'공인 인증서' 안전성 논란

'공인 인증서' 과연 안전한가?

안전한 인터넷 신원확인 수단으로 정부가 이용 확산에 사활을 걸었던 '공인 인증서'가 최근 심각한 안전성 논란에 직면해 있다.

지난달에는 공인인증서 관리용 프로그램에 PC 사용자 해킹에 이용될 수 있는 취약점이 발견된데 이어, 지난 3일 공개된 인터넷 뱅킹 해킹 사건을 통해 해커가 온라인 신원확인 과정의 허점을 악용해 '공인 인증서' 자체를 쉽게 도용할 수 있었던 것으로 드러난 것.

공인인증서란 인터넷상에서 계좌이체, 증권거래 등 금융업무나 전자민원 서류 등을 열람할 때 거래 당사자의 신원을 확인할 수 있는 전자증서로, 일종의 '온라인 인감'이다. 더욱이 공인 인증서는 전자서명법에 따라 오프라인과 동일한 효력을 발휘하도록 돼 있다. 공인인증서 자체가 철저한 보안성 및 무결성이 보장돼야하는 것도 이 때문이다.

그런 점에서 타인에 의해 본인의 인증서가 도용 당했다는 것은 충격적이다. 과거에 시중 은행창구 직원의 실수로 인증서 발급시 당사자를 오인해 발생한 사고는 있었지만, 실제 인터넷 뱅킹 과정에서 계획적으로 한번 발급받은 인증서 자체가 타인에게 도용되기는 이번이 처음이다.

◆공인인증서 어떻게 도용 가능한가=이번 인터넷 뱅킹 해킹사건과 관련, 공인인증서 시스템 자체가 뚫린 것은 아니다. 핵심기술인 공개키기반(PKI) 암호기술과 인증체계가 그만큼 잘 구축돼 있다.

그럼 어떻게 도용이 가능했을까? 범인은 금융거래 관련 공인인증서 재발급 과정에서는 대면(對面) 신원확인 절차가 없는 현 공인인증서 제도의 허점을 이용했다.

경찰 조사에에 따르면, 이번에 인터넷뱅킹시스템을 해킹한 범인은 피해자의 공인 인증서 비밀번호와 해킹한 인적사항 등을 이용해 피해자 김씨의 인증서를 폐기했다. 그 뒤 자신의 컴퓨터에 인증서를 재발급받아 이를 범행에 이용했다.

인증서 재발급 과정의 신원확인 절차가 그만큼 허술하다는 얘기다. 이는 인터넷 뱅킹이나 주식거래 등 전자금융 거래자의 공인인증서에 한해서는 계좌번호, 비밀번호, 주민등록번호, 보안카드 번호, 그외의 부가 신원확인 정보만으로 대면 신원확인 절차없이 온라인으로도 재발급받을 수 있기 때문.

당초 제정된 전자서명법에는 발급기관에서 공인인증서를 신규 발급은 물론 재발급, 갱신시에도 대면 신원확인을 원칙으로 하고 있다. 그러나 정통부는 시중은행 및 증권사들의 요구로 지난 2002년 '대리인등을통한신원확인방법및절차'에 대해 별도 고시, 은행 및 주식거래 등 금융거래 용도로 사용할 경우에는 대리인이나 온라인으로도 신원확인을 할 수 있도록 예외사항을 뒀다.

이는 당초 정부의 공인인증서 활성화 대책과 맞물려 과거 은행, 증권거래용 사설인증 가입자들을 대상으로 공인인증으로 대거 전환시키기 위한 조치였다. 공인인증서를 재발급받기 위해 시중은행이나 증권사 지점에 일일이 찾아가야하는 불편함을 없애줌으로써 공인인증서를 활성화시킨다는 것이 그 취지다.

◆보다 강력한 신원확인 수단 마련돼야=사실 공인인증서 도용 가능성에 대해선 그 당시부터 일부 보안 전문가들에 의해 제기돼왔다.

계좌번호 및 주민등록번호 외에도 OTP 카드(일회용 비밀번호)나 가입자 본인만 확인할 수 있는 부가 확인 수단을 두고 있지만, 이번 사례처럼 키로그 해킹 프로그램을 이용하거나, 그외의 수단으로 신원정보가 노출될 경우, 타인이 쉽게 재발급받을 수 있기 때문.

보안 전문가들은 이번 사태를 계기로 아예 공인인증서 재발급시 신원확인 방법을 대면 확인 방법으로 전환하거나, 다른 강력한 보안조치를 마련하는 등 신원확인 절차를 대폭 수정해야한다고 입을 모으고 있다.

업계의 한 관계자는 "이번 해킹 사건은 기존 온라인 신원확인 체제로는 공인인증서가 쉽게 도용 당할 수 있음을 보여준 실제 사례"라며 "이 사건에서 해커가 사용했던 방법을 사용할 경우, 대부분의 시중은행은 물론 증권사들의 공인인증서 또한 도용 가능성을 배제하지 못할 것"고 지적했다.

이에 대해 정보통신부 관계자는 "인증서 재발급시 온라인 신원확인 절차의 문제점을 개선할 수 있도록 현재 공인인증기관 및 해당 수요기관과 협의 중"이라고 밝혔다.

한편, 해당 인증서 발급기관인 금융결제원 및 은행도 이번 인증서 도용 사고에 대한 법적 책임 소재도 또다른 논란으로 대두될 전망이다.

정통부 고시에 따르면, 금융기관이나 공인인증기관이 공인인증서 발급업무를 온라인 신원확인으로 대체했을 경우, 해당 인증기관이 자기 책임하에서 이뤄지도록 규정하고 있기 때문이다.