오늘 오전 10시 코엑스에서 개최된 강연회가 성황리에 완료될 수 있도록 수고해 주신 모든 분들께 감사드립니다.

“거래보안, 기술보다 사회적 측면 중요” http://bit.ly/arNtAF

부르스 슈나이어 “전자결제서 본인인증이 만능 아니야” http://bit.ly/bNspjG

“특정기술에 의존한 인터넷뱅킹 보안은 위험” http://bit.ly/d9pz5P

부르스 슈나이어 英 BT CTO “특정기술 지정하면 혁신 기대 못해” http://bit.ly/bpW7J2

“특정 보안기술 의존 위험” http://bit.ly/aHr7Dy

.

4월29일(다음 주 목요일) 오전 10시부터 COEX 에서 “한국 인터넷 뱅킹 보안의 문제점”이라는 제목의 국제 컨퍼런스가 열립니다.

발표자는 세계적인 보안 전문가인 부르스 슈나이어( http://www.schneier.com/about.html ), 파이어폭스 웹브라우저를 만드는 모질라 재단의 보안 총책임자(Director of Security Engineering) 인 Lucas Adamski, 그리고 지난 2월 영국 옥스포드 대학교 컴퓨터랩에서 발표된 “한국 인터넷 뱅킹 보안의 문제점” 논문의 공동저자인 김형식, 허준호님 등입니다.

영어로 발표되는 내용에 대하여는 동시통역 서비스가 제공됩니다.

좀 더 자세한 일정은 근일간에 안내해 드리겠습니다.

행사 장소의 수용 가능인원은 100명이므로 일찍 오셔야 앉으실 수 있을 것으로 예상합니당 ^^

슈나이어씨가 한 말들 중에 ‘유명한’ 것들이 좀 있습니다:

• “보안은 기술이 아니라 과정이다”
• “암호학이 안전을 보장하지는 않는다” (암호 알고리즘은 안전할지 몰라도, 실수는 사람이 한다.)
• 보안 업체가 공격자를 감시하고 막아준다지만, 보안업체는 누가 감시하나? (“Who watches the watchers?”)
• 절대적 권력은 절대적으로 부패한다. (“Absolute power corrupts absolutely.”) 물론 이말은 슈나이어씨가 한 말은 아니지만 보안과 관련해서 이것이 얼마나 중요한지는 슈나이어씨가 잘 설명하였지요.

http://book.nate.com/detail.html?sbid=1024454&sBinfo=info&mode=search

http://www.schneier.com/essay-114.html 참조.

최근 불거져나온 “세계 최초 아이폰 백신 소동“은 그저 웃어 넘길 일은 아닙니다. 세계의 기술 트렌드로부터 고립되어 특이한 해법과 미봉책으로 일관해 오던 국내 보안/거래 솔루션 업계의 실상과, 정확한 전문 지식 없이 선정적 보도로 일관해온 국내 일부 기술 매체들의 수준을 드러내 주는 “상징적 사건”입니다.

이 사건을 계기로 그동안의 전자금융 감독 체제가 과연 바람직했었는지를 되짚어 볼 필요가 있습니다. 다음과 같은 기본 원칙들을 다시 한번 음미해 보시면 좋을듯 합니다.

1. 금융, 보험 서비스의 공공성

금융, 보험 서비스는 많은 소비자의 이해 관계에 큰 영향을 미치는 것이므로 규제의 필요성이 분명히 있습니다. 사기업에 불과하므로 시장 논리에 방임해 둘 수 밖에 없다는 주장은 천박한 논리일 뿐 아니라, 금융 보험 서비스의 근본 성격에 대한 몰이해를 노출하는 것입니다. 요컨대, 규제의 필요성 자체는 분명하지만 구체적으로 어떻게, 어느 수준에서 규제하는 것이 옳은지에 대한 고민이 필요할 것입니다.

2. 규제와 자율의 조화

사업자의 단기적/개별적 이익과 공동체의 장기적/거시적 이익이 합치하지 않는 영역에서는 강력한 규제가 필요합니다. 예를 들어, 서브 프라임 모기지와 같이 고 위험/고 수익 사업 아이템의 경우, 개별 사업자의 단기적 이익 추구를 방임할 경우, 전체 시스템의 리스크는 감당하기 어려울 만큼 커지게 됩니다. 눈 앞의 이익 추구는 누구나 원하는 것이므로, 이것을 자율에 맏겨둘 수는 없고 규제를 통하여 전체의 손해 발생을 예방하는 것이 바로 금융감독 당국의 임무라고 생각합니다.

그러나, 사업자의 단기적 이익과 공동체의 장기적 이익이 합치하는 영역에서는 과연 규제의 필요성이 있는지를 좀더 면밀히 검토해야 할 것입니다. 개별적 이해관계와 공동체의 거시적 이해관계가 일치하는 분야에서 함부로 규제의 칼날을 들이댈 경우 개별 사업자에게도 해롭고, 공동체의 전체적 이익마저도 저해할 가능성이 있습니다.

전자금융거래 보안이 바로 이런 부문입니다. 허술한 보안 선택을 하는 사업자는 당장에 자기 자신에게 손해가 돌아옵니다. 전자금융거래법은 전자금융거래 사고가 발생하면 고객의 고의나 중대한 과실을 사업자가 입증하지 못하면 사업자가 배상 책임을 지도록 규정하고 있습니다(제9조). 보안을 강화하고 전자거래를 안전하게 설계하는 것은 개별사업자의 목전의 단기적 이익에도 부합하고, 모든 사업자들과 소비자들의 거시적, 장기적 이익에도 부합하는 것입니다.

요컨대, 전자금융 거래 보안은 규제당국이 개입하지 않더라도, 개별 사업자가 스스로의 단기적 이해관계 때문에라도 사고발생을 줄이고 싶어하는 영역입니다.

3. 규제 과잉의 폐해

규제가 필요 없는 영역에 규제 당국이 개입할 경우, 과잉규제의 폐해가 다음과 같이 나타납니다:

(1) 경쟁이 저하됩니다. 국내 금융기관들은 하나같이 ActiveX 플러그인을 사용한 해법을 똑같이 채택하고 있습니다. 모두들 그저 “금감원이 하라는 대로만 하면 된다”는 태도를 견지하고 있습니다. “이용자PC에 보안프로그램을 설치”하라, “공인인증서를 사용하라”는 등의 경직된 규정을 애초에 두지 않았더라면 국내 금융기관들 중, 적어도 일부는 벌써 ActiveX 플러그인을 걷어내고, 더욱 진전된 보안 해법을 채택하여 사업을 펼치고 있었을 것입니다. 국내의 보안 업계도 미국, 유럽, 이스라엘, 호주 등 세계 유수의 보안 솔루션 사업자들과 경쟁하는데 필요한 기술력 확보를 위한 노력을 기울였을 것입니다. 공인인증서와 ActiveX가 최상의 탁월한 해법이라면 강제 규정이 없더라도, 누가 시키지 않아도, 업계가 스스로 채택하고 있을 것입니다.

(2) 혁신이 저하됩니다. 규제는 사업자에게 부담으로 작용하기도 하지만, 다른 한편으로는 경쟁과 혁신의 고통을 덜어주기도 합니다. 국내 은행들은 모두들 규제 당국을 원망하면서 고만고만한 똑같은 해법으로 현상 유지를 하면서 현재의 시장 구도에 안주하고 있습니다. 겉으로는 불평을 늘어 놓지만, 한편으로는 편안함을 누릴 뿐 아니라, 심지어는 혁신적 뱅킹 사업을 추진하고 준비할 인력 조차 마련하지 않고 있는 실정입니다. 실제로 일부 시중 은행들의 e-business 사업단은 파이어폭스가 무엇인지도 모르는 ‘컴맹 e-business 사업단장님’께서 군림하는 한가한 부서일 뿐입니다. 새로운 어떤 경쟁 사업자가 혁신적 뱅킹 솔루션을 선보이면서 기존의 시장 구도를 뒤흔드는 “피곤한” 사태가 생길 가능성이 봉쇄되어 있기 때문입니다. 최근 선보인 하나N뱅크 앱에 대하여, 가장 큰 불평과 볼멘 소리를 쏟아 낸 자들은 바로 국내 은행들입니다. 편안히 장사해 오고 있는데 왜 피곤하게 만드냐는 것이지요.

(3) 서비스의 질이 저하되고 소비자가 피해를 입게 됩니다. 온국민들이 자기 컴퓨터에 ActiveX를 덕지덕지 설치하긴 했지만, 그래도 그럭저럭 잘해왔지 않느냐? 라고 반문하실지 모르겠습니다. 그러나 바이러스에 감염된 좀비 컴퓨터의 비율이 세계에서 가장 높은 축에 속하는 현 사태는 한마디로 전국민이 입은 막대한 피해입니다. 외국은 계좌이체를 하려면 이틀 사흘이 걸리지 않느냐? 라고 반문하실지 모르겠습니다. 유럽, 호주를 가보십시오. 하다 못해 이웃 일본을 살펴 보십시오. 우물안 개구리가 꿔왔던 자화자찬의 긴 꿈에서 빨리 깨어나지 않으면, 앞으로 제2, 제3의 “세계 최초 아이폰 백신 소동”이 계속 벌어질 것입니다.

실제로 사고를 잘 막아 오긴 했습니까? 이점이 바로 모든 금융소비자들이 궁금하게 여기는 점입니다. 아래 설명드리는 규제 당국의 역할과 개입이 시급하고도 절실히 필요한 분야가 바로 여기입니다.

4. 투명성 제고

각 금융기관별 전자금융 사고 발생 빈도, 발생 규모, 사고의 유형에 대한 정확한 자료가 있습니까? 모두들 사고발생을 조용히 덮고 적당히 무마하고 넘어가려 하고 있습니다. 이것이 과연 누구를 위해서 도움이 됩니까? 지금까지 정말 잘 막아 왔다면, 사고발생 내역을 투명하게, 자랑스럽게 공개하지 못할 이유가 없습니다. 실제로 우려할 만한 수준의 사고가 발생하고 있다면, 더더욱 이 사태를 숨겨서는 안될 것입니다.

각 금융기관이 자발적으로 자신과 관련된 사고거래 내역을 규제 당국에 정직하게 신고하기를 기대할 수는 없습니다. 그러나 이 문제를 훌륭하게 해결하는 손쉬운 방법이 있습니다.

사고거래가 발생하면 피해자(라고 주장하는 소비자)는 해당 금융기관에 항의하거나 소비자 단체에 호소하거나, 그래도 잘 해결되지 않으면 언론사 기자를 어렵게 접촉하여 기사화 시키는 등의 “매우 힘겨운 싸움”을 벌여야 합니다. 거대한 은행과 개인이 1대1로 맞서는 상황에서, 서로 기싸움과 힘겨루기가 벌어지는 현재와 같은 사태는 시급히 교정되어야 합니다.

앞으로는, 전자금융 사고 신고 및 피해 보상 요구 절차를 금융감독원이 일괄 관리할 필요가 있습니다. 금감원이 분쟁에 직접 개입하라는 뜻이 아닙니다. 금융기관의 홈페이지 초기화면에는 전자금융 사고신고/분쟁조정 링크를 제시하도록 하고, 소비자가 이 링크를 누르면, 금융감독원이 운영하는 전자금융사고 통합 신고 페이지로 연결되도록 하십시오. 피해자가 여기에서 사고거래의 상세한 내역을 입력하면, 금융감독원은 그 내용을 파악한 다음 해당 은행에 이첩하고, 분쟁 처리 과정을 모니터하면 될 것입니다.

이 작업은 진작에 금융감독원이 당연히 했어야 할 금융 소비자 권익보호조치의 중요한 내용이라고 생각합니다. 이렇게 수집된 정보를 규제 당국은 적절하고 합리적인 수준에서 투명하게 공개해야 합니다. 그래야 소비자들은 어떤 은행의 해법이 저열한지를 합리적으로 판단하고, 적절한 선택을 할 수 있습니다.

사고거래 발생과 관련된 정보가 제대로 관리되고 투명하게 공개되면, 모든 금융기관은 최선을 다해서 안전한 기술선택을 할 것입니다. 사고거래의 유형이 이렇게 잘 정리되고 분석된다면, 예방 대책을 마련하는 일도 더욱 효과적으로 수행될 수 있을 것입니다. 더이상 금융감독원이 보안기술의 상세한 내용에 대하여 이래라 저래라 지시하고, 명령할 필요도 없습니다. 굳이 외국의 사례를 인용하지 않겠습니다. 이와 유사한 수준의 투명한 정보 공개를 통하여 전자금융서비스의 안전을 합리적으로 관리하는 나라는 이미 있습니다. 그런 나라의 금융감독 당국은 보안기술의 상세한 내용에 대하여 경직된 규정을 들이대지 않습니다.

소비자와 사업자의 합리적 판단을 존중하는 것이야 말로 전자금융 보안을 확보하는 가장 올바른 길입니다. 합리적 판단에 필요한 정확한 정보를 제공하는 일은 바로 규제 당국의 몫입니다.

5. 금융감독원에 거는 기대

최근 발표된 스마트폰 전자금융 보안대책은 종래의 PC 전자금융 보안대책에 비하면 획기적으로 진전된 바람직한 내용을 담고 있다고 생각합니다. 종래와 같이 “이용자PC에 보안프로그램을 설치”하라는 식의 특정기술 편향(플러그인 편향)의 표현도 이제는 사라졌고, “공인인증서를 사용”하라는 식의 경직된 표현 대신에 “전자서명 등”을 사용하라는 보다 유연한 정책 기조를 담고 있습니다.

무엇보다도 “취약점 모니터링 체제”를 도입하겠다는 부분은 훌륭한 정책 선택이라고 생각합니다. 취약점 모니터링은 사고거래의 유형을 분석하는 작업을 당연히 전제하는 것이며, 위에서 제안드린 전자금융 사고 통합신고 체제를 이미 구상하고 계시는 것으로 보입니다. 스마트폰 전자금융 보안대책과 같이 (1) 유연하고 중립적인 보안 기준(입력정보 보호대책, 악성코드 예방대책 등)을 제시하고, (2) 취약점 모니터링을 통하여 각 사업자의 performance 를 합리적 수준에서 투명하게 공개하는 정책 방향은 조만간 PC전자금융 부문에도 동일하게 적용되는 것이 바람직하다고 생각합니다.

과거에 채택된 정책에 대하여는 지속적, 상시적 평가가 이루어져야 함은 당연하고, 그 정책의 미비점이 발견되면 신속히 수정하시는 것이야 말로 현명한 규제 당국의 선택일 것입니다.

전자금융거래와 관련하여 그동안 철저히 외면되었던 소비자의 알권리에 대해서도 이제는 관심을 가지실 때 입니다.

지난 1월21일 국내 일부 언론은 정보보호 업체인 NSHC가 안티바이러스 프로그램 개발 업체인 하우리(주)와 공동으로 ‘아이폰 전용 백신 프로그램’을 세계 최초로 개발했다고 보도하였다. 그러나 이 업체가 개발하였다는 프로그램은 앱 스토어에 등록되기는 커녕, 바로 다음날 등록 신청마저 신속히 거부되었다.

아이폰 운영체제의 설계 원리를 이해한다면, ‘아이폰 전용 백신’이라는 개념 자체가 성립되지 않는다는 점을 알 수 있다. 안드로이드 운영 체제와는 달리 아이폰 운영체제는 음악재생을 제외하고는 멀티태스킹(multi-tasking)을 허용하지 않는다. 그뿐 아니라 아이폰의 프로그램 실행환경은 철저히 고립/차단된 sandbox 내부이므로, 어떤 프로그램이 다른 프로그램의 실행 프로세스에 간섭하거나 개입할 여지가 없다. 이렇게 설계된 운용 환경에서 안티바이러스 프로그램을 실행한다는 것 자체가 그다지 설득력이 없을 뿐 아니라, 애플사는 자사가 직접 관리하는 앱 스토어를 통해서만 프로그램이 아이폰에 설치될 수 있도록 하고, 앱 스토어 등록 신청 과정에서 프로그램을 사전 점검하여 악성 프로그램은 애초에 등록되지 못하게 함으로써 아이폰 운용 환경의 안전을 담보하고 있다.

바이러스가 아예 침입할 수 없도록 관리되는 환경에서 안티바이러스 프로그램 설치를 운운하는 것 자체가 코메디일 뿐 아니라, 애플사가 회사의 명운을 걸고 전세계에 판매하는 아이폰 운영체제의 신뢰성 자체에 대한 근거없는 모욕이다. 만일 아이폰용 ‘안티바이러스’ 프로그램을 애플사가 승인한다면, 그말은 곧 바이러스가 포함된 프로그램들이 앱 스토어에 마구 등록되는 사태가 이미 발생하였다고 시인하는 꼴이다. 애플사가 망하기 전에는 이런 일이 벌어질 가능성은 없다.

“세계 최초”에 열광하는 국내의 일부 성향을 적절히 자극하면서, 기술적으로나 논리적으로 터무니 없는 업체의 선전 자료를 검증 없이 베껴 적는 기사, 바로 다음날 등록신청이 거부되었다는 사실은 조용히 덮고 정정 보도조차 내지 않는 무책임함은 안타깝게도 국내 기술언론 매체의 부끄러운 현주소이다.

유사한 사태는 사실 그동안 거듭 반복되었다. 이른바 ‘리눅스용 안티바이러스 프로그램’ 소동이 그것이다. ‘윈도우’가 운영체제인지 컴퓨터인지도 잘 모르던 과거의 규제당국이 전자금융거래에는 백신프로그램을 우선 설치하라는 규정을 도입하자, 국내 일부 보안업체는 ‘리눅스용 백신프로그램’이라는 것을 개발하였다고 발표하는 사태가 벌어졌었다. 문제의 프로그램 개발에 관여하였다는 분의 주장은 “리눅스 운영체제에서 작동하는” 안티바이러스 프로그램은 공개소스로 이미 존재하며(예를 들어 clamAV), 자신은 이것에 기반하여 제품을 만들었다는 것이다.

놀라울 뿐이다. “리눅스에서 작동하는” 안티바이러스 프로그램은 리눅스 이용자를 공격하는 바이러스 프로그램(그런 바이러스가 전파될 가능성은 애초에 희박하다)이 있다는 말이 아니라, 윈도우 이용자들을 공격하는 악성 프로그램을 리눅스 운영체제로 가동되는 메일서버, 파일서버가 스캔해 주는데 사용되는 프로그램들이다. 이메일 서버들은 흔히 리눅스 운영체제로 구축되는 경우가 많다. 이런 메일서버들이 이메일 수령자들에게 전달될 첨부파일을 일괄 스캔하여 악성코드가 포함된 첨부파일은 아예 이메일로 전달되지 않도록 예방하는데 사용되는 프로그램들인 것이다. 이런 프로그램을 개인 컴퓨터에 설치하겠다는 발상은 리눅스가 무엇인지, 클라이언트/서버가 무엇인지 기본 개념 부터가 없거나, 영어를 해석할 능력조차 없는 수준의 인력이나 해낼 수 있는 발상이다. 그런 보안업체의 보도자료를 그대로 베껴적는 IT기자가 수두룩하다는 것이 바로 “IT 강국” 한국의 현실이다.

국내에서는 심지어 ‘리눅스용 키보드보안 프로그램’이라는 것이 실제로 배포되기까지 하는 실정이다. 그야말로 “세계 최초”일 뿐 아니라, “세계 최후”의 발상일 것이다. 리눅스 운영체제에서는 이용자의 계정 암호 없이는 컴퓨터를 아예 사용할 수 없는 것이 보통이고, 키보드 입력값을 가로채는 프로그램이 설치되려면, 계정암호 뿐 아니라, 루트(관리자) 암호까지도 이미 공격자가 입수한 사태가 벌어져야 가능한 일이다. 루트 암호가 유출되었다면 키보드보안 프로그램 따위를 설치해 둔다고 해서 무슨 소용이 있겠는가? 장례식장에서 고인에게 감기약 복용을 권하는 꼴일 뿐이다.

“세계 최초” 아이폰 백신 소동은 세계에서 철저히 고립된 국내 보안업체와 국내 기술매체의 수준을 적나라하게 드러내 보여주는 씁쓸한 에피소드로 기억될 것이다.

금융감독원의 스마트폰 보안 정책 중, “입력정보 보호대책”은 대략 다음과 같은 방향을 생각해 볼 수 있습니다.

기본 개념

• 고객이 입력할 인증 정보의 성격/종류/기술적 특성을 분석하여 대처할 필요가 있습니다.
• 인증 정보 중, 고정값과 변동값을 적절히 구분하고, 그에 따른 대응책을 마련합니다.
• 입력을 요구할 인증정보의 종류 및 빈도를 합리적으로 분석, 결정할 필요가 있습니다.

키보드보안 프로그램만 설치하면 만사해결이라는 황당한 태도는 아마추어리즘의 극치라고 밖에는 달리 표현할 길이 없습니다.

1. 인증서 암호

• 웹브라우저의 보안저장장치(secure key store) 또는 하드웨어적 보안장치(보안토큰)에 인증서를 설치하고 사용할 경우(표준적 방법), “인증서 암호”는 아예 존재하지 않습니다.
• 웹브라우저/하드웨어 보안장치 접근에 필요한 암호는 해당 machine 에만 적용되는 것이므로 유출되어도 인증서의 보안성에 영향이 없으며, 이용자의 컴퓨터 자체에 대한 공격과도 무관합니다.
• 요컨대, 표준적 방법으로 인증서를 사용하면, 인증서 암호라는 것을 아예 입력할 필요가 없어집니다.
• 하드디스크나 USB의 NPKI폴더 안에 일반 파일 형태로 저장된 인증서는 이용자가 자진 삭제하도록 안내, 유도하면 보다 안전한 인증서 운용 환경이 마련될 것입니다.

공인인증서가 국내에서 불러일으킨 엄청난 문제는 일차적으로 KISA에게 책임이 있습니다. KISA는 시급히 인증서 저장 규격을 개선/개정해 주시면 좋겠습니다.

2. 보안카드 번호

• 보안 카드는 소지 수단(possession-based means of access)으로 기능하며, 일종의 OTP (일회용 비밀번호)에 해당합니다.
• 그러나, 앞 두자리, 뒷 두자리로 나누어 합계 4자리 숫자의 입력을 요구하는 현재 방식은 공격자가 요구값의 패턴을 비교적 쉽게 유추할 수 있는 열악한 운용방식이므로, 이것을 수정할 필요가 있습니다.
• 예를 들어, 매 거래 마다 무작위로 지정된 연결되지 않은, 합계 3자리 숫자만 입력하게 할 경우, 노출값은 적어지고 요구값의 패턴은 획기적으로 그 경우의 수가 많아지므로, 공격자가 보안카드의 전체 정보를 고객의 입력값(노출값)으로부터 역으로 유추하는 작업이 비현실적으로 됩니다. 여기 참조.
• 보안카드 운용 방식을 적절히 개선할 경우, 키보드 보안 프로그램은 불필요 합니다.

3. 계좌이체 비밀번호

• 이미 유출되었을 가능성이 가장 큰 인증정보입니다. 오랫동안 각종 신청 서류에 계좌이체 비밀번호를 아예 기재한 적도 있고, 그 후에도 그 정보를 그대로 유지하는 고객의 비율도 높습니다.
• 신용카드 결제의 경우, 카드 비밀번호 첫 2자리를 입력하게 하는데, 이 번호와 계좌이체 비밀번호 첫 두자리가 동일한 경우도 많습니다.
• 계좌이체 비밀번호는 낮은 수준의 신뢰성을 가진 인증정보이므로, 낮은 수준의 보호대책인 화상 키보드로 대처하면 적절할 것입니다. 장기적으로, 금융PIN(6자리)을 사용하고 계좌이체 비밀번호는 인터넷 뱅킹에서는 사용을 중단하는 방안을 검토할 필요가 있습니다.
• 금융PIN 을 사용할 경우, 매 거래마다 무작위로 선택한 3개의 숫자(예컨데, 넷째, 첫째, 둘째; 그 다음 거래에는 둘째, 다섯째, 여섯째 등)만을 입력하도록 설계할 경우(영국 HSBC가 채용하는 방법), 키보드보안 프로그램은 별 필요가 없습니다.

4. 인증정보 입력 요구 빈도

• “안전한 것 같은 느낌이 들게”하는 것과, 실제로 안전한 것은 구분할 필요가 있습니다.
• 암호 입력을 자주 요구하면 할수록 공격의 기회는 늘어납니다. 무지한 고객은 암호입력창이 자꾸 뜨면, 꼬박꼬박 입력하면서 해당 서비스가 “안전하게 설계된 듯한 느낌”을 가질 수는 있으나, 합리적 고객은 저열한 설계에 대한 반감을 가지게 됩니다. 그리고, 모든 이용자들이 공격에 더욱 노출될 뿐입니다.
• 거래 개시에 필요한 인증 단계를 통과한 고객에게 그 세션 중 이루어지는 개별 거래에 대하여 또다시 암호 입력, 인증/서명 등을 거듭 요구하는 것은 무의미 합니다. 거래 세션 개시에 필요한 인증 수단을 구비한 자라면 해당 세션 중 아무리 여러번 암호 입력, 인증/서명을 거듭 요구해도 그 과정을 모두 통과할 수 있습니다. 노출되는 입력 정보만 많아질 뿐입니다.
• 본인이 자리를 비운 사이에 다른 자가 거래할 가능성에 대한 차단은 일정 기간(약 5분?) 입력이 없으면 세션을 종료하는 방법으로 대처하는 것이 옳습니다. 금융거래 세션을 열어두고 자리를 비우는 행위 자체가 “중대한 과실”에 해당할 여지가 많으며, 그로 인한 거래는 그자가 책임을 지는 것이 옳다는 주장은 법원도 쉽게 수긍할 것입니다.

그저 암호입력창만 자꾸 띄워주면 더 안전하지 않을까하는 소박, 유치한 수준의 설계에 길들여져 있는 분들은 제대로 설계된(실제로 안전한) 전자금융거래를 접하시면 “일종의 불안감”을 느낄 수도 있습니다. 너무 간편, 신속하기 때문입니다.

뱅킹 거래 한번하려면, 온갖 프로그램을 설치하고, OK를 무수히 누르고, 웹브라우저를 몇번이나 재시작 하고, 심지어는 컴퓨터를 재 부팅 까지한 다음, 로그인을 하고, 이체할 때마다 무슨 인증서 암호 입력창이 또 뜨고 … 한 마디로 “생 쑈“를 해 온 나머지, 적지 않은 이용자들은 “이렇게 복잡하고 어려우니 안전하지 않을까?”하는 “느낌”을 가지게 됩니다. 그러나 이것은 학대받아온 일반 이용자의 “자기 위안”에 불과할 뿐, 보안기술적으로는 어디 내놓기 부끄러운 수준입니다.

앞서 게시한 글에 이어, 조금 더 자세히 금감원의 스마트폰 보안 정책을 살펴보겠습니다.

“악성코드 예방대책”

먼저, 보도 내용을 인용합니다. (“스마트폰 모바일뱅킹 보안규제 심하지 않을 것“)

최재환 금융감독원 금융감독서비스총괄 부국장(IT업무팀장)은 “백신 형태의 프로그램을 새로 설치하는 것이 아니라 해킹 방지대책 등을 강구할 것”이라고 설명…

아무도 솔직히 말하지 않고 얼버무려 온 사실이 하나 있습니다. 금융기관이 그동안 강제로 설치해왔던 백신/방화벽 프로그램은 고객 PC를 보호하려는 목적이 아니라는 점입니다. 고객 PC는 이미 구제불능이라고 전제하고, 그 상황에서 이루어지는 금융 거래 정보를 보호하려는 것입니다. 애초부터 이 프로그램들은 악성코드를 “예방”할 목적도 아니었고, 감염된 고객 PC를 “치료”할 목적도 아니었습니다.

은행 접속 중에만 잠시 켜졌다 꺼지는 프로그램들이 고객 PC를 지켜줄 수는 없습니다. 보안플러그인 작동 전에는 공격을 참고 기다렸다가, 보안플러그인 작동 중에만 공격을 시도하고, 플러그인 작동이 멎으면 공격도 멈추는 그런 공격자는 없습니다. 고객PC에 대한 공격은 보안플러그인이 꺼져있는 동안 일어납니다.

국내 외의 모든 보안전문가들이 한 목소리로 제시하는 진정한 “악성코드 예방대책”은 다음과 같습니다. (i)운영체제를 제때 업데이트하고, (2)웹브라우저는 최신 보안기능이 구비된 버전을 사용하며, (iii)본격(full-fledged) 안티바이러스 프로그램을 하나 설치하고 실시간 감시 기능을 사용하며; (iv)평소의 컴퓨터 이용은 일반이용자 권한으로 수행하고, 함부로 관리자 권한으로 컴퓨터를 사용하지 않도록 유념하고, (v)인터넷 접속 중, “이 프로그램을 설치하시겠습니까”라는 경고창이 뜰 경우, 그 프로그램의 용도, 기능, 설치 이유를 자신이 분명히 이해한다는 확신이 없으면, 무조건 “아니오”를 선택하도록 이용자들에게 지속적으로 안내/설명/홍보하는 것입니다.

지금까지 한국에서 벌어진 일은 정반대 였습니다. 한국이 전세계 해커의 놀이터로 되고, 한국의 감염 컴퓨터가 해커들 간에 공공연히 거래(1000대 당 $5 수준)되는 사태는 우연히 생긴 것이 아닙니다. ActiveX로 어떤 신통한 프로그램을 강제로 설치하기만 하면 온국민의 컴퓨터가 안전하게 될 거라는 황당, 유치한 환상에서 이제는 벗어날 때도 되었습니다.

진정한 “악성코드 예방대책” 중에는 은행이 강제할 수 있는 것도 있고, 고객에게 그 이치를 설명/안내/권고하여 고객이 스스로 조처를 취할 가능성을 높이도록 노력하는 수밖에 없는 것도 있습니다.

금융기관은 다음과 같은 “악성코드 예방대책”을 적용할 수 있을 것입니다.

• 낡은 버전 웹브라우저로는 금융서비스 제공 사이트에 접속하지 못하게 할 수 있습니다. 이미 보안 취약점이 너무 많이 노출된 낡은 버전 웹브라우저로 접속하는 고객에게는 접속을 불허하고, 웹브라우저 업그레이드가 자신의 PC보호에 어째서 필요하고 중요한지를 설명하고, 업그레이드 링크를 제공하면 됩니다. 파이어폭스, 사파리, 오페라 등도 마찬가지입니다.
• 인터넷 뱅킹 로그인 버튼을 누르면, 아래 내용을 담은 안내 페이지가 고객에게 가장 우선적으로 제시되도록 합니다. 이 페이지는 쿠키를 사용하여 다음 번 접속 때부터는 나타나지 않도록 할 수 있습니다.
  1. 무료 이용 가능한 본격 안티바이러스 프로그램이 다양하게 존재한다는 점을 설명하고, 내려받기 링크 제공
  2. 운영체제(OS) 업데이트가 왜 중요한지 설명하고, 업데이트 링크 제공(윈도우의 경우)
  3. 관리자 계정에 암호를 지정해두고 평소에는 일반 이용자 계정으로 자신의 컴퓨터를 사용하는 것이 바람직하다는 점을 안내하고, 그 방법을 설명
• ActiveX 나 파이어폭스 확장, 웹킷 확장 등 일체의 플러그인 사용을 최소화하고, 불가피하게 플러그인을 사용해야 할 경우에는 반드시 고객에게 어떤 플러그인이 무슨 이유로 필요한지를 설명하는 페이지를 플러그인 설치 전에 제시합니다.

잠시 켜졌다 꺼지는 “반짝 보안” 프로그램을 설치하는 일은 “악성코드 예방대책”이 아예 아닙니다. 그런 프로그램을 설치하려고 영문도 모르는 고객에게 “보안경고창이 나타나면 반드시 예를 누르라”고 안내/세뇌하는 것은 “악성코드 감염대책”일 뿐입니다.

금융감독원은 더이상 백신/방화벽 플러그인의 설치를 강요하지 않습니다. 그 대신, 진정으로 “악성코드 예방”에 도움이 되는 대책을 앞으로는 모든 금융기관들이 제대로 적용해야 할 것입니다.

“입력정보 보호대책”

이 문제는 제가 길게 설명드릴 필요 없이, 금감원 최재환 부국장님의 설명을 인용하는 것으로 족합니다:

“일각에서 얘기되는 키보드 보안 프로그램 설치도 사실이 아니라, 입력정보 보호대책(가상 키보드)등을 얘기한 것”이라고 말했다.

요컨대, 금융감독원은 키보드보안 프로그램의 설치도 강제하지 않습니다.

더 이상 금감원 핑계를 대며 이런저런 보안 프로그램을 팔려는 시도는 통하지 않게 되었습니다.

이번에 발표된 스마트폰 보안 대책에 대하여, 금융감독원은 “특정 기술에 대해서는 거론하지 않았고, 해당 가이드만 줬다. 상당히 신중하게 안을 마련했다”는 입장을 밝혔다는 점도 매우 높이 평가할 부분입니다. 도안구님의 블로터 보도 마지막 부분 참조.

[계속]

오늘(1월6일) 배포된 금감원의 “스마트폰 전자금융 서비스 안전대책“의 기본 방향은 “PC 인터넷 뱅킹 서비스와 유사한 보안 수준을 스마트폰에도 적용”하는 것입니다. 세부적으로,

• 로그인: 공인인증서를 사용하거나, 비밀번호 외에 일회용 비밀번호(보안카드 포함) 등 two-factor 인증을 할 것.
• 계좌이체: PC 인터넷 뱅킹 계좌 이체에 적용되는 거래인증 방법(비밀번호, 일회용 비밀번호, 전자서명)을 스마트폰에도 적용
• 보안교신: “스마트폰-금융회사” 간 전 통신구간에서 암호화 교신 할 것
• 키보드 입력값 관련: “입력정보 보호 대책”을 적용
• 바이러스 관련: “악성코드 예방 대책”을 적용
• 거래 사실의 부인 방지를 위해 “전자서명 등”을 이용

적어도 현행 규정(전자금융감독규정 및 시행세칙)에 비하면 조금 진전된 접근이라고 평가할 부분이 있습니다.

현행 규정은 “이용자PC에 … 보안프로그램을 설치”하라는 매우 직설적이고 편파적(플러그인 기술 편향)인 표현을 동원할 뿐 아니라, 보안프로그램을 어떻게 해서든 팔아보려는 업체 영업사원의 단순 소박한 욕망이 적나라하고 “무모하게” 규정에 그대로 드러나고 있지만, 스마트폰의 경우에는 다음과 같이 포괄적이고 중립적인 표현이 사용되고 있습니다. 즉,

첫째, “입력정보 보호대책“은 매우 다양한 기법으로 구현될 수 있습니다. 예를 들어, 서버가 스크린 키패드 기술을 구사하면 이용자가 별도 프로그램을 설치할 필요가 없습니다. 매번 다른 입력값을 요구하는 해법(보안카드 등 OTP)도 만족스런 “입력정보 보호대책”이 될 것이며, 이용자는 아무런 프로그램도 설치할 필요가 없습니다.

보안업체가 지금까지 판매하던 키보드보안 프로그램은 실제로는 무용지물이었습니다. 심지어 금융결제원 홈페이지, 인증서 비밀번호에 관한 안내에도 다음과 같이 “고백”되어 있습니다: “e-mail, 개인사이트 등의 비밀번호와 유사 또는 동일한 비밀번호는 사용하지 마세요.”

즉, 다른 계정에 사용하는 것과 동일한 비밀번호를 인증서 비밀번호로 사용하면(대부분의 이용자들이 실제로 그렇게 하고 있습니다), 키보드보안은 아무 소용이 없었습니다. 보안업체들이 과연 이 사실을 정직하게 고백한 적이 있습니까?

둘째, “악성코드 예방대책” 또한 포괄적이고 중립적인 표현입니다. 기기(device)에 따라서는 제작자가 이미 합리적 수준에서 악성코드 예방대책을 전세계 이용자에게 제공하는 경우가 있을 것입니다(아이폰, 아이팟터치 등). 이 경우에는 별도의 예방대책이 현재로는 불필요 합니다. 반면에, 안티 바이러스 프로그램 설치가 가능한 환경에서는 제대로 된 full 프로그램을 설치하도록 안내하고, 나머지 잡다한 프로그램을 함부로 설치하지 말도록 적극 권장하는 것이 기술적으로 정직한 유일한 “악성코드 예방대책”입니다.

은행에 접속해 있는 동안만 잠시 켜졌다 꺼지는 잡다한 “보안프로그램”이 사실은 “컴맹 공무원에 대한 눈가림”에 불과하다는 것은 보안 업체들도 이제는 시인하므로, 오픈웹에서 이 사실을 반복할 필요는 없겠습니다.

아이폰용 실시간 백신은 기술적으로도 불가능합니다. 무지한 국내 언론을 동원하여 아이폰용 백신 개발 운운하는 괴담을 흘린 국내 일부 보안업체는 실제로 선량한 업체들의 빈축을 사고 있습니다.

셋째, 암호화 교신을 “스마트폰-금융기관” 간 전구간에 대하여 수행하라는 권고는 너무나 당연한 것입니다. https 접속도 당연히 “스마트폰-금융기관” 전 구간에서 보안접속을 하는 방법입니다(서비스 설계만 제대로 하면). 이 부분 역시 고객이 별도 프로그램을 설치할 필요는 없습니다.

넷째, 부인 방지에 대해서도, 스마트 폰 대책에서는 “전자서명 등”을 사용하라는 식으로 훨씬 유연하게 표현되어 있습니다. “전자서명 만”을 사용하라는 것이 아닙니다. 부인 방지는 결국에는 법적, 사회적 개념입니다. 어떤 거래를 내가 한 것이 아니라고 주장했을 때, 그 주장이 어느 정도 “설득력”이 있는지의 문제이기 때문입니다.

보안카드, OTP, SMS 문자 인증 등을 효과적으로 병행 사용하여 인증과정을 “전체적으로 안전하게” 설계, 운용할 경우, 그 거래를 자신이 하지 않았다고 “오리발” 내미는 것은 어렵습니다. 요컨대, “전자서명 만”이 부인 방지 효과가 있다는 오해는 이제 불식되었고, 각 서비스 제공자가 합리적으로 판단하여, 기술적으로 수긍이 가는 다양한 해법을 채택할 여지를 열어 두는 것이라고 이해합니다.

각종 국내용 “보안프로그램”(플러그인) 판매 만을 자신의 사업 영역으로 규정하고, 그것에만 목을 매고 있었던 업체들은 빨리 퇴출되는 것이 옳습니다. 국제 수준의 보안 “시스템 설계” 기술을 확보하고, 세계 시장에서 당당히 경쟁할 능력이 있는 업체가 주목 받는 시절이 곧 올 것입니다.

금융감독원이 현명하고 유연하게 대처하시면, 그런 시절은 더 빨리 올 것입니다.

(자신도 모르게) 보안업체 영업 사원의 하수인이 되어, 각종 “보안프로그램을 이용자 PC에 우선 설치”하라는 적나라하게 부끄러운 현행 규정을 강행하기 보다는, 이 규정을 신속히 개정하여, 스마트폰 안전 대책처럼 중립적이고, 유연한 표현으로 수정하시는 것이 전자금융 거래 보안을 위한 첫걸음이 될 것입니다.

이용자 PC에 설치되는 보안프로그램(클라이언트 플러그인)에 과도하게 의존해 왔던 종래의 보안기술 경향을 이제는 폐기할 때가 왔습니다.

보안업체 관계자들이 마치 “신앙”처럼 내세우는 것이 인증서의 “부인방지” 기능입니다. 부인방지의 논리는 다음과 같습니다:

• 너의 인증서(개인키)는 너만 가지고(관리하고) 있고,
• 이 거래에는 전자서명이 되어 있는데,
• 그 전자서명은 너가 관리하는 인증서(개인키) 없이는 만들 수 없으므로,
• 이 거래는 네가 한 것이 맞다

는 것입니다.

대 전제(개인키의 배타적 관리)가 충족되지 않으면, 부인방지 논리는 물론 성립되지 않습니다. 현재와 같이 아무나 손쉽게 복제 가능한 “싸구려” 인증서를 사용하는 경우에는, 개인키를 이용자가 배타적으로 지배, 관리하고 있다는 대 전제가 충족되기 어렵습니다. 설사 거래내역이 전자서명 되어 있다 한들, “내가 서명한 것이 아니라, 공격자가 나의 개인키와 인증서 암호를 입수해서 서명한 것이다”라는 피해자의 주장이 쉽게 수긍이 가기 때문에, 부인방지 효과는 애초에 기대할 수도 없습니다.

인증서의 부인방지 효과는 “네 도장이 찍힌 서류니까 네가 작성한 것이 맞다”는 논리와 동일합니다. 그러나, 이 도장이 수십번, 수백번 쉽게 복제 가능한 “단순” 전자파일로 되어 있어 여러 공격자 수중에 나돌 뿐 아니라, 그 파일로 서명하는데 필요한 암호 또한, 은행이 키보드보안 프로그램을 아무리 설치 해도 이용자가 다른 웹사이트에서 입력하는 비밀번호가 인증서 암호와 동일한 경우가 대부분 이므로, 암호 유출을 막기도 어려운 실정입니다. 따라서 복제 가능한 국내의 공인인증서가 부인방지 기능을 가지기는 어렵습니다. 이용자의 컴퓨터가 뚫린 상태(사고는 이런 상태에서 발생합니다)라면, 인증서와 암호는 이미 유출된 것이기 때문입니다. 실제로도, “전자서명이 되어 있다”는 이유로 은행이 사고거래의 책임을 고객에게 지우는데 성공한 사례도 없습니다.

그 뿐 아니라, 2007.1. 경부터 공인인증서가 대량으로 유출되었습니다. 이른바 파밍(pharming)이라는 이름의 공격 방법인데, 확인된 것만도 수천장의 공인인증서가 유출된 바 있고, 지금도 꾸준히 인증서 입수를 위한 다양한 공격이 이루어지고 있습니다.

이런 상황에서 국내의 보안업체는 “이용자의 컴퓨터가 뚫리지만 않으면, 공인인증서가 부인방지 효과를 가질 수 있다”는 궤변에 가까운 주장을 늘어놓으며(이용자 PC가 뚫리지 않으면, 나머지 여러 보안프로그램도 애초에 설치할 필요도 없지요) 인증서 사용을 고집하는 동시에, “이용자 PC가 다 뚫렸다고 전제해야 된다”면서 키보드보안 등의 프로그램을 강제 설치하고 있습니다. 앞뒤가 안맞는 소리를 하며, 프로그램(인증서 프로그램 + 보안프로그램) 판매에만 골몰하는 형국입니다.

보안 업계의 이해관계에 구애받지 않는 오픈웹이 제안하는 해법은 이렇습니다.

첫째, 인증서 사용을 강제하는 현행 규정은 폐지되어야 합니다. 이용자의 컴퓨터가 “뚫리지 않은 경우에만” 부인방지 기능을 가질 수 있다는 현재의 공인인증서는 하나마나한 것입니다(보안업체 스스로의 주장 – 이용자 컴퓨터가 모두 “뚫린 것으로 전제해야 된다” – 에 따르더라도).

둘째, 공인인증서 저장 규격을 변경해야 합니다. 보안토큰에 설치하거나, 웹브라우저에 내장된 object token 에 설치해야 합니다. 단순 파일 형태로 폴더(C:\Program Files\NPKI)에 저장하는 현행 방식은 보안 상식을 벗어난 것입니다.

셋째, 인증서가 위와 같은 방법으로 안전하게 관리될 것을 전제로, 인증서 로그인은 웹브라우저에 내장된 방법으로 수행해야 합니다. 주요 웹브라우저는 이미 인증서 로그인 기능을 내장하고 있습니다. 아이폰/아이팟터치에서 구동하는 모바일 사파리도 이미 그런 기능을 탑재하고 있습니다. 여기 참조. 웹브라우저에 이미 오래전부터 내장되어 있는 인증서 로그인 기능을 구현한답시고 별도 프로그램을 고객 컴퓨터에 설치하는 관행은 중단되어야 합니다. 별도의 보안프로그램을 설치하는 순간, 온갖 악성프로그램도 그틈을 비집고 들어오게 되어 있습니다(“이 프로그램을 설치하시겠습니까?” “예”). 보안업체 돈벌이를 위해서 전국민의 컴퓨터를 망가뜨릴 이유는 없습니다.

넷째, 거래 내역 서명(form signing)은 “이론상으로는” 그럴듯 하고, 보기에도 폼은 나지만, 웹 기반의 전자거래에 일반적으로 사용하는 것은 무의미 합니다. 인증서의 관리가 제대로 되지 않은 현재 상황에서는 아무리 거래 내역에 서명이 되어 있다한들, 부인방지 효과를 거둘 수는 없습니다. 반면에 인증서 관리가 철저히 되어 있는 상황이라면, 인증서 로그인으로 개시된 세션에서 이루어진 거래를 이용자가 부인하기도 어렵습니다.

요컨대, 마구 복제되는 공인인증서로는 아무리 거래내역 서명을 해도 어차피 부인방지 효과도 없는 반면, 복제가 어렵게 운용되는 인증서로는 인증서 로그인만 하게 해도 (즉, 거래내역 서명은 요구하지 않더라도) 부인방지 효과를 충분히 거둘 수 있습니다.

거래내역 서명은 개인들 간에 이메일 등으로 교환되는 계약서 등의 전자문서에 이메일 클라이언트가 수행하거나, pdf 클라이언트가 수행하면 됩니다(이미 이런 기능이 장착되어 있습니다). 웹 기반의 전자거래에서 거래내역 서명을 굳이 강제할 실익은 없고, 오히려 엄청난 부작용만 생깁니다(내역서명에 필요한 별도 플러그인을 설치해야 하는데, 그렇게 되면 또다시 악성 프로그램이 비집고 들어올 틈을 열어주는 것이 됩니다)

요약하면, (1) 인증서 저장방법을 안전하게 개선하고, (2) 인증서 로그인은 웹브라우저에 이미 탑재된 기능을 사용하여 수행하며, (3) 별도의 보안 프로그램을 이용자 PC나 스마트폰에 설치하지 않아도 되도록 하면, 한국의 전자금융 거래 보안은 지금보다 훨씬 안전하게 되고, 다양한 이용환경 지원도 동시에 이룩할 수 있게 됩니다.

인터넷 서점 알라딘(http://aladdin.co.kr)은 모든 웹브라우저에서 이용에 불편이 없습니다. 윈도우는 물론, 맥, 리눅스에서 매우 빠르게 페이지가 뜨고, 스마트폰으로 접속해도 잘 배치된 세련된 페이지가 나타납니다.

결제에 사용된 기술은 ajax와 자바스크립트 등 표준적 기술입니다. ActiveX로 설치되는 별도의 보안 프로그램은 아예 없습니다. 아이폰, Oz 폰, 삼성 옴니아는 물론, 앞으로 나올 구글 폰에서도 아무런 추가 조치가 필요없이 페이지 방문, 회원가입, 도서 선택, 주문, 결제를 완료할 수 있습니다. “모바일 알라딘” 신용카드 결제 기능 오픈

구글 안드로이드폰(에뮬레이터)으로 접속한 광경은 다음과 같습니다.

구글폰으로 알라딘에 접속한 모습

주문 단계에는 다음과 같은 화면이 나타납니다. 보안접속은 전세계 금융거래에서 안전성이 검증된 웹브라우저의 https 접속기능을 이용합니다. 화면 아랫 부분에 “Non ActiveX 신용카드 결제”안내가 있습니다. 모든 브라우저 및 모바일 환경의 브라우저에서도 신용카드 결제가 가능합니다.

인터넷 서점 알라딘은 모든 웹브라우저에서 결제가 가능하다

지금까지 국내의 다른 사이트들에서는 어땠나요? 결제 한번 하려면 이용자는 파블로프의 개가 되어 “이 프로그램을 설치하시겠습니까”라는 보안경고창이 나타나면 “설치” 버튼을 무조건 서너번 눌러 덕지덕지 프로그램을 설치해야 하고, 그것도 모자라 컴퓨터를 새로 시작해야 하기까지 하는 경우도 있었지요. 알라딘은 다릅니다!!!

“주문장 제출” 버튼을 누르면, ajax와 자바스크립트 기술을 사용한 선진적이고 표준적인 결제창이 다음과 같이 나타납니다. 페이지를 떠나지 않고 실시간으로 interactive 하게 서버-클라이언트 간의 교신과 작업이 “번개같이” 이루어지는 것을 확인하실 수 있습니다.

인터넷 서점 알라딘의 결제창 - ajax와 자바스크립트 기술을 구사한다.

결제창에 제시된 “개인 보안 프로그램 설치 안내”를 클릭하여 이용자가 스스로의 판단으로 제대로 된 안티바이러스 프로그램을 자신의 컴퓨터에 설치할 수도 있지만, 알라딘의 결제 서비스는 이용자의 컴퓨터에 설치된 보안 프로그램에 의존하는 것이 아닙니다. 이용 약관에 동의하면 다음과 같은 화면이 나타납니다.

알라딘은 이용자의 판단과 선택에 따라 스크린 키패드를 사용할 수 있도록 한다.

결제 완료을 안내하는 화면

다른 웹사이트들은 모바일 폰으로는 아예 사용할 수도 없게 되어 있거나, 고작해야 애플 아이폰 앱(application) 하나 만지작 거리면서 선도적 기업인양 뻐기지만, 그 실상은 자못 초라합니다. 구글폰은 지원도 못하고, 윈도우모바일도 지원 못하고, 삼성옴니아도, 블랙베리도, LG Oz폰도 지원못합니다. 6개월이 멀다하고 쏟아져 나오는 새로운 사양/종류의 기기들에 대하여 일일이 하나씩 응용프로그램을 보안업체로 부터 구입해서 고객들에게 배포해야 합니다(설치 방법 안내 어쩌구 하면서…). 이런 웹사이트들은 한마디로 보안업계의 인질로 잡히는 셈이지요.

알라딘의 보안 해법은 https + 스크린 키패드입니다. 어차피 하나은행/Gmarket 보안 솔루션도 그 이상 무슨 대단한 것이 있는 것도 아닙니다. 키보드 보안, 방화벽, 백신 등 “국내용” 보안프로그램은 아이폰에서는 어차피 설치 불가능합니다. http://bit.ly/6UkiRi 그리고 이런 것들은 사실은 “보안 쇼”에 불과했으며(http://bit.ly/5Ds4DN), 현행 규정에 의하더라도 고객이 원하지 않으면 설치하지 않아도 됩니다.

알라딘은 앞으로 한국 인터넷 서비스 및 전자금융거래가 나아가야 할 방향이 무엇인지를 분명히 보여주는 선도적 기업입니다.

그동안 Yes24 등에서 책을 구입하셨던 분들은 이제 알라딘으로!!! 우리 모두 힘을 모아 밀어줍시다.

“IT 강국” 한국의 전자금융 보안 기술 및 정책의 실상입니다 — 믿을만 한지는 여러분께서 판단하시기를

1. 공인인증서 “쇼를 하라!”

공인인증서 “암호입력 쇼“는 구수한 유머 감각으로 국내 이용자들에게 타자 연습 기회를 제공합니다. 프로그램을 짜신 분은 분명히 그 내막을 알고 있을 것도 같은데… 정말 왜 그러시는지는 잘 모르겠습니다.

국제 시장에 진출하시면 대박을 터트릴지도…

2. two-factor 인증 “쇼를 하라!”

Two-factor 인증은 식지(識知)수단, 즉 알고 있는 것(자신만이 아는 비밀번호)과 소지(所持)수단, 즉 가지고 있는 것(자신만이 가지고 있는 인증서, OTP생성기, 보안카드 등)을 두가지 모두 사용하여 본인 확인을 하는 것을 말합니다. 두가지 접근 수단 중 어느 하나가 뚫리더라도, 다른 하나가 유출되지 않으면 안전합니다.

인증서를 사용한 인증이 two-factor 인증의 대표적 경우라고 흔히 설명합니다. 인증서 암호는 식지 수단(knowledge-based means of access)이고, 인증서 파일 자체는 소지 수단(possession-based means of access)이라는 것이지요.

그러나 이 설명은 중요한 전제가 충족되어야 합니다. 인증서 파일을 “해당 이용자만이 소지하는 상황”이 합리적 수준에서 보장되어야 합니다. 보안토큰에 설치된 인증서는 공격자가 복제해 갈 수 없으므로 이 요건을 충족합니다.

그러나 국내의 공인인증서는 아무나 마구 복제 가능하기 때문에 소지 수단으로 인정받기 어렵습니다. 따라서 인증서 암호(식지 수단)만이 사실상 거의 유일한 관문입니다. 국내 보안업계가 키보드보안에 올인하는 이유도 여기 있습니다. 키보드보안은 식지수단(암호)의 유출을 막아 보자는 것일 뿐이고, 소지수단(인증서 파일)의 유출은 이미 기정사실화하는 것입니다. 은행 접속 중에만 잠시 작동하고 꺼지는 방화벽 따위의 보안프로그램으로 인증서 파일(소지수단)의 유출을 막을 수 없다는 점은 보안업계 스스로 인정합니다.

키보드보안에 필사적으로 매달린다는 사실 자체가, 국내용 공인인증서를 이용한 인증은 무늬만 two-factor 인증일 뿐, 사실상은 식지수단(암호)에만 의존한 single-factor 인증이라는 점을 반증합니다.

아! 참, 이용자의 컴퓨터가 완벽하게 안전하면, 국내용 공인인증서를 이용한 인증도 two-factor 인증이 됩니다. 이용자 외에는 아무도 그 파일에 접근 못하니까요. 하지만 보안업체가 항상 주장하는 것이 이용자의 컴퓨터는 이미 뚫린 것으로 전제해야 한다는 것이므로, 업체 스스로의 주장에 의하더라도, 국내용 공인인증서는 two-factor 인증을 제공하지 못합니다.

“Two-factor 인증 쇼”일 뿐입니다.

[이용자 컴퓨터가 뚫리지 않은 상태라면 키보드보안 프로그램은 아예 필요 없습니다. 키로거(key-logger)가 이미 몰래 설치되어있는 상태라고 전제하니까 키보드보안이 필요하다고 난리를 치는 것이지요. 키로거가 설치될 지경이면 인증서 파일은 이미 내것이 아닌 상태입니다 - 하드에 저장되어 있건, USB에 저장되어 있건]

3. 키보드보안 “쇼를 하라!”

키보드보안 프로그램을 정면 돌파하려는 공격자는 없고, 그럴 필요도 없습니다. 은행 외의 여러 사이트에서(이때는 키보드보안이 물론 작동하지 않습니다) 이용자가 입력하는 비밀번호는 공인인증서 비밀번호와 일치하는 경우가 대부분입니다.

보안 업계에 근무하는 어떤 분은 “패스워드는 몇가지의 조합을 바꿔 가면서 3~4가지 써야 한다”고 주문하십니다. 즉, 인증서 암호를 다른 여러 계정 암호와 같게 해두면 키보드 보안 프로그램은 무용지물이라는 점을 스스로 인정하십니다. 보안전문가처럼 패스워드를 서너개씩 바꾸어가며 인터넷을 이용하는 분이 몇 %되는지는 모르겠으나, 그렇게 똑똑하지 못한 대부분의 보통 이용자들에게 키보드 보안은 쇼에 불과합니다.

계좌이체 비밀번호 4자리를 보호하는 기능은, 스크린 키패드를 사용하거나, 계좌이체 비밀번호 대신에 금융 PIN 6자리 중 매번 random 하게 세자리를 입력하도록 요구하는 방법(외국의 여러 은행들이 사용하는 방법)을 채택하면 됩니다.

키보드보안 프로그램 설치를 강제하는 외국의 은행은 없습니다. 그 은행들이 모두 바보라서 그렇다고 생각하시나요? 외국은 인터넷 뱅킹이 한국 만큼 활발하지 않아서? 외국은 해킹이 한국만큼 극심하지 않아서? 외국은 IT 강국이 아니라서? 외국은 사고가 터지면 은행이 무조건 오리발 내밀고 고객이 다 뒤집어 쓰기 때문에? ㅎㅎㅎ

키보드보안 프로그램을 기필코 팔기 위한 영업 사원의 왕성하고 집요하고 터무니 없는 상상력은 감탄할만 합니다.

4. 안티바이러스 프로그램 “쇼를 하라!”

은행 접속 중에만 잠시 켜졌다 꺼지고 마는 독특하고 괴상한 “보안” 프로그램을 강제 설치하기 위해서, 이용자가 자기 컴퓨터를 보호하려고 스스로 설치한 본격 안티바이러스 프로그램(상시 작동)의 “실시간 감시 기능을 끄라”고 안내 합니다.

국내 은행은 이용자가 스스로 설치한 본격 안티바이러스 프로그램을 무력화 시키라고 안내합니다.

외국에서 이런 일이 벌어졌다면 소송 당하기 딱이지요. 그저 모르는게 약…

5. 웹페이지 소스 보안 “쇼를 하라!”

국내 은행들 중에는 이른바 “웹페이지 소스 보호”를 한답시고 마우스 오른쪽 클릭이 안되게 해 둔 곳이 꽤 있습니다. 심지어 ‘국가정보원 IT보안인증 사무국’ 홈페이지도 그렇게 해 두고 있습니다.

마우스 오른쪽 클릭을 못하게 해두면 웹페이지 소스를 못열어 볼 것이라고 생각하는 수준의 인력은 컴맹 이용자들과는 대화가 통하는 분이긴 하겠지만, 한마디로 부끄러운 수준의 인력입니다. 이런 페이지를 납품 받아 걸어두고 있는 은행이나 그런 페이지를 설계한 분들이나…

웹페이지 소스를 이용자가 접근할 수 없게 하면서 페이지를 모니터 화면에 나타나게 할 수 있다면 그것은 기술이 아니라 기적입니다.

6. 보안접속 “쇼를 하라!”

1990년대에는 미국 외에서 사용되는 웹브라우저의 보안접속 능력이 현저히 낮았기 때문에(40bit), 별도의 보안접속 프로그램이 필요했습니다. 그래서 그 당시 국내/국외 업체들은 모두 128bit 보안접속 별도 플러그인/프로그램을 개발하였습니다. 그러나 2000년 2월 부터는 전세계에서 사용되는 웹브라우저 자체가 128bit 보안접속 기능을 구비하였으므로 별도의 보안접속 프로그램은 더 이상 필요 없는 상품이 되었습니다. 외국 보안 업계는 그때부터 보안접속 플러그인 사업을 모두 접었습니다.

하지만 국내에서는 아직도 보안접속용 별도 플러그인 장사를 계속하고 있습니다. 보안 기술 지식이 전혀 없는 국내 고객(은행 등 각종 서비스 제공자)들에게 왕창 바가지를 씌우는 것입니다 (“128bit 보안접속 플러그인 해프닝” 참조.) 주요 웹브라우저는 현재 256bit 보안접속을 기본으로 제공합니다.

“IT강국 한국산 보안접속 플러그인” 외국에 좀 파실 수 없나요? 제발 수출해 버렸으면 좋겠습니다.

7. SSL 취약점 발견, “쇼를 하라!”

국내에서는 이른바 “SSL 취약론”이라는 것을 주기적으로 내세우는 분들이 계십니다. 보안 기술 칸퍼런스 같은 행사에 사람들을 불러놓고 https 보안접속의 취약점을 공략하는 방법을 실제로 보여 주신다면서 “시연”하는 형태로 SSL 취약론이 제기되는데, 이런 행사가 있을때 마다, 국내의 “보안 매체”라는 곳에서는 “SSL 취약점 발견”이라면서 대대적으로 보도합니다.

요컨대, 전세계가 사용하는 https 보안접속은 위험하니까 국내 업체가 판매하는 보안접속 플러그인을 구입하라는 것입니다.

부탁이 있습니다. 국제 칸퍼런스에서 제발 좀 발표해 주십시오. 한국도 한번 IT/보안 기술에서 떠봅시다.

영어가 모자라면 구글 코리아 관계자에게라도 설명해 주십시오. 구글이 그렇게 위험한 https 보안접속으로 전세계 이용자들에게 서비스를 하는 사태를 그냥 한국에서만 알고 있기는 좀 그렇잖습니까? 그리고 전세계의 은행들에게도 좀 알려 주시고요.

사족같지만, 국내 업체가 판매하는 보안접속 플러그인도 실은 SSL 프로토콜(옛날 버전)을 사용합니다. 스크린샷1, 스크린샷2 대략 황당…

8. 대칭/비대칭 암호화 “쇼를 하라!”

얼마전까지 한국의 금융 보안 정책의 총 책임을 맡고 계셨던 금융감독원 김인* 부국장님께서 어떤 학회 발표에서 “확신을 가지고” 다음과 같이 말씀하신 것을 제가 직접 들었습니다:

“웹브라우저가 수행하는 https 보안접속은 대칭 암호화 방식이지만, 공인인증서는 비대칭 암호화 방식을 채택하고 있다. 비대칭 암호화 방식이 대칭 암호화 방식보다 더 안전하므로 공인인증서는 반드시 필요하다”

그러나, 웹브라우저건 국내 업체가 판매하는 별도 플러그인이건 간에, 보안 접속은

1. 공유키를 비대칭 암호화 방식(흔히 RSA 방식)으로 암호화해서 상대방에게 전달하고
2. 이렇게 전달된 공유키를 사용해서 교신 내용을 대칭 암호화 방식(AES, RC4, SEED, ARIA 등)으로 암호화해서 전달하고 복호화해서 해독하는

구조를 취합니다.

요컨대, 보안접속은 모두 비대칭암호화(키교환) 단계 + 대칭암호화(메세지 교환) 단계로 구현됩니다. 국내업체들이 판매하는 플러그인도 다르지 않습니다. 국내 기술진이 개발한 SEED 나 ARIA 알고리즘도 대칭 암호화에 사용되는 블록 Cypher 입니다.

도대체 어느 업체의 영업사원이 김인* 전임 부국장님께 저런 헛소리를 해댔는지는 모르겠지만, 지금까지 금융감독원의 보안 정책은 자기도 잘 모르는 보안 기술 용어를 함부로 공개석상에서 “자신있게” 늘어 놓는 수준의 공무원이 결정하고 집행해 왔습니다. 그 후임자께서는 좀 달랐으면 합니다.

참고로, 전자서명법(공인인증서는 이법에 근거한 것입니다)에는 보안접속에 대한 언급은 한마디도 없고, 공인인증제도의 기술적 총책임을 맡고 있는 KISA 에서도 보안접속은 공인인증 제도와는 무관하다는 점을 확인하고 있습니다.

공인인증과 보안접속을 마구 뒤섞고, 대칭/비대칭 암호화 기술이 뭔지 전혀 이해하지도 못한 김인* 전임 부국장님의 발언은, 90년대 후반 (공인인증 제도가 도입되기 전)에 사설인증과 보안접속 기능을 마구 섞은 통합 플러그인을 개발하여 지금까지 팔고 있는 국내 보안업체 영업사원의 황당무계한 sales talk가 그냥 재방송되는 것입니다.

대칭 암호화, 비대칭 암호화, … 아무것도 모르는 청중(고객/공무원) 앞에서 폼 잡고 쇼 하기는 좋은 용어지요…

9. 보안경고창 “쇼를 하라!”

한국 국민들에게 너무나 친숙한 보안경고창!

보안경고창

일본 IT업계에 근무하시는 hirameki 님이 지적하셨듯이, 한국 국민은 이제 파블로프의 개가 되었습니다. 보안경고창이 뜨면 무조건 “예”를 누르도록 훈련받았기 때문입니다. 만일 “아니오”를 누르면 다음과 같은 경고(서비스를 이용할 수 없다)와 권고(예를 누르라)를 받습니다.

행정정보 공동이용 사이트 https://www.share.go.kr/index_ssl_www.html

http://www.hi.co.kr/

우리은행

http://www.signkorea.com/cer_manage/support/check.htm

하나은행: 1288 bit 암호화가 아니라, 128 bit 겠지요

국민카드

한국 국민들은 “보안경고창”이 “보안 프로그램 설치 여부를 묻는 창”이라고 오해하고 있습니다. 보안업체들이 이렇게 전국민을 집요하고 교묘하게 오도한 사례는 세계에 유례가 없습니다.

앞에서 계속

공인인증서 저장/복사

국내의 공인인증서(개인 인증서)는 흔히 하드디스크나 USB저장장치에 그냥 저장됩니다. 그 위치는 C:\Program Files\NPKI 폴더이거나(윈도우 OS의 경우), USB 드라이브 내의 NPKI 폴더 입니다.

하드디스크에 공인인증서를 저장하신 분은 “내 컴퓨터” –> “Program Files” –> “NPKI” –> “yessign” –> “User” 폴더를 가보시면 확인하실 수 있습니다(은행을 통하여 발급받은 경우). 동영상

이런 방식으로 저장된 인증서는 아무나 그냥 복사해 갈 수 있습니다. 물론, 비밀번호를 모르면 사용할 수는 없습니다. 은행이 기를 쓰고 키보드보안 프로그램 설치를 강제하는 이유는 바로 공인인증서가 이렇게 쉽게 “유통”될 수 있기 때문입니다. 하지만, 인증서 비밀번호를 다른 여러 계정의 비밀번호와는 다르게 특별하게 정하여 사용하는 분은 많지 않고, 다른 여러 사이트에서 입력하는 비밀번호는 무방비 상태로 노출될 위험이 큰데, 이 비밀번호와 인증서 비밀번호가 같은 경우가 대부분이므로 공인인증서 비밀번호는 은행이 아무리 키보드보안에 혈안이 되어 있어도 의외로 쉽게 유출됩니다.

제가 이렇게 말씀드리자, 보안업체에 근무하는 어느 분께서는 “패스워드를 그 따위로 쓰는 사람을 허용하라고요? 패스워드는 제가 아는 몇가지의 조합을 바꿔 가면서 3~4가지 씁니다. 잊어 버려도 2~3번 해보면 됩니다. 그리고 가능하면 9자 이상으로 길게 쓰시기 바랍니다”라는 “해법”을 주셨습니다. 하지만 모든 이용자가 보안전문가 처럼 패스워드를 이렇게 세네 가지씩 다르게 써야 비로소 효과가 있는 국내의 보안솔루션은 이용자 수준을 너무 과대 평가하는 것입니다.

국내 보안업계는 한편으로는 컴맹 어르신을 전제해야 하기 때문에 무조건 액티브액스로 “편하게” 해야 한다고 주장하다가, 다른 한편으로는 이렇게 복잡하게 비밀번호를 3-4 가지 쓰라고 주문하는 모순에 빠져있습니다.

더 우스운 것은 “공인인증서 복사” 기능입니다. 하드디스크에 있는 공인인증서를 USB로 복사하거나, USB에 저장된 인증서를 하드디스크에 복사할 때 사용하라는 인증서 관리 기능입니다. 이 기능을 사용하면 인증서 암호를 입력하라는 창이 뜹니다.

인증서 복사를 위해서 인증서 암호를 입력하라는 화면

인증서 암호를 모르면 공인인증서를 복사해 갈 수 없으니 안전하겠구나 하고 생각할 이용자가 많을 것입니다. 그러나 국내의 공인인증서는 암호가 필요 없이 그냥 파일을 긁어서 copy+paste 하면 복사되는 방식으로 발급되어 있기 때문에, 암호를 입력하라는 것은 순전히 “쇼”에 불과합니다.

인증서를 이런식으로 아무데나 마구 저장하는 사례도 세계에 유례가 없을 뿐 아니라, 이용자들에게 사기도 아니고 농담도 아닌 “암호입력 쇼”를 하는 것은 상식을 벗어난 처사입니다. 인증서는 웹브라우저 내부에 소프트웨어적으로 구현되어 있는 인증서 저장장치에 저장하거나(builtin object token 등), 하드웨어적으로 구현된 보안 토큰에 특수한 방법(PKCS#11)으로 저장하는 것입니다.

“인증서 복사”라는 개념은 한국에만 있는 황당한 개념입니다. 실제로는 그냥 copy+paste 하면 복사되도록 인증서를 발급해 준 다음, 이 사실을 모르는 이용자들에게 인증서를 복사하려면 인증서 암호를 입력하라고 요구하는 것은 자기 컴퓨터의 하드디스크 폴더가 무엇인지도 모르는 모르는 컴맹 이용자들을 상대로 공인인증서가 함부로 복사 안되도록 안전하게 설치되어 있는 것처럼 뻥을 치거나 이용자에게 타자 연습을 시켜보겠다는 것 외에 도대체 무슨 “생각”이 있어서 그런 것인지 이해할 수가 없습니다.

해커들이 한국 공인인증서를 우습게 보는 이유는 여기에 있습니다. 한국 전자금융 보안은 공인인증서에 목을 메고 있고, 공인인증서는 한마디로 코메디 수준으로 운용되고 있습니다.

국내 보안업체들은 한편으로는 이용자 PC가 모두 뚫린 것으로 전제해야 한다고 주장하다가, 다른 한편으로는 공인인증서는 이용자 PC가 뚫리지 않으면 함부로 복제되지 않으니 믿을 수 있다고 주장하는 자기 모순으로 일관하고 있습니다.

그리고 금융감독원은 “뭐가 뭔지는 모르지만 어쨋건 강제해두면 안전하지 않을까”라는 입장 인듯. 좀 안습.

국내의 공인인증서가 황당한 이유는 더 있습니다.
[계속됩니다]

[think.pe.kr 운영자분은 이제라도 해당 파일을 내리시기 바랍니다. 많은 공격자들은 이미 조용히 내려받아 갔겠지만...]

공인인증서 옹호론자들께서 가장 자주 내세우는 것은 공인인증서는 “부인 방지” 기능이 있다는 주장입니다.

부인 방지(non-repudiation)는 어떤 거래를 자기가 수행했다는 사실을 부인할 수 없게 만든다는 뜻입니다. 즉, 너의 인증서는 너만 가지고 있고(관리하고 있고), 이 거래에는 전자서명이 되어 있는데, 그 전자서명은 너가 관리하는 인증서 없이는 만들 수 없으니, 이 거래는 너가 한것이 맞다라는 논리적 구조를 취합니다.

그러나, 문제는 너의 공인인증서를 “너만 가지고 있다”는 전제가 너무 쉽게 무너진다는 것입니다.

20여년 전 PKI 기술(인증서 제도의 기초가 되는 기술체계)이 처음 고안되었을 시절에는 “해킹”이 오늘날처럼 광범하게 문제될 것으로 상상하지 못했습니다. 그래서, 자기의 인증서(개인키) 파일을 “자기만 가지고 있다”는 상황을 별다른 고려 없이 너무 쉽게 전제하고 부인 방지 기능을 설명했더랬습니다.

이제 사정은 완전히 바뀌었습니다. 아무데나 저장/복제가 가능한 인증서 파일은 이용자의 컴퓨터가 뚫리는 순간 전세계 해커들이 모두 복사해 갈 수 있는 상태가 되어버린 것입니다. “너의 인증서(개인키) 파일을 너만 가지고 있다”는 부인방지의 논리적 대전제가 무너져 내린 것입니다.

실제로 국내의 은행거래에서도, 사고가 터지면 이용자가 보안카드를 어떻게 관리했느냐, 스캔해서 파일로 저장했느냐 등이 관심의 초점입니다. 공인인증서는 공격자가 이미 입수하였을 것이라는 점은 아예 논란도 없이 전제하고 들어가는 내용입니다. 경찰 사이버수사대와 은행이 모두 이점을 인정합니다. 따라서 공인인증서가 “부인방지” 역할을 한다는 주장은 실제로는 물론이고 논리적으로도 아예 내세울 상황도 못됩니다. 이용자의 공인인증서를 “이용자만이 가지고 있다”는 대전제가 충족되지 않기 때문입니다.

바로 이런 문제 때문에 보안토큰(Cryptographic Token) 기술이 나온 것입니다. PKCS#11 방식으로 보안토큰에 저장된 인증서는 공격자는 물론이고 누구도 복사 해내올(빼내 올) 수가 없습니다. 물리적으로 보안토큰을 입수하지 않으면, 인증서를 입수할 방법이 없습니다. 따라서 보안토큰에 저장된 PKCS#11 인증서는 부인 방지 기능을 실제로도 가질 수 있습니다.

1999년에 전자서명법을 제정할 때에는 PKCS#11 기술이 이미 널리 알려져 있었습니다(PKCS#11 version 1.0은 1995에 공개되었습니다). 외국의 보안 전문가들은 더 이상 아무데나 저장/복사 가능한 인증서를 믿지 않는 상황이었습니다. 그런데 국내에서는 무조건 “공인인증서 1000만장 돌파”라는 업적을 올리는데 급급한 나머지 보안토큰을 외면하는 “황당한 결정”을 해 버렸던 것입니다. 보안토큰은 비용이 만만찮기 때문에 이용자들에게 이것을 구입하라고 요구하면 “1000만장 돌파”는 어렵다는 이유지요. 무료로 하드디스크나 USB에 그냥 마구 저장할 수 있는 인증서를 발급해야 1000만장 돌파가 가능하다는 얕은 계산을 한 것이지요.

그래서 아무나 무단 복제가 가능한 공인인증서를 이제는 1000만장 이상 발급했고, 국내의 보안업체와 금융감독원은 20년전의 “순진한” 부인방지 “이론”만을 천진난만하게 내세우면서 실제로는 부인방지 효력도 없는 복제가능 공인인증서 사용을 강제하는데 골몰하고 있는 딱한 지경입니다.

이것이 한국 전자금융 보안의 현 주소입니다.

여러번 말씀드렸지만 아직 잘 전달이 되지 않은 것 같아서 다시 적어봅니다.

저의 공인인증서 암호가 “my3love” 라고 합시다.

은행 사이트에 접속해 있는 동안에는 키보드보안 프로그램이 강제로 작동되지요. 설사 제 컴퓨터에 키로거(키값 가로채기 프로그램)가 몰래 설치되어 있더라도(이미 제 컴퓨터는 뚫린 상태입니다; 공격자가 키로거를 제 컴퓨터에 몰래 설치할 지경이니 다른 무슨 짓인들 하지 않겠습니까?), 즉 제 컴퓨터가 거덜이 난 상태에서도 은행거래 중에는 공인인증서 암호를 키보드로 입력해도 공격자가 그 값을 쉽게 가로챌 수는 없습니다.

그러나 제가 은행거래만 하는 것은 아니지요.

구글메일, 다음, 네이버, Gmarket, twitter, facebook, skype, msn … 10여개가 넘는 여러 로그인 사이트에 일일이 다른 암호를 정하고 그것을 다 기억할 능력이 저에게는 없습니다. 인증서 암호를 다른 어떤 로그인 암호와도 다르게 별도로 정해서 사용하는 엄청 똑똑한 이용자도 있겠지만(super clever user라고 합시다), 저는 그렇지 못합니다. 저만 그렇게 못하는 것이 아니라 대부분의 일반 이용자들도 그렇게 못합니다. 보안업체가 언제나 들먹이는 “어르신들”이나 컴맹 이용자들은 특히 그렇습니다. 결국 저는 다른 로그인 사이트에서도 my3love 를 입력하게 됩니다.

제 컴퓨터에 키로거를 설치한 공격자는 제가 은행에 접속해 있는 동안만 활동하고, 은행이 설치한 키보드 보안 프로그램이 실행될 때까지 기다렸다가 그것을 뚫어보려고 노력한다고 생각하십니까? 공격자가 무슨 바보입니까? 제가 다른 여러 사이트에 로그인 할때는 키값 가로채기를 점잖케 자제할 신사적인 공격자도 없습니다.

은행이 강제 설치하는 키보드보안 프로그램은 은행에 접속해 있는 동안만 실행되는 반면, 공격자가 내 컴퓨터에 설치한 키로거 프로그램은 상시로 실행됩니다. 누가 이기는지는 뻔하지 않습니까?

키보드보안 프로그램을 설치해야 된다는 이유가 무엇입니까? 일반 고객의 컴퓨터는 믿을 수 없다(이미 뚫렸다)는 것입니다. 키로거가 설치되지 않았다면 키보드보안 프로그램도 필요가 없지요. 하지만 키로거가 설치되었다면 키값만 가로채 가고 말겠습니까? 공인인증서도 당연히 복사해 갑니다. 저장 위치도 정해져 있기 때문에 이용자 컴퓨터 여기 저기를 찾아볼 필요도 없습니다. USB 메모리 스틱에 공인인증서를 저장해 두더라도 은행거래를 위해서 USB를 꽂으면 저의 공인인증서는 공격자도 복사해 가지고 갈 수 있게 됩니다.

공인인증서+키보드보안을 아무리해도 소용이 없는 이유는 여기에 있습니다.

국내 보안업체가 개발/판매하는 키보드보안 프로그램이 저질이라는 것이 아닙니다. 외국의 은행들이 그런 프로그램 설치를 강제하지 않는 이유는 프로그램이 저질이라거나, 외국 보안업체가 키보드보안 프로그램을 만들줄 몰라서가 아닙니다. 아무리 그걸 설치해도 소용이 없기 때문입니다. 인증서 암호를 자신의 다른 여러 암호들과 다르게 정하여 사용하는 super clever user는 극소수에 불과하기 때문입니다.

“인증서 기술”자체가 무용지물이라는 것도 아닙니다. 우리나라와 같이 아무데나 저장/복사 가능한 방법으로 인증서가 운용되는 경우에는 하나마나한 삽질에 불과하다는 것입니다. 인증서를 사용하는 유럽 은행들은 모두 보안토큰에 저장된 인증서(PKCS#11 양식)만을 사용합니다. 보안토큰에 저장된 인증서는 공격자뿐 아니라 어느 누구도 복사해 내올 수가 없습니다. 토큰을 물리적으로 입수하지 않으면 인증서 파일이 유출될 수가 없습니다.

이런 내용을 국내의 보안 전문가들도 다 잘 알고 있습니다. 그분들이 침묵을 지키는 이유는 납득하기 어렵습니다(쉽습니다 ㅠㅠ)

혹자는 이렇게도 말합니다: “금융사고가 터지면 모든 책임을 은행에게 지우기 때문에 은행은 이런 조치라도 취할 수 밖에 없다.” 그러나, 세상 어디에도 금융사고가 터지면 무조건 고객에게 책임을 지우는 나라는 없습니다. 금감원의 지시에 따라 공인인증서+키보드보안을 은행이 아무리 사용하더라도, 사고가 터지면 은행이 책임을 쉽게 면할 방법도 없습니다. 금융감독원이 은행의 배상책임을 면해주지도 않고, 면해줄 수도 없습니다.

공인인증서+키보드보안이 사고를 막을 수는 없습니다. 키보드보안을 정면돌파 하지 않고 “우회”하는 너무 쉬운 방법이 있고, 아무데나 저장가능한 공인인증서를 공격자가 복사해 가는 것을 막을 방법도 없습니다. 그동안 사고를 그럭저럭 막아온 것은 실은 보안카드였다는 점은 금융권 내부에서는 견해가 일치하는 부분입니다.

지난 여러해 동안 그릇된 확신으로 밀어붙여 왔던 공인인증서+키보드보안 “해프닝”은 은행에게도, 고객에게도, 금융감독원에게도 별 도움이 되지 않는 실패작이었음을 인정할 때가 왔습니다.

아이폰의 국내 도입은 한국 인터넷 거래 환경에 적지 않은 충격을 가져왔습니다. 그동안 고립에 고립을 거듭하며 기형적으로 진행되어 온 한국의 IT/인터넷 기술과 산업의 실상이 이 일을 계기로 표면화되는 국면이라고 생각합니다. 아이폰 도입은 그 시작에 불과합니다. 이제 쏟아져 나올 새로운 기기들은 지금까지 유지되어 왔던 한국의 인터넷 거래 환경의 기형적 상황을 더이상 지속하기 어렵게 만들 것입니다.

“하나은행/기업은행 아이폰 앱 사건”에서 불거져 나왔듯이 업계는 이미 금융감독원의 규제 체제를 더 이상 수용할 수 없다는 입장입니다. 금융감독원의 보안성 심의를 거치지 않은 상태에서 서비스를 시작하거나, 서비스 제공 일정을 공지하는 사태는 금융감독원 규제 체제 자체에 대한 업계의 근본적 회의를 웅변적으로 말해줍니다. 이 사태를 엄중하게 받아들이시기 바랍니다. 감독규정과 행정권한만을 내세워 업계의 선도적, 능동적 initiative를 오직 제재하는 데에만 골몰하신다면, 금융감독원은 점점 더 조롱과 고립의 길을 가게 될 가능성이 오히려 큽니다.

특히 아이폰에서도 이른바 “보안프로그램” 설치를 강제하려 시도하실 경우, 아이폰이 무엇인지, 어떤 보안 기술적 기초에서 운용되는 기기인지조차도 모르는 컴맹 규제기관이 시대착오적 권한 남용으로 일관한다는 냉엄한 결론을 피할 길이 없게 될 것입니다. 금융감독원의 지시를 따르려면 국내 아이폰사용자는 모두 아이폰 탈옥(jailbreak)을 해야한다는 농담이 이제 공공연히 나돌고 있습니다. 아이폰 탈옥이 무엇인지 이해하지 못하시면 이것이 무슨 농담인지도 모르실 것입니다. 만일 아이폰 탈옥이 무엇인지 모르시면서 아이폰에 대한 보안성 기준을 제시하려 시도하신다면, 그것은 국가적 비극이고, 국제적 수치입니다. 현재 트위터에 홍수처럼 쏟아져 나오는 금융감독원에 대한 조롱과 원성과 절망적 평가를 심각하게 받아들이셔야 합니다.

전자금융 규제 기구로서의 금융감독원은 현재 위기 상황에 놓여 있다는 점을 직시하시기 바랍니다.

과학/기술/산업이 모두 만나는 금융 IT/인터넷 상거래 부문에 대하여 “보안”이라는 미명하에 섣불리 행정강제력을 동원하여 규제의 칼날을 마구 휘두를 경우 우리의 과학/기술/산업 발전 모두에 심각한 타격을 가하고 이 분야 전체를 심각한 정체상태로 몰아 넣어 국가경쟁력을 저해할 위험이 크다고 생각합니다.

이 기회에 지금까지 운용해 오셨던 규제 행태를 근본적으로 되돌아 보시기 바랍니다.

전자금융거래법

먼저, 전자금융과 관련하여 금융감독원이 행사하는 규제 권한의 근거 법률부터 면밀히 살펴보시기 바랍니다. 전자금융거래법 제21조 제2항은 다음과 같습니다:

금융기관등은 전자금융거래의 안전성과 신뢰성을 확보할 수 있도록 전자금융거래의 종류별로 전자적 전송이나 처리를 위한 인력, 시설, 전자적 장치 등의 정보기술부문 및 전자금융업무에 관하여 금융위원회가 정하는 기준을 준수하여야 한다.

제21조 제3항은 다음과 같습니다:

금융위원회는 전자금융거래의 안전성과 신뢰성을 확보하기 위하여 「전자서명법」 제2조제8호의 공인인증서의 사용 등 인증방법에 대하여 필요한 기준을 정할 수 있다.

IT/인터넷 기술 분야에서 “기준”이라는 용어는 “기술 표준(technical standard)”이라는 의미입니다. “기준”이나 “표준”은 강제력이 있는 기술 규정(technical regulation)과는 근본적으로 성격이 다릅니다. “기준”으로 정해 둘 사항이 있고, “규정”으로 정해둘 사항이 있으며, 법률이 “기준”이라는 용어를 분명히 선택한 이유는 해당 사안에서 특정 기술을 “강제”하는 규정을 섣불리 도입할 경우 매우 심각한 부작용이 우려되기 때문입니다. 과학/기술/산업 관련 법률가들에게는 이점은 이미 논란의 여지가 없는 내용입니다.

따라서 근거 법률인 전자금융거래법은 금융감독원에게 보안이나 인증방법에 대하여 어떤 강제력 있는 규정을 제정할 권한을 애초에 부여하지 않고 있다는 해석이 가능하다는 점을 감안하셔야 합니다. 특히, 금융감독원이 위 조항에 의거하여 정하는 “기준”을 준수하지 않았을 때 금융기관을 제재할 근거 법률 규정 또한 전혀 존재하지 않는다는 사실은 이 조항들에서 말하는 “기준”이 강제력이 없는 “기술 기준”이라는 해석을 더욱 뒷받침하고 있습니다.

전자금융감독규정 제7조, 전자금융감독규정 시행세칙 제29조 제2항 제3호

그러나, 법률의 위임을 받아 금융감독원이 제정한 하위 규정들에서는 마치 금융감독원에게 강제력이 있는 “기술 규정(technical regulation)”을 제정하여 특정 기술의 사용을 마구 강요할 수 있는 권한이 있는 듯 다음과 같이 정하고 있습니다

모든 전자금융거래에 있어 「전자서명법」에 의한 공인인증서를 사용하여야 한다. 다만 기술적·제도적으로 공인인증서 적용이 곤란한 전자금융거래로 감독원장이 정하는 경우에는 그러하지 아니하다. (전자금융감독규정 제7조)

이용자PC에서의 정보유출을 방지하기 위해 이용자의 접속 시 우선적으로 이용자PC에 개인용 침입차단시스템, 키보드해킹방지 프로그램 등의 보안프로그램을 설치할 것(다만, 고객의 책임으로 본인이 동의하는 경우에는 보안프로그램 해제 가능) (전자금융감독규정 시행세칙 제29조 제2항 제3호)

이러한 규정은 법률이 금융감독원에 부여하지도 않은 권한을 금융감독원이 불법적, 월권적으로 행사하는 것이라는 지적을 받을 여지가 있습니다.

건의 사항

전자금융거래가 활발하게 이루어지는 외국 어느 나라에서도 우리 나라처럼 특정 보안 프로그램의 설치를 강제하거나, 특정한 인증기술(X509 인증서를 이용한 인증)의 사용을 강제하는 나라는 없습니다. 외국의 보안 전문가들이나 규제 당국 또는 금융기관들이 보안 기술이나 인증 기술에 무지하여 그런 강제 규정을 두지 않는 것이라고 상상할 근거는 없습니다. 특정 기술의 사용을 마구 강제할 경우에는 오히려 더 큰 보안위험을 초래하거나, 관련 기술의 발전을 가로막거나, 업계의 사업 가능성과 국제경쟁력을 심각하게 저해할 우려가 매우 크기 때문에 함부로 강제하지 않는 것입니다.

그리고 무엇보다도, 보안에 진정으로 유리한 기술 선택이 무엇인가는 행정 공무원 보다는 업계 스스로가 더 합리적으로 판단하고 선택할 능력과 유인(incentive)이 있기 때문입니다. 그리고 금융감독원은 빠르게 변화하는 IT/인터넷 기술 환경을 업계만큼 이해할 처지에 있지도 않다는 엄연하고 당연한 사실을 겸허하게 수용하시면 좋겠습니다.

보안프로그램이나 공인인증서가 과연 그렇게 탁월한 해법이라면 강제 규정을 동원하여 억지로 강요하지 않아도 업계 스스로가 앞다투어 채택할 것이 아니겠습니까? 금융사고가 터지면 고객의 중대한 과실을 입증하지 못하는 이상 금융기관이 책임을 져야하도록 법률이 이미 그렇게 규정하고 있습니다. 따라서 사고를 줄이고 보안을 강화하는데 가장 큰 이해 관계를 가진 주체는 바로 금융기관들 스스로입니다. 가장 안전한 거래 기법을 선택하고 싶어하는 주체가 금융기관인데 어째서 귀 감독원이 이 문제를 엉뚱하게 “강제”하려 무리에 무리를 거듭하십니까?

불합리한 규제 체제 하에서는 업계가 제대로 경쟁하지도 못하고 기술과 사업 판단의 우위가 부각되지도 못한채 모두가 “공동으로 발목이 잡혀” 낡은 기술 수준에 정체하면서 집단적 고립 상태로 빠질 위험이 있습니다.

따라서 다음과 같이 건의 드립니다:

• 보안프로그램 설치를 강제하는 규정과 공인인증서 사용을 강제하는 규정은 이를 수정, 폐기하실 것을 고려해 주시기 바랍니다.
• 그대신 매우 빠르게 발전하는 보안기술 상황을 보다 유연하게 수용할 수 있도록 말그대로 “기준”을 정하시고, 업계의 자율적 준수를 권유하고 인센티브를 제공하는 방향으로 정책을 수정해 주시기 바랍니다.

일본에서 근무하시는 hirameki 님께서 댓글 형태로 적으신 내용이 워낙 비중있는 것이라 본글의 형태로 올립니다.

**************

일단 무조건 깔고보는 윈도우 프로그램인(플러그인도 아닌 윈도우 프로그램) 액티브 엑스처럼 다른 운영체제에 있는 별도 프로그램만 눈에 들어오시는 모양인데…. 제가 외국이라 한마디 하자면, 일단 브라우저만으로 대부분이 처리 가능하기 때문에 별도로 개발된 프로그램들은 그냥 덤입니다. 애초에 마구잡이 설치를 안하기 때문에 사람들이 뭔가 설치하는 것에 대한 경계심이 있습니다. 내가 뭘 쓰겠다고 하지도 않았는데 [웹페이지가 무슨 프로그램을] 마구 설치하려고 하면 일단 “아니오”부터 선택하고 본다는 말입니다.

그럼 우리나라 사람들은 왜 그냥 습관적으로 “예” 를 눌러대는 것일까요? 파블로프의 개 실험은 아시는지 모르겠습니다. 파블로프의 개 실험에서는 일방적으로 벨이 울리고 먹이가 나옵니다. 벨이 울리는 소리를 듣지 못하면 먹이가 나오지 않을것이라 생각하여 보통 상태이지만, 벨이 울리면 먹이가 나올거라 생각하여 위액이 분비되는 양이 늘어나는 것이지요.

대강 짐작하셨겠지만, 컴을 잘 모르는 사람들이 무조건 “예” 를 누르게 만든 것은 서비스 제공자 측입니다.
보통 컴퓨터를 처음 만져보시는 분들은 뭔가 설치하려고 하면 설치해도 좋은것인지 망설입니다. 하지만, 님이 예로 드신 분들[우리 나라 인터넷 이용자들]은 이미 훈련이 되어있어 뭔가 설치해야 한다는 창이 나오면 무조건 “예” 를 누르는 사람들이라는 점입니다. 물론 보안에서는 무조건 예를 누르는 경우도 염두에 두어야 합니다만, 윈도우즈 내에서 프로그램들끼리 경쟁해봐야 결국은 먼저 점령한 쪽이 이긴다는 것과 현행 보안 모듈도 돌파가 불가능하지 않다는 사실을 염두에 두셔야 할 것입니다.

그렇기 때문에 뭔가 항상 설치하는 것[을 통하여 보안을 달성하려는 것은 틀린 접근입니다. 기본적으로 아무 부가 프로그램도 설치하지 않아도 되는 이용 환경을 조성함으로써] 뭔가 설치되려고 하는 상황을 사용자가 경계할 수 있도록 해 주어야 한다는 것입니다. 정상적인 프로그램 100개 중에 1개가 나쁜 프로그램이라고 해도 예 를 100번 누르는 상황에서 사용자가 일일히 확인은 힘듭니다만, 한번도 예 를 누를 필요가 없는 상황에서 한번이라도 질문이 나타나면 확인해보는 것은 비교적 쉽기 떄문입니다.

이것은 불편하거나 편하거나를 떠나서 보안적인 장치를 무감각하게 무시하도록 사람들을 훈련하는 행위를 하지 말자는 것입니다.

게다가 윈98이용자가 10%인데 버리지 못한다는 것은 여태까지 파이어폭스등의 브라우저를 지원하지 않는 행동과는 모순된 행동인데다가, 모든 플랫폼에서 지원되는 방법을 추가적으로 지원하기만 하면 기존의 플랫폼에는 아무런 영향도 없다는 사실을 간과하는 것에 지나지 않습니다.

실제로 개인적으로는 국내 보안업체가 만들었다는 프로그램의 신뢰성에 대단한 의문을 지니고 있는 편이기도 하고, 그것은 소스가 납득할만한 설계가 되어있는지 확인이 불가능하다는 점에서 더더욱 그렇습니다. 소스를 공개하라는 소리는 아니지만 운영체제자체의 디자인이 덜 안전한 상황에서 구멍을 많이 막았기 때문에 안전하다 라는 이유로 윈도우즈 플랫폼에서 자신들의 프로그램을 사용한것이 제일 안전한 것인 양 선전하는 모습은 그다지 사용자의 보안을 생각하는 모습으로 보이지 않습니다.

실제로 바이너리 코드를 함부로 다운로드하지 못하고, 설사 다운로드시키는데 성공했다고 해도 유저가 실행을 승낙하기 전까지 실행이 불가능한 OSX에서 아무런 플러그인 없이 인터넷 뱅킹을 하는 것과, 예 버튼 한번으로 원하는 프로그램과 원하지도 않는 프로그램이 패키지로 깔려서 자동으로 실행가능한 환경에서 보안프로그램뿐만이 아닌 예상할 수 없는 수많은 프로그램을 설치한 상태에서 인터넷 뱅킹을 하는 것 중 어느쪽이 더 안전한지 상당히 의문스럽습니다.

오히려 보안보다 자신들이 편의를 생각하는것이 현행 보안업체의 보안모듈이 아닌가 생각이 듭니다. 예 한번으로 여러개의 프로그램을 마구 설치할 수 있는 방법을 쓰면서 사람들을 보안에 더더욱 무감각하게 훈련시켰으니까요. 게다가 그 방법 자체가 운영체제에 구멍부터 뚫고 시작하는 방법이니 말입니다.

또 자바에 거부감이 좀 있으신 것 같은데, 자바는 규격일 뿐이고 어디것을 가져다 써야하는 것도 아닙니다. 즉 자바규격을 만족하는 JVM을 직접 만드셔도 된다는 말입니다. JAVA는 규격만 지키면 됩니다. 모든 플랫폼에서 규격을 제대로 지키는 JVM을 구현만 한다면, 또 라이브러리 구축만 된다면 플랫폼에 관계없이 돌아갈 수 있다는 면에서 통신 프로토콜과 성격이 크게 다르지 않습니다. 그러니까 윈도우하고 맥만 달랑 지원하는 외다리 실버라이트라도 리눅스에서 동일 규격을 문라이트라는 이름하에 개발되고 있습니다. 플래시도 플래시 플레이어가 구현되면 모바일 기기도 돌아갑니다. (물론 자바도)

그러나 자바가 선호되는 것은 특정 회사가 개발한 제품에 의존하는 것도 아니고, 규격만 잘 따르면 잘 돌아가게 되어있기 때문입니다. 플래시나 실버라이트 등은 이런 점에서 해당 회사가 개발하지 않으면 잘 안돌아가는 면이 있습니다. 그리고 자바 어플릿은 브라우저상에서만 가동되고 운영체제에 대한 간섭은 극히 제한되어있습니다.

너무 길어져서 요약하자면

1. 현행 보안 모듈은 보안장치를 무력화하도록 사용자를 훈련한다. (파블로프의 개)
2. 현행 보안 모듈은 운영체제의 기본 보안레벨을 낮추어 보안 구멍부터 뚫고 시작한다.
3. 현행 보안 모듈은 개인 인증 + 통신 암호화를 제공하지만 통신 암호화 면에서는 SSL보다 암호화 레벨이 떨어지고 동등한 레벨의 암호화 기술을 개발할 의지도 없다.
4. 악성 코드가 보안 프로그램보다 먼저 기동할 수 있도록 운영체제를 조작하거나 인증서 자체를 훔치는 것 등에 대한 보안은 현재 보안모듈을 설치하지 않고도 운영체제 기본의 보안설정으로 의심스러운 프로그램의 무작위 설치 없이 사용을 유지할 수 있도록 하는 편이 더 안전하다.(중요)

대안, (여태까지 오픈웹에 여러번 올라왔던 내용들이라 보지만…)

1. 운영체제의 본래의 보안레벨을 올려도 문제없이 돌아가는 시스템으로 전환한다. 현재 하던대로 백신 사용도 권장한다.(외산 백신하고 충돌할수도 있지만….)
2. 키로거 등이 걱정되는 경우에는 버추얼 키보드 등의 대안을 제시한다. (웹 화면의 랜덤하게 위치가 바뀌는 숫자 키패드 또는 그림으로 된 화면 키보드 등)
3. 유출을 100% 막기 힘드므로 OTP등 유출되어도 악용되기 힘든 시스템을 도입한다.
4. 플러그인이 꼭 필요한 경우, 브라우저상에서만 작동하고 운영체제에 악영향을 끼치지 못하는 기술을 사용한다. (자바 애플릿이 언급되는 이유임)

최근 하나은행과 기업 은행이 제각각 자기 은행의 인터넷 뱅킹을 iphone 이나 ipod touch 를 가진 고객들이 할 수 있도록 응용 프로그램을 개발, 배포하였다는 소식이 장안의 화제가 되고 있습니다.

스마트 폰에서 인터넷 뱅킹이 “가능하다”는 것이 뉴스 감이 되는 사회: 이것이 바로 한국 웹의 씁쓸한 현실입니다. 외국은 마치 전자금융 미개국인 것처럼 혼자 상상하면서 한국 안에서 자화자찬을 일삼아 오던 지난 10년 간의 국내 관행은 좀 지나친 점이 있었다고 생각합니다. 외국에서는 스마트폰의 보급도 한국 보다 더 빨랐고, 인터넷 뱅킹도 다 하고 있었습니다. 인터넷 뱅킹은 오직 PC에서, 그리고 MS IE 웹브라우저에서만 가능하니 그리 알고 딴 생각말라던 국내 업계의 고압적 태도는 이제 와서 보면 그저 신기할 따름입니다.

iphone/ipod touch 를 가진 고객이 하나은행/기업은행 고객의 몇 %인지는 모르겠으나, 아마도 아직 1%도 되지 않을 것입니다. 이미 10%가량에 달하는 파이어폭스 이용 고객은 “찬밥” 대접을 하면서 “수요가 적다”는 말로 무시해 왔던 것과는 온도차가 있네요. 애플이라서 그런가? “스마트”폰 이라서 그런가?

하나/기업 은행 뿐 아니라, 은행 마다 아이폰 앱 하나씩 개발하여 배포하는 일이야 뭐 그리 힘들겠습니까? 불행하게도 아마 그렇게 될 것입니다. 그저 유행이라면 아무 생각 없이 우르르 몰려다니는데 워낙 익숙하지 않습니까?

그러나, 스마트 폰 시장은 PC시장과는 완전히 다릅니다. 인터넷 뱅킹이 시작되던 90년대 말/2000년대 초에 한국 PC시장은 윈도 OS점유율이 99%이상이었고, MS IE 점유율 또한 99%였습니다. 그래서 MS IE 에만 “몰빵”하는 것이 사업적으로는 (근시안적일 망정) 가능했습니다 (그래서 지금 이지경이 되었지만).

그러나 아이폰 점유율은 아무리 높아도 앞으로 5년간 10%를 넘기 힘들지 않겠습니까? 아이폰 사용자를 위하여 아이폰용 앱(응용프로그램) 만들고, 안드로이드 폰 사용자를 위하여 안드로이드 앱 만들고, 윈도우 모바일 기반의 스마트 폰 사용자를 위하여 윈도우 모바일용 응용프로그램 만들고, 블랙베리 사용자를 위하여 또 하나 응용프로그램 만들고, 삼성 바다폰을 위한 또 하나의 응용프로그램 만들고…

보안 업체에게는 거의 “환상적 사업 구도”인지는 모르겠으나, 은행에게는 “황당한 사업 구도”일 수 밖에 없습니다. 그 많은 응용프로그램을 일일이 업그레이드하고 유지, 지원(maintain) 하는 일…, 설치와 관련하여 고객 지원을 하는 일… 제 정신을 가진 서비스 제공자라면 결코 채택하지 않을 선택입니다.

국내 은행/보안 업체들이 스마트 폰용 “앱” 개발, 배포에 몰두하는 유일한 이유는 전자서명을 스마트폰에서도 하기 위한 것입니다. PC에서 하던 전자서명을 스마트폰 OS에 porting 하는 것이 무슨 대단히 획기적이거나, 창조적 솔루션으로 인정받을 수 있는 것도 아닐 것입니다. 6개월이 멀다하고 쏟아져 나오는 다양한 휴대폰 기종별로 일일이 그 응용프로그램을 개발, 유지, 보수, 업그레이드 하겠다는 발상은 거의 돈키호테에 가깝습니다.

“보안 접속”을 위해서도 별도 프로그램(플러그인)이 필요하다면서 응용프로그램(플러그인)을 팔아 왔던 해괴한 사업관행은 이제는 서서히 사라져 가는 것 같습니다. 보안 접속은 이제 별도 프로그램 없이 https 로 수행하는 곳이 많이 늘어 났습니다. 단적인 예로, 금융결제원도 이제는 보안 접속은 별도 프로그램을 사용하지 않고 https 로 수행합니다. (아직도 굳건히 보안접속용 플러그인을 판매하는 보안업체들이 남아 있으나, 고객의 무지를 이용하는데에도 한계가 있지 않겠습니까…)

유일하게 남은 문제는 전자서명입니다. 논란의 핵심은 전자서명이 과연 그렇게 신통한 수준의 안전을 보장해 주느냐 입니다.

해답은 뻔하지 않겠습니까? 키보드 보안이 없으면 전자서명은 사실상 하나마나한 것이라는 점은 보안 업체 스스로가 인정하고 있습니다. 전자 서명은 “부인 방지” 효과가 있다는 것을 마치 무슨 절대적 진리처럼 되뇌는 분들을 보았습니다. “부인 방지”가 무슨 기계적 정확성을 가진 공학 용어처럼 오해하시는 분들입니다.

“부인 방지” 효과가 있는지는 법적 판단과 공학적 판단을 종합해야 비로소 결론이 나는 것입니다. 전자서명이 아무리 되었다 한들, 인증서 개인키와 인증서 암호가 유출되었을 가능성이 크다면, 그 거래를 부인하는 것은 쉽습니다. 반면에 전자서명이 되지 않았더라도, 일회용 비밀번호와 보안 카드 등 본인이 아니면 도저히 알 수 없는 방법으로 거래가 이루어 졌다면, 그런 거래를 부인하는 것은 법적으로도, 기술적으로도 무리 입니다.

스마트폰 뱅킹의 미래는 응용프로그램을 열심히 개발, 배포하는데 있는 것이 아닙니다. 인터넷 뱅킹 서비스 자체를 html 에 기반한 범용 서비스로 개편하고, 별도프로그램(플러그인)을 모두 걷어내는 것이야 말로 스마트폰 뱅킹의 미래입니다.

뱅킹 보안은 서버가 제대로 관리해야 옳습니다. 고객의 컴퓨터에 자꾸 무슨 별도 프로그램을 설치하라고 강요하고, 고객의 컴퓨터에서 금융거래 보안을 구현하려는 발상은 점점 큰 위험을 초래하게 됩니다. 고객의 컴퓨터를 장악하는 유사품(악성) 프로그램의 범람을 막을 수가 없기 때문입니다. PC가 되었건, 스마트 폰이 되었건 이점은 마찬가지 입니다.

뱅킹용 “가짜” 앱이 슬그머니 유포되는 사태가 생겨나지 않을 것 같습니까? 이용자들에게 반드시 AppStore 나 Android Market 에서만 뱅킹용 보안프로그램을 내려받으라고 아무리 안내해 본들, “유사품”의 유포를 막기는 역부족일 걸요?

인터넷 뱅킹용 아이폰 앱의 출현에 열광하는 기술언론의 보도 태도는 매우 실망스럽네요. 웹 기반의 서비스를 “아무 생각없이, 지금껏 해왔던 대로” 응용프로그램 방식으로 제공하는 것의 위험과 한계를 분명히 할 필요가 있습니다.

문제의 핵심은 “전자서명”에 있는 것 같습니다.

공무원들과 보안업체 종사자들은 전자서명이 부착된 거래가 더 안전하다는 “확신”을 가지고 있고, 지난 10여년간 한국웹은 바로 이 확신을 지탱해 주기 위하여 모든 이용자들이 ActiveX를 덕지 덕지 설치해 왔습니다.

그러나, 과연 이 “확신”이 기술적, 논리적 근거가 있는 것인지를 꼼꼼히 살펴 볼 필요가 있습니다.

첫째, 외국에는 이런 확신이 없습니다. 외국이 전자서명 기술을 몰라서, 전자서명 기술은 한국의 보안업체들만 구현할 줄 알아서, 외국은 보안이 허술해도 괜찮아서 그렇다고 생각하십니까? 한국이 “IT 강국”이라서 ㅎㅎ? 그것은 아니라고 저는 생각합니다.

둘째, 실제로 전자서명을 추가로 요구하면 과연 더 안전할까요? 엉성하고 막연하게 “그래도 없는 것 보다는 조금이라도 낫지 않겠는가”라는 식으로 얼버무릴 것이 아닙니다. 꼼꼼하게, 논리적으로 그리고 기술지식에 근거하여 따져보아야 합니다.

아래에서 언급할 키보드 보안이 만일 없다고 가정한다면, “전자서명만을 추가한다고 해서” 더 안전해 지는 것은 아닙니다. 왜그런가 하면,

• 쇼핑고객의 컴퓨터가 이미 뚫렸다면, 인증서 개인키 파일과 개인키 암호 또한 이미 유출되어, 공격자가 그것을 확보하여 고객의 전자서명을 마음껏 만들 수 있으므로, 금융기관이 전자서명을 아무리 요구해 본들 헛발질에 불과합니다.
• 쇼핑고객의 컴퓨터가 뚫리지 않았다면, 고객이 입력하는 정보또한 유출되지 않습니다(교신 암호화가 제대로 이루어진다면). 따라서 전자서명을 추가로 요구하는 일은 무의미한 “옥상옥”에 불과 합니다.
• 전자서명이 “보안”에는 별 도움이 되지 않지만, 은행이 “책임”을 면하는데는 그래도 도움이 좀 될 거라고 한발 물러서시는 분들이 이제는 많이 생겼습니다. 전자서명에 대하여 그동안 가져왔던 거의 종교적 확신이 흔들리는 분들이라고나 할까요. 그러나, 은행이 책임을 면하는데 전자서명이 별 도움이 되지 않는다는 점은 지난 포스팅에서 이미 설명드렸습니다. 실제로 은행이 “전자서명이 되어 있다는 이유로” 사고 거래의 책임을 면하는데 성공한 사례도 제가 알기로는 없습니다. 있으면 댓글로 알려주시기 바랍니다.

셋째, 전자서명에 더하여 키보드 보안까지 강제하면 더 안전해 질까요? 여기서도 꼼꼼히 따져볼 필요가 있습니다. E2E 키보드 보안 어쩌구 하면서, 그것이 무슨 만병통치약인 것처럼 떠들고 있지만, 실은 별 근거가 없습니다. 그 이유는,

• 쇼핑고객의 컴퓨터가 이미 뚫렸다면, E2E 보안을 아무리 강제해도, 인증서 개인키 파일 자체의 유출을 막을 방법은 없습니다. 인증서 암호 또한 (비록 금융사이트에 접속해 있는 동안에는 E2E 보안 플러그인이 작동하므로 개인키 암호가 유출되지 않지만) 고객이 다른 웹사이트에 접속해서 이런 저런 카페나 블로그, 이메일 계정 등에 로그인 암호를 입력할 때, 그 입력값은 고스란히 노출됩니다. 대부분의 고객들은 다양한 계정의 로그인 암호와 인증서 암호를 동일하게 지정해 두기 때문에 결국 인증서 암호까지 이 방법으로 유출되는 경우가 많고, 이것은 금융기관이 E2E 보안 아니라, 무슨 별의별 수를 써도 막을 길이 없습니다.
• 쇼핑고객의 컴퓨터가 뚫리지 않았다면 E2E 보안은 처음부터 쓸데 없는 짓입니다. 공격자는 입력값을 가로채 갈 수 없습니다.(교신 암호화만 제대로 하면 됩니다)
• 즉, 고객의 컴퓨터가 뚫린 상태건, 뚫리지 않은 상태건 간에, E2E 키보드 보안은 별 쓸모가 없습니다. E2E 보안 솔루션을 열심히 개발하여 판매하시려는 업체분들께는 매우 죄송합니다. 금융기관들은 여전히 이 제품을 계속 구입하고 있으니, 당분간은 계속 파실 수 있을 것입니다,

넷째, 고객 컴퓨터가 뚫렸는지를 검사하고 그 취약점을 틀어막기 위해서는 “본격적인 정품 안티바이러스 프로그램”을 자발적으로 설치하도록 권장하는 수 밖에 없습니다. 그러나,

• 고객의 자발적 설치를 못믿겠으며, 확인할 수 없다는 이유로 현재 금융권은 강제 설치를 시도합니다.
• 그러나, 강제 배포하는 “슬림화된 안티바이러스 플러그인”은 메모리 해킹 툴을 간략하게 몇초동안 스캔하는 빈약한 기능 정도 밖에 없고, 그것마저 금융 사이트를 벗어나면 꺼집니다. 따라서 이 플러그인도 별로 쓸데는 없습니다 (보안 업체 분들께는 죄송합니다만, 그런 프로그램을 아무리 팔아본들, 고객의 컴퓨터가 안전해 질 가능성은 없습니다. 만일 안전해 졌다면 7.7 DDoS 사태 같은 일은 일어나지 않았겠지요.)
• 금융기관들은 이제라도 이용자들에게 본격, 정품 안티바이러스 프로그램(상시로 작동하는 제대로된 정직한 제품)을 무료로 내려받을 수 있는 곳을 제발 좀 안내해 주시기 바랍니다. 여기에 있습니다. http://www.boho.or.kr/pccheck/pcch_02.jsp?page_id=2 이런 훌륭한 제품들이 있다는 사실을 왜 안내해 주지 않고 잠자코 계십니까? 그렇게 하는 것이 금융기관 영업에 도움이 됩니까?

결국, 외국이 모두 채용하는 방식(국내 보안업체들이 무조건 위험하다고 목청 높여 반복 주장해왔던 방식)은 ActiveX를 덕지덕지 처바르는 “한국형” 결제 방식보다 결코 허술한 것이 아니라고 저는 생각합니다. 즉, 국내 방식이 결코 더 안전한 것이 아닙니다. Amazon.com, 외국의 Ebay 사이트 등이 제공하는 “엄청나게 간단해 보이는” 솔루션이 한국의 “엄청나게 번거로운” 솔루션 보다는 더 안전하다고 저는 생각합니다. 유저들에게는 매우 번거롭고, 해커들은 손쉽게 비집고 들어올 수 있는 방식이 바로 한국의 보안 솔루션 이라고 저는 생각합니다.

해커들에게 제일 부담스러운 것은 본격적인 정품 안티바이러스 제품입니다(실시간 감시 기능이 “상시” 작동하는). 금융사이트에 접속해 있는 동안만 잠시 켜지고, 그 사이트를 벗어나면 자동으로 꺼지는 “강제 설치 안티바이러스 플러그인”은 해커들에게는 웃음거리 밖에 안됩니다.

금융기관 한 곳이라도 이상 설명드린 내용을 본격적으로 검토했으면 좋겠습니다. 현재의 (전자서명+키보드 보안+안티바이러스 플러그인) 방식의 결제가 사고거래 방지에 결국에는 별 도움이 되지 않는 기술적 이유는 분명히 있습니다.

외국의 보안 전문가들이 기술을 몰라서 전자서명을 안하고, E2E 보안 플러그인을 아예 개발조차 하지 않고, ActiveX 를 사용하지 않는 줄 아십니까?

외국의 금융거래는 허술하게 대강하기 때문이라고 진짜로 믿고 계십니까?

지난 10여년간 한국에서만 해 온 괴상한 방식이 기술적으로도 취약했고, 논리적으로도 허술했다는 점을 언젠가, 누군가는 인정하고, 그것을 폐기하고 선진적 방법으로 전환할 것입니다. 과연 누가 그일을 먼저 시작하느냐가 문제일 뿐이라고 저는 생각합니다…

제 책(“한국웹의 불편한 진실”)에 관한 서평과 인터뷰 등이 꽤 긍정적으로 나와서 다행입니다.

http://column.inews24.com/php/news_view.php?g_serial=432327&g_menu=043301

http://www.hani.co.kr/arti/culture/book/368941.html (8월1일자 한겨레 북섹션 full page 로 다룸)

http://bloter.net/archives/15694 (8월5일자 인터뷰)

제 책이 서적 판매 전문 사이트인 Yes24.com 에서 현재 주간 베스트 8 이군요…

http://www.yes24.com/24/Category/BestSeller?CategoryNumber=001001003&SumGb=02

제 자랑을 하려는 것이 아니라, 전반적인 분위기와 담론 형성의 추이를 말씀드리고 싶어서 소개했습니다.

은행 거래의 절반 가량은 이미 온라인으로 이루어지고 있습니다. 앞으로 온라인 영업 부문의 중요성은 더욱 늘어날 것입니다.

은행 등 금융권은 과연 이 트렌드에 대처하는데 필요한 ‘역량’을 갖추고 있는지요? 큰 구도를 이해하고, 장기적 비전과 전략을 수립하는데에는 ‘경영학/인문학 배경’의 기획 인력이 생각해 낼 수 있는 수준의 막연한 플랜 만으로는 역부족일 것입니다. 금융권은 무엇보다도 분리 발주 능력을 스스로 갖추어야 한다고 생각합니다.

분리 발주 역량

금융 거래 웹사이트를 “통짜로” 어느 업체에게 맡기고, 그저 “잘 좀 만들어 달라”는 수준의 발주에 머물러 온 것이 지난 10여년 간의 현실이었습니다. 그 결과는 무엇입니까? 마케팅 면에서도, 보안 설계 면에서도, 다양한 고객 환경 지원 면에서도 모두 ‘어중간’ 한 수준의 온라인 뱅킹 서비스에 머물고, 천편일률적, 그 나물에 그밥 스타일의 웹페이지를 모든 은행들이 떠 안고 있는 것입니다.

은행 등은,

• 자신이 무엇을 필요로 하고, 무엇을 원하는지를 분명하게, 그리고 구체적으로 정리하고 제시할 능력
• 응찰 업체들의 역량을 정확하게 평가하고 선발하는 능력

을 스스로 갖추어야 합니다. 수주 업체가 이일을 대신해 줄 수는 없습니다.

그런 능력을 자체 구비하고 있는 국내 은행이 실제로 있습니까?

온라인 금융 사업을 기획하고 발주하는 데에는 다음 세가지 요소에 대한 어느 정도의 지식과 역량이 필요합니다. 은행이 실제로 이들 요소를 스스로 “구현”할 역량을 갖추라는 것이 아니라, 이들 각 부문에서 은행이 “원하는 것이 무엇인지”를 스스로 정리하고 “발주”하는데 필요한 수준의 역량이 필요하다는 말씀을 드리는 것입니다.

(a) 마케팅/커뮤니케이션 부문

온라인 영업은 “컴퓨터 모니터 스크린”이라는 매체에서 은행과 고객 간의 모든 의사소통이 이루어집니다. 은행이 웹페이지를 통하여 고객에게 전달하고자 하는 마케팅 메세지들이 무엇인지, 어떻게 제시되는 것이 가장 효과적인지, 고객들에게 가장 큰 만족과 편리함을 주며, 은행에게도 가장 유리한 디자인은 무엇이어야 하는지…

실제로 각 스크린 별로 페이지가 어떻게 ‘디자인’되어야 하는지는 ‘웹디자이너’에게 맡길 일이 아니라, 마케팅/광고/커뮤니케이션 전문 에이전시에게 발주를 하는 것이 옳습니다. 은행의 요구 사항을 어떻게 하면 가장 효과적으로 고객에게 전달할 수 있는지를 알 수 있는자는 커뮤니케이션 전문회사이지, 웹디자이너가 아닙니다. 웹페이지 소스코드를 알 필요가 있는 것이 아니라, 고객의 심리와 은행의 요구를 정확히 간파하고 이 둘을 연결하고 구현하는 능력이 필요한 부분입니다.

물론, 은행부터 먼저 자신의 요구 사항이 무엇인지를 정리하고 제시할 능력이 있어야 하겠지요. 웹페이지를 통한 신규 고객 영입 가능성에 주목할 것이냐, 기존 고객에게 더욱 편리하고 다양한 서비스를 제공하는데 치중할 것이냐, 오프라인 점포의 비효율을 온라인 영업을 강화함으로써 대처하는데 주목할 것이냐 등의 경영 전략에 따라서, 웹페이지의 디자인과 메세지 제시의 강조점이 달라질 것입니다. 은행의 영업 전략을 구체화하고, 그것을 반영하여, 은행이 궁극적으로 고객의 모니터 스크린이라는 제약된 공간에서 제시되기를 원하는 메세지가 과연 무엇인지를 응찰자에게 분명하게 제시할 ‘기획 능력’은 은행 스스로가 갖추어야 합니다. 그래야 ‘발주’라도 제대로 할 수 있지 않겠습니까?

(b) 보안 설계 부문

은행이 고객에게 제공하는 서비스는 거래(transaction)와 관련되는 부분과, 정보/마케팅 등 순전히 informational 한 부분으로 나눌 수 있습니다. 보안 설계는 오로지 거래에 관한 것이고, 은행의 거래는 비교적 단순한 구조입니다.

이 부분 설계를 담당하는 분들은 마케팅을 알 필요도 없고, 웹표준을 알아야 할 필요도 없습니다. 스타일에 대한 고려는 전혀 필요가 없습니다. 모든 군더더기를 제거한 채, 오로지 필드(field) 명칭과 필드 입력란 등의 요소만으로 설계 작업이 이루어지면 됩니다. 즉,

등으로만 작업이 이루어지면 되므로, 국내는 물론 전 세계의 보안 업체들을 상대로 발주하기 용이한 분야입니다.

보안 설계를 담당한 업체가 완성된 솔루션을 발주자에게 납품하면, 발주자는 독립된 다른 보안 컨설팅 업체를 선정하여, 이 솔루션에 대한 점검(vetting)을 수행하도록 할 필요가 있습니다. 따라서 설계를 담당한 업체는 독립된 점검에 필요한 한도에서 필요한 정보나 documentation 등을 제공할 준비가 되어 있어야 하겠지요(물론, Non-Disclosure Agreement 를 맺고).

어느 한 업체가 납품한 보안 솔루션을 은행이 무방비 상태로 그냥 믿고 채용하는 것은 위험할 수 있습니다. 자기가 납품한 보안 설계를 독립된 제3자가 검증하는데 필요한 수준의 정보도 제공할 수 없으니, “무조건 자기만 믿으라”는 업체는 애초에 믿을 만한 업체가 아닙니다.

요컨대, 보안 설계는 그것을 구현하는 업체와 검증 하는 업체가 분리되어야 합니다.

(c) 코딩 부문

이 부문은 마케팅 지식도 필요 없고, 보안 지식도 필요 없습니다. 디자인 감각도 필요 없습니다. 코딩을 하시는 분들이 페이지 디자인을 하도록 기대하는 것은 애초에 잘못된 기대입니다.

코딩은 오로지 html, css 등의 웹 표준 기술을 원숙한 수준으로 구사함으로써,

• 모든 기기, 모든 플랫폼에서 서비스 접근과 이용에 지장이 없도록 확보하는 작업
• 마케팅/커뮤니케이션 팀이 확정한 디자인을 가장 효율적인(bandwidth를 가장 적게 사용하는) 방법으로 미려하게 구현하는 작업
• 장애인의 이용에 불편이 없도록 확보함으로써, 장애인 차별 금지법에 저촉될 소지를 없애는 작업

을 전담하는 부문입니다.

보안 업체가 코딩도 하고, 페이지 디자인도 적당히 해치우는 경우, 결국 전체적으로는 이류, 삼류의 결과물 밖에 내 놓을 수 없습니다. 이른바 SI(System Integration) 업체가 “통짜로” 어떤 프로젝트를 수주한 다음, 보안 솔루션을 적당히 구입하여 편입하고, 디자인도 그럭저럭 어디에 하청줘서 해치운 다음, (마케팅이나 커뮤니케이션 측면은 아예 고려조차 안 한 상황에서) 웹사이트 전체를 통짜로 납품하는 사태는 모두에게 불행합니다.

지금까지 이런 관행이 지겹게 반복되어 왔던 이유는, 은행 자체가 “발주”할 역량 조차 제대로 갖추지 못했기 때문입니다. 자기가 무엇을 원하는지도 모르고, 어느 업체를 선별해서, 무슨 일을 시켜야 하는지도 모르는 딱한 지경에서, 이른바 “대기업”에게 맡기면 “알아서 잘 해 주겠지”하는 심리로 돈만 왕창 퍼주는 사태…

부탁해요~

은행들은 스스로에게 물어보시기 바랍니다: 온라인 뱅킹, 온라인 영업과 관련하여, 은행이 지금까지 과연 자신에게 이익이 되는 결정을 해 왔는지요? 어떤 기술적 선택들이 있었는지 은행이 알고나 있었습니까? 그 중 어떤 선택을 누가 포기했는지, 왜 포기 했는지, 그 결과로 은행이 얻은 것은 무엇이고, 잃고 있는 것은 무엇인지에 대하여, “은행의 입장에서” 정확히 판단해 왔는지요? 그럴 능력과 역량이 있었는지요?

지금이라도 은행들은 e-business를 담당하는 부서에 대하여 근본적인 개혁과 획기적 지원을 할 필요가 있습니다. 능력에 맞는 파격적 대우, 그리고 무엇보다도, 은행 조직 내에서 e-business 부문에 대한 장기적 비전과 입지(적절한 인사상 대우)를 확보해 주어야 은행의 이익을 제대로 지켜낼 수 있는 소중한 인재를 은행이 확보하고 양성할 수 있습니다. 다른 어떤 업체가 은행의 이익을 지켜주지는 않습니다.

은행 전산부서는 그저 거쳐가는 곳이고, 지점장 되는 것만이 지상 목표인 그런 조직에서, 어떻게 온라인 뱅킹 영업/기술의 전문적 안목과 역량을 갖춘 인재가 생겨날 수 있겠습니까? 온라인 영업이 은행에게 그렇게 중요하다면, 그에 걸맞는 인사 조직 구조의 개혁도 필요하지 않겠습니까?