2014년 의무화 폐지된 공인인증서? 오해와 진실 혹은 논란

문재인 전 더불어민주당 대표가 지난 2일 오후 서울 구로구 지벨리컨벤션센터에서 열린 ICT 현장 리더 간담회에서 공인인증서를 완전 폐지하겠다고 밝혔다./ 사진=뉴스1

“공인인증서를 완전히 제거하고 모든 인증서가 시장에서 차별 없이 경쟁할 수 있도록 하겠다.”

문재인 전 더불어민주당 대표가 지난 2일 ICT(정보통신기술) 공약 중 하나로 ‘공인인증서 폐지’를 내걸었다.


공약에 대한 반응은 엇갈린다. 공인인증서 문제의 핵심을 정확히 짚었다고 환영하는 입장이 있는 반면, 오해로 인해 우수한 보안 기술을 정부에서 버리려 한다는 우려가 나온다.

한 가지는 짚어야 한다. 공인인증서 폐지는 이미 2014년 실현됐다. 중국인들이 한류 드라마에 나온 코트를 온라인에서 구입하지 못한다는 일명 ‘천송이 코트’ 논란이 인후 박근혜 대통령이 이를 언급하고, 정부는 공인인증서 의무사용 폐지를 선언했다.

‘물건 하나 사는데 이렇게 복잡한 결제(인증) 절차를 밟아야 하는가’라는 문제의식은 차고도 넘친 상태라 환영의 목소리가 컸다.


그렇다면 차기 유력 대선주자가 다시 공인인증서 폐지를 얘기하는 이유는 무엇일까. 더군다나 여전히 공인인증서 폐지 공약에 열광하는 목소리를 고려하면 공인인증서는 아직 폐지되지 않거나 최소한 사용하고 싶지 않음에도 사용할 수밖에 없는 처지라는 얘기가 된다.

폐지한 공인인증서가 부활한 걸까. 아니, ‘그놈의 공인인증서’라는 탄식이 나올 정도로 공인인증서 알레르기 반응이 나오는 이유는 무엇인가.

공인인증서 폐지는 공인인증서 사용 금지를 말하는 것이 아니라 넓은 의미의 제도개선을 의미한다.

현재 우리나라 공인인증 제도는 정부(미래창조과학부)가 관련 법·제도 정비, 공인인증기관 지정·감독 권한을 가진다. 최상위인증기관(Root CA)인 한국인터넷진흥원(KISA)의 관리하에 현재 금융결제원, 코스콤, 한국정보인증, 한국전자인증, 한국무역정보통신 등 5개 기관이 공인인증서를 발급해준다. 법에는 어느 사설기관이든 일정 기준만 충족하면 공인인증기관이 될 수 있도록 했지만, 사실상 불허나 마찬가지라는 비판이 일고 있다.

이처럼 공인인증서 폐지는 정부가 공인인증기관을 지정하거나 특정 기술방식을 전자서명 방식으로 사용하도록 ‘공인’하지 않겠다는 뜻이다. 다른 경쟁 기술도 우리가 채택한 한국공인인증서에 사용되는 한국형 공개키기반구조(PKI) 기술과 차별 없이 경쟁할 수 있도록 만든다는 의미다.

문 전 대표의 공약은 의무화 규정을 없앴음에도 여전히 공인인증서만 사용되는 현실을 개선하겠다는 의미로 해석하는 게 타당하다.

◇ 오해와 진실1. ‘공인인증서=액티브엑스’?


공인인증서 폐지와 함께 늘 거론되는 게 ‘액티브X’(ActiveX)다. 이는 PC 등에 저장된 공인인증서를 불러오기 위해 설치해야 하는 플러그인이다. 국내 PC 환경은 마이크로소프트(MS)의 인터넷 익스플로러(IE)가 장악하고 있다고 해도 과언이 아니고, 액티브X 역시 광범위하게 사용됐다. 공인인증서 역시 초기에는 플러그인 기술을 활용해 만들었다.

그러다 보니 액티브X와 공인인증서는 한 몸처럼 인식됐다. 사용이 번거롭고 보안에 취약한 액티브X 문제점이 공인인증서의 문제로 등치됐다.

하지만 둘은 별개의 문제다. 공인인증서 이용에 더는 액티브X가 필요하지 않다. 더군다나 MS는 액티브X 지원을 중단했다. 여전히 액티브X 등 플러그인 설치를 요구하는 일부 정부 기관과 민간 업체가 있지만 점점 줄고 있다.

문 전 대표는 “액티브X도 폐지하겠다. 정부가 관리하는 모든 사이트에서 액티브X는 물론 일체의 플러그인을 모두 제거하겠다”고 밝혔다. 여전히 액티브X에 의존하고 있는 정부기관 사이트에서 플러그인을 없애겠다는 것이다. 일단 정부·공공사이트에서 시작해 단계적 완전폐지로 나아간다는 방침이다.

◇ 오해와 진실2. 의무화 폐지된 공인인증서, 이용자 불편은 왜 사라지지 않나


앞서 밝혔듯 공인인증서 의무 사용은 2014년 폐지됐다. 이때부터 금융회사는 공인인증서가 아닌 사설인증서나 해외인증서를 자율적으로 선택할 수 있게 됐다.

문제는 온라인에서 본인을 직접 확인할 수 없는 조건에서 공인인증서의 '전자서명' 기능을 대체할 그 어떤 방식도 금융권이 추가로 채택하지 않고 있다는 점이다. 시중은행이나 카드사 등 주요 금융권 어디서도 의무사용이 폐지된 공인인증서 대신 다른 전자서명 방식을 도입하지 않고 있다.

PKI를 대체할 전자서명 기술이 아직 없기 때문이다. 공인인증서 대체 기술로 언급되는 생체인식 기술이나 블록체인(분산 데이터 처리 기술)도 자체적으로 전자서명 기능을 하지 못한다. 생체인식만으로는 실명 본인확인이 안되고, 블록체인 기술만으로는 사용자 확인이 불가능하다. 결국 두 기술 모두 PKI 기술과 결합해야만 전자서명 기술로 활용될 수 있다.

이용자 불편 측면에선 또 다른 요인도 살펴봐야 한다. 1년마다 갱신해야 하는 공인인증서 발급과정과 타 금융권 등록 등에 드는 시간은 그렇다 치자.

금융권은 보안을 계속 강화하는 추세다. 언제부터인가 공인인증서 외에 2, 3단계의 또 다른 보안 확인과정을 거친다.

최근 국민은행에서 타 계좌로 5만 원 이체를 한 A씨의 사례가 단적이다. 공인인증서로 인터넷뱅킹 사이트에 접속한 A씨는 미리 등록해놓은 개인 전화로 ARS 본인 확인을 거쳤다. 그리고 OTP(일회용보안키생성)를 통해 한 번 더 보안 숫자를 입력한다. 마지막 인증서 비밀번호를 입력한 후에야 5만원 계좌이체를 끝낼 수 있었다.

A씨는 “천만 원이나 몇 백만 원 단위도 아니고 돈 5만 원을 부치는데 이렇게까지 복잡한 절차를 거쳐야 하나 짜증이 일더라”며 “휴대폰 소액 결제도 수십만 원까지 한 번에 되는데 좀 심하다는 생각이 든다”고 토로했다.

A씨가 느낀 불편함은 결제 전체 과정이지만, A씨가 타인과 얘기할 때는 공인인증 결제의 불편함을 말하고 있다.

◇ 오해와 진실3. 공인인증서는 금융회사의 ‘면죄부’? vs 속았지만 내 정보를 줬다면

/그래픽=김지영 디자이너

일각에서는 공인인증서가 계속 쓰이는 주된 이유가 전자금융거래법상 기업이 공인인증서를 쓰면 사고가 발생해도 책임을 피할 수 있어서라고 주장한다.

문 전 대표도 “전자금융거래법을 개정해 본인이 모르는 계좌이체가 발생해도 공인인증서만 사용됐으면 사실상 금융회사가 면책되는 잘못된 현실을 개선하겠다”고 밝혔다.

문제가 제기되는 부분은 전자금융거래법 제9조 내용 중 “금융회사 또는 전자금융업자는 접근매체의 위조나 변조로 발생한 사고로 인하여 이용자에게 손해가 발생한 경우에는 그 손해를 배상할 책임을 진다”는 부분이다. 공인인증서도 접근매체의 하나이다.

김기창 고려대 법학전문대학원 교수는 이 법안으로 인해 오히려 금융회사가 손해 배상 책임을 피할 수 있다고 주장한다. 김 교수는 “한국에서 보이스피싱 피해자가 은행에 소송을 걸어 배상금을 받은 사례가 없다. 보이스피싱으로 공인인증서를 재발급 받은 건 부정재발급이지 위조가 아니라는 은행 측의 주장이 지금까지 법원에서 인정돼 왔기 때문”이라고 설명했다.

반면 이러한 인식은 전자금융거래법과 전자서명법을 혼동하는 데서 비롯한 오해라는 주장도 있다. 한호현 경희대 컴퓨터공학과 교수는 “우선 공인인증서 관련법은 전자금융거래법이 아닌 전자서명법”이라며 “공인인증서를 사용해서 사고가 발생하는 경우 공인인증기관이 손해 배상 책임을 지도록 되어 있다”고 설명했다.

전자서명법 제26조에는 “공인인증기관은 인증업무 수행과 관련하여 가입자 또는 공인인증서를 신뢰한 이용자에게 손해를 입힌 때에는 그 손해를 배상하여야 한다. 다만, 공인인증기관이 과실 없음을 입증하면 그 배상책임이 면제된다”는 내용이 있다.

다만 한 교수는 “보이스피싱의 경우 피해자가 속았지만, 비밀번호 등을 직접 남에게 알려주는 주체적으로 선택한 행동에 의한 결과이기 때문에 손해 배상을 받기 힘든 것”이라고 설명했다.

◇ 오해와 진실4. 공인인증서는 한국만 사용한다? vs EU·중국…UN까지, 확산일로하는 PKI

공인인증서는 한국에만 있는 기술과 제도라는 비판이 있다. 하지만 공인인증서는 그 이름만 다를 뿐 전 세계가 사용하는 기반 기술이다. 공인인증서에 핵심 기술인 PKI를 이용한 인증방식을 채택하고 있다는 의미다.

미국, 일본, EU(유럽연합), 중국, 인도 등 세계 강국이 모두 한국 공인인증서와 유사한 PKI 전자서명제도를 운영 중이다. UN에서도 PKI 도입을 추진한다. 민간 기업 중에도 구글 웹사이트 보안에 사용되는 암호화통신(SSL) 인증서와 안드로이드페이, 애플페이 등 최신 핀테크 기술에 PKI 기술이 적용됐다.

해외에서는 PKI 기술을 이용한 공인인증 제도 도입을 확대하는 추세다. 중국은 지난해 7월부터 비은행계 지급 수단에 대해 5000위안 이상을 이체할 시 공인인증서 사용을 의무화했다. 지난해 11월 기준 중국 내에서 약 3억5000만장의 공인인증서가 발급됐다.

EU는 지난해 7월 전자서명 관련법을 전면 도입해 공공, 금융 분야에서 공인인증서 사용을 시작했다. EU에 속한 에스토니아는 공인인증서 기반의 전자주민증을 각종 공공·금융 서비스에 사용한다. 개별 금융 차원까지 공인인증서 사용 서비스를 늘려가고 있다. 일본도 지난해부터 우리나라 주민등록증과 유사한 마이넘버카드 도입을 계기로 공공서비스, 금융결제 등에 공인인증서(JPKI) 사용을 본격화했다.

◇ 오해와 진실5. 공인인증서 대체재 등장…“보안기술 발전” vs “해외인증서 장악”

공인인증 제도가 사실상 폐지되고, 즉 이용자들로부터 외면받고 다른 대체 기술 기반의 방식이 더 많이 쓰이면 어떻게 될까.

문 전 대표는 공인인증서와 액티브X를 완전폐지한 이후의 대안은 민간에 맡긴다고 밝혔다. 해외에서 사용되는 다양한 인증 방식도 참고할 수 있다는 설명이다.

새 정부에서 공인인증서 대신 다른 기술 방식 도입을 강제하거나 독려하면 금융회사들도 이를 거부할 수 없을 전망이니 다양한 인증방식이 사용될 가능성도 높다.

문제는 지금까지 익숙한 공인인증서와 제도가 아닌 다른 기술 방식을 사용했을 때 금융 사고가 벌어질 가능성이다. 금융회사는 어떤 형태든 보안 사고에 대한 부담을 덜기 위해 더 안전한 인증 수단과 장치를 갖추려 하고, 그에 따라 법·제도 개선을 두고 줄다리기가 벌어질 가능성이 높다.

김 교수는 공인인증 제도가 폐지되면 “금융회사들이 더 큰 책임과 자율성을 가지고 다양한 보안 기술이 활발하게 경쟁하는 시대가 열릴 것”이라고 전망했다.

반대 의견도 있다. 책임 부담을 덜기 위해 검증된 솔루션, 즉 세계적으로 사용되는 구글, 애플 등 글로벌 IT 기업의 인증서를 사용하게 될 거라는 예상이다.

한 교수는 “구글, 애플의 사설인증서를 사용하다가 사고가 발생하면 인증기관과 금융회사는 소비자에게 책임을 떠넘길 수 있다”며 “현행법으로는 이를 보호할 방법이 없어 대안이 마련돼야 한다”고 밝혔다.

김 교수는 이런 제기에 대해 과장된 우려라고 지적했다. 그는 “해외 인증기관이 국내에 섣불리 들어오지 못하는 장치로 금융감독원 인증방법평가위원회 기술평가기준이 마련돼 있다”며 “미래부에서도 해외 인증기관의 국내 진출에 대해 제재할 수 있는 제도를 갖고 있다”고 설명했다.

공인인증서의 불편함은 이 밖에도 법적으로는 자격요건을 갖추면 누구든 발급기관 자격을 얻을 수 있게 했지만, 현실적으로 추가 기관이 나오기 어려울 정도로 시장진입이 어렵다는 불만도 존재한다.

또, 결국은 사고 발생 시 책임을 어떻게 지울 것이냐는 현실적 이유 때문에 쉽게 개선되지 못하는 측면이 강하다는 분석도 나온다.

공인인증서 의무화 사용은 2014년 폐지됐다. 실제 이용자들이 공인인증서 외에도 다양한 개인확인 방법을 선택할 수 있도록 새 정부가 제도적 뒷받침을 해야 한다는 지적이 나온다. 금융사고를 대비한 책임 소지를 명확히 하는 제도까지 갖춰지지 않을 경우, 공인인증서 폐지는 20년간 외치면서도 실현하지 못한 보기 드문 IT 제도가 될 수밖에 없는 상황이다.