기술규격6.6 개정 제안

2010.02.06 글쓴이 youknowit

무선단말기에서의 공인인증서 저장 및 이용 기술규격

[version 2.0 제안 초안]

I. 제안 이유

가입자 인증서(client certificate) 운용이 가능한 무선 단말기(스마트폰)는 이미 인증서 저장 및 사용에 필요한 장치를 구비하고 있습니다. 단말기가 제공하는 인증서 저장/사용 장치를 무시하고 공인인증서 운용을 위하여 별도의 소프트웨어를 단말기에 설치하도록 요구할 경우,

  • 그런 소프트웨어의 안전성을 국제적으로 투명하게 검증할 방법도 없고,
  • 단말기 자체가 이미 제공하는 인증서 저장/이용 소프트웨어가 취약하다는 근거도 없으며,
  • 별도의 인증서 저장 소프트웨어를 설치할 경우 단말기의 안전성을 위협할 수 있으며(따라서 단말기 기종에 따라서는 아예 앱 승인 자체가 불분명하고),
  • 단말기 앱 심사 주체가 어떤 이유로 앱 승인을 거부하거나 취소하면 한국의 공인인증체제 자체가 위협받고
  • 국내의 거래 솔루션 기술 경향이 세계적 트렌드로부터 고립될 위험이 있습니다.

따라서 무선단말기에서의 공인인증서 저장/사용에 별도 프로그램 설치를 요하지 않도록 기술 규격을 개정함으로써, 공인인증서 사용을 안전하고 편리하게 하며 공인인증 제도 자체의 안정성을 확보하고자 본 개정안을 제안합니다.

II. 제안 핵심내용

무선단말기에서도 NPKI 폴더 운운하는 현행 규격은 PC에서 지난 10년간 계속된 오류를 스마트폰에까지 반복하려는 것입니다. 별도 앱(App)을 필요로 하는 공인인증서 저장 방법은 업체에 종속되어, 그 업체의 처분에 따라야 하는 방법입니다. 예를 들어, 애플사가 앱 승인을 하느냐 여부에 한국의 공인인증체계 자체의 명운을 걸 수는 없습니다.

개정안의 핵심 내용은 다음과 같습니다:

인증서 저장/사용 기능이 있는 스마트폰에는 해당 단말기가 제공하는 인증서 저장 매체에 공인인증서를 저장하고 사용할 수 있게 해야한다.

현행 규격은 스마트폰 USIM 에 공인인증서를 저장할 가능성을 거론하고 있으나,

  • USIM에 가입자인증서를 저장하는 것이 무선단말기에 이미 제공되는 방법으로 인증서를 저장하는 기법보다 탁월하거나 유리하다는 점에 대한 확립된 견해도 없고,
  • 현재 널리 사용되는 USIM은 인증서를 저장하기에 충분한 용량도 아니고,
  • 보다 큰 용량의 USIM 이 추후에 사용될 경우, 개별 사업자가 USIM에 인증서를 import 해서 별도의 사업을 설계하는 가능성은 업계의 자율적, 창의적 선택에 맡겨두면 적절하고, 공인인증제도의 일부로서 일괄 제공할 성질은 아닙니다.

안드로이드폰은 현재 개인인증서 사용이 지원되지 않습니다. 인증서 사용을 지원할지는 단말기 제작자가 결정할 문제이지, 한국의 공인인증기관이 모든 무선단말기에서 개인인증서를 사용할 수 있게 해야할 임무가 있는 것은 아닙니다.

그외의 주요 스마트폰은 이미 개인인증서 저장/사용을 지원하고 있습니다.

쉬운 길을 두고 굳이 “별도 프로그램” 설치를 강제하려는 현행 기술 규격은 납득이 가지 않네요.

III. 인증서 UI

현행 규격은 무선단말기에서의 공인인증서 관리 UI 구현 사례를 제시하고 있습니다. 별도 프로그램으로 이렇게 만들라는 것이지요:

그러나 인증서 사용이 지원되는 스마트폰은 이미 인증서 관리 UI를 제공하고 있습니다. 단말기에 이미 내장된 UI보다 더 나은 UI를 제공할 것이 아니라면 굳이 별도 프로그램으로 UI를 또다시 만들어 배포하려는 시도는 무의미하지 않겠습니까?

외국에서는 채택될 가능성도 거의 없는 독자적인 어떤 규격을 권력이나 제도로 국내에서 강제한다고 한국의 IT기술이 발전하는 것은 아닙니다.