공인인증서 없이 샵메일 쓴다고? 실효성 논란

온라인 등기우편을 표방하는 '샵메일'이 내세우는 장점 중 하나는 주고받은 전자문서가 법적증거로서 효력을 갖는다는 점이다.

송신된 전자문서를 수신, 열람했다는 사실을 보낸 쪽에서 확인할 수 있는 기술적인 장치가 있다는 이유에서다.

기술적인 장치는 바로 부인방지 기능을 제공하는 공인인증서다. 공개키 기반 구조(PKI) 기술에 기반한 공인인증서는 인터넷뱅킹, 전자상거래, 입찰시스템 등에 쓰이면서 부인 방지 환경을 제공해왔다. 그런데 변수가 발생했다.

샵메일을 둘러싼 사용성 이슈가 불거지면서 정부쪽에서 공인인증서가 없어도 샵메일을 쓸 수 있게 하겠다고 나선 것이다. 정부 뜻대로 되면 아무 문제는 없다.

그러나 공인인증서를 쓰지 않고, 샵메일 서비스에서 부인 방지 기능을 구현하는 것은 현재로선 만만치 않다는 지적이다. PKI 기술에 기반한 공인인증서가 없는 샵메일은 구현 자체가 불가능하다는 얘기도 있다.

■국제무역용 샵메일, 개인용까지 활용도 커졌으나...

샵메일은 공인전자주소로도 불린다. 본래 국제무역에 필요한 송장 등 중요 문서를 주고 받을 때 사용돼 온 전자문서교환시스템(EDI)을 대체하기 위해 등장했다. 국제무역에서는 대기업 등이 자체 구축한 EDI를 통해서만 거래 내역에 대해 확인할 수 있었다. 그동안에는 해당 기업 시스템에 접속하기 위한 번거로운 절차를 거쳐야 하는 탓에 우리나라를 포함한 다른 나라 중소/중견 기업들 입장에서는 거래에 불편함을 겪어야 했다.

샵메일은 또한 공인인증서를 활용할 수 있다는 점을 제외하면 전자상거래 등에 활용되고 있는 표준 기술인 ebXML(electronic business using eXtensible Markup Language)', 'ebMS(ebXML Message Service)' 등을 기반으로 하고 있다.

국제무역용으로 시작한 샵메일은 이후 개인, 기관까지 사용할 수 있도록 용도가 확장됐다. NIPA 전자문서사업단 강현구 단장에 따르면 샵메일은 지식경제부 시절 만들어진 것으로 부처 개편에 따라 미래창조과학부 인터넷산업정책과로 업무가 이관됐다. 그 뒤 산업, 무역 외에 기관, 개인들까지 활용할 수 있도록 사업을 확대개편하는 과정에서 '온라인 등기우편'으로 역할이 확대 개편됐다.

샵메일은 가장 상위에 공인전자주소 등록관리기관인 정보통신산업진흥원(NIPA)이 있고, 그 아래 샵메일을 관리하는 공인전자문서중계사업자들, 이를 사용하는 개인, 법인, 기관 등으로 이뤄져 있다.

■부인방지기능 없는 샵메일, 성공여부 불투명

중계사업자-법인/기업 간에는 각자 구축한 서버를 통해 공인인증서를 쓰지 않는다고 하더라도 코모도, 베리사인 등이 제공하는 사설인증서를 기반으로 PKI 기술을 구현할 수 있도록 하고 있다.

반면 개인들은 현재로서는 공인인증서 없이는 내가 보낸 샵메일이 제대로 전달됐는지 확인할 방법이 없는 상황이다. 공격자가 개인-중계사업자 사이에 사용되는 전용 클라이언트, 스마트폰용 애플리케이션(앱)을 해킹할 경우 내가 보내거나 받지 않은 샵메일을 송수신한 것처럼 조작이 되더라도, 이를 확인할 방법이 없다는 것이다.

김용대 카이스트 정보보호대학원 교수는 개인/법인과 중계사업자간 샵메일 송수신 과정에서 공인인증서를 사용하지 않고서는 부인방지 기능을 구현할 수 없다고 지적했다. 김 교수는 개인도 송신자가 될 수 있는데 공인인증서를 사용하지 않고 중계사업자와 샵메일을 받는 사업자 사이에 가짜로 보낸 내용인지 여부를 확인할 수 없다고 설명했다.

이를테면 개인과 기업 간에 내용증명이 필요해 관련 전자문서를 샵메일로 보낼 경우 이를 중계사업자가 안전하게 송수신한다고 하더라도 개인에게 전달되는 과정에서 조작이 이뤄질 수 있다는 것이다. 문제는 이 경우 공인인증서 없이는 개인이 부인방지 기능을 활용할 방법이 없기 때문에 문제가 될 수 있다.

논란이 됐던 예비군 훈련 통지서도 마찬가지다. 샵메일로 통지서를 받은 뒤 참석 가능한 날짜를 병무청에 보내는 경우를 생각해 볼 수 있다. 만약 해커가 개인 PC 내에 설치된 클라이언트 혹은 앱을 해킹해 통지서를 받은 것처럼 조작이 가능해지기 때문이다.

■NIPA, 대체기술 찾기 골몰

해당 사업을 주도하고 있는 정보통신산업진흥원(NIPA) 전자문서유통팀 공성필 팀장은 서버단에서 PKI 기술이 구현되고 있고, 기존 공인인증서를 대체할 수 있는 기술들이 나오면 이를 적용할 계획이라고 밝혔다.

현재로서는 공인인증서가 구현하는 부인방지기능을 대체할 수 있는 기술은 아직 개발되지 않은 상황이다. 이에 따라 당장은 공인인증서에 사용되는 인증서, 개인키, 공개키 등을 스마트폰 유심칩에 저장해 사용하는 등의 보완책이 거론되고 있다.

물론 보완책이 아예 없는 것은 아니다. NIPA는 공인전자주소 등록관리기관을 설치해 중계사업자와 개인/기업/기관들 간 주고 받은 샵메일 내역에 대해 송수신 정보, 열람시간 등에 대한 내용을 조합한 해시값을 확보하고 있다. 수신자가 해당 전자문서를 못 받았다고 주장할 경우 양쪽 당사자들로부터 수신한 해시값을 대조해 보고 유통증명서를 발급해 준다. 중계사업자와 NIPA 간에 미국 국방부에서 사용하는 암호화 통신 프로토콜인 'IPsec'을 사용해 정보를 송수신한다는 점도 보안성을 검토한 대목이다.