fjrigjwwe9r1UNIMO_MULTIBOARD:Brd_Contents 최근 정부 부처 간 이견 등으로 촉발된 스마트폰에서의 공인인증서 의무화 논란이 학계 및 업계 전문가 간의 공개 토론장으로 이어져 치열한 갑론을박이 벌어졌다.
한국정보보호학회가 25일 서울 코엑스에서 주최한 ＇공인인증서 보안문제 진단 및 대책 마련을 위한 토론회＇에서 전문가들은 주로 해킹의 가능성과 부인방지 기능 등 기술적인 문제를 놓고 곳곳에서 충돌했다.
국내에서 의무적으로 통용되는 공인인증서 방식과 북미와 유럽 등지에서 주로 이용되는 ＇SSL(암호화통신)+OTP(일회용비밀번호)＇ 방식을 놓고 서로 다른 주장을 펼친 것.
우선 부인방지 기능을 놓고 양측은 서로 다른 주장을 펼쳤다. 공인인증서 의무화를 지지하는 강필용 한국인터넷진흥원(KISA) 팀장은 발제를 통해 ＂SSL+OTP 방식은 공인인증서 기반의 부인방지 기능을 갖고 있지 못하다＂고 주장했다.
반면 김기창 고려대 법대 교수는 ＂공격자가 해킹 등으로 서명할 경우 공인인증서는 부인방지 기능을 갖지 못한다＂고 맞받았다.
은행감독에 관한 국제적인 기구인 바젤위원회의 원칙을 놓고도 양측은 서로 다른 주장을 펼쳤다.
강 팀장은 바젤위원회에서도 부인방지 기술에 대한 조항이 있다고 주장한 반면 김 교수는 다양하게 제시되는 원칙 중 하나일 뿐으로 바젤위원회는 특정 기술을 쓰지 않도록 하고 있다고 반박했다.
인증서의 저장공간의 안정성 문제에 대해서도 강 팀장은 ＂(SSL의) 웹브라우저 저장방식은 인증서 비밀번호를 묻지 않기 때문에 타인에 의한 도용이 가능하다＂고 주장했으나, 김 교수는 ＂웹브라우저에서는 안전한 위치에 저장되고 있다＂고 맞섰다.
기술적 논쟁에 이어 벌어진 규제의 유효성 문제에 관해선, 전 세계에서 거의 유일하게 실시간 은행간 계좌이체 등을 뒷받침하고 있는 공인인증을 인정하자는 주장과, 이미 투자된 공인인증 관련 인프라를 계속 활용하는 데는 동의하지만 모바일에서는 자유로운 기술의 출현을 제한하지 말자는 주장이 팽팽히 맞섰다.
강 팀장은 ＂공인인증체계는 10년 이상의 운영을 통해 안전성을 충분히 검증받았다＂고 주장했고 김 교수는 ＂공인인증서 사용을 뒤집자는 것이 아니라 시장에서 자유로운 기술이 나타날 수 있도록 의무규정을 없애자는 것＂이라고 말했다.
아울러 스마트폰에 들어가는 공용 애플리케이션 방식에 대해서도 문제가 제기됐다.
토론자로 나선 이동산 페이게이트 이사는 ＂공용 애플리케이션은 애플의 심사를 거쳐 등록돼야 한다＂면서 ＂국가 인프라를 하나의 해외기업에 맡기는 것으로, 보안을 떠나서 인프라 자체를 애플리케이션에 의존하는 것 자체가 제2의 액티브X＂라고 말했다.
이밖에 김승주 성균관대 교수는 ＂소액결제에선 다양한 결제수단을 제시해주는 것에선 어느정도 타당하다＂면서도 ＂이 과정에서 OTP 보안 수준을 어느 정도로 제공할 것이냐는 연구가 먼저 선행돼야 한다＂는 주장을 펼쳤다.
한편 공인인증서 의무화 문제는 조만간 금융감독위원회가 포괄적인 검토에 나설 예정이지만 당분간 상당한 논란이 예상된다.
|
