공인인증서만 안전하다?…찬반 팽팽

전자거래에 이용되는 공인인증서를 둘러싼 이견이 좁혀질 기미가 보이지 않는다. 공인인증서의 '부인방지' 기능이 꼭 필요한 것인지 것부터 정부가 공인인증서 사용을 강제하는 것이 타당한지 등이 도마 위에 올랐다.

25일 서울 코엑스에서 한국정보보호학회 주최로 '공인인증서 보안문제 진단 및 대책마련을 위한 토론회'가 열렸다.

이 자리에서는 공인인증서를 전자서명 방식으로 신뢰할 수 있는지에 대해 다양한 주장이 펼쳐졌다. 공인인증서의 '부인방지'가 필수불가결한 기능인지에 대해서도 의견이 엇갈렸다.

공인인증서는 금융거래나 전자상거래 등 전자거래에서 서명자를 확인하고, 서명자가 전자문서에 서명했음을 나타내는 일종의 전자적인 서명이다. 우리나라는 금융위원회의 전자금융 감독규정에서 공인인증서를 사용하도록 강제하고 있다.

이에 따라 최근 논의는 정부가 공인인증서를 강제하도록 한 현행 규정을 폐지해 시장에서 자율적으로 보안 방식을 선택할 수 있도록 해야 한다는 내용으로 흘러가고 있다. 이 과정에서 사업자와 사용자가 공인인증서를 선택하게 될 수는 있지만, 정부가 이를 강제로 결정할 수 없다는 것.

이날 토론회에서는 공인인증서가 기술적으로 안전한 지 여부에 대해 의견이 갈렸다. 또한 'SSL+OTP' 같이 다른 방식의 기술에 대해서도 안전성 여부에 대한 언급이 있었다.

단국대학교 박창섭 교수는 "전자거래에서 사용자와 서버 간 보안채널을 연결하기 위해서는 '기밀성' '무결성' '서버인증' '부인방지(전자서명)'을 제공해야 하는데 SSL+OTP 방식은 기밀성과 무결성, 서버인증은 제공하지만 부인방지를 제공하지 않는다"면서 "공인인증서 방식만 부인방지를 제공한다"고 말했다.

부인방지란 거래내역이 변경되지 않았음을 증명할 수 있는 기능이다.

이에 대해 오픈웹 김기창 대표는 "부인방지 기능이 제 효과를 얻기 위해서는 서명에 사용되는 개인키가 유출되지 않았다는 전제가 충족돼야 한다"며 "개인키가 유출된 상황에서 서버가 전자서명을 받아도 이것이 고객이 한 것인지, 공격자가 한 것인지 분간해 낼 수가 없으므로 의미가 없다"고 주장했다.

김 대표는 "은행거래를 할 때 설치되는 키보드 보안, 방화벽 등도 은행사이트에서 빠져나오면 꺼지는데, 고객이 은행사이트에 들어가 있지 않는 상황에서 해커가 악성코드를 심어 놓으면 결국 개인키 유출도 가능하다"며 "이렇게 유출이 쉬운 상태에서 부인방지 효과가 무슨 의미가 있냐"고 강조했다.

공인인증서의 최대 장점으로 꼽히는 부인방지의 경우 결국 개인키가 유출될 경우 제 역할을 못하게 된다는 것.

한국인터넷진흥원(KISA) 강필용 팀장은 "개인키를 이용한 전자서명과 개인키의 안전한 관리는 구분해서 얘기해야 한다"며 "인감의 위조 및 도용이 잦다고 해서 인감을 폐지하는 것은 아니지 않냐"고 반론을 제기했다.

강 팀장은 "만약 SSL+OTP를 채택한다면 결국 부인방지 기능이 약화된다는 것을 의미하는데, 인터넷 뱅킹을 통한 하루 평균 거래건수가 2천800만건에 달하고, 거래 금액 또한 30조원에 육박하는 우리나라의 특성을 고려해야 한다"고 강조했다.

SSL+OTP는 최근 공인인증서의 대안으로 제시되고 있는 것으로 암호화 통신기능에 해당하는 SSL(Secure Socksets Layers)과 OTP(일회용비밀번호)를 함께 사용해 '기밀성' '무결성' '서버인증'은 제공할 수 있지만 '부인방지' 기능이 없다.