4월부터 공인인증 기반 스마트폰뱅킹 '스타트'

옛날 이야기가 나와서 한마디 거들어 보면요.
오픈웹이 처음 비 IE 브라우저에게 플러그인 기반 특히, 파이어폭스에서라도 인터넷 뱅킹이 되게 해달라는 주장을 한 가장 큰 이유가 적어도 OS 차별은 없어지기 때문이었죠. (당시 김교수님이 리눅스를 쓰고 계시기도 했구요.) 근데 금결원에서 한개 브라우저 해주면 다른 브라우저 사용자도 계속 해달라고 할 거기 때문에 못한다고 한거고 그래서 소송이 시작되었습니다. 소송 결과는 아시다시피 기술 선택은 시장의 서비스 제공자가 할 수 있다는 취지로 패소를 했구요.

실제 전자금융거래법 하위 규정에도 예외 조항을 통해 기술 선택은 서비스 제공자가 할 수 있게 되어 있습니다. 즉, 금융 감독 규정에 은행이 책임지고 하겠다고 하면 어떤 기술을 써도 할 수는 있습니다. (VM뱅킹이 그렇고 아이폰앱도 그렇고...) 근데 단지 하나 공인 인증만이 이상하게 관행 처럼 강제 되어 있고, 공인 인증은 플러그인 기술을 사용할 수 밖에 없게 되어 있지요.

(유선이던 모바일이든) 웹 기반의 많은 사용자를 포괄하려면 플러그인을 쓰지 않는 기술을 선택할 수 있어야 합니다. 보안 업계에서는 플러그인 기술을 쓰는 것이 불가피한 측면이 있다고 주장하지만, 이로 인해 사회 전반적인 보안 비용은 높아진 것만은 분명합니다.

어쨌든 플러그인 없는 기술을 좀 선택 하자고 주장을 하면 대안을 요구 하고, SSL+OTP를 제시하니 공인 인증 보다 보안성이 떨어진다는 비판을 받게 되죠. PKI에서 전자 서명이 주는 부인 방지 기능은 강력합니다만 tj님 말씀 처럼 전반적으로 액티브X 플러그인으로 인해 사용자 보안 상황이 안좋아졌고, 이 때문에 그 효과를 얻기가 힘들어지고 있습니다. (플러그인이 원인의 전부는 아니지만 최신 운영 체제나 웹브라우저가 주는 보안 업그레이드나 선택의 폭을 제한 하기 때문에 전반적 보안 혜택을 받는데 부정적입니다.)

공인 인증 역시 OTP 같은 오프라인 보안 장치나 SMS 인증 같은 이중 보안을 거쳐야만 더 안전해 지는 건 말할 나위가 없지요. 그러나, 지금 우리 나라 비 IE 사용자, 스마트폰 사용자 합쳐봐야 50만명 안됩니다. (전체 인터넷 사용자의 2% 입니다.) 이들에게 공인 인증 빼고 나머지 기술 조합으로 조회나 이체 서비스 제공 한다면 그게 그렇게 보안에 취약한 일인지 잘 모르겠습니다. (정 걱정된다면 하루 이체 한도 50만원 이하로 정해도 되구요. 서민이 그 이상 이체할일도 별로 없고...)

PKI 기술이 웹 브라우저에 온전히 탑재되도록 하는 가끔 노력을 계속 하고 있기는 합니다만 표준 기구에서 니즈가 없습니다. 그건 바로 산업적 니즈가 없기 때문이지요. PKI 기술을 쓰는 사설 인증 업체이자 IT 업계 큰손인 베리사인 조차 기존 기술 가지고 사업 잘만 하고 있습니다. 보안 업계를 위해서도 우리가 가진 인트라넷에서만 굴러가는 기술은 점점 용도 폐기하는 게 옳구요. OTP나 HSM 같은 다양한 보안 산업도 키울려면 다양한 인증 기술을 선택하게 하는 제도적 보완이 반드시 필요 합니다. 오픈웹이 하는 노력은 궁극적으로 보안 업계에도 도움이 되는 겁니다.

또 한가지 우리 나라 공인 인증의 사용처는 신원 확인 용도로 쓰는 경우가 많은데 이또한 SSL기반 클라이언트 인증으로 처리 가능하고 플러그인을 쓸 필요가 없습니다. 좀 더 나아가서 SSL 클라이언트 인증과 OTP와 2-factor 인증을 잘 만 조합하면 공인 인증에서 부인 방지 효과를 얻을 수 있을 것 같구요. PKI 기술만 고수하지 않는다면 OTP 통합 인증 센터를 공인 인증 기관으로 지정도 가능할 겁니다. 과거 PKI 기술에 기대 만든 전자서명법을 장기적으로 공인 인증 관리법으로 개정하면서, 다양한 기술을 가진 공인 인증 업체가 출현하도록 해야 맞을 겁니다.

눈 앞에 이익에 눈먼 보안 업계 마케터들이 그 간의 행정 규제에 대한 책임과 실패에 두려워 하는 공무원들에게 공인 인증의 보안 우월성이라는 명목으로 꼬드겨 이번에도 문제 해결이 안되는 누를 범하지 않길 바랍니다.

Channy Yun

Mozilla Korean Project
http://www.mozilla.or.kr

주 논점은 공인인증인 거 같지만, 답답한 마음에 좀 끄적여 봅니다.

그냥, 전용 단말기로 전용 네트웍을 통해 접속하도록 하면 보안 문제가 다 해결됩니다. 사용자가 프로그램 설치가 불가능한, 전용 단말기 말이죠. 네트웍도 TCP/IP 같은 표준 말고, 전용으로 암호화 통신 프로토콜 만들어서하고, 인증서는 따로 모듈 형태로....... 더불어, 거래 요청이 되면 은행에서 전화해서 확인해보고....

이런 주장은 (금융권/정부기관/보안업체쪽에서) 안하나요?

답답하네요.

정말, "쓸모없는 보안 기술"에 이렇게 얽매여있다는 게.

Security by Obscurity 까지 언급되고 있는데... 한 가지 사례.

모 대기업에서도 사용하는 보안 솔루션이 있습니다. 근데, 이게 5분도 안 걸리는, 별다른 프로그램도 필요없는 아주 간단한 조작만으로도 무력화되는 문제가 있었습니다. 그 업체도 아마 설마 그렇게 조작할 사람은 없을거라 생각했나봅니다. 수 년이 넘도록, 그 솔루션은 업그레이드 되었지만, 그 헛점은 계속 살아있었습니다. 그 헛점을 아는 사람은 그 수년간 보안이 되고 있다고 믿는 사람들을 가볍게 속일 수 있는 상황이었던 겁니다. 더욱이 대기업까지도 수년간 뻥 뚤린 거죠. (더 웃겼던 건, 그 솔루션의 비밀번호는 평문으로 보관되고 있었다는 점이랄까요... 그것도 그 PC의 것만 아니라 불필요한 다른 PC의 것들까지 서로 공유해서...... 모를거라고 생각했나 봅니다.)

Security by Obscurity 는, 정말로, 보안에는 아무런 도움이 안된다고 느꼈던 사례였습니다.

다양한 보안 솔루션이 경쟁할 수 있도록 놔 두고, 사용자가 어느 하나 선택하도록 하는 게 그나마 낫습니다. 경쟁시켜도 저모양이었던 거 같지만... -_- 여튼, 그걸 위해서 표준도 필요하고(최소한 국내표준이라도), 인증도 필요합니다. 인증된 여러 솔루션 중, 사용자가 선택하라는 거죠. 많은 사용자들도 그러길 원하고 있고.

또, 대개의 사용자들이 동일한 또는 비슷한 비밀번호를 쓴다는 점에서, 더욱이 보안의식이 약한 사람들은 취약한 비밀번호를 쓴다는 점에서, 공인인증서의 전자서명/부인방지 기능 역시 사실 무력화 된 거나 다르지 않다고 보는 의견에는 저도 동의하고 있습니다. (세상에 가장 흔한 패스워드가 password라는 이야기도 있죠, 실제로.) 내 PC가 해킹당한적이 없다라는 걸 증명하지 못한다면, 임의의 서명이 내 서명이라는 것도 증명하지 못하는 거죠. (내 PC가 해킹당한적이 있다는 걸 증명하는 방법 보다, 내 PC가 해킹당한 적이 없다는 걸 증명하는 쪽이 보안 관점에서도 더 강력한 접근법일테고.)

그동안 사용자들의 보안의식을 바꾸려는 노력보다는, "보안 프로그램", "보안 기술"에만 의지하도록 방치한 정부와 금융회사들 문제가 제일 큽니다만... 거기에 빌붙어 있는 현재 보안 솔루션들도 딱히 더 나아 보이지 않습니다.

OTP 관련해서도 문제점을 짚어보자면,
OTP도 time synced 방식들은, 단순히 생각해도 OTP로 생성된 비밀번호가 유출되고 최대 1분가까이 헛점이 생기죠. (이 정도 시간이면 짧은 시간은 아니죠.) 1분간 두 번 이상 같은 비밀번호가 입력된 경우, 최소한 두번째 입력된 비밀번호부터는 내가 입력한 게 아닐 가능성이 있다는 것이죠. 이런 면에서는 오히려 event synced가 더 나은 데, event synced는 또 다른 문제가 있으니, time + event synced가 현재로서는 최적. 근데 time + event synced OTP는 현재 쓸 수 없는 걸로 알고 있고... 이걸 또 좋다고 금융기관끼리 연동을 해버리고 있으니....... 내가 비밀번호 입력하고 최대 1분가까이의 시간 동안은 내가 방금 거래한 금융기관 외의 다른 곳도 뚫릴 수 있다는 이야기. 물론, 공인인증서, 비밀번호가 유출된 상황이라는 조건 하에서 말이지만, 보안 관점에서 보자면 최악의 경우를 가정을 해 둬야 하니까요.

한 쪽에서는 보안보안 하면서 온갖 방법들로 틀어막는데 그렇다고 제대로 막는 것도 아니고, 다른쪽에서는 또 줄줄 새고 있는 걸 들여다보려고도 안하는 모습들을 보면 뭐하자는 건지 통 모르겠습니다.

표준을 지키는 경우에 비해 딱히 특별하게 더 나을 것 없는 정도의 보안 상황에서, 더불어 보안위협이 또 계속 존재하는 상황에서, 사용성/호환성만 해치는 지금 상황은 어떻게든 바뀌어야 합니다. 근데, 바꾸려는 노력을 관련기관이나 업계에서는 하고는 있는지 의심됩니다. 그러니까 계속 이런 저런 문제가 제기되고 있는 걸텐데, 나오는 반론들이 어째 다 거기서 거기인지.......