스마트폰 뱅킹, 제도적 카르텔 선결해야

작년 12월 제 블로그에서 한국 인터넷 뱅킹 포기 선언 이후에 꽤 많은 변화가 있었습니다.

국내에서 석달 만에 아이폰이 30만대 이상 팔렸고, 기업들이 나서서 아이폰 기반 인터넷 뱅킹과 온라인 카드 결제 애플리케이션 및 서비스를 잇달아 내 놓았습니다. 이에 반해 금융감독원은 아이폰 등 스마트폰에서는 PC에 준하는 보호 조치를 취해야 한다는 가이드라인을 내 놓으면서 수 많은 뉴스 및 여론의 질타를 받았죠.

상황이 이렇게 되니, 또다시 이 문제를 해결해 보겠다는 정부 각처의 Newbie들이 대책 회의를 잇달아 하면서 마치 해결해 낼 것 처럼 또 언론 플레이를 하더군요. 지난 8년간 이 문제를 해결 하겠다고 나선 행정 부처와 산하 기관들은 엄청 나게 많았고, 모두들 립 서비스만 한채 제도적 기술적 카르텔이라는 문제의 실체에 접근만 했을 뿐 실질적인 결과는 보여 주지 못했습니다.

얼마전 부터 미래위, 방통위, 공정위, 행안부, 지경부 일부 조직에서 또 문제를 해결해 보겠다고 나서고 있는데 결국 부처간 이기주의와 업무 영역 문제를 이기지 못하고 그냥 미봉책 몇 개만 남기지 않을까 염려가 됩니다.

법적 제도적 카르텔 들여다 봐야
우선 이 논의에 들어서는 분들에게 먼저 알려 드려야 할 것은 이제 이 문제는 “기술”이 아니라 바로 뿌리 깊은 “법적 제도적” 카르텔이 존재한다는 점입니다. 아래 도표는 우리 나라의 액티브X 문제 저변에 있는 각종 법적 규제들입니다.

1998년 일명 PKI법이라 할 수 있는 ‘전자 서명법’이 통과되고, 이를 기초로 공인 인증 제도가 도입됩니다. 사실상 킬러 서비스라 할 수 있는 금융거래에 공인 인증서 사용을 사실상 강제합니다. 이런 행위가 법령에 근거가 없이 행정지도로 이루어지고 있어서, 2006년 ‘전자금융거래법’을 제정할 때 공인 인증서 항목을 법 규정에 넣게 되죠.

따라서 그 하위의 금감원 감독 규정에 따라 공인 인증서 사용은 필수가 되고 전자서명법상 기술 규격에 의해 사실상 플러그인 기술로만 공인 인증 서비스가 이루어 질 수 밖에 없는 현실이 고착화 됩니다. (구)정보보호진흥원은 내부 규격이 특정 기술을 강제하지 않고 있다지만 사실상 액티브X 플러그인만 선택하도록 할 뿐입니다.

전자 금융 거래 감독 시행 세칙에는 키보드 보안, 침입 차단, 안티 바이러스 같은 소프트웨어를 의무적으로 제공하게 되어 있고, 고객 선택권이 명시되어 있어도 금융 사고 시 입증 책임 때문에 대부분 금융 기관들은 선택권을 제공하지 않습니다.

금감원만 탓할 게 아니다
자! 이런 상태에서 누가 법적 규제를 풀 수 있겠습니까? 게다가 상대는 자칫 건들었다가는 통째로 책임져야 하는 금융 거래 보안에 관련된 사안인데 말이죠. 보안 산업 보호을 위해 스스로 매듭을 만든 국내 보안 업체들이 풀수 있는 상황도 아닙니다.

법으로 사실상 특정 기술이 강제된 현상에서 이게 국가 기관이 아닌 민간 업체들이 스톡홀더로 참여하다 보니 이를 정부 혼자 나서서 풀 수 없는 상태가 된 것입니다. 공인 인증 업체, 금융 기관, 보안업체 등 산업 전반에 수술을 가해야 하는 상황이니 정부가 손쓸 수 있는 대상이 아닙니다. 게다가 공인 인증과 이에 연관 산업은 우리 나라 보안 업계를 거의 먹이다시피 해 오고 있기 때문에 이해 관계가 엄청 나게 많지요.

‘스마트폰 뱅킹 가이드라인’ 덕분에 여론의 뭇매를 맞고 있는 금감원만 해도 억울한 점이 많습니다. 기존의 윈도우 모바일폰에서는 공인 인증서를 사용해서 서비스를 해 왔기 때문에 그에 준하는 스마트폰에 PC 수준의 보안을 요청하는 건 어찌보면 당연한 일이니까요.

게다가 금융 기관들이 범위를 정해 공인 인증 예외 적용을 요청하면 금감원장은 서비스를 하게 허가해 주며, 피처폰에서 인기를 끈 VM뱅킹이 그런 방식으로 진행되어 왔습니다. 작년 부터 뜻 있는 사람들이 모여 만든 “오픈 뱅크안” 역시 은행들이 나서서 예외 적용을 통해 기존의 문제를 풀어 보도록 요청하는 소비자 운동입니다.

결국 연착륙은 불가능한가?
스마트폰에서 인터넷 뱅킹 이슈는 PC상의 문제의 연장 선상에 있습니다. 이 문제는 기존의 PC에서 비윈도, 비IE 사용자의 문제와 유사하게 다뤄져야 합니다. 개인적으로 수 년간 파이어폭스 사용자와 웹 표준 기술자를 대변하면서 각종 대책 회의, 기술 회의, 컨퍼런스를 뛰어 다녔는데 이는 우리 사회 전문가들이 이 문제를 슬기롭게 해결 할 수 있다는 믿음 때문이었습니다.

2004년부터 작년까지 (구)정통부(지경부), (구)행자부(행안부), KIPA, KISA, KADO에서 만났던 많은 정부 부처, 보안 업계, 브라우저 업체 및 웹 개발자들과 그나마 공감대를 이루는 이야기가 현 기술 및 법적 체제를 당장 바꿀 수 없으니 비 윈도/비 IE를 위한 기술 혹은 인증 수단을 제공해서 시도해 보고, 이 방법의 효용성이 인정 되면 확대 해보자는 “단계적 연착륙” 방식 입니다.

• ActiveX 와 공인 인증에 대한 대안(2007.2)
• 웹 표준, 이제 물러설 수 없다(2009.3)
• 오픈 뱅크 2009를 시작하며(2009.9)

이 방식은 결국 예산에 막히거나 또다른 플러그인 기술을 써야 하는 딜레마에 빠지거나 플러그인이 아니면 아예 해결 자체가 불가능해 막다른 골목에 도달 합니다.

저도 작년 부터 오픈 뱅크를 준비하면서 공인 인증 체제 자체에 의문을 제기하고 구조 자체를 바꾸지 않으면 해결 되지 않을 것 같다는 생각을 하게 되었습니다. 이와 똑같은 문제 제기는 이미 한국 마이크로소프트의 김국현님이 수년 동안 칼럼을 통해 주장해 오고 있는 것입니다.

• 웹 구조개혁의 제안 (2007.4)
• 공인인증체제, 우리에게 임박한 미래로부터의 리스크 (2008.8)
• 웹자유주의, 액티브X와 공인인증 논쟁 접근법 (2009.4)

따라서 우리는 이제 공인 인증이라는 인식의 틀에서 한발짝 물러 나서 아이디어를 꺼내 봐야 할 때가 됐습니다. 공인 인증서도 PC에 저장하는 게 위험한 세상이 됐고, 이는 금융 보안 연구원이 최근 발행 한 해외 인터넷뱅킹 보안현황 조사보고서 상의 사례들을 보더라도 그렇습니다.

선결 과제들
지금까지 경험을 토대로 실질적인 문제 해결을 위한 규제 개혁 선결 과제 몇 가지를 제안해 보고자 합니다. 우선 국회의원과 금융 위원회 등 정부 부처에서는 법규 강제 규정을 없애고 금융기관의 선택권을 늘려야 합니다.

1. 전자 금융 거래법 제21조 (안전성의 확보의무) ③금융감독위원회는 전자금융거래의 안전성과 신뢰성을 확보하기 위하여 「전자서명법」 제2조제8호의 공인인증서의 사용 등 인증방법에 대하여 필요한 기준을 정할 수 있다. 에서 “「전자서명법」 제2조제8호의 공인인증서의 사용 등 ” 규정을 삭제한다.
2. 전자 금융 감독 규정에서 공인 인증서 사용 강제 규정을 삭제하고 감독원장이 정하는 기준에 한해 전자 금융 거래를 허가할 수 있도록 한다.
3. 기존의 전자 금융 거래 보안 등급에서 공인 인증서를 제외할 경우의 보안 등급을 새로 정한다.예) 1등급: SSL아이디+보안카드+OTP발생기+2채널인증, 2등급: SSL아이디+보안카드+OTP발생기+SMS통보, 3등급: SSL아이디+보안카드+OTP발생기. 스마트폰의 경우, 단말기 고유번호 등록 등.

국회의원과 행정안전부는 14년이 넘은 낡은 전자서명법에 대한 손을 봐야 합니다. 공인 인증 체제에서 인증 수단의 다양화, 사설 인증 및 해외 인증 기관 진입 보장, 외산 인증 제품 진입 보장을 통한 경쟁 체제로 유도해야 합니다.

1. 전자서명법을 “공인 인증 관리법”으로 바꾸고, 기존 PKI 방식 뿐만 아니라 OTP 방식, 지문 및 홍채 인식 등 다양한 인증 방법을 공인 인증 기술로 추가 한다.
2. 기존 기술 규격인 국제적 수준의 암호 및 인증 기술로만 가이드라인을 만들어 기존 웹 브라우저 탑재 기능이나 해외 인증 업체의 크로스 브라우징 기술이 진입 가능하게 한다.
3. 사실상 SEED나 ARIA로 강제되어 있는 암호 기술 규격 및 국정원의 국가 기관 암호 제품 심사 규격을 완화하여 외산 제품들도 자유로이 경쟁 할 수 있도록 한다.

여기서 제안한 방법은 공인 인증 체제를 완전히 대체하거나 무너뜨리려는 것이 아니라 선택 가능한 대안을 포괄할 수 있도록 규제를 완화하지는 것입니다. 기존 체제와 대안 체제가 공존하고 경쟁할 수 있도록 만들어 주어야만 우리 나라 현업 공무원, 웹 개발 업체, 보안업체, 금융 기관, 카드사, 쇼핑몰, 통신사 등이 지혜로운 해법을 만들어 낼 수 있을 겁니다.

- Channy Yun (윤석찬);

※ Disclaimer- 본 글은 개인적인 의견일 뿐 제가 재직했거나 하고 있는 기업의 공식 입장을 대변하거나 그 의견을 반영하는 것이 아닙니다. 사실 확인 및 개인 투자의 판단에 대해서는 독자 개인의 책임에 있으며, 상업적 활용 및 뉴스 매체의 인용 역시 금지함을 양해해 주시기 바랍니다. 본 채널은 광고를 비롯 어떠한 수익도 창출하지 않습니다. (The opinions expressed here are my own and do not necessarily represent those of current or past employers. Please note that you are solely responsible for your judgment on checking facts for your investments and prohibit your citations as commercial content or news sources. This channel does not monetize via any advertising.)