우리가 사용하는 암호 기술들, 안전한가?

자물쇠가 아무리 튼튼해도, 열쇠 관리가 엉망이면 자물쇠는 무용지물이 된다. 보관 뿐 아니라 복제·생산되는 것도 예방해야 자물쇠의 안전성을 지킬 수 있다. IT환경에서 암호도 마찬가지다. 하지만 이러한 보안 분야에 대한 국내 기업들 인식이 아직 부족하다는 지적이 나왔다.


24일 서울 삼성동 코엑스에서 진행된 '제20회 정보통신망 정보보호 컨퍼런스 (Network Security-Korea, NETSEC-KR')에서 한동국 국민대학교 수학과 정보보안연구소 교수는 '우리가 사용하는 암호는 항상 안전한 것인가?'를 주제로 강의를 진행했다.

한동국 교수는 이날 강의에서 "현재 주로 사용되는 암호알고리즘인 AES, DES, RSA 등은 보안성이 증명된 기술"이라면서도 '부채널 분석'을 통해 외부에서 공격 취약점을 드러낼 수 있다는 사실을 지적했다.

부채널은 전력신호, 전자파, 소리, 빛, 레이저 등을 의미한다. 예를 들면, 자판을 통해 암호를 입력했을 때 타자 소리를 분석함으로써 암호를 풀고 원하는 정보를 얻어내는 것이 '부채널 공격'이다.

실제 스마트폰에서 보안 앱(애플리케이션)을 사용하면 발생하는 전자파를 취합·분석해 사용된 암호를 실시간으로 해독할 수 있다. 이는 자체적으로 만든 장비가 아니라 기존에 값싼 관련 장비로도 가능하다. 현재는 근거리에서만 가능하지만 앞으로 원거리에서도 공격할 수 있도록 기술은 발전할 것이라는 우려다.


문제는 국내 기업들이 이러한 점에 대한 인식이 아직 부족하다는 점이다. 한 교수는 "우리나라 기업들은 보안이 규제라고 생각하기 때문에 암호를 쓰는 것도 번거롭고 비용이 많이드는 일인데, 그 '외투'까지 신경써야한다고 말하면 힘들다는 소리부터 나온다"고 말했다.

반면에 유럽에서는 2003년쯤부터 부채널 분석에 대한 연구가 활발하게 진행, 관련 기술을 인증하는 기관들이 하나의 시장을 형성하고 있다. 국내는 부채널 분석 연구와 관련 인증기관이 없다. 이로 인해 오히려 국내 기업들은 질 좋은 하드웨어를 만들어 돈을 벌고도 일정 부분을 해외에 넘기고 있다고 한 교수는 설명했다.

국내 스마트폰 등 제조업체도 해외 진출을 위해서 유럽 기관에서 부채널 보안 인증을 받기 위해 큰 돈을 지불해야만한다. 결국 수준 높은 보안기술을 개발하고서도 그 인증을 받기 위해 기술 내용을 유럽 등 해외 민간 평가기관에 공개하고, 큰 돈을 들여 인증서를 발부 받고 있는 것이다.

이날 강의에서 한 교수는 "한국전자통신연구원(ETRI) 등 우리 기관들도 충분히 관련 기술을 확보하고 있다"며 "보안이 규제, 진입장벽을 높인다는 인식이 개선돼야 국내 시장이 형성되고 이러한 문제가 해결될 수 있다"고 말했다. 특히 사물인터넷(IoT)이 더욱 발달하면, 부채널 분석 연구를 바탕으로 한 보안 인증 기술은 큰 시장이 될 것으로 전망했다.

한편 이번 컨퍼런스는 '창조경제를 위한 정보보안'을 주제로 한국정보보호학회와 한국인터넷진흥원이 24, 25일 이틀간 개최된다. 다음날(25일) 오후 5시에는 '공인인증서, 그 대안은 무엇인가'를 주제로 패널토의도 진행된다.