아마존엔 왜 공인인증서가 없을까?

IT분야에서 '공인인증서'만큼 말 많고 탈 많은 기술도 없습니다.


전자서명법이 시행된 지난 99년부터 사용되어온 공인인증서는 사실 우리나라 전자상거래와 전자금융이 빠른 속도로 확산되는데 일조한 기술입니다. 사이버 거래에서 인감도장과 같은 역할을 하기 때문에 과거 오프라인 거래에 익숙한 사용자들이 안심하고 온라인거래에 적응한 겁니다. 지금까지 3000만개 가량이 발급됐을 정도이니 가히 전자금융거래의 중심이자 최후의 보루라 할 만합니다.

문제는 그 이후입니다. 최근 공인인증서 해킹 사고가 잇따르면서 공인인증서에 대한 '불편한 진실'이 하나둘씩 실체를 드러내고 있습니다.

사실 공인인증서 자체는 하나의 파일에 불과합니다. 공인인증서의 저장 위치(NPKI폴더)만 알면 얼마든지 복사해서 붙이기(COPY & PASTE)가 가능한 겁니다. 해커들이 얼마든지 빼내갈 수 있지요.

그럼에도 이를 공용PC에 저장해두고 쓰거나 심지어 이메일 첨부파일로 주고받는 '간 큰' 사용자들까지 있습니다. 비밀번호는 해거가 얼마든지 포털이나 게임 등 다른 사이트를 통해 얻거나 개인정보로 유추가 가능하니 굳이 설명이 필요 없습니다.


게다가 널리 알려진 이야기지만 공인인증서는 '액티브X'와 한 묶음입니다. 인터넷뱅킹이나 온라인 결제시 공인인증서를 불러오려면 플러그인(웹브라우저에서 응용프로그램을 가동하기위한 기술)인 MS의 액티브X를 설치해야하는데 불편하고 번거롭기 그지없는데다 한 술 더 떠 보안취약점까지 노출된 것입니다.

개인들이 무심코 액티브X설치 버튼을 누르는 게 습관화되다보니 악성코드 확산을 부추기고 있습니다. 누더기가 된 개인PC는 해커의 공격에 속수무책으로 당하며 3.20 사이버대란 같은 국가차원의 보안사고로까지 확산된 것입니다.

액티브X로 불러온 기자의 공인인증서 / 사진=머니투데이

결국 공인인증서가 가장 안전하다는 일반적 인식은 일종의 심리적 위안에 불과했던 겁니다. 금융기관들도 하소연합니다. 공인인증서의 보안취약성이 드러나면서 일선의 혼란이 커지고 있지만 딱히 해법은 없고 자칫 보안사고가 날경우 당국으로부터 책임추궁을 당할까봐 걱정하는 겁니다.

이 때문에 오픈넷 같은 시민단체들은 공인인증서 외에 다른 대체인증기술을 허용하고 정부가 특정기술을 강요하지 말고 감독행위도 중단할 것을 요구합니다. 보안에서만큼은 민간의 자율권을 인정해 스스로 최고의 기술을 선택할 수 있도록 하라는 겁니다. 최근 민주통합당 이종걸, 최재천 의원이 공인인증서 사용을 강제하는 근거인 전자금융거래법과 전자서명법 개정안을 발의한 것도 이 때문입니다.

문제는 10여년이상 사용해온 공인인증서에 대한 의존도가 너무 높아 이를 뒤바꾸기 쉽지 않다는 겁니다. 지난 23일 열린 공청회에서 미래창조과학부와 금융위원회는 여전히 신중한 입장을 내비쳤습니다. 개정의 취지에는 공감하지만 마땅한 대체수단이 없고 자칫 혼란을 초래할 수 있으니 충분한 검토가 필요하다는 입장입니다. 돌이켜보면 그동안 되풀이 됐던 레퍼토리입니다.

공인인증서 관련 사업을 벌이는 한 보안업체는 오히려 인증수단이 다양화되면 관리의 문제가 생겨 해킹위협이 커진다는 선뜻 납득되지 않는 주장까지 폈습니다. 기득권을 지키기 위한 저항처럼 느껴집니다.

그러나 지금 이 순간에도 공인인증서 관련 보안사고는 끊임없이 벌어지고 있습니다. 국민들은 불편함을 호소하고 해킹위협에 무방비로 노출돼 있습니다. 피싱과 파밍 등 해킹으로 유출된 공인인증서가 수만건에 달한다는 보고가 있을 정도여서 추가범행 우려도 큽니다. 이제 악순환의 고리를 끊어야할 시점이 온 겁니다.

지난 10여년간 지속된 공인인증서 의존증이 과연 해소될 수 있을까요? 우리도 아마존이나 이베이처럼 공인인증서 없이 편리하면서도 안전하게 거래할 수는 없을까요. 이제는 당국이 응답할 차례입니다.