중국은행(Bank of China)의 웹 주소는 https://ebs.boc.cn 입니다.

중국은행은 MS IE 웹브라우저에서만 인터넷 뱅킹을 제공한다는 점에서는 한국의 은행들과 비슷합니다. 그러나, 아래에서 보듯이 한국의 은행들과는 매우 중요한 차이가 있습니다.

첫째, 접속은 https 로 합니다. RC4알고리즘으로 128bit 키길이로 암호화하여 교신합니다. 암호화 프로토콜은 SSL3/TLS1 을 사용합니다. (IE6.0 으로 접속가능한지는 테스트 해보지 않았습니다. 혹시 IE6.0 을 사용하시는 분은 접속이 가능한지를 댓글로 알려주시기 바랍니다).

둘째, 그 뿐 아니라, 주소창에 그냥 “ebs.boc.cn”을 입력하고 엔터를 누르면 아예 접속이 되지 않습니다. 반드시 “https://”까지를 직접 입력해야 접속이 되도록 해 두었습니다. 이것은 올해 초에 알려진 SSL strip 공격에 대한 효과적인 대비책이 될 것입니다. 흔히 ssl 접속을 하는 웹서버들은 고객이 주소창에 “https://”를 적지 않고, 나머지 부분만 입력하고 엔터를 눌러도 “자동으로” https:// 로 리디렉트 되도록 해 두는 경우가 대부분입니다. 그래야 “편리하다”는 이유입니다. 그러나, 중국은행은 바로 이러한 “사소한 편리함”이 ssl strip 공격에 악용된다는 점을 분명히 인식하고, 주소창에 고객이 직접 https:// 를 입력하도록 하고 있습니다. 진정한 보안을 위해서는 이정도의 “사소한 불편”은 감수해야 한다는 철학입니다.

셋째, 액티브X 를 은행이 “자동으로” 내려주지 않습니다. 반드시 고객이 주체적으로 다운로드 받도록 안내합니다. 고객이 스스로 내려받아야 한다는 안내는 로그인 페이지 하단에도 “설명”되어 있고, 로그인을 시도하면 제시되는 메시지 안내창에도 “설명”되어 있습니다. 중국 ip에서 접속하거나, 첫페이지에서 중국어를 선택하는 고객에게는 물론 중국어로 “설명”됩니다.

중국은행이 액티브X 를 “자동으로” 내려 주는 방법을 몰라서 이렇게 하는 것은 아닙니다. 웹사이트가 플러그인을 자동으로 내려주고, 영문도 모르는 고객에게 “반드시 예”하라고 안내하는 정책(바로 한국의 은행들이 모두 채택하는 정책)이 광범한 위험을 초래하기 때문에 이렇게 하는 것입니다.

중국 고객들은 모두 컴퓨터 전문가라서 이렇게 해도 중국 사람들은 인터넷 뱅킹을 할 수 있지만, 한국 고객들은 모두 구제 불능 수준의 컴맹이라서 이렇게 할 수 없다는 주장은 별로 설득력이 없다고 생각합니다. 실제로 이렇게 프로그램을 배포하면, 서비스 제공자도 훨씬 유리합니다. 설치과정에서의 오류 발생 비율이 훨씬 줄어 들기 때문입니다.

넷째, 중국은행은 세가지 로그인 방법을 제시하고, 고객이 선택할 수 있게 합니다. 그 중, 인증기관 로그인(login by CA)이 무슨 용도인지 저는 잘 모르겠습니다. 나머지 두 가지만 말씀드리겠습니다. 일반로그인(ordinary login)은 id/password 에 더해서, 매번 접속할 때마다 다르게 화면에 제시되는 문자(captcha 방식으로 제시되는 문자)를 고객이 입력하도록 하고 있습니다.

물론, 이 방법이 키로거 공격에 대한 대비책이 되는 것은 아닙니다. 그러나, 키로거가 자신의 컴퓨터에 설치된 상황이라면, 공격자가 “키로거만” 설치하고 말겠습니까?

키로거 공격에 대한 만족스러운 대비책은 역시 OTP 이겠으나(captcha 가 아니라), 중국은행은 OTP 기계(또는 OTP 기능을 수행하는 보안카드)를 일일이 배포하고, 그 기계를 등록하고, 고객으로 하여금 그 기계(또는 보안카드)를 언제나 소지하도록 하기 보다는, captcha 방식의 대비책이 “비용대비 효과” 면에서 나은 선택이라고 “잘못” 생각한 듯 합니다.

물론, Id는 언제나 static 하게 운용할 수 밖에 없습니다. 그러나, password 부터는 one time 방식으로(password 전체를 입력하게 할 것이 아니라, 매번 무작위로 선택된 일부만을) 입력하게 하고, 로그인 단계에서 무작위로 선택된 보안카드 번호를 요구하면, 키보드 보안 플러그인은 별 필요가 없다고 생각합니다. (특히 고객이 본격 안티바이러스 프로그램의 실시간 감시기능을 사용하면 더욱 더 키보드 보안 플러그인은 유용성이 줄어 듭니다.)

E-token 로그인은 pkcs#11 방식으로 저장된 인증서 로그인을 말합니다. 이 경우에는 captcha 방식을 병행하지 않습니다. id/password 에 더하여 인증서 암호를 그냥 입력하도록 하고 있습니다. 아무리 키로거가 입력값을 가로채 가본들, e-token 파일 자체를 복사해 갈 수 없으므로(pkcs#11 방식의 보안 토큰에 저장된 인증서는 복사가 불가능합니다), 공격이 아예 불가능합니다.

따라서, 중국은행은 고객에게 안티바이러스니, 키보드 보안이니 하는 이른바 “보안 프로그램”을 설치하라는 요구를 하지 않습니다.

끝으로, 페이지 사이즈가 매우 작습니다. 40k bytes 가 채 안됩니다. 플래시가 춤추는 것도 아닙니다. 매우 빠르게 접속해서, 안전하게 뱅킹을 마칠 수 있습니다. 그렇다고 디자인이 “촌스러운” 것도 아니라고 저는 생각합니다만, 이 문제는 각자의 취향 문제겠습니다. 취향 문제가 아닌 부분은, 세계어디에서건 중국은행을 이용하는데에는 아무 불편이 없지만, 한국만 벗어나면 한국의 은행 사이트들은 느려터져서 사용이 매우 힘들다는 것입니다.

이 페이지가 뱅킹할 마음이 안들 만큼 그렇게 못생겼나요?

저는 한국의 은행들도 중국은행의 방식으로부터 배울 점이 있다고 생각합니다. (100% 따라할 필요는 물론 없지만; 특히 captcha 는 아무 소용이 없습니다)