신용카드용 공인인증서 논란

금융결제원과 코스콤(증권전산)이 지난해 말부터 기존 은행이나 증권 업무용 공인인증서를 이용해 대면확인 절차없이 신용카드용 공인인증서를 발급해주고 있는 가운데, 이 서비스가 '공인인증서의 안전성을 해치는 위법행위'라고 주장이 제기돼 논란을 빚고 있다.

금융결제원과 코스콤은 작년 11월부터 온라인에서 인터넷뱅킹용, 증권거래용, 범용 등 기존의 공인인증서만으로 무료로 신용카드용 인증서를 발급해주고 있다. 현재까지 금결원은 대략 17만장, 코스콤은 700여장의 신용카드 인증서를 발급한 상태다.

한국정보인증은 "기존 인증서만으로 대면확인 절차없이 신용카드용 인증서를 무료 발급해주는 것은 공인인증서의 안전성과 신뢰성을 훼손하는 위법행위"라며 "금결원과 코스콤은 이같은 서비스를 즉각 중지해야된다"는 요지로 주무부처인 정보통신부에 이의신청을 한 것으로 전해졌다.

하지만 금융결제원과 코스콤측은 "인터넷뱅킹용이나 주식거래용 공인인증서 발급시 대면확인을 거친만큼 이를 이용해 신용카드용 인증서를 발급해주는 것은 안전성 등에 하등의 문제가 없으며, 법적인 근거도 갖추고 있다"고 반박하고 있다.

이와 관련 정통부 관계자는 "현재 전자거래 해킹방지 대책의 일환으로 기존 공인인증서로 신용카드용 인증서를 발급해주는 행위의 위법성 여부를 검토 중이며, 결과는 이달 말쯤 발표될 것"이라고 밝혔다.

◆'위법이다' vs '근거있다'

한국정보인증이 이같은 행위를 위법이라고 주장하는 근거는 전자서명인증업무지침(제5조2항)이다. 이 조항에 따르면, 공인인증서로 공인인증서를 발급받을 수 있는 경우는 '갱신'과 '변경발급'으로 제한하고 있다. 갱신은 이미 발급받은 공인인증서가 유효기간이 만료될 경우 인터넷상에서 연장하는 경우다. 또 변경 발급은 사업자 등록번호가 변경되는 등 인증서 내용이 바뀐 경우다. 따라서 공인인증서를 이용해 공인인증서를 신규로 발급하는 것은 해당 지침에 위배된다는 것. 즉, 신용카드용 인증서를 발급하는 것은 분명 신규 발급에 해당한다는 것이 한국정보인증측 논리다.

정보인증 관계자는 "전자서명법 시행규칙(13조3항)에 따라 공인인증서를 신규로 발급받기 위해선 발급기관에서 직접 찾아가 신분증을 제출하고 신청을 하는 대면확인을 거쳐야 한다"고 지적했다.

이에 대해 금결원과 증권전산이 반박하는 근거는 전자서명법 제18조2항(공인인증서를 이용한 본인확인)이다. 이 조항에는 `다른 법률에서 공인인증서를 이용한 본인 확인 행위를 제한 혹은 배제하는 않는 경우라면, 공인인증기관이 발급한 공인인증서로 본임임을 확인할 수 있다'고 규정돼 있다.

증권전산 관계자는 "이 규정에 따르면, 공인인증기관이 발급한 공인인증서로 본인확인을 대체할 수 있도록 돼 있다"며 "더욱이 인터넷뱅킹이나 증권거래용 공인인증서는 발급 전 반드시 대면확인을 거치도록 돼 있기 때문에 전혀 문제의 소지가 없다"고 항변했다.

그러나 한국정보인증은 "공인인증서가 주민등록증, 여권 등 정부기관에서 발급한 신분증은 아니다"면서 "이 조항은 공인인증서로 신분증을 대체하는 게 아니라 단지 인터넷상에서 본인확인을 위한 수단에 불과하다"고 맞서고 있다.

◆'안전성' vs '편리성'

한국정보인증이 정작 문제삼고 있는 부분은 안전성이다. 공인인증서로 공인인증서 발급을 해주는 것은 과거 인터넷뱅킹 해킹사건처럼 제도적 허점을 노출시킬 수 있다는 것이다.

한국정보인증 관계자는 "현재 발급 신청자의 신용카드 소지 여부가 확인이 안된 상태에서 무분별하게 발급되고 있는데, 이는 신용카드 사고로 이어질 가능성이 높다"고 우려했다. 이 관계자는 또 "이대로라면 다른 공인인증기관에서 발급한 신용카드용 인증서로 인터넷 뱅킹용이나 주식거래용 인증서를 발급해도 무방하단 얘기로, 공인인증체계의 신뢰성을 크게 훼손시킬 것"이라고 말했다.

이에 대해 금결원 관계자는 "신용카드용 인증서 발급에 이용되는 공인인증서는 이미 은행 등에서 충분히 대면확인을 거쳐 발급됐다"면서 "이 상황에서 허위 인증서를 발급받아 어디에 사용하겠느냐"고 주장이다. 법규 해석도 중요하지만 '사용자 편의성'도 고려해야 한다는 것. 특히, 한국정보인증 논리처럼 "보안 등급이 다른 신용카드용 인증서로 인터넷뱅킹용이나 증권거래용 인증서를 발급받는 경우는 불가능하다"는 게 이들의 주장이다.