"전자서명 대체기술·제도적 환경 뒷받침 돼야"

"생체인식·블록체인 만으로는
전자서명 핵심기능 대체 못해"
전자거래 활성화 국제표준방식
"세계적 추세와 역행" 지적도
"공인인증서와 신기술 융합방식
사용 편의성·보안성 만족할 것"

■공인인증체계 어떻게 가야 하나 (상) 대안 없는 공인인증서 퇴출 시기상조인가

문재인 정부가 ICT(정보통신기술) 적폐 청산을 위한 방안으로 공인인증서 퇴출에 속도를 낼 전망이다.

업계에 따르면 문재인 대통령은 후보 시절 액티브X와 함께 공인인증서 완전 폐지 공약을 내걸었다. 문 대통령은 후보 시절 ICT 정책 개발 특보이자 액티브엑스·공인인증서 제도 폐지 운동의 선구자인 김기창 고려대 법대 교수의 자문을 받았다. 김 교수는 그동안 공인인증서와 액티브X를 한 몸으로 보며 국내 인터넷 생태계 경쟁력을 떨어트리고 있다고 강조해 왔다.

그러나 보안업계는 공인인증서를 대체할 수 있는 기술 및 제도적 환경은 뒷받침되지 않아 폐지에 신중해야 한다는 지적이다. 공인인증서와 액티브X는 서로 다른 기술로 사용 목적도 다른 데 함께 없어져야 할 제도처럼 잘못 인식되고 있다는 것이다. 공인인증서는 단순한 본인 확인뿐 아니라 문서의 정당성을 보증하는 '전자서명'을 위해 발급되는 PKI(공개키기반구조) 기반 증명서다. PKI는 인증기관이 공개키의 소유자를 증명해주는 증명서를 발급하고 공개키 이용 시 증명서를 통해 소유자를 확인하는 암호화 알고리즘이다.

현재 기술 수준으로는 최근 주목받는 생체인식, 블록체인 기술만으로 전자서명 기능을 대체할 수 없다는 게 전문가들의 견해다. 이희조 고려대 컴퓨터공학과 교수는 "블록체인과 FIDO 등으로 단순한 개인인증같은 일부 기능은 대체 가능하겠지만 전자서명같은 공인인증서의 핵심 기능을 대체하는 것은 불가능하다"면서"공인인증서와 신기술이 융합하는 방식으로 발전해야 사용자 편의성과 보안성 모두 잡을 수 있을 것"이라고 말했다.

공인인증서 파일 접근을 위해 활용된 액티브X 기술이 과도하게 사용되면서 핀테크 등 국내 IT산업 발달을 막는 기술이라는 부정적 인식이 확산됐지만 이 두 기술을 별개로 봐야 한다는 것이 업계 의견이다. 실제 사용자들이 불편함을 호소하는 액티브X와 exe 설치파일 없이도 공인인증서를 간편하게 이용할 수 있는 기술이 개발 및 상용화돼 국민은행 등 11개 사이트에 도입됐다.

특히 공인인증서는 전자문서에 기반한 전자거래 활성화를 위해 만들어진 국제표준 방식으로 퇴출하는 것은 세계적인 추세와도 거꾸로 간다는 지적이다. 미국·유럽·일본·중국 등 해외에서도 PKI 기반의 공인인증서 제도를 운영하고 있다. 세금 관련, 공문서 작성, 조달 등 특수한 용도로 사용되는 경우가 많고 범위도 점차 확산되고 있다.

유럽연합(EU)은 지난 2013년 유럽중앙은행의 PKI 구축 필요성을 제기, 시스템을 운영 중으로 지난해 7월에는 전자서명 관련법을 전면 도입함에 따라 공공 및 금융 분야에서 공인인증서 사용이 시작됐다. 일본은 2016년부터 마이넘버(주민등록번호)카드 도입을 계기로 공공서비스, 금융결제 등에 공인인증서(JPKI) 사용을 본격화하고 있다. 중국도 지난해 7월부터 5000위안(82만원) 이상의 거래에 대해 반드시 공인인증서를 사용해야 한다. 중국전자인증서비스산업연맹에 따르면 지난해 11월 기준으로 중국에 약 3억5000만장의 공인인증서가 발급됐다.

또 공인인증서가 보안상 안전하지 않고 기업들의 보안사고 책임 전가 수단으로 활용되고 있다는 것도 잘못됐다는 게 한국인터넷진흥원의 지적이다. 해외 간편결제 서비스인 페이팔의 경우 지난 2014년 부정 결제율이 0.3%로 국내 사고율 0.0002%보다 1500배 많은 보안사고가 발생했다. 페이팔은 PKI 없이 이용할 수 있는 서비스다.

업계 관계자는 "당장 공인인증서를 없애고 사설인증을 사용하자는 것은 인감 대신 아무 도장을 써도 인정해주자는 것과 똑같은 말"이라며 "이는 세계적 추세와 역행하는 것이고 결국 구글 등 외국계 인증 서비스에 국내 시장을 잠식당해 높은 수수료 등 막대한 사회적 비용 지출로 이어질 수 있다"고 말했다.

이경탁기자 kt87@dt.co.kr