금융거래, 이렇게 쉬워도 되나요? (핀테크의 서막)
공인인증서를 넘어 블록체인으로. 최신 인증시스템에 대한 엄마의 걱정.
저는 한 증권사에서 IT 시스템을 운영하는 개발자입니다.
주식거래를 위해 사용하는 HTS(Home trading system)와 MTS(Mobile trading system)를 운영하고 있습니다. 5년이 넘는 시간 동안 매매시스템을 운영하고 있는데, 최근 한 2년 동안 업계에 부는 IT 바람이 정말 심상치가 않습니다.
최근 금융업계에서 불고 있는 IT 기술에 대한 욕망은, 제가 입사한 이후 최고치라고 해도 과언이 아닙니다.
거래의 정확성과 시스템의 안정도가 무엇보다 중요했던 금융사의 보수적인 시스템은 변혁의 시기를 걷고 있습니다. 거래의 안전에 위협이 될 수 있다는 이유로 변화와 일탈을 꺼렸던 전통적인 관점에서 벗어나, 시스템 보안, 거래, 결제, 인증의 모든 영역에서 이른바 4차 산업혁명의 카테고리로 묶인 수많은 신기술을 도입하기 위해 혈안이 되어있을 정도입니다.
현직자가 따라가기에도 벅찰 정도로 기술 변화가 큰 금융시장에, 엄마가 문득 질문을 건네셨습니다.
# "딸, 근데 손가락 하나만 갖다 대서 돈을 보낼 수 있으면 너무 쉬운 거 아니야?"
# "엄마, 그게 결국 개인을 검증하는 방식만 달라지는 것이니까, 걱정 안 해도 돼."
# "아니 그래도 사람이 직접 돈을 세서 보내주는 게 제일 확실한 거지."
# "... 엄마?"
직접 시스템을 운영하는 딸이 얘기해보았지만, 여전히 평범한 중년 여성인 엄마는 돈거래에 최신 기술을 섣불리 가져다 쓰는 것이 너무나 두렵기만 하십니다.
이 낯선 기술. 정말 괜찮은 걸까요?
공인인증서가 뭐길래
새로운 인증에 대한 이야기를 하기에 앞서, 공인인증서를 짚고 넘어가야 합니다.
사실 저는 엄마와 1년에 한 번씩 전화로 실랑이를 하는 영역이 있었으니, 바로 공인인증서 갱신 문제 때문입니다. 공인인증서를 매년마다 갱신해야 하는 시스템을 이해하지 못하는 엄마는 어느 날 갑자기 거래가 안 되는 모바일뱅킹 앱 때문에 화가 잔뜩 나신 상태로 전화를 합니다.
# "핸드폰 고장 났나 봐. 뱅킹 앱에 안 들어가져"
# "아.... 엄마, 오늘이 며칠이지?"
저는 '아, 봄이 되었으니 엄마의 인증서를 갱신해 줄 때가 되었구나' 떠올리며 매년마다 도와드립니다.
곧 60대를 바라보는 평범한 중년 여성인 엄마는 PC 부팅조차 자주 하지 않으셨고, 주거래 은행 지점이 집 앞에 있어 온라인 뱅킹은 사용해보신 적이 없습니다. 그러나 2010년 이후 스마트폰이 보급되면서 (라고 적고 "모바일 앱을 판매하는 은행의 마케팅에 따라"라고 읽는다.) 결국 엄마도 모바일뱅킹을 시작하셨습니다.
엄마가 뱅킹 거래를 이용하기 위해서는, 공인인증서를 반드시 발급받아야 했습니다.
PC에 저장된 공인인증서 내용공인인증서란 온라인 상에서 금융거래를 하기 위한 일종의 인감증명서입니다.
이 공인인증서가 '이 홍길동이 진짜 홍길동이 맞습니다.'라고 인증하기 위해서는 전자서명이라는 절차를 통해 사용자 정보를 이용해야 합니다.
공인인증서에서 사용하는 전자서명은 공개키 기반구조(public key infrastructure, PKI)방식을 사용합니다. 간단하게 설명하면 자물쇠를 열기 위한 열쇠가 서로 다른 것을 의미합니다.
집마다 가벼운 금고를 사용한다고 가정합니다. 아빠는 금고를 엄마에게 전달하기 위해서 열쇠로 금고를 잠근 뒤, 열쇠와 금고를 같이 엄마에게 전달합니다. 이렇게 약속된 가족의 구성원끼리만 금고와 열쇠를 주고받습니다.
그렇지만 만약 열쇠와 금고를 넘겨주려다가 분실해서 모르는 사람이 모두 가져간다면, 가족이 아닌 사람들도 금고를 열어보는 문제가 발생합니다.
이러한 방식(비공개 키 알고리즘)의 문제점을 해결하기 위해 고안된 것이 공개키 알고리즘입니다.
우리 집 금고에는 한 쌍의 열쇠가 있습니다. 하나는 잠글 수 있는 열쇠-개인키이고, 하나는 열 수 있는 열쇠-공개키입니다.
아빠는 개인키로 금고를 잠급니다. 아빠는 잠긴 금고를 엄마에게 전달하고, 엄마는 공개키로 금고를 엽니다.(공개키와 개인키는 암호화와 복호화를 할 수 있는 약속된 연산(HASH)을 합니다.) 개인키는 반드시 유출되서는 안 되며, 공개키는 모두에게 공개되어 있습니다.
여기서 중요한 점은 금고의 열쇠를 외부에서 주고받는 과정이 없기 때문에, 중간에 금고를 탈취당하더라도 열쇠가 없으니 탈취자가 쉽게 열어볼 수가 없는 것입니다.
이러한 기술을 토대로 만들어진 공인인증서는 활발하게 사용되었습니다.
1999년 신한은행이 인터넷뱅킹 서비스를 상용화하며 [전자서명법]이 제정된 이 후, 공인인증서는 2002년 9월 시중은행의 인터넷뱅킹을 시작으로 2003년 온라인 증권거래에서도 그 사용이 의무화되었습니다.
2004년 [전자금융거래법]과 [전자금융감독규정]에 따라 모든 전자거래는 공인인증서의 사용을 의무화시켰고, 최근까지 공인인증서는 그 자리를 굳건히 지켜왔습니다.
이 공인인증서는 공인된 인증기관 5곳에서 관리하고 있으며, 이 중 개인이 주로 이용하는 3군데 만을 간추려 안내해보겠습니다.
코스콤 공인인증센터(SignKorea) : 한국거래소 및 예탁결제원, 각 증권사 등 증권 유관기관에서 공동으로 출자하여 설립한 코스콤의 공인인증센터.
SignKorea 홈페이지 캡처금융결제원 전자인증센터(yessign) : 은행 등 금융기관을 통한 자금 결제와 유통 시스템을 담당하는 금융결제원에서 설립한 전자인증센터.
yessign 홈페이지 캡처한국정보인증(KICA) : 전자 계약, 전자 입찰, 전자 구매 등 각종 기관에서 요구하는 인증업무 및 공인인증 서비스를 제공하는 정보인증센터.
KICA 홈페이지 캡처일반적으로 각 인증기관에서 발행하는 공인인증서는 개인용과 법인용으로 구분되며, 다시 범용과 용도제한용(일반적으로 무료)으로 구분하고 있습니다.
SignKorea 인증서 종류 및 용도 안내 (Signkorea 홈페이지)공인인증서는 발급받은 날짜를 기준으로 일 년간의 유효기간을 둡니다. 이때 일정 금액을 결제하는 범용의 경우 제한 없이 공인인증서를 이용할 수 있지만, 무료로 제공하는 용도제한용(전용)은 각 발급기관별로 인증서비스를 사용할 수 있는 범위가 정해져 있습니다.
SignKorea의 용도제한용 인증서로는 은행업무를 볼 수가 없습니다. yessign의 경우는 증권업무에 제한이 있으며, kica의 경우는 개인용과 법인용에 따라 이용 가능한 서비스가 서로 다릅니다.
이렇게 오랜 시간 금융결제 시 인증수단의 역할을 담당했던 공인인증서에 문제가 제기되기 시작한 것은 대략 10년 전으로 거슬러 올라갑니다.
2000년대 후반 즈음 일부 금융소비자들 사이에서 복잡한 발급절차와 사용자의 PC나 폰에 각종 프로그램을 설치해야 하는 불편 때문에 공인인증서 폐지를 요구하는 움직임이 시작됩니다.
또한 2010년 이후 스마트폰이 폭발적으로 보급되기 시작하면서 공인인증서의 시장지배적 위치가 "갈라파고스 정책(세계시장의 추세와 동떨어진 채 자신들만의 표준을 좇다가 고립을 자초했다는 뜻)"이라는 비난을 받기 시작합니다. 스마트폰에서의 거래는 폭발적으로 성장하기 시작했는데, 복잡한 절차를 거쳐야 하는 공인인증서의 사용은 결제수단에 큰 장애물이 되었기 때문입니다.
게다가 보안상의 허점으로 골칫덩이가 된 Active-X의 사용 문제 등 공인인증서를 둘러싼 논쟁은 점점 뜨거워졌습니다.
이러한 복합적인 문제들이 터져 나온 사건이 바로 "천송이 코트 사건"입니다.
2014년 한류 열풍을 불러온 '별에서 온 그대' 드라마 속 전지현 분이 입고 나온 코트를 중국 사람들이 구입하고자 했으나, 공인인증서 사용 문제로 구입을 못하는 사건이 발생합니다. 이 유명한 사건을 정점으로 전자금융거래 분야에서 공인인증서 사용 강제 규정은 2015년 3월 18일 자로 모두 사라졌습니다.
이후 각 금융사와 전자상거래 회사들은 거래에 필요한 인증기술을 자율적으로 선택할 수 있게 되었습니다.
이렇게 공인인증서 의무사용 조항이 폐지되고 스마트폰을 필두로 한 생체인증 등의 기술이 성장하면서, 공인인증서는 전자인증 독주체제에서 점차 자리를 빼앗기기 시작합니다.
어서 와, 생체인증은 처음이지?
스마트폰의 보급 이후, 많은 사람들이 내 손 안의 작은 기계를 통해 다양한 온라인 서비스를 이용하면서 새로운 불편이 시작되었습니다.
# "여기 비밀번호가 뭐였더라. 기억이 안 나네."
# "스마트폰 키보드 너무 작아. 맨날 오타 나서 힘들다."
PC 환경에서 주로 사용했던 개인 인증은 ID-password 방식이었습니다. 이 방식을 "지식기반 인증"이라고 부릅니다. 그러나 개인의 기억력에 의존하기 때문에 사용 빈도수에 따라 잊어버리기 쉬울 뿐만 아니라 작은 모바일 기기에서는 입력 피로도도 상당했습니다.
다음으로 공인인증서나 OTP와 같은 "소유 기반 인증" 방법론이 대두됩니다.
그러나 역시 물리적으로 인증 수단을 가지고 다녀야 하기 때문에 앞서 언급했던 보안 및 사용상의 문제가 발생했고, 그래서 최근 새롭게 떠오른 인증수단이 바로 "생체인증"입니다.
생체인증방식이란 사용자가 가지고 있는 고유한 형태의 신체구조 또는 사용자가 신체를 이용하여 행동했을 때 나타나는 행동 결과를 기반으로 인증하는 방법입니다.
지문인식, 홍채인식, 정맥인식, 얼굴인식, 장문인식(손바닥 인식) 등 기술은 다양하지만, 가장 오래되고 보편화된 기술은 바로 지문인식입니다.
따라서 현재 국내 다수의 금융사는 지문인증을 공인인증서 대체 기술로 사용하고 있습니다.
인증업무에서의 생체정보 활용 방법은 2가지로 나뉩니다.
공인인증서를 대신하는 것과 공인인증서의 비밀번호 입력절차를 대신하는 것입니다.
전자의 경우는 공인인증서를 발급받지 않도록 전자인증업무 자체를 대신하는 것이지만,
후자의 경우는 공인인증서의 인증기술을 기반으로 하되 "영문+숫자+특수문자"조합의 비밀번호를 생체정보로 대신하는 것을 말합니다.
국내에 생체인증이 도입되던 시기 어떤 방법을 채택할지는 개별 기업에 권한이 있었으나, 한국인터넷진흥원(이하 KISA)에서는 후자를 장려했습니다.(KISA는 공인인증서 기술인 공개키 기반구조의 최상위 인증기관입니다.)
이에 따라 2016년 5월 KISA는 "스마트폰 환경에서 공인인증서 안전 이용 구현 가이드라인"을 배포하며, FIDO(Fast Identity Online) 인증 기술에 기반한 공인인증서 연계 이용 방법을 제공하였습니다.
그러나 현재 대다수의 금융 애플리케이션은 후자의 방법보다는, 공인인증서를 발급받지 않아도 되는 전자의 방법을 채택하고 있습니다.
국내 대형 은행들은 자체적으로 개발한 FIDO 인증시스템으로 공인인증서를 대체하였습니다. 또한 2016년 12월에는 금융결제원과 50여개 금융사, 민간 솔루션 업체가 참여해서 공동 FIDO 시스템을 개발하였습니다.
50여개 금융사가 참여한 금융결제원 FIDO인증 공동앱이렇게 개발한 "바이오인증 공동 앱"은 기존의 공인인증서를 대신하는 역할을 합니다. 이 애플리케이션은 단일 앱으로는 사용할 수 없고, 이 시스템을 이용하는 금융사의 앱에서 FIDO 인증을 이용할 때만 실행합니다.
이 시스템은 각 스마트폰에 사용자가 직접 등록한 지문정보를 단말기에서 검증 처리를 진행하고, 전자서명 값을 공동 FIDO 서버로 전송해 인증하는 방식입니다.
제가 운영하고 있는 MTS에서도 “금융결제원 FIDO 인증 공동 앱”을 이용하고 있습니다.
사실 작년에 이 프로젝트를 착수할 때 상상했던 시스템은 사용자가 등록한 지문 정보를 각 금융사의 서버나 금융결제원 통합 서버에 저장하고, 스마트폰에서 지문 인증을 할 때마다 나의 생체정보를 서버에 전달해서 저장된 값과 비교하는 것이었습니다. (아마 이 글을 읽고 있는 많은 분들 중에도 저와 같은 위험한 상상을 하신 분들이 계실지도 모르겠습니다.)
그러나 공인인증서의 암호화 된 서명값이 전송되는 것도 위험한데, 심지어 개인의 생체정보가 전송된다면?
말도 안 되는 보안 허점이 발생합니다. 따라서 FIDO 사용 절차는 아래의 순서를 따릅니다.
FIDO 지문인증 서비스 등록 절차
FIDO 등록 절차 (TTA 제공)1. FIDO 서비스 신청 전 사용자의 스마트폰에 지문이 등록되어 있어야 합니다. 실제 지문이 올바른지에 대한 검증은 개별 스마트폰 자체에서 진행하기 때문입니다.
2. 계좌 비밀번호 검증이나 SMS 인증 등으로 사용자 신원을 확인한 후, FIDO 관리 서버에 서비스 가입을 요청합니다. FIDO 서버에서는 인증 정책을 포함한 메시지를 FIDO 앱에 내려줍니다.
3. FIDO 앱에서는 스마트폰의 지문인증을 수행하고, 검증에 성공하면 공개 키쌍을 생성해 서버에 등록합니다.
FIDO 지문인식 서비스 인증 절차
FIDO 인증 절차 (TTA 제공)1. 금융 앱에서 금융사 서버로 FIDO 인증을 요청하면, 서버간 통신으로 FIDO 서버로 인증 요청 메시지를 요청합니다.
2. FIDO 서버는 인증 요청 메시지를 FIDO 앱으로 전달하고, 스마트폰에서 지문 검증을 수행합니다.
3. 스마트폰 내에서 지문 검증에 성공하면, 등록 당시 생성된 개인키를 이용해서 전자서명을 생성합니다.
4. 이 전자서명 값이 포함된 응답 메시지를 FIDO 서버에 전달하면, 등록 당시 받았던 공개키를 이용해서 전자서명을 확인하고 인증 결과를 회신합니다.
2014년 12월 국제 표준이 된 FIDO 1.0 규격은 이미 금융업 외에도 많은 애플리케이션에서 활용하고 있으며, 향후 FIDO 2.0 규격의 출시도 앞두고 있습니다. 이렇게 생체인증을 통한 전자인증은 충분하다고 여겼던 순간, 새로운 기술이 등장했습니다.
블록체인? 비트코인 말고?
블록체인하면 가장 먼저 떠오르는 단어는 "비트코인"입니다.
물론 블록체인은 가상 화폐의 기본 기술입니다. 하지만 "비트코인은 사라져도 블록체인은 사라지지 않는다."(개인적인 견해로는 비트코인이 사라질 것 같지는 않습니다.)는 말이 통설로 느껴질 정도로, 그 기술의 활용에 대한 관심이 몹시 뜨겁습니다.
블록체인 기술의 응용은 무궁무진하지만, 특히 금융권에서의 활용에 큰 두각을 나타냅니다.
그 이유는 아래와 같은 장점들 때문입니다.
변조가 어렵다.
거래 기록의 작성 시점을 객관적으로 알 수 있다.
분산형 시스템이기 때문에 중앙집권적 시스템이 필요 없다.
거래 기록의 타당성을 모든 참가자에게 검증받아 부정 거래를 방지할 수 있다.
이러한 장점을 가진 블록체인 기술은 스위스 Santander 은행의 국제 결제 시범 서비스 개시, 독일 도이치 은행의 블록체인 혁신 연구소 설립 등을 비추어볼 때 해외 금융 업계에서도 지대한 관심을 받고 있습니다.
마찬가지로 국내에서도 핀테크라는 카테고리에서 중요한 기술로 자리매김하면서, 금융권 IT 시장에서는 일찍이 블록체인 기술을 활용한 신규 개발에 박차를 가하고 있습니다.
그 성과 중 하나가 2017년 10월 31일 금융투자협회를 필두로 국내 11개 증권사가 모인 '금융투자업권 블록체인 컨소시엄'에서 블록체인 공동인증 애플리케이션인 "CHAIN ID"를 오픈한 것입니다.
금융투자업권 블록체인 공동인증 앱 'CHAIN ID'"CHAIN ID"의 인증 수단은 '지문, 6자리 숫자 암호, 복잡한 비밀번호' 이렇게 3가지로 이미 우리에게 익숙한 방식이지만, 실제로 공동인증서를 관리하는 모델은 분산형 원장을 이용한 블록체인 기술로 구현되었습니다.
전자 인증 업무에서 블록체인은 인증서의 등록, 갱신, 폐기의 절차에서 응용되었습니다.
인증서를 신규로 발급받는 사용자가 신청 서비스를 요청하면, 개별 증권사 노드(*블록체인 기술의 근간인 노드들은 '금융투자업권 블록체인 컨소시엄'에 참여한 증권회사별로 생성됩니다.) 들이 신규 인증서에 대한 블록을 생성합니다. 합의를 거쳐 생성된 인증서는 다시 개별 증권사의 서버와 사용자의 스마트폰을 통해서 전송되며 그 인증서의 검증과 확인 절차는 FIDO 시스템과 크게 다르지 않습니다.
'금융투자업권 블록체인 컨소시엄' "CHAIN ID" 개념도이 애플리케이션 역시 '금융결제원 바이오인증 공동 앱'과 같이 단일 앱으로 사용하는 것이 아니라, 서비스를 제공하는 금융사의 모바일앱을 이용해서 API를 통해 실행시키는 형태를 취합니다.
또한 사용자가 느끼는 사용방법도 유사합니다
"CHAIN ID" 애플리케이션을 통해서 인증 서비스를 등록하면, 인증정책에 따라 개인 정보를 취득합니다.
사용자는 인증 수단을 등록하고 검증하기 위해서 개인키와 공개키 쌍을 토대로 한 공개키 기반 구조의 알고리즘을 이용하여 서명 값을 확인합니다.
분산원장형태를 취하면서 사용자가 느끼는 좋은 점은, 이 노드에 포함된 금융사라면 추가로 인증서를 발급받지 않아도 거래가 가능하다는 점입니다.
더불어 공인인증서에 비해 보안성이 강화되면서, 기존 1년 단위 갱신 기간이 3년으로 늘어난 점도 주목할 만 합니다.
이렇게 국내 금융업권에서 블록체인 기술을 활용한 인증업무를 1차 사업으로 추진해 현실화되었으며, 향후 결제 및 각종 정보 공유 시스템으로 확장할 계획을 갖고 있습니다.
물론 앞으로 이 기술이 어떤 한계점을 드러내 보완이 필요할지 지켜봐야 하겠지만, 기존의 중앙집권화된 시스템을 벗어난 분산 원장 기술은 그동안 비용이나 규제의 장벽에 막혀있던 금융 콘텐츠를 새롭게 발굴하는 데 일조할 것이라는 기대가 큽니다.
세대는 달라도, 결국은 한민족.
점점 최신 인증기술들에게 자리를 내어주고 있는 공인인증서부터, FIDO와 블록체인에 이르는 차세대 인증기술을 살펴보았습니다. 그런데 자세히 들여다보면 이 모든 차세대 인증방식은 이미 사용하고 있던 공인인증서의 공개키 기반구조(PKI) 기술과 연계해 발전하고 있습니다.
FIDO 인증도 실제 생체정보의 검증 처리는 모바일 기기에서 담당할 뿐, 통신으로 전송되는 정보는 개인키와 공개키를 이용한 전자서명의 기능으로 구현되었습니다.
블록체인은 분산 원장이기 때문에 한 노드가 해킹을 당하더라도 다른 노드들과의 검증과정을 거치기 때문에 거래 정보의 위변조 예방에는 효과적이지만, 이 기술 자체가 개인의 식별과 인증을 담당하는 것은 한계가 있습니다. 따라서 이미 안정성과 편의성을 검증받았던 공개키 기반구조를 토대로 새로운 기술을 얹어가는 방식으로 발전하고 있습니다.
공인인증서가 가졌던 문제는 공개키 기반구조(PKI)라는 몹시 안전한 기술을 가진 인증서를, 너무나 보안에 취약한 개별 PC나 모바일 기기에 방치했던 것이었습니다. 특히 편의성을 높이기 위해 Active-x 기술을 사용하기 시작하면서 서명기술과는 무관한 각종 취약점이 드러났습니다.
이러한 문제점을 보완하기 위해서 새로운 인증방식들이 탄생하였기 때문에, 우리는 더욱 편리해졌지만 안전해진 다양한 인증방식을 통해 금융거래를 할 수 있을 것입니다.
<참고문헌>
[KISA] : 스마트 환경에서의 공인인증서 활용과 문제점
[KISA] : 바이오정보 연계 등 스마트폰 환경에서 공인인증서 안전 이용 구현 가이드라인
[etri] : 패스워드 없는 인증기술-FIDO
[TTA] : FIDO 표준 기술동향
[위키북스 도서] : 블록체인 구조와 이론 (아키하네 요시하루, 아이케이 미나부 지음)
[zdnet 기사] : http://www.zdnet.co.kr/news/news_view.asp?artice_id=20170425131443
[ebn 기사] : http://www.miri.or.kr/news/view/905720?kind=writer&key=292&shword=&page=80&period=
[ebn 기사] : http://www.ebn.co.kr/news/view/915061
[디지털타임스 기사] : http://www.dt.co.kr/contents.html?article_no=2017062002101460041001
■공인인증체계 어떻게 가야 하나(하) 공인인증 대체기술, PKI와 융합해 발전한다..
www.dt.co.kr
http://www.hani.co.kr/arti/economy/finance/816893.html
