공인인증서 갱신 ‘연례 스트레스’

1년마다 해야 하는 숙제, 매번 바꿔야 하는 비밀번호 설정도 불편

최근 PC로 인터넷뱅킹을 이용하던 직장인 ㄱ씨는 달력을 보다가 문득 머리가 지끈거리기 시작했다. 연말마다 어김없이 찾아오는 ‘숙제’ 같은 존재. 쓰자니 불편하고 안 쓰자니 더 불편한 공인인증서의 갱신 문제가 떠올랐기 때문이다.

공인인증서 갱신 과정 자체는 별로 복잡하지 않지만 문제는 ‘비밀번호 설정’이다. 갱신 시에는 기존 인증서의 비밀번호와는 다른 번호를 써야 하는데, 이게 간단치 않다. 비밀번호 자체가 10자리로 긴 데다 영문에 숫자에 특수문자까지 넣어 조합해야 하니 고려해야 할 게 한둘이 아니다. 가뜩이나 온갖 비밀번호의 홍수 속에서 사는 탓에 새 비밀번호를 까먹진 않을까 벌써부터 걱정도 된다. 번호가 유출될까봐 어디에 써놓고 다니지도 못할 판이다.

한국전자통신연구원의 한 연구원이 보안 기능이 내장된 신용카드에 스마트폰에 갖다 대 본인 인증을 할 수 있는 기술을 시연하고 있다. / 연합뉴스

‘비싸게’ 저장할수록 오래간다

공인인증서 갱신의 계절이 돌아왔다. 공인인증서는 유효기간이 만료되기 30일 이내에 갱신해야 한다. 한국인터넷진흥원(KISA)의 올 1월 집계를 보면 국내 공인인증서 발급건수는 3544만건으로, 경제활동인구(2669만명) 대비 보급률이 132%다. 이쯤되면 공인인증서 갱신을 ‘전 국민 숙제’로 봐도 무방할 정도다.

한때 카드 결제나 본인 확인을 위해 ‘툭하면’ 공인인증서를 요구하던 시절이 있었다. ‘한때’라고는 해도 불과 2년여 전의 일이지만, 공인인증서가 온라인에서 신분증처럼 남용되면서 불편함의 아이콘으로 지적되기도 했다.

개인 PC의 하드디스크나 USB메모리에 쉽게 넣어다닐 수 있어 가볍게 보일 수도 있지만, 공인인증서는 단순한 신원 확인을 위한 목적으로만 만들어진 건 아니다. 공인인증서는 모든 전자문서에서 개인의 신원과 의사표현을 확인해 문서의 효력을 발생시키는 ‘디지털 인감증명’이다. 과속으로 교통단속에 걸렸을 때 경찰이 인감증명을 내라고 요구하지는 않는다. 공인인증서를 신분 확인용 이상으로 ‘귀하게’ 다뤄야 하는 이유다.

공인인증서는 전자서명법에 따라 공인인증기관이 발행하지만 사용의무가 부과된 건 아니다. 개인이 원치 않는다면 이용하지 않아도 되지만 불편함은 감수해야 한다. 인증용 대체제로 아이핀이나 OTP가 나와 있기도 하지만 발급이나 사용 시 공인인증서보다 불편한 경우가 많아 이용률은 저조하다. KISA 관계자는 “현재로선 전자서명용으로 공인인증서만한 보안성과 편의성을 가진 기술이 없다”며 “기술 발전이 더 이뤄져도 공인인증서 시스템 자체는 향후 상당 기간 유지될 가능성이 높다”고 말했다.

공인인증서는 암호화된 디지털 파일 형태로 존재하기 때문에 특별한 사유가 없는 한 훼손되거나 없어지지 않는다. 1년 사이 기술이 변해서 굳이 인증서 형식을 바꿔야 하는 문제도 아니다. 그렇다면 공인인증서는 왜 ‘갱신’이라는 숙제를 전 국민에게 내줬을까.

바로 공인인증서의 저장 문제 탓이다. 공인인증서를 저장할 수있는 매체는 다양하다. PC의 하드디스크부터 USB, 보안토큰, 스마트카드(IC칩), 휴대전화 등 개인 용도나 필요에 따라 다양하게 선택할 수 있다. 중요한 건 어떤 매체에 인증서를 저장하느냐에 따라 인증서를 갱신해야 하는 주기도 최단 1년에서 최장 5년까지로 달라진다는 점이다. 보안 수준이 높은 ‘값비싼’ 매체에 저장할수록 갱신 주기도 길어진다고 보면 된다.

KISA가 올 1월 공개한 ‘2016년 대국민 전자서명 이용실태조사(복수응답)’ 결과를 보면 공인인증서 사용자들이 최근 1년간 인증서 보관 매체로 가장 많이 이용한 것은 USB(61.1%)였다. 이어 하드디스크(36.5%), 휴대전화 유심(23.6%) 등의 순이었다. 상대적으로 보안성이 높은 보안토큰(1.6%), 스마트카드(0.9%) 등은 이용률이 많이 낮았다.

결과를 보면 공인인증서 사용자 10명 중 9명 이상이 하드디스크나 USB에 인증서를 저장하는 셈이다. 여기서 갱신 문제가 발생한다. 공인인증서의 경우 암호화돼 저장이 되기는 하지만 파일이 통째로 도난당할 경우 해킹당할 여지가 엄연히 존재한다. PC에 들어 있는 하드디스크는 해킹 우려에서 가장 취약한 매체이고, USB의 경우 해킹은 물론 도난이나 분실 우려도 있다. 이 때문에 인증기관에서는 개인에게 무료로 발급되는 범용 공인인증서에 대해 하드디스크나 USB에 저장할 때 유효기간을 1년밖에 주지 않는다.

스마트카드나 보안토큰의 경우 길게는 5년까지 인증서의 유효기간이 주어지지만 사용자가 비용을 내고 매체를 구매해야 하는 게 문제다. 보안토큰의 경우 종류에 따라선 가격이 수만원대다. 저장매체로 하드디스크나 USB가 대부분 쓰이는 가장 큰 이유이기도 하다. 유심에 인증서를 저장할 경우 3년 이상 유효기간을 주기도 하지만 이 역시 추가 비용부담 문제가 발생한다. 휴대전화를 통한 인증서 저장은 모바일 금융거래에만 제한되는 문제도 있다.

최근에는 스마트폰 내부 ‘트러스트존’이라고 불리는 별도의 저장공간에 인증서를 저장하는 기술도 나왔다. 3년의 유효기간을 부여하고, 아직까지는 무료로 발급되는 장점도 있지만, 호환성이 문제다. 금융권의 경우 각 은행마다 사용하는 트러스트존이 다 다른 탓에 여러 은행을 사용하려면 각 은행별 인증서를 따로 받아야 한다. 한 금융권 관계자는 “트러스트존 인증서를 범용으로 호환하는 것도 고려해봤지만 호환작업 자체가 기술적으로 매우 까다로워 쉽지 않다”고 말했다. 트러스트존 저장방식의 경우 단말기에 따라선 이용이 불가능하다는 제한도 있다.

유효기간 길면서 무료인 인증서는 없나

공인인증서의 중요성을 감안하면 모든 사용자들이 비용을 좀 부담하더라도 보안성이 더 높은 매체에 인증서를 저장하는 게 바람직하다. 이렇게 되면 인증서의 유효기간도 늘어나 1년마다 갱신해야 하는 불편함도 자연스럽게 줄어들지만, 사용자들 대부분이 비용부담보다는 당장 무료로 이용할 수 있는 매체에 인증서를 저장하길 선호한다는 게 문제다. KISA의 경우 보안성 높은 매체의 보급을 위해 한때 은행 등에서 무료로 스마트카드를 나눠주기도 했지만 효과는 크지 않았다.

결국 현재 USB나 하드디스크에 발급하는 인증서도 유효기간을 더 늘려주는 방법이 갱신 문제를 해결하는 데 가장 현실적이지만, 보안 문제 등을 고려할 때 당장은 불가능하다는 게 정부 입장이다. 과학기술정통부 박준국 과장은 “현재의 공인인증서 암호체계로는 하드디스크나 USB 저장 인증서의 유효기간을 1년 넘게 가져가는 건 위험하다는 게 중론”이라며 “인증서 암호체계를 더 강화하는 방향으로 정책을 추진 중”이라고 밝혔다. 박 과장은 “암호체계 강화를 위한 시범시스템은 구축이 돼 있다”며 “시범운용을 거쳐 암호체계가 강화되면 1년 단위 인증서의 유효기간도 더 늘어나게 될 전망”이라고 덧붙였다.

최근에는 ‘비트코인’을 통해 도입된 ‘블록체인(분산원장기술)’을 공인인증서와 결합한 서비스도 선보이고 있다. 일각에는 공인인증서를 아예 대체하는 서비스로 알려져 있지만, 공인인증서를 사용하기 위한 과정에 블록체인을 도입한 것이지 공인인증서 자체를 없앤 기술로 보긴 어렵다는 게 보안업계의 시각이다. 블록체인을 활용한 공인인증서비스도 상용화됐고, 인증서의 유효기간이 3년 이상으로 길지만 아직까지는 소수 증권사들만 해당 서비스를 제공하는 등 이용에는 제한적이다. 한 보안업체 관계자는 “블록체인이 보안성이 높은 기술이긴 하지만 그 자체로 공인인증서를 대체할 만한지는 아직 검증된 바 없다”며 “기존 공인인증서 시스템과 결합해 쓰는 형태가 현재로선 나아 보인다”고 밝혔다.

<송진식 기자 truejs@kyunghyang.com>