애증의 공인인증서의 변화. 본질은 그대로, 하지만 사용성은 진화한다!

공인인증서에 대해서는 이것저것 할 얘기가 많은 것이 사실이다. 이전에 있었던 직장이 공인인증서를 핸들링하는 모듈을 만들던 회사이기도 했고 공인인증서의 태생부터 시작하여 시장에 어떻게 정착되어 왔는지, 또 어떻게 사용되어왔고 금융권 등은 또 어떻게 이것을 이용해왔는지를 직접 봐왔던 입장에서 공인인증서는 어떻게 보면 애증의 관계에 있는 전처(?)의 느낌이 드는 녀석임은 분명하다.

공인인증서 사용 방식의 진화

이런 공인인증서에 대해서 재미난 뉴스가 하나 보여서 좀 읽어봤다. 보안성과 편의성을 강화한 공인인증서 관리 및 사용 방식의 변화에 대한 뉴스다. 사람들이 공인인증서를 왜 불편해했는가를 생각하면 이런 변화는 무척이나 환영할만한 상황이다. 뉴스의 내용은 공인인증서를 신뢰할 수 있는 매체, 혹은 공간에 저장을 하고 클라우드에는 전자서명 부분만 저장해서 인증 요청 시 전자서명 부분만 클라우드에서 가져와서 인증을 진행한다는 것이다. PC의 경우 HSM(USB 형식의 보안 매체)에 공인인증서를 보관하고 스마트폰의 경우 트러스트존(스마트폰 내 존재하는 보안 영역)에 저장해 보안성 및 안정성을 높인다는 얘기다.

또 공인인증서의 비밀번호 입력 방식 역시 편하게 바뀔려고 하고 있다. 기존의 공인인증서는 11자리 이상의 비밀번호를 숫자와 특수문자 등을 포함하여 만들고 입력했어야 했다. 그런데 최근 서비스가 되고 있는 공인인증서 인증 방식에는 비밀번호 대신 생채인증을 이용하여 인증을 진행한다. 물론 공인인증서 자체를 생채인증으로 대체하는 것은 아니고 공인인증서의 암호 입력 부분이 생체인증으로 대체되는 것이다. 하지만 그것만으로도 충분히 지금보다 10배 이상은 편해진다는 것은 두말할 것 없다.

덕지덕지 설치해야 하는 ActiveX나 실행파일을 없애는 방향이 주목적

공인인증서가 불편하다고 느끼는 가장 큰 이유는 공인인증서를 쓰기 위해 설치해야 할 것들이 많다는 것이다. 대부분이 ActiveX이며 최근에는 ActiveX를 걷어낸다고 했지만 실행파일 방식이 들어옴으로 인해 그 나물에 그 밥이라는 소리를 듣는 상황이기도 하다. 아무리 인터넷 속도가 빠른 한국의 인터넷 환경이라고 하더라도 공인인증서를 쓴다고 그 많은 보안 모듈들을 다 설치를 하면 속도가 평소보다 2~30% 정도 감소하는 것이 일반적이다. 그럼에도 불구하고 인터넷뱅킹을 쓰기 위해서, 또 쇼핑몰 사이트에서 결제를 하기 위해서 어쩔 수 없이 사용했어야 했다. 그리고 ActiveX가 되든 실행파일 형식이 되든 윈도에 한해서만 동작이 가능한 아직까지 멀티 OS 지원은 해결되지 않은 상태이기도 하다.

일단 PC의 경우 HSM에 공인인증서를 보관한다고 하는데 윈도에서는 잘 돌아가기는 하는데 타 OS(macOS나 Linux)에서 HSM이 제대로 돌아가는지는 잘 모르겠다(참고로 맥에서 HSM을 쓰는 경우는 별로 못봐서리). 다만 별도로 뭔가를 설치하거나 하지는 않고 USB에 HSM 모듈을 꽂음으로 바로 동작은 되니 접근 자체는 무척이나 편할 듯 싶다. 그리고 HSM의 보안 능력은 일단 검증은 되었으니 HSM을 잃어버리지만 않으면 큰 문제는 없을 듯 싶다.

스마트폰의 경우 HSM을 못쓰니 어떻게 하나 싶었는데 스마트폰 내부에서 제공하는 트러스트존에 저장하도록 한다고 하니 그것도 나름 편할 듯 싶다. 물론 공인인증서를 옮기는 과정이 얼마나 복잡할까 생각할 수 있지만 요즘은 QR코드로도 공인인증서 복사 및 이동도 되니 그렇게 불편할 것 같지는 않다. 모든 스마트폰에 다 트러스트존이 있는 것은 아니지만 최근 나오고 있는 스마트폰에는 대부분 다 있으니 크게 문제는 없을 듯 싶다(아이폰에도 존재하는지는 좀 살펴봐야겠다. 트러스트존은 주로 안드로이드 OS에서 나온 얘기인지라).

공인인증서의 본질은 그대로, 일단은 사용성 개선부터 진행하기 시작을..

어찌되었던 공인인증서의 사용 자체는 이전보다는 더 편하게 가는 것은 맞는 듯 싶다. 정말로 웹브라우저에 별도로 뭔가를 설치하는 행위만 없더라도 공인인증서 자체의 사용 문제는 많이 수그러들 듯 싶다. 엄밀히 따져서 공인인증서를 문제삼고 있는 사람들은 공인인증서 자체보다는 공인인증서를 사용하기 위한 환경에 문제를 삼고 있는 것이 사실이니 그 환경을 사용하기 편하게 바꿔준다면 공인인증서를 문제삼는 것은 크게 줄어들 것으로 보이기 때문이다. 물론 아직까지 발급에 대한 문제는 여전히 남아있고 공인인증서에 대한 보관 및 관리를 사용자가 해야 한다는 사실은 변함없지만 말이다. 그런데 공인인증서의 발급 문제는 공인인증서를 바라보는 시각이 변하지 않으면 계속 불편하지 않을까 하는 생각이 들기는 하다.

어찌되었던 4차산업 시대에 어떻게 되면 가장 걸림돌이 될 것으로 얘기되던 공인인증서도 어떻게든 변화하려고 하고 있다. 물론 공인인증서 자체를 폐지하라고 주장하는 쪽의 얘기에서 서비스 인증 및 보안의 주체가 사용자가 아닌 서비스 업체가 되어야 한다는 부분을 해결할 수 있는 상황은 아니다. 여전히 공인인증서를 통해 금융 서비스를 이용하는 경우에는 공인인증서의 관리 주체는 서비스 업체가 아니라 사용자이기 때문이며 해킹 및 분실로 인한 피해 역시 고스란히 사용자에게 돌아가는 것은 여전하다. 이는 공인인증서를 온라인 인감도장으로 바라보고 있는 정부 및 관련 기관의 시각이 있기 때문에 그렇다. 인감도장 및 인감증명서를 도난당하면 그 피해가 고스란히 사용자에게 돌아가는데 그것의 온라인 버전이라고 생각하고 있는 것이 현재의 공인인증서의 발급의 어려움 및 관리 주체를 사용자에게 두는 이유가 아닐까 싶다.

즉, 모든 이들에게 만족할만한 공인인증서 방식 변경은 공인인증서를 바라보는 관리 당국의 시각 변화가 우선적으로 진행되어야 제대로 진행이 되지 않을까 하는 생각을 해본다. 저들이 생각하는 온라인 인감도장으로서의 공인인증서 개념이라면 당사자가 직접 관리해야 한다는 시각이 당연히 당위성을 얻게 되니 말이다. 그 전까지는 적어도 이정도로나마 편의성을 높이는 정도로 만족해야 하지 않을까 싶다.

* 관련 뉴스 *

달라진 공인인증서, 보안성·편의성 '진화' (아이뉴스24, 네이버뉴스)