국내 인터넷 뱅킹 보안의 기술적 선택은 다음과 같이 정리할 수 있습니다:
(공인)인증서
- 개인키와 암호가 유출 안되면, 사고가 아예 발생하지를 않고(부인방지 기능이 필요 없고),
- 개인키와 암호가 유출되면(사고발생 가능성이 생기면), 인증서는 부인방지 기능을 발휘하기 어렵습니다.
키보드 보안 프로그램
키보드 보안 프로그램을 설치해도,
- 고객 개인키를 공격자가 복사해 가는 것을 막을 수는 없고,
- 다른 사이트(포털, 블로그, 쇼핑몰 등)에서 고객이 키보드로 입력하는 값을 보호해 줄 수도 없습니다.
- 다수의 이용자들은 다른 사이트에서 자신이 사용하는 암호와 인증서개인키 암호를 동일하게 정하여 사용합니다. 키보드 보안 플러그인을 설치한다고 해서 이용자의 이러한 이용행태(user behaviour)가 바뀌지는 않습니다.
- 고객의 개인키를 복사한 공격자는 그 고객이 은행 외의 사이트들에서 키보드로 입력하는 암호값을 수집하므로, 은행의 키보드 보안 프로그램은 아예 건드릴 필요도 없습니다.
개인 방화벽, 안티바이러스 프로그램
은행이 강제 설치하는 이 프로그램들은
- 은행에 접속해 있는 동안만 작동합니다.
- 그러나 은행이 고객의 컴퓨터를 공격하지는 않습니다.
- 다른 악성 사이트나 이메일 첨부파일 등이 고객을 공격하지만, 이들 프로그램은 이때에는 작동하지 않습니다.
무료로 배포되는 훌륭한 정품 안티바이러스 프로그램들이 있다는 사실을 은행이 고객들에게 소개, 안내하고, 정품 안티바이러스 프로그램의 사용을 적극 권장하면, 적지 않은 고객들이 무료 정품 소프트웨어의 혜택을 누리기 위하여 자발적으로 이 프로그램을 설치할 유력한 가능성은 생깁니다. 이러한 정품 프로그램들은 상시로 작동하므로, 이용자 PC의 보안 상황은 획기적으로 개선될 수 있습니다.
그러나, 은행은 이용자들을 믿을 수 없다는 이유로 “강제” 설치를 선택합니다. 그래서, 은행 사이트에 접속하면 “자동으로/강제로” 실행되는 플러그인 형태의 방화벽/안티바이러스를 고객컴퓨터에 억지로 설치하게 되는데, 문제는 이런 프로그램은 은행 사이트를 벗어나거나, 은행에 접속하지 않으면 아예 실행조차 되지 않는다는 것입니다. 은행은 이 사실(은행에 접속하지 않는 동안에는 아무 보호도 제공하지 않는다는 사실)을 고객에게 안내하지 않을 뿐 아니라, 이런 플러그인을 강제 설치하기 위하여, 고객들에게 오히려 정품 안티바이러스의 실시간 감시기능을 끄라고 안내하는 곳 까지 있습니다.
요컨대,
- 키보드 보안 프로그램 설치가 필요한 상황(고객 컴퓨터가 허술하여 악성 키로거까지 설치된 상황)에서는 복제가능한 인증서는 다수의 공격자 손에 이미 나돌 수 있으므로, 인증서는 부인방지 효과를 가질 수 없고,
- 은행이 아무리 키보드 보안 프로그램을 강제 설치해도, 공격자는 고객이 다른 웹사이트들에서 입력하는 암호를 모두 수집하고, 이런 암호들 중 하나는 고객의 인증서 개인키 암호와 일치하는 경우가 많으므로 결국 키보드 보안 플러그인도 별 유용성이 없습니다.
- 고객이 정작 필요로 하는 때(공격 가능성이 있는 악성 사이트에 접속할 때)에는 작동조차 않는 안티바이러스/방화벽 플러그인을 은행이 고객에게 억지로 설치하는 사태에 대해서는 드릴 말씀이 별로 없습니다.
SAFE BANK
국내 은행들의 이러한 기술 선택은 은행에게도 도움이 안되고, 고객에게도 불편만 가중할 뿐이고, 은행이 제공할 수 있는 서비스 이용환경마저 대폭 제약합니다. 그 뿐 아니라, 플러그인 구입, 배포, 유지에 소요되는 막대한 비용만 은행이 떠안게 됩니다. 이러한 국내 뱅킹시스템의 제약(PC/윈도우/익스플로러에서만, 플러그인에 의존하여 작동) 때문에, 모바일 인터넷 뱅킹을 위하여 은행들은 “별도의 솔루션”을 구입하고 있습니다. 마치 모바일 인터넷은 무슨 “특별한 솔루션”이 필요하고, 이통사에게도 막대한 돈을 주고(각 고객이 매년 만원씩 지불), 솔루션 납품업체에게도 적지않은 비용을 지불하는 것 외에는 대안이 없다고 오해하고 있기 때문입니다. 금융기관 IT 담당 부서의 총책임자분들은 모두 그렇게 “믿고” 있습니다(그렇게 보고받았기 때문입니다).
그러나, 이러한 국내 은행의 모바일 뱅킹 솔루션은 국외에서는 안되고, iphone, blackberry, android 계열의 휴대폰에서도 안됩니다. 특정 이통사가 지원하는 기기에서만 작동하고, 국내에서만 작동하며, 별도의 프로그램을 어렵게 휴대폰에 설치해야 하고, 고객 각자가 이통사에게 매년 만원 가량씩 돈을 줘야 비로소 사용이 가능합니다. 이런 솔루션을 업체로부터 구입해서 고객들에게 열심히 선전하는 은행의 노력과는 달리, 고객의 호응도가 높지는 않습니다…
오픈웹은 이와는 다른 해법을 제안합니다.
여기 제시되는 해법은 안전성 면에서 기존 뱅킹 솔루션과 적어도 같거나 더 안전하며, 데스크 톱은 물론, 풀브라우징 기능이 있는 모든 휴대폰에서 정상 작동하며, 이통사에 종속되지 않으며, 인터넷 연결이 되는 곳이면 세계 어디에서나 정상 작동하는 HTML에 입각한 방법입니다. 고객이 별도의 프로그램을 내려받아 설치할 필요가 아예 없는 해법입니다.
다시한번 간곡히 바라건대, 보안 업체 경영/영업 담당자분들께서도, 없어지는 “플러그인 시장”만을 보고 안타까와하실 것이 아니라, 새롭게 열리는 “시스템 솔루션 시장”에서 전세계를 상대로 성장할 수 있는 가능성을 전향적으로 수용하셨으면 좋겠습니다.
아래 그림을 클릭하시면 새로운 창이 열립니다. 새로운 창으로 새로운 세상을 바라보시기 바랍니다.
클릭하면 새로운 창이 열립니다.
전면적인 OTP 의 시행은 이미 많은 논의가 진행되고 있으며 준비중이기도 한 것으로 알고 있습니다. 현재로서 눈에 보이는 가장 손쉬운 대안은 OTP일 것이니까요.. 그렇지만 아무도 공인인증서가 복제될수 있다는 것을 예상하지 못했듯이 OTP 역시 어떤 위협이 발생할 지는 아무도 모릅니다. 엄청난 비용을 감수하고서 전면적인 OTP를 시행했다가 나중에 문제점이 발견되면 그때는 그야말로 엄청난 혼란이 올 것입니다. 지금 당장 딱히 어떤 방법이 대안이라는 것은 굉장히 어려운 문제가 아닌가 합니다.
한가지 차이점이 있습니다. OTP 는 전세계적으로 사용되고 있습니다.
복사 가능한 인증서를 광범하게 사용하는 곳은 제가 아는한 우리 나라밖에 없습니다. 유럽국가 중, 인증서를 사용하는 곳은 PKCS#11 만을 사용하는 경향입니다.
“나중에” 문제점이 나타날 가능성은 컴퓨터 기술의 당연한 속성입니다. SSLv1 이나, SSLv2가 허점이 있다는 것은 당시에는 몰랐지요, 당연히… 모두가 사용하다가, 허점이 발견되면, 업그레이드 하는 것은 당연한 진화과정입니다.
대부분의 나라가 이미 drop한 PKCS#8 형태로 저장된 인증서를 “졸업”하지 못하고, 연연해 하는 이유로, “OTP에도 혹시 허점이 나중에 발견될지 모른다”는 논거를 제시하는 것은 좀 …
은행이나 정부, 금융보안연구원 같은 곳에서는 당연히 고민에 고민을 하는 문제일 것입니다.
“시행후에 문제점이 발견될 수 있다”
-> 당연히 무엇보다고 가장 중요한 예기입니다.
그래서 검증에 검증, 논의에 논의가 필요한 것이죠.
제 생각에는 OTP가 적용되더라도 지금은 플러그인을 이용한 보안을 당장 내리기는 어렵다고 봅니다. 여기있는 분들이야 쉽게 예기할 수는 있지만 누구에게는 밥줄이 끊기는 문제일 수 있으니까요.
그래서 패러다임을 바꾸는 획기적인 방법이 필요하다는 생각입니다.
제가 말한 밥줄은 보안업체가 아닌 정부, 은행, 정부 금융보안 정책 담당자 분들입니다.
이렇게까지 깨끗하게 정리해서 손을 붙잡고 이끌어 주는데 변화를 거부하면…한국의 정보산업의 미래가 암담한 것이겠지요. 그러나 저는 긍정적이고 낙관적으로 봅니다. 1년 이내에(너무 긴가요?) 뭔가 움직임이 있을 것이라고 봅니다.
IT서비스를 하는 기업과 IT서비스를 사다쓰는 기업 모두에 근무해보고 다른 기업케이스를 직간접적으로 보아 왔지만, 대체로 IT가 주력이 아닌 기업의 CIO나 Director급 임원들은 전문지식의 결여로 실무자에게 보고받은데로 의사결정을 하는 경우가 대부분이라, 이런 이슈같이 기술적으로 복잡하고 역사적 배경이 깔린 문제의 해결책이 정말 잘못된 “믿음”으로 좌지우지하는 경우가 적지 않지요. 오픈웹에서 시원하게 몇 장 안되게 Executive Summary를 만들어 주셨으니 뭔가 일어날 듯 합니다.
OTP에 대해서 말씀하시니 생각이 나는데, 제가 IT 부서에서 서포터 역할을 해봤지만 은행업무나 세금계산서 처리를 늘 해야하는 실무자들의 공인인증서 관리가 골치아픕니다. 공인인증서가 깔린 PC를 교체하거나 실무자가 바뀌면 공인인증서를 다시 깔아야 하는데 저장위치가 이상하니 관리자 권한 없이 일반 사용자가 알아서 재설치하는 것이 불가능하고, 여기에 대한 원격지원도 쉽지 않아 골머리를 앓는 경우가 허다합니다. 더구나 1년 유효기간 만료 때되면 수십개를 갱신하는 일을 대행해줘야 할 경우가 발생합니다 (firewall policy때문에 갱신프로세스가 막히고, 1년에 한 번하는 일땜에 firewall 세팅을 조정하고… 정말 한심스럽습니다). 또한 기업의 사설 인증서를 사용할 경우 이것도 일일이 관리해줘야 하는데…이런 일들을 외국에서도 할까요? 머리좋다는 한국사람들이 OTP의 가격과 인증서 관리에 잃어버리는 시간과 생산성의 가치를 비교 못해서인가요?
공인인증서를 관리하는 것은 귀찮고 불편한 일이 아니라 당연히 해야할 의무입니다. 제가 일하는 곳은 공인인증서 전용 PC에 이중 인증을 통해 허락된 사용자만 접근할 수 있도록 제한하고 있습니다. 누구도 그것에 대해 불편하다는 말을 하지 않습니다. 당연한 것이라고 생각을 하니까요. 기본적으로 인증서 관리는 당연하다고 생각하기에 AppleADay 님의 질문에는 머라고 답변을 못하겠습니다.
swlee님, 제가 말하는 포인트를 miss하신 것 같은데…공인인증서를 법인인감 관리하듯이 “사용자”나 “책임자”가 스스로 관리하는 것을 말하는 것이 아닙니다 (그건 당연히 “당연한 의무”이지요) “지원부서”가 있어야 할 정도로 뒤치닥거리가 필요한 현 전자인증서 방식의 비합리성을 지적하는 것입니다. 막상 인증서를 이전하기는 쉽지 않고 사용자가 스스로 책임지고 a부터 z까지 관리하기에는 힘들면서 복사는 함부로 할 수 있는 것도 황당한 상황 아닌가요? (법인인감을 이렇게 함부로 관리할 수 있다고 생각해 보십시요) 잔 은행업무, 하루에도 수시로 있는 세금계산서 등의 처리 등을 하는 일반사용자들은 평소에는 별 문제없이 불편을 호소하지 않고 잘 쓰지요. 그러나 네트워크 보안과 PC관리정책이 엄격한 회사에서 많은 지점의 여러 사용자들이 여러 인증서를 사용하고 (같은 회사라도 사업자등록이 다 따로된 경우), 수시로 인사변동, PC교체 등이 있는 유동적 환경에서조차도 OTP같은 수단이 오히려 간결명료하고 책임소재를 명확하게 하고, 위험도도 줄일 수 있을 거라는 생각에서 멘트를 남겼습니다. OTP라는 것이 지금보다 인식이 훨씬 덜 됐던 수 년 전에 IBM직원들이 외부에서 사내인트라넷 접속을 위해서 OTP를 열심히 챙기고 다녔던 기억이 있습니다. 처음에는 왜 저렇게 “불편하게 사나”라고 생각했는데 지금 다시 생각해보니 훨씬 앞서간 아이디어였던 것 같습니다.
여러 인증서를 여러명이 사용하는 관리의 어려움이 많이 따르는 상황인것 같습니다. 제생각에는 안전하고, 효율적으로 인증서를 관리하는 프로세스를 만드는 것이 좋을 것 같습니다. OTP는 패스워드 인증을 강화하는 수단일 뿐이기에 사용자의 신분을 제시하는 공인 인증서의 목적을 대체하기에는 어렵다고 생각하며 설령 가능 하더라도 이에 대해서는 많은 논란이 있을것 같습니다. 즉 OTP를 쓰더라도 공인인증서 제도를 폐지하기에는 무리하는 생각에 현재의 공인인증서를 잘 관리할 수 있도록 프로세스를 만들어 보는것이 빠를 것 같습니다.
swlee/
물론 잘 아시고 계시겠지만, 인증서는 Two Factor Authentication 을 구현하는 방법입니다. 즉, 암호에만 근거한 방법은 거래 주체가 “알고 있는 것”에만 근거한 것이지만, 인증서를 요구하면, “알고 있는 것”에 더하여, “가지고 있는 것”까지 있어야 인증을 통과할 수 있습니다.
복제 가능한 인증서가 가지는 문제는, 그것을 “가지고 있는 자”가 여러 명이 되는 상황이 매우 손쉽게 형성된다는 것입니다. 그래서 유럽 여러나라에서는 “보안 토큰”에 심어져 있는 PKCS#11인증서를 사용하는 쪽으로 바뀌게 된 것으로 저는 이해합니다.
OTP 생성기 역시 “가지고 있는 것”에 근거한 인증입니다. 따라서, 현재의 복제 가능한 인증서 보다는 우월한 인증 수단이라고 인정받는 것으로 보입니다.
물론, OTP는 “거래 내역”에 대한 부인 방지 기능은 없습니다. 그러나, “거래 주체”에 대한 믿을 만한 인증은 됩니다. 반면에 복제 가능한 인증서는 “거래 주체”에 대한 인증 수단으로서의 가치 자체가 현저히 떨어집니다. (거래 주체 PC의 integrity가 무너지면 소지 매체로서의 가치가 없어집니다). 아예 “거래 주체” 확인 기능부터 의심받는 인증매체라면, 아무리 “거래 내역” 확인 기능이 있어본들 무슨 소용이 있겠습니까? 그 거래는 “다른 주체”가 고객 모르게 한 거래에 불과하다는 주장 앞에는 무용지물에 가깝습니다.
OTP 배포는 이미 준비 중이고, 일부는 벌써 시행 중입니다. 복제 가능한 인증서를 복제 불가능한 PKCS#11 인증서로 전환하는 작업보다는 오히려 덜 비싸게 이루어질 수 있지 않을까요?
그리고, OTP와 PKCS#11 인증서는 모두 “소지 매체에 근거한 인증”이긴 하나, 플랫폼 다양성면에서 큰 차이가 있습니다. 인증서는 제한 된 범위에서만 지원가능하지만, OTP 는 모든 device 에서 별도 소프트웨어 없이 사용가능하므로, 서비스 제공자의 입장에서 플러그인을 컴파일, 배포, 업그레드, 유지, 관리해야 할 필요가 없어진다고 저는 생각합니다.
OTP는 기기만 배포하고, 유지 하면 되지만, 인증서는 인증서 배포에 더하여, 그것을 사용하는데 필요한 플러그인까지 배포, 유지, 업그레이드 해야 한다는 부담이 있지 않을까요(이 부담때문에 IE 하나로만 거래하라고 강요하는 상황이 생겨난 것이고요)?
이 글을 읽은 후에 나중에야 방준영씨 블로그에 가봤다가 격렬한 논쟁이 있었다는 것을 알았습니다.
다만 사실 관계를 떠나서 댓글을 삭제하는 것은 오픈웹 진영에서는 그다지 좋은 이미지를 남기기가 어렵습니다. 오픈이라는 의미자체가 다양한 의견을 수렴하는 입장에 있기에 댓글 삭제는 오픈이라는 의미의 퇴색을 뜻하는 경우가 많기 때문입니다. 나중에 오신 분들에게도.. 뭔가 구린 부분이 있기에 폐새적으로 운영한다는 말에 경도되기 쉬운 단초를 제공하게 된다고 생각합니다.
욕설이나 지나친 인신공격성 글에 대한 저의 간단한 해결책이라면 바로는 보지 못하게 막아두고 굳이 보고 싶은 경우에 클릭을 통해 볼 수 있게 하는 것입니다. 기본적으로 삭제는 옳지않다고 생각합니다.
물론.. 비방은 자신에게 아픔도 되고 대응하기 힘든 면이 있습니다만.. 이왕 오픈웹이라는 오픈의 의미를 담보하기 위해서라도 오픈의 취지를 살렸으면 이라는 생각을 하게 됩니다.
애초부터 ‘해명’하고 말고할 내용도 없는 사안에 대하여는 저도 별 대응방법이 없습니다.
페이게이트 “이사”로 취임한 것이 마치 무슨 대단한 내막이 있는 듯 생각하시지만, 실은 고등법원 재판부에게 그 사정을 모두 설명하고 변호사로서 “대리”하는 것이 적절한지, 이사로서 “대표”하여 소송을 수행하는 것이 적절한지를 문의하고, 고등 법원이 지휘하는 대로 따랐을 뿐입니다.
그러나 이런 내용은 오픈웹과는 별 관련이 없지 않나요? 댓글이 이런 내용으로 가득차고, 그에 대한 반론으로 뒤덮히는 상황은 그리 좋지 않다고 생각합니다. 이런 문제에 관심이 있으신 분은 소송기록을 열람하시면 됩니다. 2008나27426 사건 2008.5.29.자 원고 준비서면. 공개 법정에서 진행되는 소송의 내용은 누구나 그 기록을 열람하실 수 있습니다.
법원에서 OK한 것에 대해 엄청난 음모론을 제기하고 변호사법 위반을 운운하시는 분은 도대체 무슨 억하심정으로 그러는지 이해가 안갑니다. 그렇게 정의감에 불타면 고소나 고발을 하면 되는 거 아닌가요? 페이게이트 불매운동을 하던가요? 아니면 TV,신문 등에 제보를 하던가요? 자기 시간/노력을 투자할 만큼 확신을 가지지 않은 “이슈”이니 블로그에서 흙탕물만 일으키고 있는 것이지요…방 모씨 참 별난 성격의 소유자입니다.
그런 치사한 음모론까지 제기하다니 역시 믿을 만한 사람은 아니었군요.
우물안 개구리들인 국내 보안업체들은 세계를 상대하려는 의사 자체가 일단 없습니다.
SBS의 ‘씨티홀’의 명대사가 생각나네요…
‘여기는 고인 물입니다’
["페이게이트와의 음모" 운운하는 바로 위의 댓글은 삭제하였습니다. 앞으로도 논의의 내용과 무관한 악의적 무고를 담은 글, 감정적, 악의적 공격 등은 삭제 합니다. 오픈웹의 입장도 아니고, 괜히 다른 독자들에게 오픈웹의 입장을 오해하게 만들어, 모두에게 피해를 가하기 때문입니다.]
페이게이트와의 협력이 문제가 된다면, G마켓과는 아예 “노골적인 밀월관계“라고 매도 하실 것인데, 과연 이런 시각이 균형잡힌 것인지는 냉정히 스스로 평가해 보시면 답이 나올 것입니다. 페이게이트, G마켓 뿐 아니라, 정부, 다수의 소프트웨어 업체들과도 긴밀히 협력하고, 협의하고 보다 범용적인 서비스 제공을 위하여 모두가 공동노력하고 있습니다. 이 모든 것이 “음모”이고, “드디어 드러나는 진실”이라면 저는 더 이상 해명의 필요를 느끼지 못합니다.
정말 글을 쓰게 만드는군요….
저는 단지 지극히 평범한 컴퓨터 애용자로서, 실생활의 불편한 상황에 대해 (그리고 물론 더 크게는 전국가적 문제이기도 한 부면에 대해) 이처럼 정확한 법리를 가지고 새로운 대안을 제시하는 사이트 또는 개인을 거의 보지 못했습니다.
이런 식의 글[그 글은 운영자가 지웠습니다]은 도대체 무엇을 달성하려고 하는 것이며 무엇을 달성할 수 있다고 봅니까?
그런 글은 그냥 개인 일기장에 열심히 쓰세요.