김동규 한양대 융합전자공학부 교수

설 연휴가 끝나고 일상으로 돌아오니 은행의 공인인증서가 유출되었다는 뉴스를 접하였다. 금융결제원이 실시간으로 피싱(phishing) 사이트를 점검하던 중 8개 은행의 고객 공인인증서 461개가 홍콩에 있는 서버로 유출된 것을 발견하였다. 국내에서 공인인증서는 5곳의 공인인증기관인 금융결제원ㆍ코스콤ㆍ한국무역정보통신ㆍ한국정보인증 및 한국전자인증에서 발급된다. 금융결제원이 발급한 은행 고객의 공인인증서가 유출되었으니 다른 공인인증기관에서 발급된 증권사 등의 타 금융회사 고객의 공인인증서도 안전하지는 않을 것이라는 생각이 든다.
 
국내에서는 1999년 전자서명법이 제정되면서, 다른 국가들에 비하여 선도적으로 공인인증서의 발급 및 관리의 체계가 구축되어 왔다. 공인인증서는 현재 240만 건 이상이 보급되어 인터넷뱅킹ㆍ증권거래ㆍ인터넷을 통한 카드결제, 보험 등의 금융업무와 전자세금계산서, 전자입찰 등의 기업 조달업무, 정부에서 제공하는 전자민원, 전자정부 업무 등의 다양한 영역에서 광범위하게 사용되고 있는 상황이다. 이런 시점에서 공인인증서가 유출된 것은 안정화 되어가는 공인인증의 체계를 흔드는 사건이라 할 수 있다. 물론 공인인증의 체계는 구축단계에서 충분히 안전성을 고려하여 결함이 없는 인증시스템을 구현하였기에, 자체의 안전성은 확보되었다고 본다. 단지 공인인증서를 사용하는 은행고객이 본인의 컴퓨터가 악성코드에 감염되도록 방치하였으며 악성코드에 오염된 상태에서 사용하여 공인인증서가 유출된 것이다. 이는 사용자의 부주의를 탓할 수도 있으나, 진정한 공인인증서의 안전성을 위해서는 사용자가 다소 안일하게 컴퓨터를 관리하더라도 공인인증서가 안전하게 관리되는 체계를 만들어야 한다. 

공인인증서의 유출이 은행 고객에서 시작되었기에 금융감독원에서 제시한 `전자금융감독규정'을 참고하여 보자. 이 규정에서는 전자금융거래의 안전성 강화를 위하여 인터넷뱅킹 및 텔레뱅킹 고객의 보안등급을 다음과 같이 3등급으로 구분한다. 먼저 1등급은 세 가지 경우로 정의되는데 공인인증서+OTP발생기, 보안토큰(HSM,Hardware Security Module) 방식 공인인증서+보안카드, 공인인증서+보안카드+2채널인증 방식이다. 2등급은 공인인증서+보안카드+휴대폰 SMS 방식이고, 3등급은 공인인증서+보안카드 방식으로 정의된다. 

이번 유출사건에서는 2012년부터 본격적으로 시작된 파밍(pharming) 공격이 이슈가 되었는데, 이는 금융회사 고객 컴퓨터를 악성코드에 감염시켜 고객이 금융회사의 정상 홈페이지로 접속해도 피싱사이트로 유도해 금융거래 정보 등을 얻어내는 공격방법이다. 위의 보안등급의 정의에 포함된 보안카드는 이미 해킹의 방법으로 등장한 파밍공격에 치명적으로 약점을 가지고 있다. 반면 OTP생성기는 일회 사용을 목표로 6자리 십진수를 생성하므로 파밍공격의 대응방법으로 적당하다. 위 보안등급에서 보안카드의 경우를 제외하면 1등급의 공인인증서+OTP발생기 방식만 남는다. 주목할 만한 것은 1등급으로 제안된 HSM 방식의 공인인증서의 경우이다. 이는 현금카드나 신용카드에 내장된 IC칩에 공인인증서를 안전하게 저장하여 사용하는 방식이다. 이번 사고는 하드디스크에 저장된 공인인증서를 악성코드가 공격하여 인증서가 유출되었으므로, IC칩에 공인인증서를 저장하는 HSM 방식 공인인증서는 그 대안이 될 수도 있다. 

공인인증기관 및 공인인증서는 국가적으로 중요한 인프라이다. 특히, 전자금융을 위한 공인인증서는 가장 활발히 사용되고 있다. 앞으로는 보안카드가 OTP발생기로 대체되고, 공인인증서를 하드디스크나 USB메모리에 보관하던 것을 IC칩에 저장하는 방식과 같이 안전하게 공인인증서를 관리하는 방식으로 바꾸어 나가는 노력을 수행해야 다양한 해킹공격에 안전한 전자금융거래 시스템을 구축할 수 있을 것이다. 

기사 원문 : http://www.dt.co.kr/contents.html?article_no=2013021402012251697001