|
최근 디지털 시대의 필수품으로 자리잡은 공인인증서 유출로 인한 피해자가 속출하고 있어 대책 마련이 시급한 실정이다. 일부 웹 전문가들은 공인인증서 무용론까지 제기할 정도다. 전 세계 공인인증서 보급률 1위를 자랑하는 대한민국 전자금융 시장에 도대체 무슨 일이 벌어지고 있는 것일까.
온라인에서 공인인증서는 현실세계에서의 주민등록증과 흡사한 구실을 한다. 공인인증서가 온라인 금융거래에서 사용자의 신원을 확인하는 ID 기능을 하기 때문이다. 공개키 기반(PKI)의 암호화 기술을 채택한 공인인증서는 초기에는 주로 인터넷뱅킹에서 사용됐지만 이제는 온라인 쇼핑과 신용카드 결제, 전자정부의 민원서비스에까지 채택되며 보편적인 인증수단으로 자리잡았다.
3월 현재 1500만명 발급
그런데 누구도 의심하지 않던 이 제도가 올해 들어 급증한 보안사고로 그 ‘신화’에 심각한 타격을 입기 시작한 것. 언론에 공개된 사건 외에도 은행 이미지 실추를 우려해 공개를 꺼리는 보안사고가 적지 않다는 것이 업계의 공공연한 비밀이다. 시중은행 내부에서는 피싱이나 파밍 등 최첨단 해킹에 대한 대응책 마련에 비상이 걸린 것으로 알려졌다.
최근 급증하는 전자금융 보안사고의 공통된 특징은 크게 세 가지다. 첫째는 해커들의 공격 대상으로 공인인증서가 급격히 부상하고 있다는 점이다. 둘째는 이들 공인인증서와 비밀번호를 활용해 금융사이트가 아닌, 보안이 상대적으로 취약한 결제시스템 대행업체(PG)를 노린다는 사실. 마지막으로, 범행에 사용된 인터넷 IP 주소를 추적한 결과 대부분 중국 해커들의 소행이라는 점이다.
알려진 대로 공인인증서 자체로는 해킹으로부터 안전하다고 할 수 있다. 또한 국내의 인터넷뱅킹은 PC방화벽, 키보드 보안, SEED 암호화, 공인인증서, 보안카드, 일회용 비밀번호(OTP) 등 최소 다섯 가지 이상의 보안단계를 거쳐야 하기 때문에 공인인증서를 빼내는 것만으로는 도용이 불가능한 상황이다.
하지만 완벽해 보이는 공인인증서 시스템에도 약점은 존재한다. 바로 ID와 비밀번호를 사이트마다 유사하게 만들어 사용하는 우리나라 누리꾼들의 낮은 보안의식 때문이다.
“해커들은 e메일이나 게임사이트 등 연관사이트 해킹을 통해 공인인증서와 동일한 비밀번호를 알아낼 수 있기 때문에 공인인증서의 대량유출은 심각한 사회문제로 볼 수 있습니다.”(경찰청 사이버테러대응센터 정석호 경감)
해킹기술의 발달로 공인인증서의 유출 경로도 다양해지고 있다. 보안업체 FNBC 양정철 대표는 “공인인증서 발급 과정은 까다로운 반면, 사용자들은 이동의 편리성을 추구하기 때문에 유출 사고가 빈번해졌다”고 지적한다. ‘사례1’과 같이 e메일에 공인인증서를 보관하다 유출당하는 것은 가장 빈번하면서도 위험한 행위라고 할 수 있다. e메일이 해킹되는 순간 공인인증서까지 제삼자에게 유출되기 때문이다.
“다양한 보안시스템 발전해야”
그간 보안 관계자들은 “인터넷뱅킹에서 본인의 도장과도 같은 구실을 하는 공인인증서는 원칙적으로 PC의 하드디스크나 USB 등 개인이 직접 관리할 수 있는 장치에 보관해야 한다”고 강조해왔다. 그러나 최근에는 컴퓨터 하드드라이브 안의 특정 폴더에 저장된 공인인증서만 노리는 해킹 툴과 키보드 입력값만 빼내가는 ‘키로그(Key log)’ 기법이 유행하며 업계를 긴장시키고 있다.
우리 금융계가 ‘안전한 공인인증서’라는 환상에 안주할 때 그 빈틈을 노린 이들이 바로 중국 해커다. 이들은 한국의 온라인 게임에서 사용되는 ‘게임머니’를 노리고 한국 게임사이트 서버를 공격 대상으로 삼았다. 이렇게 수집된 국내 게이머들의 주민등록번호와 ID, 비밀번호에 공인인증서 유출까지 더해지면서 피해가 커지는 구조가 만들어진 셈이다.
중국 해커들이 수집한 공인인증서를 활용해 상대적으로 보안이 잘된 인터넷뱅킹이 아닌, 쇼핑몰 PG를 노린 것도 주목할 만하다. 이 온라인 계좌이체 PG들은 인터넷뱅킹과 달리 보안에 취약하다는 약점이 있다. 뿐만 아니라 공인인증서와 계좌비밀번호 확인만으로도 30만원 이하 게임머니와 온라인 상품권을 구매할 수 있다. 현금으로 교환할 수 있는 게임머니는 중국 해커들에게는 이상적인 먹잇감인 셈이다.
고려대 법대 김기창 교수는 “공인인증서를 마치 보안의 만병통치약인 것처럼 홍보해온 당국에도 문제가 있다”며 “보안 측면에서 우월하다지만 공인인증서만이 유일한 해답이 아니기 때문에 원타임 패스워드(OTP) 등 다양한 보안시스템이 발전할 수 있도록 해야 한다”고 주장했다.
보안업체 관계자들은 우리나라의 정보 보안의식을 세계 최저 수준으로 꼽는 데 주저하지 않는다. 낮은 보안의식의 배경에는 편협한 공인인증서 제도에 의존해왔기 때문이란 지적이 설득력을 얻는다. 1500만명이라는 엄청난 사용자 숫자가 자랑할 일만은 아니라는 설명이다. 게다가 공인인증서 발급 시스템이 지나치게 마이크로소프트 윈도에 기대고 있다는 점도 새로운 문제점으로 거론된다.
최근 정보기술(IT) 평론가 김국현 씨는 “공인인증서에 의한 인증 의무화는 법의 기술 중립성을 잃게 만들 뿐만 아니라, 오히려 기술 발전을 저해하고 있다”며 공인인증서 무용론을 주장하고 나서 온라인에서 큰 화제를 모았다. 웹에서 쓸 수 있는 인증수단은 공인인증서만 있는 게 아니라는 주장이다. 현재의 공인인증서 제도는 공공기관들의 무비판적인 도입으로 오히려 장점을 잃어가는 셈이다. 올해가 공인인증서 독점체제가 깨지는 시기로 기록될 수 있을지 관심이 모아지고 있다.
|
