미래 전자서명기술은?..."편의-보안 두 토끼 잡아야"

ETRI 진승헌 정보보호연구본부장, 미래 전자서명 발전방향 발표

"미래 전자서명기술은 편의성과 보안성을 함께 높여야 한다. FIDO가 생체인증에 국한된 표준처럼 논의되는데, 앞으로 FIDO는 온라인을 넘어 오프라인 영역으로, 사물인터넷(IoT) 인증수단으로 확대될 것이다".

한국전자통신연구원(ETRI) 진승헌 정보보호연구본부장은 13일 서울 삼성동 코엑스 열린 '노플러그인 신기술 전자서명 기술 설명회'에서 이같이 밝혔다. '미래의 전자서명 발전방향'이라는 주제로 발표를 한 그는 미래 인증 및 전자서명 기술의 중심 화두를 '다양성'으로 꼽았다. 패스워드를 넘어 다양한 인증수단을 제공하는 '패스트아이덴티티온라인(FIDO)' 표준의 중요성도 강조했다.

국내서 온라인서비스 인증 및 전자서명기술은 공인인증서가 대표적이다. 과거 공인인증서는 이용자에게 액티브X, 플러그인 등 부가프로그램 다운로드를 요구했다. 또 지원환경이 특정 플랫폼으로 제한됐다. 이용자에게 다른 인증 및 전자서명 수단을 선택할 여지도 없었다. 이제 정부의 전자서명법 개정으로 다양성을 지원하는 인증 및 전자서명 기술 확산이 장려되고 있다.

ETRI 진승헌 정보보호연구본부장. 13일 코엑스에서 진행된 노플러그인 신기술 전자서명 기술 설명회에서 '미래의 전자서명 발전방향'을 주제로 발표 중인 모습.

진 본부장은 "단언컨대 공인인증서를 둘러싼 문제는 그 자체의 문제가 아니라 공인인증서만 쓰게 만든 환경이 문제였다"면서 "오늘 여기서 소개될 기술이 그런 다양성 측면의 문제를 다루고 있다"고 말했다. 이어 "다양성하면 범용 인증기술 FIDO를 얘기하지 않을 수 없는데, FIDO는 다양한 인증수단이 나올 때마다 변경하기 어려운 서버를 표준화하고 연결하는 방법을 다양화했기 때문에 파워풀하다"고 평했다.

■ FIDO 인증이 '파워풀'한 이유

FIDO는 클라이언트에서 패스워드뿐아니라 PIN번호나 생체인증정보, 토큰 등 여러 수단으로 서버측에서 이용자를 인증하는 방법을 표준화한 규격이다. 기존 인증시스템은 클라이언트 인증방식이 바뀌면 그에 맞춰 인증을 처리하는 서버에도 기술적인 수정 부담이 있었다. FIDO 표준 인증 환경은 규격에 맞는 인증서버가 규격에 맞는 어떤 새로운 클라이언트 인증정보도 처리할 수 있어, 서비스 제공자의 부담이 적다.

지난 2014년 12월 FIDO1.0 규격이 공개됐다. 이후 삼성페이, LG페이, BC페이 등 간편결제서비스나 이동통신3사의 본인확인서비스, 제1금융권의 스마트뱅킹서비스, 인증보안솔루션업체의 FIDO 지원 상용솔루션 등이 출시, 상용화된 상태다. 진 본부장은 "국내에 많은 서비스에 FIDO 표준 인증환경이 실제 적용돼 있다"며 "FIDO1.0이 나온지 얼마 안 됐는데 최근 완전히 새로운 FIDO2 표준이 나왔다"고 설명했다.

진 본부장에 따르면 FIDO2은 FIDO1.0의 한계를 극복하는 성격으로 만들어졌다. FIDO1.0을 쓰려면 기기에 뭔가 설치를 해줘야 하는 측면이 있다. 이는 과거 액티브X, EXE, 플러그인 등 부가프로그램 설치를 요구했던 공인인증서와 마찬가지로 서비스 확산에 한계로 작용했다. 또 FIDO1.0 표준 인증서비스는 모바일 기기에 초점을 맞췄다. 기존 PC와 데스크톱 웹 환경까지 아우르기엔 부족함이 있었다.

진 본부장은 "FIDO2 인증기술을 운영체제(OS)와 브라우저를 보유한 구글과 마이크로소프트(MS)가 리딩하고 있다"며 "앞으로 이들 플랫폼에 내재된 기술로 누구든지 플랫폼이 제공하는 API로 서비스에 필요한 기술을 바로 사용할 수 있게 되고, (FIDO2 표준에 포함되는) W3C 표준까지 확정되면 모든 웹브라우저에서 기본으로 쓸 수 있게 된다는 점에 주목해야 한다"고 강조했다.

그가 강조한 FIDO2 인증환경의 또다른 이점은 이렇게 요약된다. OS와 브라우저에 탑재된 플랫폼 자체 기능으로 다양한 인증장치를 쓸 수 있게 된다. 외부 인증장치가 USB, NFC, 저전력블루투스(BLE) 등 플랫폼 독립적인 여러 인터페이스로 연결된다. 많은 사람들이 거의 언제나 소지하고 다니는 스마트폰 자체를 인증장치로 쓸 수 있어, 그 지문센서를 활용해 PC에서도 생체정보기반 인증을 할 수 있다.

■ "FIDO는 생체인증 표준이 아니다"

진 본부장은 "FIDO 표준은 처음 생겼을 때부터 '패스워드를 넘어서'라는 구호를 내걸었다"며 "이용자가 온라인에 패스워드를 써 왔는데 그 자체가 불편하고 안전하지 않다는 인식에서였다"고 설명했다. 이어 "FIDO가 마치 생체인증에 국한된 표준처럼 논의되는데 그렇지 않다"며 "앞으로 FIDO는 온라인을 넘어선 오프라인 영역에서의 인증, 사람인증을 넘어선 사물인터넷(IoT) 인증수단으로 확대될 것"이라고 말했다.

ETRI 진승헌 정보보호연구본부장. 13일 코엑스에서 진행된 노플러그인 신기술 전자서명 기술 설명회에서 '미래의 전자서명 발전방향'을 주제로 발표 중인 모습.

과거 인증기술은 편의성보다는 보안에 초점을 맞췄다. 패스워드 사용방식에 관련된 지침이 대표적이다. 국내서 공공기관과 연구소 등이 표준 패스워드 관리방식으로 채택하고 있는 '영문자, 숫자, 특수문자 혼합해 몇 자 이상으로 작성' 및 '90일마다 변경'을 강제하는 방식은 미국 국립표준기술연구소(NIST)에서 2003년 만든 'SP 800-63' 문서의 '계정가이드(Identity Guide)' 항목에 근거한다.

진 본부장은 "실제 그 환경에서 정상적인 이용자들은 패스워드를 만들고 바꿀 때 너무 힘들지만 정작 해커들은 (인증절차를 우회하기 때문에) 힘들지 않다"고 지적했다. 이어 "가이드가 만들어진 2003년 당시에는 사용성에 대한 스터디 없이 정보이론에 입각해 안전할 것이라 가정했는데, 개정하면서 '이용자에게 너무 복잡한 패스워드를 만들어 자주 바꾸게 하지 마라, 오히려 보안을 해칠 수 있다'고 했다"고 말했다.

이어 "너무 기억하기 어렵고 복잡한 패스워드를 쓰게 하면 오히려 쉬운(추정당하기 쉽거나 보안 강도가 낮은) 패스워드를 쓴다. 자주 패스워드를 변경하도록 강제할 게 아니라 유출되거나 추정당하기 쉬운 패스워드를 쓰지 못하게 블랙리스트 방식으로 금지해야 한다(고 판단하게 됐다)"며 "실제 이용자 대상 스터디가 굉장히 중요하고, 그래서 유저블시큐리티(Usable Security) 개념이 나왔다"고 덧붙였다.

■ "지속인증, 무자각인증 논의"…보안성-편의성 조화가 대세

그는 향후 보안성과 편의성을 조화시키는 흐름이 미래 보안기술의 대세라고 봤다. 예를 들어 스마트폰의 잠금해제 수단인 PIN 번호나 도형 패턴의 입력방식이나, 모바일 앱의 터치스크린에서 패스워드 문자를 입력하는 키보드 입력방식을 개인화하는 논의가 진행 중이라고 언급했다. '1234'같은 뻔한 패스워드를 써도 버튼의 어느 위치를 어떤 압력, 속도로 터치하느냐로 이용자를 가릴 수 있게 될거란 관측이다.

생체정보 기반 키 생성 기술 논의가 확장될 수 있음을 시사했다. 그는 "개인키의 안전성이 패스워드나 하드웨어 토큰에 의존하는데 그걸 가진 타인이 쓸 수 있지 않느냐는 문제가 기존 공인인증서나 FIDO가 해결해야 할 부분"이라며 "공개키를 생성에 이용자의 지문같은 생체정보를 추출해 쓰면 그 오너십을 좀더 보장해주지 않겠느냐는 관점에서, 생체정보에서의 키 추출 기술 등이 많이 논의될 것"이라고 언급했다.

일회성 인증의 한계를 극복하는 지속 인증(Active Authentication) 개념도 화두로 던졌다. 그는 "더 안전하라고 자물쇠를 3개 달면 정상 이용자는 그것 다 열기 너무 힘들고 해커들은 우회하니까, 의도한 결과가 나오지 않는다"며 "최초 이용자를 간단하게 인증하고 이후 그의 마우스나 키보드 입력 습관을 학습해서, 패턴을 벗어나면 다른 인증수단을 요구하는 식으로 계속적인 인증을 하게 할 수 있다"고 말했다.

현재 확산 단계인 생체인증의 한계를 극복할 방안으로 '상황인지 기반 무자각인증' 개념도 소개됐다. 그는 "지문, 홍체, 지정맥 등 생체정보기반 인증이 많은 장점을 제공하는 건 맞지만, 여전히 이용자에게 '뭘 대세요' 하면서 명시적 협조를 요구하는데 이는 이용자에게 불편할 수도 있고 문화적인 어려움을 낳을 수도 있다"며 "이용자가 계속 활동하는 동안 기계가 알아서 인증하게 만들 수도 있어야 한다"고 지적했다.

그는 또 "앞으로 인증, 전자서명이 어떻게 바뀌어갈까 보면 사물이 이용자를 스스로 확인했으면 좋겠다"고 말했다. 이어 "여태 시스템이 변변찮아 사람이 스마트해지길 원했는데 이제 365일 24시간 잠잘 때도 화장실 갈 때도 들고다니는 컴퓨터, 스마트폰이 있다"면서 "과거 기술을 적용할 때 사람 두뇌에 의존했지만 앞으로 (스마트폰을 활용해) 편의와 보안을 함께 높일 방법이 제공돼야 한다"고 말했다.