"공인인증서는 액티브X가 아니다"

동일 인식 탓 보안 문제 해결 못해

기존에 유지돼 온 공인인증제도와 액티브X는 별개의 문제로 봐야한다는 주장이 제기됐다. 정부 주도로 이뤄지고 있는 공인인증체제에 일부 보완이 필요한 것은 사실이지만 공인인증서를 액티브X와 같은 것으로 오해해서는 보안강화라는 본래 목표를 이룰 수 없다는 설명이다.

28일 정보보호전문가들은 이 두 가지에 대한 개념이 뒤섞이면서 최근 관련된 논의가 정확한 논점을 찾지 못하고 있다고 지적했다.

염흥열 순천향대 정보보호학과 교수는 우리나라 공인인증체계는 국제전기통신연합(ITU)가 정하는 국제 표준을 따르고 있다며 보안이 취약한 액티브X의 경우 대체 기술이 충분히 나와 있는 상태로 2015년을 예정된 HTML5 국제표준이 제정되면 상황이 달라질 것이라고 밝혔다.

■공인인증체계, 국제표준서 높은 등급

국내 공인인증체계는 ITU-T의 실체인증보증표준(X.1254)에 따라 3등급의 보안수준을 갖추고 있다. 염 교수에 따르면 1, 2, 3, 4등급으로 분류된 이 체계에서 3등급은 ID와 비밀번호, 이중인증, 일회용 비밀번호(OTP)를 포함한 인증방식이다. 글로벌 기준으로 국내 공인인증체계 자체의 보안성이 낮은 것은 아니라는 설명이다. 등급이 올라갈수록 보안성이 높다.

■공인인증체계에 액티브X를 쓸 수밖에 없었던 이유

국내에서 공인인증체계에 액티브X를 쓸 수밖에 없었던 이유는 대체기술이 없었기 때문이다. 김승주 고려대 정보보호대학원 교수는 공인인증서 체계를 쓰거나 쓰지 않는다고 해서 액티브X 문제가 사리지는 것은 아니다라고 밝혔다.

김 교수는 금융권에서 액티브X를 쓸 수밖에 없었던 이유가 금융위원회가 제기하고 있는 두 가지 의무사항 때문이라고 설명했다.

금융권에서는 계좌이체할 때 전표에 사인을 하거나 도장을 찍는 것과 마찬가지로 인터넷 계좌이체 등을 위해 필요한 전자서명을 요구하고 있다. 또한 1990년대부터 유지해 온 SEED 암호 알고리즘 사용하도록 했다. 이는 소프트웨어적으로 추가기능을 설치하는 방법을 통해서만 구현할 수 있다. 국내 공인인증체계에 액티브X를 사용할 수밖에 없었던 이유가 여기에 있다. SEED는 국가정보원이 구현한 한국형 암호 알고리즘으로 이 역시 도입하기 위해서는 액티브X를 설치하는 수밖에 없었다.

공인인증체계는 전자서명을 요구하기 때문에 액티브X를 쓸 수밖에 없었으나 최근 들어 대체기술들이 개발되기 시작했다. 이에 따라 액티브X를 써야할 필요는 없어진 상황이다. 실제로 일부 금융권에서는 오픈뱅킹이라는 이름으로 HTML5 기반 공인인증체계를 지원하고 있다.

■공인인증체계-액티브X, 구분해야 해법 나와

물론 공인인증체계와 액티브X를 구분해서 본다고 해서 기존에 정부주도로 유지된 공인인증체계에 허점이 없는 것은 아니다. 정부 주도로 공인인증체계를 강제한다고 보안성이 높아진다고 보기는 힘들기 때문이다.

해외에서는 기본적인 보안 수준에 대한 가이드 라인을 정해놓은 뒤 보안체계에 대해서는 자율적으로 결정하고 이에 대해 책임지도록 규정하고 있다. 은행이나 기타 전자서명이 필요한 곳에서도 보안체계를 자율에 맡기돼 그에 따르는 책임은 담당하는 기관에 지게 하고 있다.

염 교수는 공인인증체계 문제의 핵심은 국가가 인증체계에 얼마나 개입하는 것을 허락하는가의 문제라고 밝혔다. 액티브X는 다른 기술로 대체하고, 정부가 강제하는 공인인증체계에 대해서는 추가적인 합의가 필요하다는 것이다. 이 두가지 이슈를 같은 것으로 볼 경우 문제는 해결되지 않고 논란만 가중된다는 지적이다.