인 특성만 이해하고 상식 수준의 판단력만 있어도 말이 안되는 게 자명한 문제인데 말입니다. 최종 사용자는...
* 사용하는 컴퓨터의 보안을 보장하기 힘듭니다. ActiveX 덕에 한층 더 힘들어졌구요.
* OTP, 열쇠, 신분증등 물리적인 물건의 경우 도난/분실을 직관적으로 인지/대처할 수 있지만, 전자 정보의 복사는 그럴 수 없습니다. 공인인증서가 복사된다는 걸 이해하지 못하는 경우가 더 많을겁니다 (공인인증서는 내 주머니 안의 usb키에 있는걸?). 보안카드의 경우 두 지점의 중간 정도가 되는데, 보안카드에 담겨있는 정보양이 너무 적기 때문에 내용 도난을 인지하지 못할 가능성이 꽤 높습니다 (잠깐 지갑을 둔 사이 사진을 찍어가면 내용 도난을 인지할 수 없습니다).
* 공인인증서 복사시 혹은 재발급이 가능한 개인 정보 유출시 공인인증서에서 발생하는 모든 보안성은 0이 됩니다.
공인인증서 없애자고 하는 건 플랫폼 지원의 문제도 있지만, 그 자체가 워낙 뻘짓이라서 그런 면도 많이 있습니다. 다시 한 번 말씀드리지만 PKI는 이렇게 쓸 물건이 아닙니다. 최종 사용자에게 PKI를 사용하게 하려면 전자적인 방법으로 키가 직접 노출되지 않는 방법을 사용해야합니다. OTP도 사용방법이 제약되긴 했지만 전자적인 방법으로 키 노출이 되지 않는 key pair 인증의 한 방법이구요. 현재 사용되는 형태의 공인인증서가 OTP에 비해 사용상에서 의미있는 장점은 없습니다.
PKI는 OTP 같은 대칭키 방식에 대해 근본적인 이점이 존재합니다
암호학적인 이야기이긴 하지만 PKI는 OTP 같은 대칭키 방식에 비해 중간에서 누군가 키를 가로챌 수 없다는 이점이 있습니다.
openweb에서 PKI에 대한 대안으로 OTP를 자꾸 이야기하면서 OTP가 무슨 완전한 보안 솔루션인양 말하는데요. OTP는 중간에서 입력한 키를 가로채면 끝입니다. 즉, SSL을 어떻게든 격파하고 네트워크 중단 지점에서 가로채든, (PKI도 뚫리는 상황인) PC, 즉 종단점에서 가로채든 가로채면 끝입니다.
특히 현재 OTP가 금융보안연구원 산하에서 통합관리 중이기 때문에 A은행에서 거래 중에 입력한 OTP 패스워드를 가로채 B은행에서 돈을 훔쳐가는데도 사용할 수 있습니다.
OTP 역시 완전하지 않은 수단일 뿐인데.. openweb의 영향으로 OTP만 사용하면 안전하다고 생각하는 분이 많네요. 개인적으로 openweb 분들이 OTP 수입업체(이젠 국산제품이 있을지도..)와 관계가 있는 것이 아닌지 하는 망상이 들 정도입니다. -_-;
My Passion for the Vision!
My Passion for the Vision!
비용과 위험도 상
비용과 위험도 상 합리적인 솔루션을 찾는게 목적이지 완전한 솔루션을 찾는 게 목적이 아닙니다. 로컬 해킹 당하면 뭐든 아무 쓸모도 없습니다. 거래내용 사이닝이요? 유저가 보는 내용이 정말 사이닝 프로그램이 보여주고 있는 내용인지 보장할 수 없습니다. 사이닝 프로그램이 그 사이닝 프로그램인지조차 알 수 없죠. 극단의 디테일들을 물고 늘어지면서 현재 시스템을 옹호하는 건 현재 시스템을 잘 이해하지 못하는 사람들을 기만하는 거라고 생각해보시진 않으셨는지요? 공인인증서는 그 훨씬 전으로 돌아가서 비밀 키 복사가 너무나 쉽습니다. 최종 사용자 보안 솔루션으로선 OTP에 비교해 농담같은 시스템입니다. SSL을 격파하면 부분은 그냥 우스게 소리로 듣겠습니다.
극단의 디테일이라고 하기에는 현실적인 위험입니다
SSL 격파라는 말은 제가 적어두고도 우스운 소리로 들리긴 합니다 :)
사실 SSL이 격파되기는 쉽지 않은 것이 사실이죠. 유저가 부주의하게 경고 메시지에서 yes를 누르지 않은 이상에는요.
그런데 아이디/패스워드 혹은 OTP 키값이 중간에서 가로채질 수 있는 곳 중에 간과될 수 없는 곳이 있습니다. 바로.. 금융기관쪽인데요. SSL로 커버할 수 없는 SSL 가속기 뒷편, 혹은 웹서버와 WAS서버 사이 그리고 은행서버 상의 마스킹되지 않은 로그파일(-_-) 등이 존재합니다.
공인인증기반 전자서명이 없다고 가정할 때 하나의 금융기관이 뚫리면 모든 금융기관이 위태롭게 됩니다. 상당한 수의 이용자가 여러 사이트의 아이디/패스워드를 공유하고 국내 OTP가 통합관리되고 있기 때문인데요. 한 금융기관과 거래를 위해 입력한 정보를 가지고 다른 금융기관에서 거래를 발생시키는 공격이 가능하기 때문입니다.
금융기관 쪽의 보안이 무너지는 것은 거의 가능성이 없는 일이라고 치부하실지 모르겠지만 보안관련 예산과 인력이 보잘것 없는 수준에 불과한 저축은행에서도 OTP를 사용하고 있다는 것을 명심하셔야 합니다. (대형은행의 내부 보안이 무너진 경우는 아직 알려진바 없지만 저축은행의 경우 수 건 발생한 적이 있습니다)
게다가 금융기관이 뚫리는 경우 그 여파가 상당히 많은 이용자들에게 미칠 수 있다는 것을 감안하면 절대 무시할 수 없는 위험입니다. 그리고 이 상황에서는 유일하게 PKI, 즉 전자서명관련 기술만 마지막 보루가 됩니다.
이래도 공인인증이 OTP에 비하면 농담같은 시스템인가요?
ps. 개인키가 하드디스크에 저장되어 쉽게 훔쳐질 수 있는 것이 문제라면 OTP가 아닌 HSM(하드웨어보안모듈)이 그 대안이지 않겠습니까?
ps2. 위에서 설명한 이유로 통합관리되는 순간 OTP는 치명적인 결함(다른 금융기관을 공격하는데 사용될 수 있다)을 가집니다. 하지만 통합관리를 하지 않으면 인증수단으로써의 매력이 상당히 떨어지겠죠. (각 금융기관마다 하나씩 만들어야 하니까)
My Passion for the Vision!
My Passion for the Vision!
> 이래도 공인인증이
> 이래도 공인인증이 OTP에 비하면 농담같은 시스템인가요?
쓰신 글 처음부터 다시 곰곰히 읽어보시고 저에게 농담이 아니라고 진지하게 말씀하실 수 있으시다면 이 대화는 여기서 그만두는게 좋겠습니다. 말씀하신 내용이 얼마나 억지스러운지 혼자 곰곰히 생각해보시길 권합니다 (SSL 경우와 마찬가지인데 기술적인 구멍만 생각하지 마시고 현실적인 실현 가능성과 합리적인 수준의 회피 방법도 고려해보시면 자명하리라 생각합니다).
> ps. 개인키가 하드디스크에 저장되어 쉽게 훔쳐질 수 있는 것이 문제라면 OTP가 아닌 HSM(하드웨어보안모듈)이 그 대안이지 않겠습니까?
그럼요 HSM도 괜찮습니다. 비용 문제가 있고 여러 장치와의 호환성이 문제가 되긴 합니다. HSM 경우에도 디스플레이를 따로 갖추지 않는 한 부인방지 효과는 없음을 유념하시기 바랍니다. 거래 내용을 표시할 수 있는 디스플레이가 없는 상태에선 OTP대비 장점이 없습니다.
제가 쓴 글을 다시 곰곰히 읽어보니
어제 자다 일어나서 쓴글이라 그런지 다시 읽어보니 마무리가 꽤나 공격적이네요. 이점 사과드립니다.
하지만 제가 제시한 금융기관 측에서의 침해 가능성을 억지스러운 수준으로 치부하시면 곤란합니다.
다음기사에서 볼 수 있듯이 저축은행이 보안에 취약하고 심각한 수준의 침해가 일어난 적이 있다는 것은 잘 알려진 사실입니다.
http://www.hani.co.kr/arti/society/society_general/290026.html
위 상황에서 해커가 해당 저축은행 시스템을 점유하고 들키지 않은 상황에서 입수한 고객의 거래내용을 바탕으로 타 금융기관에 공격을 시도하는 것이 진정으로 비현실적인지요?
사실 고객입장에서야 은행과실로 인한 손해는 누군가 책임을 질테니 별 상관없다고 생각할수도 있겠지만 정책 입안자 혹은 금융기관 담당자 입장에서는 그런 상황에서의 안전 수단도 강구하고 싶을 겁니다.
ps. 아래의 글이나 디스플레이를 갖춘 HSM를 언급하시는 것을 보면 이쪽 분야에 충분한 배경지식을 가지고 계신듯 하네요. 그래서 조금이나마 제 뜻을 정리하고자 다시 글을 덧붙입니다.
ps2. 디스플레이 뿐만 아니라 물리적인 서명인증방법(HSM 디스플레이 상의 거래내역을 확인하고 HSM에 달린 하드웨어적인 버튼을 누르는 것)까지 존재해야 진정으로 허점이 없는 부인방지가 가능하겠지요. 하지만 tj님이 앞서 언급하신 것처럼 보안이라는 것은 현실적인 수준에서의 타협해야 하는 것 아니겠습니까? ^^;
My Passion for the Vision!
My Passion for the Vision!
> 사실
> 사실 고객입장에서야 은행과실로 인한 손해는 누군가 책임을 질테니 별 상관없다고 생각할수도 있겠지만 정책 입안자 혹은 금융기관 담당자 입장에서는 그런 상황에서의 안전 수단도 강구하고 싶을 겁니다.
PKI는 최종 사용자단에서 광범위하게 망가져있는데다가 취약점이 발견되도 deployment 범위가 워낙 크기 때문에 바꾸기가 굉장히 어렵습니다 (현상황이죠). 금융기관쪽은 관리하기도 문제 가능성이 발견됐을 때 수정하기도 훨씬 쉽습니다. 시나리오야 여럿 있겠습니다만 원래 언급하셨던 부분은 OTP키가 애초에 은행을 거치지 않고 인증센터로 바로 가도록만 해도 해결할 수 있는 문제입니다. 이런 쪽 디자인하고 구현하라고 보안업체들이 있는거고, 실제로 보안업체들이 의미있는 보안 구현을 할 수 있게 됩니다.
> ps2. 디스플레이 뿐만 아니라 물리적인 서명인증방법(HSM 디스플레이 상의 거래내역을 확인하고 HSM에 달린 하드웨어적인 버튼을 누르는 것)까지 존재해야 진정으로 허점이 없는 부인방지가 가능하겠지요. 하지만 tj님이 앞서 언급하신 것처럼 보안이라는 것은 현실적인 수준에서의 타협해야 하는 것 아니겠습니까? ^^;
네 그럼요. 디스플레이가 없는 경우에도 컴퓨터에 직접 연결되는 HSM의 경우 하드웨어 허가 버튼은 중요합니다. 아니면 너무 위험해요. 결제 횟수와 시점 제어가 전혀 안되는걸요.
비밀키가 직접 노출이 되지 않고 플랫폼 의존적이 아니라면 받아들일만한 수준이라고 생각합니다. 더 좋은 아이디어가 있으면 좋겠지만, 제 생각엔 제대로 만든 OTP 정도면 현 상황에서 괜찮은 선택인 것 같습니다. 여태까지의 경험에 비추어봤을 때 근미래에 정책적으로 올바른 결정을 할 가능성이 높다고 생각하진 않습니다. 그냥 기술적으로 그렇다는 정도만 합의할 수 있으면 좋겠다고 생각합니다.
아 그리고 OTP는
아 그리고 OTP는 대칭/비대칭 키 방식과 직접적인 관련이 없습니다. 물론 대칭키로 구현할 수도 있겠지만 제 정신이면 인증서 기반으로 구현하겠죠. 말씀하신 부분은 대칭/비대칭의 문제가 아니라 challenge/response 짝이 성립되지 않고 (OTP 장치에 challenge를 입력할 방법이 없으니) 단방향으로만 인증이 이루어져서 생기는 문제입니다.
웃는 남자님의 글에 덧붙입니다
제 설명이 충분히 상세하지 않았는지요?
부분적으로 더 설명해 보겠습니다.
('웃는남자'님 씀)
하지만 오픈웹의 목표가 공인인증서에 집중포화를 던지는 이유가 공개키기반구조(PKI)를 철폐하는 것이 목적이 아닙니다.
오픈웹은 목적을 정확하게 말하자면 기존 공인인증서도 계속 사용하되, SSL + OTP 도 사용자/은행이 원하는대로
선택할 수 있게 해달라는 것입니다.
-> 제가 원래 글에서 말씀드렸다시피 원하는 사람은 안써도 된다... 해서는 제도에 근거한 신뢰를 쌓을 수 없습니다.
물론 기존 전화기를 이용하는 폰뱅킹, 모바일뱅킹 등에서는 공인인증기반 전자서명을 안써도 되었던 것이 사실입니다. 하지만 정부에서는 앞으로 가능하다면 모든 수단에서 공인인증기반 전자서명을 도입하려고 하고 있습니다. 그 이유는 역시 장기적으로 최대한 신뢰할 수 있는 인프라를 구축하기 위해서입니다.
그런데 개인의 선호에 따라 공인인증을 선택할 수 있도록 되면 이런 인프라 구축이 불가능해지게 되는 거죠. 정부와 사회에서 그동안 많은 투자를 한 분야입니다. 저는 이런 인프라는 하나의 사회적 자산이라고 까지 표현하고 싶습니다. 그런데 openweb 운동 때문에 이런 인프라를 잃게 될까 두렵습니다. '순수한 웹'이라는 가치가 이렇게 오랜 기간과 노력을 들여 쌓아온 인프라를 버려야 할 정도로 중요한 것인지요?
('웃는남자'님 씀)
법규(전자서명법)에 명시되어 있지도 않는 공인인증서(PKI)만을 사용하도록 하는 일방적인 법규제의 시행은
다양성을 거부하고 독점제품만을 사용하도록 강요하고 있습니다.
지금의 작태는 사회적으로나 경제적으로 볼 때 분명히 고쳐야되는 것입니다.
금융거래를 하기 위해서 오로지 ActiveX - IE브라우저 - Windows 운영체제 조합만을 사용하도록
강요하는 것은 자유로운 기술경쟁을 저해하고, 사용자의 편의성을 떨어뜨립니다.
-> 제글에서 누누히 말씀드렸다시피 공인인증하고 ActiveX하고는 아무런 관계가 없습니다. 지난 10년동안 ActiveX가 많이 쓰여온 것은 IE 상에서 유일한 플러그인 기술이 그것이였기 때문입니다. 공인인증체계는 어떤 플랫폼에서도 사용할 수 있고 아이폰을 제외한 최신 디바이스(안드로이드 폰, 윈도폰7)에서는 플러그인 없이도 표준 API를 이용해 사용할 수 있습니다. (여전히 웹 상에서의 전자서명은 국제 표준이 없는 이유로 플러그인이 필요합니다)
('웃는남자'님 씀)
오픈웹의 이상은 '순수한 pureweb'이겠지만, 현실적으로 그렇게 할수만은 없다는 것을 충분히 인지하고 있습니다.
PKI(공인인증서, 전자서명) vs SSL+OTP 간의 보안성을 잘 따져보고 PKI(브라우저 플러그인으로 사용하도록 강요하는 것)만큼
SSL+OTP 방식도 그에 상응하는 보안성을 갖추고 있으므로 사용자들이 자유롭게 선택해서 쓸 수 있는 환경을 만들어보자는 것이 핵심입니다. 즉, 오픈웹의 목적은 'plugin-web' 뿐만 아니라 'pureweb'이 서로 동일한 경쟁을 할 수 있는 환경을 조성해주고 사용자들이 자유롭게 선택하여 사용할 수 있는 권리를 돌려주자라는 것이라고 보시면 좋겠습니다.
-> 저는 원래 글에서 전자서명이 보안성을 확보해준다는 말을 한 적이 없으며 오히려 현재 전자서명 방식에는 취약점이 있다고 설명하고 있습니다. 하지만 온라인 거래에서 보안성 만이 중요한 것이 아닙니다. 오히려 전자서명이 가지는 법적 의미가 더 중요하다고 말씀드리고 싶습니다.
My Passion for the Vision!
My Passion for the Vision!
왜 한가지만 고집하여야 하는가요?
1. 우선 이슈가 되는 범위를 좁히는 게 순서일 것 같습니다.
오픈웹은 현재 PKI 가 사용되는 모든 분야에 대해서 전면 철폐를 주장하는게 아니며, 문제를 삼는 부분은 '인터넷뱅킹'에 국한합니다.
공공분야 같은 곳에서 전자서명을 사용하는 것에 대해 논의하지는 않습니다.
전자서명이 꼭 필요한 분야는 당연히 지금처럼 계속 사용하거나 확대해 나가는 것에 대해서 아무런 이의가 없습니다. (제가 아는 한)
단지 전자서명법에서 인터넷뱅킹 이용시 전자서명(부인방지)을 요구하고 있는데 그걸 시행하기 방안이 PKI말고는 대안이 없느냐와
전자서명이 필수불가결한 요소가 아니라는 것이 인정된다면 보안성이 있는 다른 방식들도 같이 사용할 수 있도록 법규제를 풀어달라는 것입니다.
지금의 논의는 PKI 인프라를 버리느니 말자니 하는 얘기를 하고 있는게 아니며,
바로 제도에 근거한 신뢰를 얻고자 그 규제(전자서명법)를 바꿔달라는 것입니다.
Viz님은 자꾸 오픈웹이 'pureweb'만 주장한다고 하시는데 오로지 'pureweb'만을 위해서 기존 인프라를 고치려한다고 보는 것은 틀리셨습니다.
기존 인프라는 손대지 말고 법규제(전자서명법)을 바꾸자는 것입니다.
시대가 바뀌면 법규제도 바뀌어야합니다.
만약 한국에 애플의 앱스토어와 같은 대박 앱스 사이트가 생긴다고 칩시다.
모든 온라인 거래에 공인인증서를 사용하라는 현행 규제에 따라 외국인들에게 공인인증서를 요구해야 될까요? 말아야 할까요?
2. PKI 자체는 표준화되어 있는 걸로 압니다. 그런데 지금 얘기하는 건 PKI의 표준성을 두고 문제 삼으려는 것이 아닙니다.
PKI 의 공인인증서 플러그인을 배포할 때 ActiveX 가 아니면 안되기 때문에 지금 이러고 있는 거죠.
아직 금융거래 이용자는 모바일뱅킹사용자보다 인터넷뱅킹 사용자가 훨씬 더 많습니다.
공인인증서를 쓸려면 windows 운영체제에서 IE 브라우저의 ActiveX 플러그인을 설치할 수 밖에 없는데 공인인증서가 어찌 ActiveX 와 상관이 없다는 건지요?
웹에서 PKI 가 왜 여태까지 국제표준화되지 못했는지 이유가 있을 것 같은데 그 점이 궁금해지네요.
3. '전자서명이 가지는 법적 의미'라는 것은 '부인방지' 그 이상 그 이하도 아닙니다.
그리고 그 부인방지가 제대로 된 부인방지가 아니라는 겁니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
인프라에 대해서 생각해보죠.
정부에서 인프라를 구축을 안해주는데 문제가 있습니다.
정부에서 인프라 구축에 대한 책임을 내던져버렸기 때문이라고 생각됩니다. 특히 공공 인프라라고 볼수 있는 온라인 결제 시스템에 대해서요. 공공인프라는 모든 사람이 사용할수 있게끔 구축을 해놓아야 하겠지요. 그렇지만 지금의 온라인 결제 시스템은 오직 윈도우에서의 익스플로러 에서만 사용할수 있게끔 구축을 해놓았었고. 그에 대해서 오픈웹에서는 정부가 책임지고 그 공공 인프라를 윈도우가 아닌 다른 OS에서도, 다른 브라우저에서도 사용 가능 하게끔 해달라고 소송을 걸었던 거죠.
근데 결과는 정부에서 자기 주관 아니라고 내팽개쳤습니다. 모든것은 시장경제에 따른 업체의 판단이다 라는거죠. 사회적 자산에 대한 접근성 보장을 정부에서 포기했다는 겁니다. 특히 그 사회적 자산이라는게 경제생활 하는데 있어서 반드시 필요한 자산인데, 접근할 방법이 없다면. 과연 이게 개인의 선호와 관련된 말일까요?
온라인 결제라는 사회적 자산에 공인인증서라는 방법외에는 접근할 방법이 없으니 다른 접근방법을 마련해 달라고 대안을 제시하는것이 과연 인프라를 버린다고 생각되는걸까요?
....
짧게한 생각으로는
종이 + 펜으로한 서명 = 공인인증서 + 패스워드
이렇게 되고있는데요.
인터넷 뱅킹을 할때
통신은 https 로 통신을 하고 ID + 패스워드로 로그인을 하고 중에 보안카드 및 OTP 를 사용했을때 어떤 문제가 있을까요?
본인인증을 해야한다면 SMS를 사용하는 방법도 있지 않을까요?
그리고 만약 ACTIVEX 가 아닌 JAVA로 만들었다면 반발이 있었을까요?
그걸 떠나서 ACTIVEX 가 아닌 다른 언어로 만들었다고 하더라도, 다른 플랫폼 (윈도우,맥,리눅스...) 다른 브라우저 (IE,파이어폭스,오페라...) 을 지원을 했더라면 반발이 있었을까요?
정부에서 가이드라인만 제시하고 엄격한 표준안을 제시하지 않았다고 해서 정부탓을 할것만은 아니고,
업체에서 윈도우+IE 만 지원한다고 해서 업체탓만을 할건 아닌거죠...
....
그에 대해서 오픈웹에서 예전에 ActiveX에 대한 대안으로..
자바로 만들어진 공인인증서 모듈과 그를 활용하는 방안을 제시한적이 있지요.
그게 요즘 뒤늦게 공공기관을 중심으로 구현되고 있지요..
오픈웹
4년전 오픈웹을 시작했을 때에는 공인인증서가 안전하다니 그런가 보다 하고, IE외에서도 공인인증서를 사용하게 해달라는 요구에 집중했습니다. 보안업계는 비 IE 웹브라우저에서 작동하는 공인인증용 플러그인 시장이 활성화 될 것으로 기대하고, 오픈웹을 지지하는 분위기 였습니다.
그 후 조금씩 공부해 보니, 개인인증서(client certificate)을 사용하는데 필요한 기능이 웹브라우저에 이미 내장되어 있다는 사실을 알게 되었습니다(서버인증 SSL 교신 기능이 있다는 것은 진작에 알았지만). 요컨대, 암호화 교신 기능과 인증서로그인 기능은 플러그인을 사용할 필요도 없는데, 굳이 플러그인을 사용하는 국내 기술경향은 납득이 가지 않았습니다.
그리고, 금융위원회(금감원의 상위기관)가 고시한 전자금융감독규정 제7조를 보니, "공인인증서를 사용하여야 한다"고만 되어 있지, "전자서명을 하여야 한다"는 규정도 없고, 상위법인 전자금융거래법에도 금융위원회는 "인증방법"에 대하여 필요한 기준을 정할 수 있다고 되어 있지, 부인방지 수단을 확보해야 한다는 규정도 없었습니다.
따라서, 모든 웹브라우저에서 금융거래 서비스를 제공하는 방법(공인인증서를 사용하라는 현행 규제 하에서도)은 플러그인을 걷어내면 되는 것이었습니다.
여기서 맞닥드린 문제는 공인인증서 "저장위치"였습니다. 웹브라우저가 인식할 수 없는 괴상한 위치(NPKI 폴더)에 개인인증서를 저장하는 사례는 전세계 어디에도 없고, 굳이 그런 위치에 개인인증서를 저장해야 할 보안기술적 이유도 없다고 저는 생각합니다. 오직 플러그인 판매 시장을 유지하기 위한 "꼼수"로 비춰졌습니다. 클라이언트 플러그인만 있으면 되는 것이 아니라, 서버플러그인도 필요하게 만들어 두고, 서버플러그인 장사를 하겠다는 것이지요.
따라서, 오픈웹은 공인인증서 저장 위치를 "웹브라우저가 인식할 수 있는 위치"로 해달라는 요구를 제기했습니다.
그러자, 일각에서는 이제는 "전자서명이 반드시 필요하다" 면서(강제할 근거규정도 없으면서), 부인방지 기능이 논란거리로 부상했습니다. 인증서로그인은 개인인증서 저장위치만 바꾸어주면 플러그인 없이도 가능하지만(PC는 물론, 아이폰, 윈모, 블랙베리에서; 안드로이드는 인증서로그인 기능이 아직 지원되지 않습니다. 현재 bug report 가 등록된 상태), 거래내역 전자서명은 반드시 플러그인이 필요하지요.
그래서 과연 전자서명이 부인방지 기능이 있는지를 찾아보았습니다. 2000년에 Computer Security Journal에 발표된 논문을 보니, 전자서명은 "누군가"가 그런 거래를 했다는 점을 확인할 뿐, 그자가 고객인지 공격자인지는 밝혀낼 수 없으므로, 실제로는 부인방지 효력이 없다(인증서 개인키가 유출되지 않았음을 먼저 입증해야 하는데, 복제 가능한 형태로 저장되는 인증서 개인키는 유출되지 않았다는 점을 입증할 방법이 없습니다)는 점이 설명되어 있었습니다.
실제로도 외국에서는 거래내역 전자서명을 받는 경우도 없고, 국내 은행에서도 막상 사고가 나면 실컷받아둔 전자서명값은 들여다 보지도 않는다고 은행 관계자가 제게 설명해 주었습니다. 어차피 고객은 "자기가 서명한 것이 아니라, 공격자가 서명했다"고 주장하고, 공격자가 서명한 것이 아니라 고객이 서명했다는 점을 "전자서명으로는" 밝혀낼 수가 없기 때문이지요.
그래서 과연 현재와 같은 방식(공인인증서+보안플러그인 3총사)이 인증서 개인키와 인증서 암호 유출을 방지하는데 도움이 되는지를 공부해 보았습니다. 결론은 전혀 도움이 안된다는 것이었습니다. 개인키 파일자체를 복사는 하는 것은 쉽고(유저 컴퓨터가 뚫렸다고 전제할 때; 보안업체들의 전제가 바로 이것이지요); 유일하게 남는 방어막이 인증서 암호인데, 키보드보안 플러그인을 은행이 아무리 강제실행해도 유저가 다른 웹사이트에서 입력하는 암호가 인증서 암호와 동일한 경우가 대부분이므로, 암호또한 유출됩니다.
그러니, 공인인증서+보안 플러그인은 헛수고에 불과하다는 생각입니다. 유저의 컴퓨터가 안뚫렸다고 전제한다면, 훌륭한 부인방지 효과를 거두겠지만(그러나, 한번이라도 PC방에서 인증서를 사용했다면, 유저 컴퓨터는 안뚫렸어도, 인증서 유출가능성은 생깁니다)....
사족: 사설인증서로 한 전자서명도 거래 양당사자가 사설인증서로 전자서명하기로 미리 합의하면, 공인전자서명과 동일한 효과가 있습니다(위의 Viz님 댓글 참조). 은행의 경우에는 고객에게 사설인증서를 발급해주고, 은행거래 약관에 그것으로 전자서명하기로 동의하는 내용을 추가하면, 간단히 그렇게 할 수 있습니다. 어차피 지금도 은행이 RA가 되어 본인확인을 하고 있고, 인증서 발급인프라는 은행이 조금만 수정하면 됩니다(공인인증서 도입 전에는 은행이 직접 사설인증서를 발급했었습니다). 그리고 은행거래 약관에 한줄 추가하는 것은 쉽습니다. 그런데도, 굳이 "공인"인증서의 사용만을 강제하는 현행 규정은 기술적으로도 사업적으로도 전혀 타당성이 없습니다. 공인인증업체의 이해관계만을 노골적으로 옹호하고, 사설인증 업체의 사업을 원천봉쇄하려는 편파적 규정입니다(Viz님 죄송...). 전자서명법은 인증서 사용을 강제하지도 않고, 사설인증서 사용을 금지하지도 않습니다. "만일 서명을 하면", 이러이러한 효과를 주겠다는 것이 핵심 내용입니다. 전자서명을 하여야 한다는 것도 아닙니다.
http://openweb.or.kr
http://openweb.or.kr
안녕하세요. 초보
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
"2000년에 Computer Security Journal에 발표된 논문을 보니, 전자서명은 "누군가"가 그런 거래를 했다는 점을 확인할 뿐, 그자가 고객인지 공격자인지는 밝혀낼 수 없으므로, 실제로는 부인방지 효력이 없다" ..에 대하여...
귀찬케 해드려서 죄송합니다만..말씀하신.. 이 글에 대한..논문제목을 알려주실수 있을까요? 혹은 링크라도 알려주시면 감사하겠습니다. ^^
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
오픈웹에 있습니다.
“PKI의 10가지 위험 – 공개키 기반구조에 대하여 이야기 해주지 않는 것들“ http://openweb.or.kr/?p=2732
http://openweb.or.kr
공인인증기반 전자서명이 부인방지 효력이 없다니요?
공인인증기반 전자서명이 개인키의 유출 위험성 때문에 부인방지 효력이 없다고 말씀하시는 것은...
인감도장 역시 분실할 수 있으므로 인감 날인이 아무런 법적 효력이 없다고 주장하시는 것과 동일하고,
서명의 경우는 대충 흘려서 비슷하게 쓸 수 있으므로 서명 또한 아무런 효력이 없다고 주장하시는 것이며,
지문을 찍는 것도 손가락을 잘라서 찍을 수 있으니 효력이 없고,
심지어 생체정보기반인증(예를 들어 홍체패턴 인증) 역시 안구를 적출해서 통과할 수 있으니 효력이 없다고 말씀하시는 겁니다.
고로 이 세상에는 어떤 방법으로도 어떤 행동에 대해 부인방지를 할 수 없다는 것을 의미하시는 건지요?
제가 교수님에 비하면 법적 소양이 한참 부족할 것임이 분명하나 왠지 유독 전자서명에만 높은 잣대를 들이대시는 것으로 느껴집니다.
My Passion for the Vision!
My Passion for the Vision!
인감
인감 도장을 반드시 찍으라는 법령의 규정은 없습니다. (개별 거래에서 거래 상대방이 요구하는 경우가 많으나)
그리고, 인감 도장이 찍혀 있으면 부인방지 효과가 있다고 주장하는 법률가도 없습니다.
법정에서 언제나 문제되는 것이 "내가 찍은 것이 아니다"라거나, "누가 내 도장을 위조해서 찍었다"는 것입니다. 그래서 감정을 하고 어쩌구하는데, 결론이 어떻게 날지는 미리 이렇다 저렇다 말할 수 없습니다. 인감도장이 찍혀 있기만 하면 그 도장의 명의인이 그 문서 내용을 부인할 수 없다는 주장은 아무도 안합니다.
문제는 남의 집에 몰래 들어가서 인감도장 훔쳐가는 것이나 본인 모르게 손가락을 잘라가는 것은 매우 어렵지만, 남의 컴퓨터에 몰래 들어가서 본인 모르게 인증서 파일/인증서 암호를 빼가는 것은 비교할 수 없으리만치 쉽다는 것이지요.
Viz님은 이 차이를 무시하시지만, 저는 이 차이가 결정적으로 중요하다고 생각합니다. 제가 보안 전문가가 아니라서 그렇게 생각하는지 모르지만.
http://openweb.or.kr
http://openweb.or.kr
과연 부인방지가 무엇을 의미하는가?
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
모 공인인증기관(공인인증서발급기관..)에서 한참 욕먹는 전자서명 플러그인 프로그램(액티브x등..ㅋ)을 개발하는..사람(아..행여나 돌날라오는ㅎㅎ,전 걍시키는대로만.. 사실 시키는일 잘안한다는ㅋㅋ)..입니다. 위의 문제에서 오직 '기술적인 관점'에서의 궁금한점 이 있습니다. (정책,법등은 일단 논의로 합니다. 전자서명법어쩌구하면 할말없슴다)
아래 세가지 항목이 다 비슷한 말이라고 생각되는데요.(1과 2는 사실상 비슷, 3은..너무 주제가 큰가..??) , 저의 개인적 주요 관점은 부인방지(Non-Repudiation, 나중에 딴소리 못하게 하기)입니다..모 일단 아래 3가지가 너무 궁금한데 회사분들 역시 아무런 답변을 주지못합니다. 혹은 회의/답변을 하였으나 제가 우둔하여 저를 이해시키진 못하였습니다. 먼저 제가 아는것만큼만 주절거리겠습니다.
(1).과연 현재의 공인인증체계 (:= 전자서명 플러그인체제) 가 부인방지를 실현할수있는것인가?
(2).부인방지가 실제로 가능한가? 아니다! 무엇을 하든 그 사용자는 부인이 가능하다!
(3).Https + OTP의 사용조합의 현재의 체제 (1번) 과 기술적인 면에서 보안성에 차이가 있는가? 없다면 대체 혹은 병행가능하지 않을까?
하나하나 혼자 고민해봅니다..
(1)
Re : 현재의 욕먹는 공인인증체계(우어..내밥줄인디..ㅋㅋ)는 그 기반이 NPKI 법적규격(전자서명법,KISA전자서명인증체계기술규격등) + 전자서명 무조건 해야해! + 그래서 플러그인필요해!(사실상 규격이 액티브X로만 구현이가능하게끔하는듯한..사실 요게 좀 개선되어야할텐데..) 모 이런식의 구조로 시작되는것같은데요.. 전 어느순간 과연 전자서명(SignedData..RSA Lab의 PKCS#7 혹은 IETF의 RFC 3852등) 이 '부인방지'를 할수 있는지에 대한 아주 원초적인 의심을 시작하였습니다.
지금 여러분의 PC엔 c:\프로그램파일어쩌구\npki 에는 공인인증기관어쩌구\홍길동\어쩌구해서 사용자가 이용하는 개인키(Signpri.key, 안전하게 암호화 되있다고 함.. 암/복호화 방법은 공개(PKCS#5,8)되있지만ㅋㅋ 하긴 그래도 여전히 비번은 알아야죠)가 대다수 있을것같습니다. 사용자가 무얼사거나 이체등의 행동을 할때(::= 공인인증서 사용시) 전자서명 플러그인 으로 이 개인키가 사용자가 입력하는 비번(보통 인증서 비밀번호를 입력하셈! 모이러케 나오겠죠.)으로 인해 복호화되어 어떤 내용을 서명하게 되는데(요 절차가 전자서명플러그인의 전자서명처리프로세스).. 요 내용이 바로 나중에 그사람으로 하여금 그 행위를 딴소리 못하게끔 하는 부인방지를 실현케 한답니다.. 현재 대한민국에서 공인인증체계를 사용하는 가장 큰 이유이기도 합니다(툭하면 전자서명창이 뜨죠).
허나..
(2)
약간 이상한 점이 있습니다(나만 이상한가봐요ㅋㅋ). 공인인증서(:= 개인키.. 모 일단 이러케ㅎㅎ)건 OTP건 외부에 누출가능한데 (특히 파일형태의 개인키는 단기간에 대량으로 복사될 가능성 큼, 이왕이면 비번도 같이ㅎㅎ, 추가해서 보안카드 거시기인지 모가 필요하긴 하죠? 아 요건 복잡해요, 여하튼..), 이런 가능성에 대해서 도 사용자는 여전히 부인방지를 할수 없는건가요?
전 만약에 저의 OTP(얘는 좀 덜하다구 하네요..없던가..부인방지 효과가..흠..이상한데..3..에 이어서..)이든 공인인증서든(사실 인증서야 공개키의 한양식이니 공개되도 무방하지만,,걍 편의상..어감삼. 개인키:=공인인증서^^) , 악의적인 공격 혹은 저의 실수로 하여 분실/노출 되었을때.. 임의의 거래가 이루어져 , 그 거래가 이루어진 시스템이 나로하여금 당신은 '부인방지'할수 없다 라고 우겨도.. 부인할껍니다!!
물론 1차적인 분실책임은 제가 지어야겠죠. 그래서 당장 신고부터 해야겠지만..(현 PKI시스템에서의 인증서폐기목록은 보통 갱신주기가 하루, 신고해서 해당 인증서가 폐기되어도 길게 하루-계산하기시러서ㅎㅎ-는 사용되요.. 물론 금융권에서는 실시간 인증서 상태 조회를 합니다.. 요건 PKI의 고질적인 기술,정책적 문제 - 인증서 검증- 이기도 해요..개인적으로 조금 보고있어요...)
그러타고 하여도 노출?누출?된 시점에서 사용자의 신고가 되지 않은시점사이에 일어난 어떤 불행한 일에 대하여서도 단지 저의 공인인증서를 사용하여 전자서명을 하였기때문에 그행위에 대하여 더이상 부인방지 할수없다 라고 말하면 저는 당당히 부인할것같네요! 제가 안했어요!!ㅎ(조낸 우길꺼임!ㅋ)
지극히 사견인데.. 어째 이건 서비스 제공자가 사용자로부터 면피를 하려는 좀 이기적인 시스템같에요, 그리고 그 시스템이 얼마나 대단한진 몰라도(사실 현재의 전자서명시스템은 RSA 연산을 기반으로 하나, 요게 완벽한게 아님, 조낸 복호화가 어려운거지(빡시게 소인수분해!!) 안되는게 아님. 리만가설로 풀릴지도 모르고.. 사실상 대안이 없으니..사용하지만..) 사람으로 하여금 부인방지를 하게 한다.. 모 개인적으론 좀 건방진 시스템아닌가 란 생각도 드네요. 이쯤에서 사용자의 권리를 생각해봐야 하지 않나..란..생각도 듭니다만..(정책얘기안한다면서,,제가끄냈네요..강조하고파서ㅎㅎ) , 사실 요 관점에서 오픈웹에서 현 국내 인증시스템에 대하여 지적을 많이 하는듯합니다
이쯤되면 슬슬 얘기가 꼬이기는했는데(논점/주제가 슬슬 흐려짐.그래서 초반에 부인방지..로만 요점을 강조한겁니다ㅋ, 사실 이거 누구랑 회의에도 단기간에 답변안나와요.. 지금 다루는 논의자체가 개인적으론 엄청 광범위한 문제라고 생각됩니다^^).. 여하튼 현 공인인증체계에서의 전자서명 강요... 부인방지를 고집하는 그 패턴, 그래서 결국 전자서명 플러그인(하필이면 대다수는 액티브x가 설치 ㅎㅎ)이 운영되고 있는것이 현실입니다. (이쯤에서 제 사견이라면 전 여전히 플러그인 방식, 굳이 액티브 x가 아닌 다른 대안이 있다고 해도(애플릿이든 플래쉬든..) .. 여전히 전자서명 ::= 부인방지 의 효력엔 의심을 가지고 있습니다.)
그래서..
(3) 에서..
정보보안의 요소를 아래로만 한정돼 정의하고 정리해봅니다
C(기밀성). I(무결성). A(인증). N(부인방지). U(사용자가용성)
.......................C.. I.. A.. N.. U..
-----------------------------------------------------------------
현공인인증체계 OK OK OK OK 글쎄
SSL + OTP OK OK OK 글쎄 OK
-----------------------------------------------------------------
다소 정확히 않은 표현입니다. 그냥 제 생각이에요(사내 회의에서도 대강 저런 결론입니다)
근데 전.. 여기서 큰의미에서.. 아니 작은 행위에서 조차도.. N(부인방지)가 A(인증, Authenticaion)에 포함될것이다! 그럼 결국 전자서명플러그인에 의지하는 현재 인증체계와 https+otp나 모 비슷비슷한 기술아닌가? 근데 만약,,, 진짜루.. N(부인방지) 가 A(인증) 포함된다면(본인은 여전히 인증수단을 사용하여 처음1회 인증만으로 그 이후의 행위에 대하여서도-몇시간후 모 이런거 말구요..상식선의 비슷한 시점의- 인증 + 부인방지가 가능하다고 생각..왜냐! 가용성두 생각해야지! 매번 전자서명하긴 좀 그러찬아!!(특히 rsa연산 느린 스마트폰같은거라면 더욱..!) - 위험할수도 있어요ㅋ ) 왜 우리가 전자서명을 해야하는거지???
그럼..
.......................C.. I.. A.. U..
-----------------------------------------------------------------
현 공인인증체계 OK OK OK 글쎄 (개선중이라니 좋아질꺼구)
SSL + OTP OK OK OK OK (모 약간 낳은거겠죠)
-----------------------------------------------------------------
아래 조합이 더 낳을수 있다는거 아닌가?
아.. 그럼 나는 회사에서 모 하고있는거지?? ..하는 다람쥐 쳇바퀴 도는 질문을 하고있네요... 어렵습니다ㅋㅋ
여하튼 제가 특히 관심있는 부분은 부인방지 였습니다 ^^
부인방지의 효력이 생각보다 크지 않다면.. 굳이 전자서명 플러그인 방식을 고집하여 사용자 측에 어떤 부담감(설치등의 ..)을 주는것보단 웹표준을 지키고(SSL등, 공인인증서로 SSL써도 사용자 인증!), 추가의 보안절차(OTP) 의 2factor 인증으로도 이런 문제는 해결되지 않을까...혹은 대체/병행 가능하지 않을까..조심스레 적어봅니다. (또한 다소받는 지적이기도 한데.. 사실 제 질문의 요점 - 부인방지 - 이 애당초 틀렸을수도 있습니다)
추가..또한 여전히 '공인인증서' - 직접 대면하여 이사람이 제대로된 사람맞는지 여부를 확인하여 발급하는 '강한'시스템에는 동의를 합니다..(안 강한가?ㅋㅋ) 그놈의 플러그인이 문제죠ㅎㅎ
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
(1).과연 현재의
(1).과연 현재의 공인인증체계 (:= 전자서명 플러그인체제) 가 부인방지를 실현할수있는것인가?
이론적으론 그렇습니다. 근데 이론적으로만 그렇습니다.
(2).부인방지가 실제로 가능한가? 아니다! 무엇을 하든 그 사용자는 부인이 가능하다!
키 복사가 너덜너덜할 정도로 잘 되는데 뭐가 되겠습니까? PKI나 어떤 대칭/비대칭 인증이든 비밀키의 보안이 가장 기본입니다. 이게 무너지면 아무것도 아무런 의미도 없습니다. 부인방지는 할 말 없으니 하는 타령이지요. CIANU 전부 다 실팹니다.
(3).Https + OTP의 사용조합의 현재의 체제 (1번) 과 기술적인 면에서 보안성에 차이가 있는가? 없다면 대체 혹은 병행가능하지 않을까?
OTP가 탁월하게 우수합니다. 공인 인증서는 장기적으로는 가져다 버리는 게 맞습니다. 도입부터 여태까지 그냥 삽질입니다.
안녕하세요. 초보
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
아 그리고 현 국내 PKI (NPKI) 체계에서는 키쌍(개인키/공개키)는 보통 클라이언트 프로그램이 생성하여 비밀번호로 암호화 하여 가지고 있습니다. 만약 개인키를 인증기관 혹은 제3자가 가지고있는다면 제대로 '부인방지'를 할수가 없겠죠. '전자서명 효력도 없다'고 할수 있겠구요..최소한 PKI개념에선 말이죠.. 물론 행여나 모를 개인키 복구를 위한 시스템이 있긴합니다..만..일반 사용자(End Entity)보단, 인증기관 혹은 최상위 인증기관등 키의 손상이 있을때에 전체 서비스에 대하여 치명적인 곳에 한하여 운영을 하는듯합니다만 그 시스템(기술적,정책적)은 대단히 강한편입니다..(관련문서의 내용 어려워서 그럴지도ㅎㅎ)
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
개인키 관리 문제
인증서 개인키를 "제3자가 가지고 있는 경우"에는 "전자서명 효력도 없다"는 지적이 바로 제가 그동안 거듭 말씀드린 부분입니다. 공격자(즉, "제3자)가 인증서 개인키를 입수하는 사태를 막을 방법이 없습니다(유저의 컴퓨터가 뚫렸다고 전제하면; 보안업체가 언제나 주장하는 것이 바로 이런 상황입니다).
키보드 보안 플러그인을 왜 설치하라고 합니까? 유저 컴퓨터가 뚫렸다고 전제해야 된다는 말이지요. 그러나 유저 컴퓨터가 뚫리면 아무리 키보드보안 플러그인을 은행이 강제로 실행해도, 유저가 다른 웹사이트에서 입력하는 로그인 암호와 인증서 개인키 암호를 같게 정해두는 사태(user behaviour 이슈임; 플러그인을 뿌린다고 해결되는 문제가 아님)를 막을 수는 없으므로, 결국 개인키는 제3자 손에 들어가게 됩니다.
은행 접속때 잠시 켜졌다 꺼지는 개인방화벽 플러그인, 백신플러그인으로 개인키파일 복사를 막을 수 있다고 생각하시나요?
파일 복사도 못막고, 인증서 암호 유츨도 못막는 개인인증서로 무슨 '부인방지'를 하겠다는 것인지, 저의 '아마추어 상식'으로는 이해하기 어렵네요.
전자서명법 제3조에도 공인전자서명은 "서명자"의 서명으로 추정한다고만 규정하고 있습니다. "고객"의 서명이 아니라... "서명자"가 누구인지(공격자인지, 고객인지)를 추정하는 규정은 없습니다.
"전자서명이 부인방지 효과가 있다"는 주장은 PKI 벤더들의 sales talk 에 불과하고, 허위 과장 광고성 멘트에 가깝습니다. "공격자가 부인 못한다는 말인지, 고객이 부인 못한다는 말인지는 이야기 한 적이 없다. 주어가 없다" ^^ (물론 "서명자" 부인하기는 어렵습니다. "서명자"가 누구인지를 밝혀낼 수 있다면야 좋겠지만...)
http://openweb.or.kr
http://openweb.or.kr
공감합니다
인증서와 OTP(생성기건, 숫자카드건, 휴대폰으로 전달되는 SMS OTP건) 간의 가장 큰 차이점은 인증서 파일이 유출/도난되었는지는 유저가 알아차리기 어렵고(따라서 유저가 분실 신고를 안해도 유저에게 책임지우기 어렵고), OTP수단은 도난 여부를 유저가 금방 알아차릴 수 있으므로, 분실 인식 후 도난신고 사이에 일어난 사고에 대하여는 유저에게 책임을 지울 명분이 있다는 것입니다.
따라서, 은행입장에서는 OTP 수단을 사용하여 거래하는 것이 인증서를 사용하는 것보다는 유리합니다. 미국의 몇몇 은행들이 인증서를 사용하다 OTP로 전환한 것도 이점 때문이기도 합니다.
http://openweb.or.kr
http://openweb.or.kr
잘 몰라서 그러는데
잘 몰라서 그러는데 사용자가 인증서를 분실 혹은 유출 당하면 어떤 문제가 있는 건가요? 인증서가 PKI 기반이라면 비밀번호가 유출되지 않는 한 제 3자가 인증서를 가져가도 이 인증서를 사용할 수 없으니 인증서 분실이나 유출 자체가 문제가 되지는 않을 것 같은데요. 설명 좀 부탁드려요.
인증서 암호 유출을 막기는 어렵습니다.
유저가 인증서 암호와 다른 웹사이트 로그인 암호를 같게 정해두는 경우가 대부분이므로, 인증서 암호도 대부분 유출됩니다. 은행 외의 웹사이트에서는 키보드보안 플러그인을 실행시키지도 않습니다...
http://openweb.or.kr
http://openweb.or.kr
이 논리는..
그럼 ID/PWD 방식의 모든 로그인 방식은 버려야 한다는 얘기밖에 안되겠군요. 하나 뚫리면 필연적으로 다 뚫리니까요.
OTP
일회용 패스워드가 우월한 이유라고 생각합니다.
현재의 공인인증서는 "실제로는" 고정암호 이상의 보안을 제공하지 못합니다. 따라서 madhatter 님의 견해에 찬성합니다(고정암호인 경우).
인증서 파일과 인증서 암호 유출이 쉽게 되어 있음에도, "그거라도 있으면 좀 더 낫지 않을까"라는 식의 발상은 보안전문가 답지 않다고 생각합니다. 버릴 것은 과감하게 버려야 한다고 생각합니다. 특히 그것이 엄청한 제약(사용성, 서비스 제공범위 제약, 악성코드 전파 위험 증가 등)을 초래하는 경우라면 더욱 신속히 버려야 한다고 생각합니다.
http://openweb.or.kr
http://openweb.or.kr
암호 유출이 쉽게 되어 있다는 얘기는..
동의를 못하겠는데요. 실제로 일반 웹사이트와 같은 암호를 쓰지 않는다는 가정하에서는 단순 대입법으로 인증서 암호 뚫기란 매우 어렵습니다.
그리고 저는 보안 전문가가 아니라서 얘기하긴 좀 그렇지만 '그거라도 있으면 좀 더 낫지 않을까'의 문제가 아니라 하나의 장벽이 더 존재하면 확률적으로 안전성은 증가된다고 보는 것이 타당합니다.
일례로, 정책적으로 공인인증서+OTP 써라 하면 어떻게 될까요. 보안성은 더 올라가겠죠? 이런 식의 접근이 그거라도 있으면 좀 더 낫지 않을까 하는 막연한 얘기는 아닙니다.
이론적 보안 v. 실제적 보안
"실제로 일반 웹사이트와 같은 암호를 쓰지 않는다는 가정"이 충족되면, 공인인증서+키보드보안 플러그인은 훌륭한 수단이 된다고 생각합니다.
그러나, 그런 가정이 실제로 충족되지 않는 경우가 대부분이라는 것이 저의 지적의 전부입니다.
마찬가지로, "인증서 개인키가 유출되지 않는다는 가정"이 충족되면, 전자서명은 부인방지 기능을 가질 수 있습니다. 그러나, 그런 가정이실제로 충족되지 않는 경우가 대부분입니다.
가정적으로 안전한 보안이라고 해서 실제로 안전하다는 보장은 없습니다. 한국의 공인인증서보안은 현실적으로 충족될 가능성이 낮은 가정에 근거하고 있다는 점을 말씀드리는 것입니다.
http://openweb.or.kr
http://openweb.or.kr
그 논리의 문제점은
'웹사이트와 동일한 암호를 쓸 수도 있다'라는 개연성을 '그러므로 공인인증서는 고정 암호 이상의 보안성을 가지지 못한다'는 필연성으로 전환시켰기 때문입니다.
오픈웹의 많은 주장 중에, 다른 나라에서는 공인인증서나 키로거 차단 툴 없이도 잘만 온라인 뱅킹 업무를 처리하는데 그 이유는 PC보안의 문제는 사용자에게 책임을 지워야지 금융기관에 무한책임을 물지 않기 때문이며 우리 나라도 그렇게 해야 한다.. 는 논리가 있던데 그런 식이라면 현행 공인인증서 암호를 타 웹사이트 암호와 동일하게 가져가서 보안이 뚫리는 것은 전적으로 사용자 책임입니다. 그것까지 금융기관이 책임 질 수는 없는 노릇이죠. 뭔가 자가당착적이지 않은가요..?
책임
현행 방식으로 보안을 운용하면서, 비밀번호 유출에 대하여 고객에게 책임을 지운다는 것은 사리에 맞지 않습니다. 보통 수준의 고객은 도저히 알아차릴 수도 없는 사태(인증서 개인키 유출)에 대하여 어떻게 고객에게 책임을 지울 수 있겠습니까?
반면에, OTP 생성기 분실은 보통 수준 고객도 당장 알아차릴 수 있습니다. OTP수단(숫자가 적힌 보안카드 등)을 분실하였음을 알고도 신고하지 않는 고객에게는 책임을 지우는 것이 당연합니다.
보안업체의 주장은 유저의 컴퓨터는 뚫린 것으로 전제해야 한다는 것에서 시작합니다. 그렇기 때문에 키보드보안 플러그인 설치를 강제합니다. (유저 컴퓨터가 안 뚫렸다고 전제한다면, SSL+single factor 인증만으로 충분하겠지요.) 제가 지적하는 점은, 보안업체가 채택하는 전제에 따르자면(유저 컴퓨터가 뚫렸다고 전제한다면) "대부분 유저들(인증서 암호를 다른 어떤 암호와도 다르게 지정하는 madhatter님 같은 분을 제외한 대부분의 고객들)의 경우에는" 키보드 보안 플러그인도 소용이 없으므로, 대부분 유저들에게 공인인증서는 아무런 보안수단도 될 수 없고, 부인방지 수단도 못된다는 것입니다.
소수의 고급 사용자(인증서 암호를 다른 비밀번호와는 달리 지정해서 운용할 만큼 보안 의식이 투철한 사용자)에게나 도움이 되는 보안설계가 과연 상식적이고 합리적인 보안설계인지 궁금합니다.
http://openweb.or.kr
http://openweb.or.kr
그렇다면 인증서
그렇다면 인증서 암호 유출이 현실적으로 "쉽다"는 표현은 안쓰는게 좋지 않나요? 결국 고정암호가 뚫리는 위험이나 인증서 암호 유출이 실제 일어나는 위험이나 그 위험도의 수준은 비슷하다고 보는게 상식적이지 않겠습니까. 문제는 여전히 키로거와 같은 엔드유저 컴퓨터상의 보안 문제이고 일단 크래커에 당한 컴퓨터에서는 인증서 암호 유출이나 SSL 위에서 고정암호 유출이나 별 방법이 없는 것 아닙니까.
그리고 왜 님은 한사코 SSL+OTP가 우월(?)하다는 주장을 하시나요? OTP는 SSL가 아닌 공인인증서와도 짝짓기 시킬 수 있는 기술인데 그렇다면 이건 구현하는 쪽에서 알아서 해야 할 일 아닌가요?
또, 해외의 경우에는 한국에 비해 phishing을 통한 비밀번호 누출 금융사고가 많습니다. PKI 기반 공인인증서는 애초에 비밀번호가 네트워크를 타고 밖으로 나가지 않으니 이런 쪽의 보안에는 강점이 있죠. 이런 몇가지만 적당히 생각해봐도 SSL+OTP나 공인인증서 기반 인증이나 현실적으로 비슷한 수준의 보안을 제공한다고 일단은 보안성에 대한 논의는 접어둬도 될 것 같은데 왜 굳이 기술적인 도토리 키재기를 그렇게 해야 하는 것인지요?
도토리 키재기
도토리 키재기라면, 더욱더 공인인증서 사용을 강제하는 현행 규제가 불합리 하다는 것입니다. 거기서 거기인 기술들 간에 어째서 공인인증서만 사용을 강제하나요?
제 주장은, 모든 사업자들이 SSL+OTP 를 "채택해야 한다"가 아니라, 할 은행은 할 수 있도록 허용하라는 것입니다.
http://openweb.or.kr
http://openweb.or.kr
여기 글 올리신 다른
여기 글 올리신 다른 분들 글만 봐도 현행 규제가 법적으로 공인 인증서를 강제하지는 않고 있는 듯 한데 왜 님은 현행 규제가 공인 인증서 사용을 강제하고 있다고 얘기하는지요? 이미 "할 은행은 할 수 있는" 근거는 마련되어 있는 상황 아닌가요? 단지 안해서 그렇죠.
감독규정
금융위원회가 만든 전자금융 감독규정 제7조는 "모든 전자금융거래에 있어 「전자서명법」에 의한 공인인증서를 사용하여야 한다. 다만 기술적·제도적으로 공인인증서 적용이 곤란한 전자금융거래로 감독원장이 정하는 경우에는 그러하지 아니하다."라고 규정하고, 사용 예외도 금융위원회가 정하고 있습니다.
서비스 제공자의 자유로운 기술선택을 박탈하고 있습니다. 오픈웹의 지적은 이 조항이 폐지되어야 한다는 것입니다.
http://openweb.or.kr
http://openweb.or.kr
감독원장이 정하는
감독원장이 정하는 경우는 그러하지 않다고 되어 있지 않나요? 그렇다면 일단 스마트폰이나 비ie 브라우저 상의 금융거래는 예외로 지정할 수 있는 노력을 일차적으로 해 볼 수도 있겠네요. 또, 이 조항이 법적 구속력을 갖고 있다고 합시다. 그렇다면 시키는 대로 공인인증서를 쓰면 되는 것이고 이후 논의는 그렇다면 현실적으로 어떻게 공인인증서 기술의 보안성을 높이느냐에 집중되어야 하지 않나요? PKI 기술 기반 공인인증서 사용을 버리는 것이 아니고 말이죠.
님 얘기대로 이 조항이 서비스 제공자의 기술 선택권을 박탈하고 있다고 칩시다. 그렇다면 님은 이 법을 폐지 혹은 개정 요구를 할 때 이 법안의 특정 기술 종속성의 문제점을 지적해야지 SSL+OTP와 같은 또다른 특정 기술의 예는 왜 들고 있습니까? 오픈웹은 도데체 이 법 개정을 목표로 하고 있습니까 법은 놓아두고 공인인증서 방식을 폐기하는 것을 목표로 하고 있는 겁니까?
이 조항
이 조항 완화를 거부하는 정부의 논리는 "공인인증서만큼 안전한 것은 없으므로 완화할 수 없다"는 것입니다.
그러니, 저는 "공인인증서가 그렇게 안전한 것이 아니다"고 주장하는 것입니다.
http://openweb.or.kr
http://openweb.or.kr
페이지