문제의 핵심은 “전자서명”에 있는 것 같습니다.

공무원들과 보안업체 종사자들은 전자서명이 부착된 거래가 더 안전하다는 “확신”을 가지고 있고, 지난 10여년간 한국웹은 바로 이 확신을 지탱해 주기 위하여 모든 이용자들이 ActiveX를 덕지 덕지 설치해 왔습니다.

그러나, 과연 이 “확신”이 기술적, 논리적 근거가 있는 것인지를 꼼꼼히 살펴 볼 필요가 있습니다.

첫째, 외국에는 이런 확신이 없습니다. 외국이 전자서명 기술을 몰라서, 전자서명 기술은 한국의 보안업체들만 구현할 줄 알아서, 외국은 보안이 허술해도 괜찮아서 그렇다고 생각하십니까? 한국이 “IT 강국”이라서 ㅎㅎ? 그것은 아니라고 저는 생각합니다.

둘째, 실제로 전자서명을 추가로 요구하면 과연 더 안전할까요? 엉성하고 막연하게 “그래도 없는 것 보다는 조금이라도 낫지 않겠는가”라는 식으로 얼버무릴 것이 아닙니다. 꼼꼼하게, 논리적으로 그리고 기술지식에 근거하여 따져보아야 합니다.

아래에서 언급할 키보드 보안이 만일 없다고 가정한다면, “전자서명만을 추가한다고 해서” 더 안전해 지는 것은 아닙니다. 왜그런가 하면,

• 쇼핑고객의 컴퓨터가 이미 뚫렸다면, 인증서 개인키 파일과 개인키 암호 또한 이미 유출되어, 공격자가 그것을 확보하여 고객의 전자서명을 마음껏 만들 수 있으므로, 금융기관이 전자서명을 아무리 요구해 본들 헛발질에 불과합니다.
• 쇼핑고객의 컴퓨터가 뚫리지 않았다면, 고객이 입력하는 정보또한 유출되지 않습니다(교신 암호화가 제대로 이루어진다면). 따라서 전자서명을 추가로 요구하는 일은 무의미한 “옥상옥”에 불과 합니다.
• 전자서명이 “보안”에는 별 도움이 되지 않지만, 은행이 “책임”을 면하는데는 그래도 도움이 좀 될 거라고 한발 물러서시는 분들이 이제는 많이 생겼습니다. 전자서명에 대하여 그동안 가져왔던 거의 종교적 확신이 흔들리는 분들이라고나 할까요. 그러나, 은행이 책임을 면하는데 전자서명이 별 도움이 되지 않는다는 점은 지난 포스팅에서 이미 설명드렸습니다. 실제로 은행이 “전자서명이 되어 있다는 이유로” 사고 거래의 책임을 면하는데 성공한 사례도 제가 알기로는 없습니다. 있으면 댓글로 알려주시기 바랍니다.

셋째, 전자서명에 더하여 키보드 보안까지 강제하면 더 안전해 질까요? 여기서도 꼼꼼히 따져볼 필요가 있습니다. E2E 키보드 보안 어쩌구 하면서, 그것이 무슨 만병통치약인 것처럼 떠들고 있지만, 실은 별 근거가 없습니다. 그 이유는,

• 쇼핑고객의 컴퓨터가 이미 뚫렸다면, E2E 보안을 아무리 강제해도, 인증서 개인키 파일 자체의 유출을 막을 방법은 없습니다. 인증서 암호 또한 (비록 금융사이트에 접속해 있는 동안에는 E2E 보안 플러그인이 작동하므로 개인키 암호가 유출되지 않지만) 고객이 다른 웹사이트에 접속해서 이런 저런 카페나 블로그, 이메일 계정 등에 로그인 암호를 입력할 때, 그 입력값은 고스란히 노출됩니다. 대부분의 고객들은 다양한 계정의 로그인 암호와 인증서 암호를 동일하게 지정해 두기 때문에 결국 인증서 암호까지 이 방법으로 유출되는 경우가 많고, 이것은 금융기관이 E2E 보안 아니라, 무슨 별의별 수를 써도 막을 길이 없습니다.
• 쇼핑고객의 컴퓨터가 뚫리지 않았다면 E2E 보안은 처음부터 쓸데 없는 짓입니다. 공격자는 입력값을 가로채 갈 수 없습니다.(교신 암호화만 제대로 하면 됩니다)
• 즉, 고객의 컴퓨터가 뚫린 상태건, 뚫리지 않은 상태건 간에, E2E 키보드 보안은 별 쓸모가 없습니다. E2E 보안 솔루션을 열심히 개발하여 판매하시려는 업체분들께는 매우 죄송합니다. 금융기관들은 여전히 이 제품을 계속 구입하고 있으니, 당분간은 계속 파실 수 있을 것입니다,

넷째, 고객 컴퓨터가 뚫렸는지를 검사하고 그 취약점을 틀어막기 위해서는 “본격적인 정품 안티바이러스 프로그램”을 자발적으로 설치하도록 권장하는 수 밖에 없습니다. 그러나,

• 고객의 자발적 설치를 못믿겠으며, 확인할 수 없다는 이유로 현재 금융권은 강제 설치를 시도합니다.
• 그러나, 강제 배포하는 “슬림화된 안티바이러스 플러그인”은 메모리 해킹 툴을 간략하게 몇초동안 스캔하는 빈약한 기능 정도 밖에 없고, 그것마저 금융 사이트를 벗어나면 꺼집니다. 따라서 이 플러그인도 별로 쓸데는 없습니다 (보안 업체 분들께는 죄송합니다만, 그런 프로그램을 아무리 팔아본들, 고객의 컴퓨터가 안전해 질 가능성은 없습니다. 만일 안전해 졌다면 7.7 DDoS 사태 같은 일은 일어나지 않았겠지요.)
• 금융기관들은 이제라도 이용자들에게 본격, 정품 안티바이러스 프로그램(상시로 작동하는 제대로된 정직한 제품)을 무료로 내려받을 수 있는 곳을 제발 좀 안내해 주시기 바랍니다. 여기에 있습니다. http://www.boho.or.kr/pccheck/pcch_02.jsp?page_id=2 이런 훌륭한 제품들이 있다는 사실을 왜 안내해 주지 않고 잠자코 계십니까? 그렇게 하는 것이 금융기관 영업에 도움이 됩니까?

결국, 외국이 모두 채용하는 방식(국내 보안업체들이 무조건 위험하다고 목청 높여 반복 주장해왔던 방식)은 ActiveX를 덕지덕지 처바르는 “한국형” 결제 방식보다 결코 허술한 것이 아니라고 저는 생각합니다. 즉, 국내 방식이 결코 더 안전한 것이 아닙니다. Amazon.com, 외국의 Ebay 사이트 등이 제공하는 “엄청나게 간단해 보이는” 솔루션이 한국의 “엄청나게 번거로운” 솔루션 보다는 더 안전하다고 저는 생각합니다. 유저들에게는 매우 번거롭고, 해커들은 손쉽게 비집고 들어올 수 있는 방식이 바로 한국의 보안 솔루션 이라고 저는 생각합니다.

해커들에게 제일 부담스러운 것은 본격적인 정품 안티바이러스 제품입니다(실시간 감시 기능이 “상시” 작동하는). 금융사이트에 접속해 있는 동안만 잠시 켜지고, 그 사이트를 벗어나면 자동으로 꺼지는 “강제 설치 안티바이러스 플러그인”은 해커들에게는 웃음거리 밖에 안됩니다.

금융기관 한 곳이라도 이상 설명드린 내용을 본격적으로 검토했으면 좋겠습니다. 현재의 (전자서명+키보드 보안+안티바이러스 플러그인) 방식의 결제가 사고거래 방지에 결국에는 별 도움이 되지 않는 기술적 이유는 분명히 있습니다.

외국의 보안 전문가들이 기술을 몰라서 전자서명을 안하고, E2E 보안 플러그인을 아예 개발조차 하지 않고, ActiveX 를 사용하지 않는 줄 아십니까?

외국의 금융거래는 허술하게 대강하기 때문이라고 진짜로 믿고 계십니까?

지난 10여년간 한국에서만 해 온 괴상한 방식이 기술적으로도 취약했고, 논리적으로도 허술했다는 점을 언젠가, 누군가는 인정하고, 그것을 폐기하고 선진적 방법으로 전환할 것입니다. 과연 누가 그일을 먼저 시작하느냐가 문제일 뿐이라고 저는 생각합니다…

제 책(“한국웹의 불편한 진실”)에 관한 서평과 인터뷰 등이 꽤 긍정적으로 나와서 다행입니다.

http://column.inews24.com/php/news_view.php?g_serial=432327&g_menu=043301

http://www.hani.co.kr/arti/culture/book/368941.html (8월1일자 한겨레 북섹션 full page 로 다룸)

http://bloter.net/archives/15694 (8월5일자 인터뷰)

제 책이 서적 판매 전문 사이트인 Yes24.com 에서 현재 주간 베스트 8 이군요…

http://www.yes24.com/24/Category/BestSeller?CategoryNumber=001001003&SumGb=02

제 자랑을 하려는 것이 아니라, 전반적인 분위기와 담론 형성의 추이를 말씀드리고 싶어서 소개했습니다.