스마트폰 전자거래를 위한 전향적 해법

2010.02.08 글쓴이 youknowit

제도적 개선 방안

1. 공인인증서 사용을 강제하는 전자금융감독규정 제7조 폐기

  • 현행 공인인증서는 ID/password+보안카드 이상의 보안효과는 전혀 없었음. 여기
  • 실제로 (공인인증서가 아니라) 보안카드가 그동안 금융사고 발생을 막아 왔었음.
  • 공인인증기관은 MS IE에서만 공인인증서비스를 제공할 의무가 있다고 대법원이 판결하였으므로, 그 외 환경에서 공인인증서 사용을 강제할 법률상 근거도 없음. 기술적으로 ‘가능’하다고 해서 그것을 사용할 법률상 ‘의무’를 지울 수 있는 것은 아님. MS IE 외의 환경에서 공인인증서 발급이 기술적으로는 ‘가능’하나, 법률상 ‘의무’는 없다는 것이 대법원 판결임.
  • 인증서 기술은 20년 이상 된 것이며, 개인키 보관 문제가 초래하는 여러 한계가 이미 드러난 것임. 인증서 사용 강제 규정은 국제적으로 검증된 더 나은 보안 해법이 국내에서는 그동안 채택되지 못하도록 가로막는 역할만 해 왔음.
  • 공인인증 프로그램으로 영업하는 업체들을 정부가 ‘강제’로 지원해 줌으로써, 보안 기술 발전을 저해해 왔을 뿐 아니라, 거래 솔루션 기술 마저 획일화 해왔음.

2. 허술한 보안 선택을 하는 사업자는 가장 먼저 자신에게 피해(배상책임)가 돌아오므로, 보안 기술 선택에 행정 당국이 굳이 개입하여 경직적으로 규제할 이유가 없음(어느 나라에서도 하지 않는 일임). 보안 기술 선택은 사업자의 자율에 맡겨두어야

  • 최신 보안 기술이 신속하게 반영되고, 거래 솔루션 업계의 경쟁과 발전도 가능하게 되며,
  • 세계 시장을 무대로 사업하는 국내 업체가 등장할 가능성도 열리게 됨.
  • 국내용 ‘관변 보안업자’만이 판을 치는 자폐적, 퇴행적 형국은 중단되어야 함.

3. 실제로 우월한 기술은 강제 규정이 없더라도 업계가 앞다투어 채택할 것임. 시장이 외면하는 저열한 기술로 영업하고자 하는 업체가 가장 원하는 것이 “강제 규정”임.

기술적 개선 방안(https 보안접속 + two factor 인증)

1. 웹브라우저에 이미 구비된 https 보안접속 기능으로 거래의 기밀성 확보.

  • 국내 업체들이 판매하는 보안접속 플러그인은 128bit 암호화 수준임에 반하여, 웹브라우저는 이미 256bit 암호화 제공.
  • http 접속에 의존한 현행 방식은 피싱 공격에 무방비 상태로 노출됨.
  • https 보안접속에 대한 현재 알려진 유일한 공격 방법(ssl strip 공격)은 효과적 대응 방법들이 존재함. Demo 참조
  • 별도 프로그램(플러그인)을 내려받아 설치할 필요가 없으므로, ActiveX를 걷어 낼 수 있고 국민들의 컴퓨터 이용행태도 안전하게 개선될 수 있음(보안경고창이 뜨면 “NO”를 선택하도록 안내 가능)
  • 모든 기종 스마트폰에서 별도 조치 없이도 안전한 서비스 가능.

2. 다양한 two factor 인증 기법 채택

  • 인터넷 교신 체널과는 분리된 별도의 인증 체널을 병행 사용함으로써 공인인증서보다 우월한 보안성 확보
  • 이미 사용되는 ‘보안카드’만으로도 만족스러운 수준의 보안 확보 가능함.
    • 보안카드는 offline 상의 對面 교부로 형성된 소지 기반의 인증 수단(possession-based means of access)임
  • SMS 문자 인증(금액인증 포함) 역시 인터넷 체널과는 별도로 기능하는 인증 수단임.
    • 고객의 휴대폰 번호를 정확하게 관리하는 일은 서비스 제공자의 책임. 인터넷 상으로는 휴대폰 번호 등록을 ‘변경’할 수 없도록 함으로써 ‘별도 체널’로 기능할 수 있게 관리되어야 함.
    • 휴대폰 분실 사태는 고객이 즉각 인지 가능하므로 신속한 대처가 가능
    • 휴대폰만을 습득하거나 복제해 본들, 고객의 계좌 내역에 대한 정보까지 확보하지 않은 이상 실제로 공격은 어려움.
    • 전세계 여러 금융기관이 채택하는 방법임.
  • 보안카드, SMS 문자인증 등의 two-factor 인증을 채택할 경우, 모든 기종 스마트폰에서 별도 조치 없이도 안전한 서비스 가능.

3. 일회용 비밀번호 생성기(hardware OTP)나 보안토큰(hardware token)에 저장된 공인인증서를 사용하는 문제는 배포, 구현, 관리에 소요되는 비용이나, 서비스 제공 범위의 제약 등을 감안할 때, 일률적으로 강제할 성질이 아님. 세계 어느 나라도 그렇게 하는 곳은 없음. 보안토큰은 스마트폰에서 사용할 수도 없음

  • 인증서제도는 실제로 “관리”가 어떻게 되는지에 따라 그 보안효능이 결정되는 것임.
  • 현재는 뱅킹 ID/password와 보안카드만 있으면 공인인증서를 인터넷으로 무한정 재발급 받을 수 있도록 되어 있음.
  • 이런 식으로 관리되는 공인인증서는 논리적, 상식적으로도 무의미한 눈속임에 불과함(ID/password+보안카드 이상의 어떠한 보안효능도 없음).
Categories: 정책제안 | Tags: , , , | 2 comments  오픈웹 구독 메일로 받기

  • http://soooprmx.com/wp sooop

    OTP의 경우에는 nexon과 같은 온라인 게임 회사들이 사용하는 U-OTP와 같은 형태로 보급한다면, 별도의 장치를 위한 비용을 크게 절감하면서 보급이 가능해 보입니다. 물론 강제할만한 사항은 아니지만, 안전성 강화를 위해 은행들로서는 권장할만하다고 생각되네요.

  • http://thetvtopc.com/Reverse_Cell_Phone_Lookup_Number phone number lookup

    한국 알라딘서점은 

«

»