서울페이가 놓친 블루투스, 무선의 시대 유선에 갇히다!
핀테크 살리기 #9
지난 9월 중소벤처기업부는 '소상공인 전용 간편결제시스템 구축 및 운영 방향'이라는 자료를 배포했습니다. 이때부터 서울페이 혹은 제로페이와 관련된 뉴스가 쏟아져 나오기 시작했죠. 막연했던 수수료 제로 결제시스템의 정체가 무엇인지 비로소 세상에 알려지기 시작한 겁니다.
어떤 기관이 주도하고 어떤 사업자가 참여하며 가맹점 입장에서는 뭐가 좋고 사용자에게 제공되는 혜택과 기술적 메커니즘은 이러저러 하다...나름의 준비와 연구를 통해 전체적인 방향과 목표가 잘 설명되어 있는 보고서였습니다.
그런데 생뚱맞은 부분 하나가 눈에 들어왔습니다.
QR코드를 기준으로 하되, NFC, 음파방식, 생체인증(홍채, 지문 등)도 구현하고...
QR코드를 기준으로 하되 여러가지 다양한 방식도 적용할 수 있다는 의미인 듯 합니다.
NFC와 음파라는 결제정보의 전달 '매체'를 홍채와 지문이라는 '인증'의 방식과 섞어서 설명한 것이 좀 어색한데, 비밀번호나 신분증을 대체하는 본인 확인의 '증표'인 홍채와 지문을 QR코드라는 결제 정보 전달의 '매체'와 동격으로 혼동했더군요.
요즘 생체 인증의 방식으로 급속히 부각된 '얼굴 인식'은 빠지고 '홍채'가 포함된 걸 보면, 거의 유일하게 홍채 인증을 제공하는 '삼성'의 갤럭시는 꼬옥~ 챙겨야 된다는 의도가 엿보입니다만... 급하게 추진하느라 발생한 소소하고 순수한 실수로 인정해 줍시다.
그런데 정말로 이상한 점은 '블루투스' 방식 자체가 아예 누락되어 있다는 부분이었습니다.
QR코드와 무선 통신
일반적으로 우리는 결제(payment)라는 프로세스에 다음과 같은 매체를 쓸 수 있습니다.
광역 전파망 : 와이파이, LTE
근거리 전파망 : 블루투스, NFC
근거리 비전파망 : 초음파, 적외선, QR/Bar코드
근접 접촉 : 자기 테이프, IC칩
스마트폰으로 쿠팡에서 물건을 사면 와이파이나 LTE를 사용하는 것이고, NFC는 교통카드가 대표적이며, 초음파는 스타벅스의 사이렌 오더에 응용되었고, 적외선은 고속도로 하이패스중 일부 단말기에서 사용되고 있습니다. QR 및 Bar코드는 알리페이로부터 시작하여 카카오페이와 서울페이가 채용한 것이고, 자기 테이프와 IC칩은 신용카드의 플라스틱 카드에 박혀 있지요.
또다른 방법론이 있을 수 있겠지만 위의 분류에서 크게 벗어나지는 않을 것입니다.
한편, 이렇게 다양한 결제 매체는 공간을 통해 데이터를 전송하는 '무선 통신'을 기준으로 다시 나눌 수 있습니다.
무선 통신 : 와이파이, LTE, 블루투스, 초음파, 적외선, NFC, QR/Bar코드
접촉 통신 : 자기 테이프, IC칩
접촉 통신은 '플라스틱 카드'를 상징하고, 무선 통신은 '스마트폰'을 상징한다는 점을 쉽게 이해하실 겁니다.
서울페이는 적용 가능한 무선 통신의 여러 방법중 NFC와 초음파를 콕 찝어서 설명을 했는데요, 와이파이나 LTE는 스마트폰 그 자체이고 QR 및 Bar코드는 기본 사양이므로 결국 블루투스와 적외선 통신을 누락시킨 셈입니다. 그런데 적외선 통신을 적용한 하이패스 단말기를 사용해신 분은 아시겠지만, 데이터 전송 속도가 느리고 도달 거리가 짧으며 비오는 날에는 제대로 작동되지 않는 등 기술적 한계가 많은 방식입니다. 스마트폰에 적외선 센서가 달려 있는 기종이 그리 많다고 볼 수도 없구요.
그럼 도대체 블루투스는 왜 누락된 것일까요?
블루투스에 대한 미신 3가지
블루투스는 1994년에 처음 개발된 후 다양한 분야에서 널리 사용되었습니다. 특히 스마트폰이 세상에 처음 나올 때부터, 폰과 폰을 P2P로 연결하거나 무선 이어폰을 사용하는 방식의 하나로 큰 주목을 받았지요. 그런데 이때만 하더라도 기술의 완성도가 매우 낮았습니다.
가뜩이나 초기 스마트폰의 배터리 용량이 작아서 충전기나 예비 배터리를 신주단지처럼 모시고 다녀야 하는 마당인데 블루투스 좀 켜놓을라 하면 금새 폰이 뜨끈뜨끈 해졌습니다. 에너지 소모가 많다 보니 블루투스를 On 시켜 놓는 것에 민감해 질 수 밖에 없고 이러다 보니 주변기기와의 자동 연결 서비스는 아주 제한적으로 사용되었지요. 또한 페어링(pairing)이라는 절차가 매끄럽지 않아 버벅거리기 일쑤였습니다. 지금도 구형 승용차를 타보면 블루투스가 붙었다 끊겼다 해서 아예 AUX라는 유선 잭으로 음악을 듣는 경우가 흔하죠. 게다가 특정 지역에 들어가면 주변 상가의 할인 쿠폰을 뿌려주는 Beacon 비지니스가 많이 시도되었는데, 나에게 별 상관도 없는 메세지가 스팸메일처럼 날라오곤 해서 아예 해당 앱 자체를 삭제하는 경우도 많았습니다. 우리나라에선 SK의 Syrup이 이런 활동을 많이 했던 것으로 기억나네요.
그런데 세상이 바뀌었습니다.
우리가 쓰는 거의 대부분의 스마트폰은 BLE 4.0 버전을 지원하는데, 이름 자체가 Bluetooth Low Energy 입니다. 하루 종일 켜놓아도 3~5%의 배터리 소모밖에는 없다고 하니 블루투스의 가장 큰 골칫거리는 이미 사라진 겁니다. 게다가 다른 전파와의 간섭을 최소화시켜서 연결이 끊겨도 바로 재연결하는 기능이 보완되어 페어링도 쓱~ 하고 잘됩니다. 요즘 어지간한 블루투스 이어폰이나 승용차의 경우에는 전원만 켜면 삽시간에 연결되는 경험을 해보셨을 거에요.
또한 스팸메일처럼 무차별적으로 날리던 Advertising 기능도 보다 정교하게 발전했는데, 메세지의 우선순위를 정해 선별적으로 보여주게 할 수도 있고, RSSI(Received Signal Strength Indicator)라는 신호 강도의 측정 기능을 통해 블루투스 송신기와 내 스마트폰의 거리가 매우 가까울 때에만 메세지가 오도록 조율할 수도 있습니다.
블루투스 예찬론자는 아니지만 꽤 쓸만한 근거리 무선 통신 방식이라는 점은 분명하고, 이 사실을 Google에 물어 보면 더욱 극명히 이해할 수 있습니다.
IoT라는 키워드와 위의 여러 방식을 조합하여 검색을 해보면 다음과 같은 결과가 나옵니다.
Bluetooth + IoT 검색 결과 : 4,400만건
QR + IoT 검색 결과 : 1,060만건
NFC + IoT 검색 결과 : 1,030만건
Infrared + IoT 검색 결과 : 630만건
Sonic + IoT 검색 결과 : 200만건
다른 방식 대비 압도적인 검색건수가 나오는데, 이는 그만큼 IoT 산업에 있어서 블루투스의 효용성과 채택율이 높다는 것을 의미합니다. QR이야 워낙 배포비용이 저렴해서 그렇다 치더라도, 음파방식은 블루투스보다 현저히 떨어지는 채택율을 보이는데 왜 그리 친절하게 포함시켜 놓은 것인지 이해가 잘 안됩니다.
도대체 서울페이는 왜 블루투스를 쏙 빼어놓은 걸까요?
블루투스와 페이먼트
카카오페이와 서울페이의 파열음이 발생했을 무렵 이런 기사가 잠깐 등장한 적 있습니다.
금융위원회가 6일 'QR코드 결제 표준'을 공표했다. 한국은행 금융정보화추진협의회 에서 마련한 초안을 바탕으로, 이달 보안성 심의 절차를 거쳐 금융결제원, 금융보안원 공동으로 최종 표준을 제정했다. 제로페이뿐 아니라 시중은행까지 사용할 수 있는 '은행권 공용 QR코드 표준'이 확정된 것으로서, 제로페이에 참여하는 모든 결제사업자 앱에서 사용할 수 있게 했다. 기존 QR코드가 링크로 연결되는 방식을 변경, 큐싱(QR코드+피싱) 위험도 방지했다. 다만, 자체 QR코드를 갖춘 카카오페이는 호환이 불가능하게 됐다. 이번 QR코드 결제 표준은 QR코드 발급과 이용, 파기 등 전 과정에서 결제 범용성과 간편성, 보안성을 갖췄다. 먼저 QR코드를 발급 시 국제 표준에 따라 QR코드 최신 모델로 발급해야 한다. QR코드 내 오류 복원율을 일정 수준 이하로 제한하는 등 보안기능을 넣어야한다. 민감한 개인·신용정보는 들어가선 안 된다. 고정형 QR는 특수필름을 부착하는 등 위·변조 방지 조치를 취해야한다. 변동형 QR는 보안성 기준을 충족한 앱을 통해서만 발급해야 한다. 결제사업자는 해킹 방지대책을 세워야 하며, 소비자와 가맹점은 보안성이 인정되지 않은 임의 QR코드 스캐너 등을 사용하면 안 된다. 이외 가맹점 탈퇴·폐업한 점주는 QR코드를 파기한 뒤 가맹점 관리자에게 신고해야 한다. 결제사업자는 훼손됐거나 가맹점이 탈퇴·폐업한 QR코드, 유효기간이 지난 변동형 QR코드 등은 결제를 차단해야 한다. [전자신문 2018.11.6]
몇 줄 안되는 기사인데 보안과 관련한 단어가 수십번 등장합니다. 이 기사를 보면서 저는 그놈의 '공인인증서'가 바로 떠오르더군요. '별에서 온 그대'의 천송이 코트 덕에 공인인증서와 Active-X의 굴레에서 간신히 벗어나나 싶었더니, 제 버릇 남 못준다고 서울페이도 제2의 공인인증서로 범벅을 해놓을 심산인 듯 합니다.
돈이 직접 오가는 지급결제 프로세스에서 보안 문제는 매우 중요한 이슈가 맞습니다. 하지만 국가가 개입하여 표준을 잡고 이것만 따르면 된다라는 방법보다 위험한 것이 또 없습니다. 가이드라인을 한번 잡아 놓으면 거꾸로 그 가이드라인 속 사업자(특히 은행)들에겐 면죄부가 생기기 때문입니다.
TOSS나 카카오페이는 어마어마하게 많은 거래를 처리하고 있지만 이들 회사들에 대대적인 해킹 사고가 났다는 이야기를 들어본 적이 없습니다. 이들에게 해킹사고란 사업의 존폐를 가리는 변수이기 때문에 어떤 방법과 어떤 투자를 해서든 막아냅니다. 반면 공인인증서라는 면죄부를 받은 은행과 같은 가두리 사업자들은 문제만 생기면 사용자에게 책임을 전가하기 일쑤입니다. 비밀번호 유출의 책임을 묻거나 인증서 관리의 미비함 등등을 들어 어떻게든 면피하는데 도가 튼 부류들이지요.
미루어 짐작컨대 블루투스가 누락된 이유는 아마도 보안과 관련한 미신 혹은 오해 때문이 아닐까 싶습니다. NFC는 실제로 보안성이 매우 높습니다. 기술 자체에 대단히 강력한 보안기능이 포함된 것은 아니고, 전파의 도달거리가 10cm 이내로 매우 짧기 때문입니다. 누군가 NFC를 해킹하려고 해도 일단 10cm 이내로 바짝 붙어서 무언가를 해야 되기 때문에 주위 사람에게 '의심'받는 행동이 나타나게 되고 결과적으로 해커 입장에서 리스크 대비 실익이 낮을 수밖에 없지요. QR코드도 비슷한 맥락입니다. 스마트폰 사용자가 본인의 의지로 잠금화면을 해제하고 특정 앱을 가동시켜 카메라로 사진을 찍어야만 데이터가 수신되기 때문에, 의도하지 않은 상태에서는 외부의 불건전한 데이터가 강제로 삽입될 가능성이 낮습니다.
그럼 블루투스는 어떨까요?
블루투스의 보안수준은 Wifi와 고속도로 하이패스의 원리를 알면 쉽게 이해할 수 있습니다.
우리는 Wifi를 이용해 온라인상에서 물건을 구매하고 결제하는 데에 매우 익숙해져 있습니다. 대부분의 온라인 쇼핑몰의 경우 데스크탑 PC를 통한 웹결제 보다 스마트폰 모바일결제의 비중이 높아진지 오래입니다. 그런데 모바일결제는 LTE가 아닌 Wifi를 이용해서도 얼마든지 작동되지요. '무선 통신' 자체가 보안상의 이슈가 크다고 한다면 금융위원회가 Wifi를 그냥 내버려두지 않았을 겁니다.
동네 커피숍에서 제공하는 무료 Wifi를 많이 사용하셨을 텐데, Wifi의 도달거리도 10~20m 넘어 가면 잘 잡히질 않습니다. 블루투스랑 별 차이가 없지요. 처음 접속할 때 비번을 입력해야 하니 페어링 절차도 블루투스와 차이가 없구요. 공항에서 공용Wifi 써 보신 분들은 이것저것 동의하고 난 후 광고페이지가 올라오는 것도 경험하셨을 겁니다.
제공하는 서비스의 커버리지나 작동 원리는 Wifi 나 블루투스나 대동소이 합니다.
그런데 기술 자체의 보안성은 블루투스가 Wifi 보다 훨씬 강력합니다.
블루투스와 Wifi를 비교한 전문가들의 자료를 찾아보시면 쉽게 확인하실 수 있을텐데요, Wifi의 장점은 전송 속도가 빠르고 데이터의 유실이 없다는 점입니다. 동영상과 같은 대량 데이터는 전송속도가 상대적으로 느린 블루투스로는 받기 어렵습니다. 한번 연결되고 나면 끊김없이 연속적으로 데이터를 수신해야 하는 경우에도 블루투스는 적합하지 않습니다. 가끔 블루투스 이어폰이 띡띡 끊겨서 들리는 것은 Wifi처럼 데이터의 연속성을 보장하는 기능이 약하기 때문이지요.
반면, Wifi 기술에 있어서 항상 대두되는 문제는 별도의 보안프로토콜이 반드시 필요하고 연결 및 해제 시 지연이 발생한다는 점입니다. 블루투스는 자체적인 암호화 프로토콜이 내장되어 있어서 외부의 해킹 시도에 상대적으로 안전하며 연결 및 해제의 속도가 빠릅니다. 만약 블루투스의 보안 위협이 심각하다면, 아이폰의 에어팟은 물론이고, 승용차 오디오와의 음악 연결, 무선 마우스, 웨어러블 손목시계 등의 사용에 심각한 문제가 있었어야만 하는 것이지요.
블루투스 방식이 보안에 취약하다고 말하는 누군가가 있다면, Wifi를 이용하여 온라인 쇼핑몰에서 물건을 사거나 은행의 뱅킹앱으로 돈을 보내거나 하는 현재의 상황을 전면 부정해야 할 것이고 , 전국의 커피숍과 식당, 공공장소에서 제공하는 무료 Wifi 송신기를 모두 철거해야 한다는 주장부터 먼저 하시기 바랍니다.
'무선' 방식 자체가 오프라인 결제 환경에 적용하기 어렵다고 보는 사람도 있습니다. 특정 지역 내 모든 사람에게 '무지향적'으로 데이터를 송신하는 전파의 속성상, 실제 결제할 사람이 아닌 엉뚱한 제3자에게 잘 못 전달되는 경우에 대한 우려가 있지요.
그런데 이 문제는 고속도로 하이패스의 사례를 보면 너무나 쉽게 풀립니다.
수십 km의 빠른 속도로 줄지어 이동중인 자동차의 경우에도 하이패스는 정확하게 '이번에 결제할 사람은 누구'인지를 판별해 냅니다. 블루투스보다 전송 속도가 조금 더 빠른 주파수대를 사용할 뿐 기술적 차이가 거의 없는 전형적인 무선 전파를 이용합니다만, 송신기로부터 가장 가까운 자동차를 칼같이 찾아낼 뿐 아니라 직전 통과지점의 정보와 연결하여 개별적으로 과금합니다. 식당이나 편의점보다 더욱 많이 줄을 서고 다양한 청구금액이 발생하지만, 빠른 속도로 오류 없이 '오프라인에서 무선 결제'를 수행하는 것입니다.
하이패스가 해킹되어 돈을 뺏겼다는 사람을 들어본 적도 없구요.
결론적으로 말씀 드립니다.
블루투스는 오프라인 결제를 위한 하나의 매체로서 아무 문제가 없는 방식입니다.
무선의 시대, 유선에 갇힌 결제 인프라
2014년에 아마존이 '에코'를 만든 이후, 구글, SK, KT, 카카오와 네이버까지 그야말로 인공지능 스피커의 춘추전국 시대가 열렸습니다. 사람 말을 알아 듣고 음악과 일기예보와 뉴스를 읊어주는 신통방통한 기계죠. 그런데 이 기계를 오직 '음성 인식' 기능에만 맞추어 이해하는 것이 좀 아쉽습니다. 아마존이 이 기계의 네이밍을 왜 '메아리'로 했는지 곰곰히 상상해 보면, 이 기계의 본질은 '쌍방향 On-Air 커뮤니케이션을 지원하는 무선 디바이스'가 아닐까 하는 생각이 듭니다.
메아리.
공간을 통해 보내는 질문과, 공간을 통해 돌아오는 응답.
이른바 Beacon 서비스의 가정용 버전이 바로 인공지능 스피커입니다.
Beacon은 블루투스를 기반으로 근거리에 있는 스마트 기기를 자동으로 인식하여 필요한 데이터를 전송할 수 있는 무선 통신 장치로서, 마트, 음식점, 미용실, 박물관, 영화관, 야구장 등을 방문한 고객의 스마트폰에 할인 쿠폰이나 안내 정보 등의 데이터를 Push 전송하는 기술을 말합니다. 이른바 O2O(Online to Offline) 비지니스의 상징적인 기술인데, Apple의 iBeacon을 시초로 Google은 Eddystone을 내어 놓았고 우리 나라에도 YAP, Perples 같은 사업자들이 있습니다.
Beacon 서비스가 식당에 도입되면, 대기표도 스마트폰으로 척척 받고, 온갖 토핑과 소스를 선택하는 복잡한 메뉴도 스마트폰으로 쓱쓱 주문하고, 앉은 자리에서 쿨하게 결제도 하고, 종이에 도장 받지 않아도 모바일 쿠폰이 팡팡 쌓입니다.
이 서비스가 가진 가장 큰 장점은 상대방이 나에게 먼저 보내온 '노크'에 대해 선택적으로 응답만 하면 된다는 점입니다.
부지불식간에 우리는 이미 세상의 많은 사물들과 연결되어 있습니다. 이른바 IoT라고 하는 4차산업혁명의 화두는 먼 미래의 신기루가 아닌 바로 현재 우리가 향유하고 있는 보편적 기술이 조금 더 확장된 것에 불과하지요.
'무선 통신'은 사람과 사람 사이의 연결, 사람과 사물의 연결, 사물과 사물의 연결을 뒷받침하는 핵심 기술입니다.
무선으로 연결되어 있다는 것은 내가 직접적으로 어떤 행동을 하지 않아도 '알아서 저절로' 특정 기능이 수행될 수 있음을 의미합니다.
가장 대표적인 사례가 카카오톡 입니다.
만약 카카오톡에 메세지 '알림' 기능이 없었다면 어떻게 되었을까요?
누군가로부터 받은 메세지를 '즉시' 알려주지 않고 앱을 실행해야만 확인할 수 있다면 사람들이 카카오톡을 이렇게나 많이 사용하고 있을까요?
할 수 없이 '전화'를 걸어 바로 즉시 응답을 듣고자 할 겁니다.
블루투스의 근거리 무선 통신을 이용한 Beacon 서비스는, 사람에게 주민등록번호를 부여하듯 디바이스에 ID를 부여하여 세상에 단 하나밖에 없는 Unique한 식별성을 부여하고, 스마트폰과 Beacon 간의 1 to 1 match를 통해 사용자의 선행적이고 물리적인 행동 없이도 특정 기능을 자동으로 수행하는 '능동 연결'의 효용성을 제공합니다. 스마트키 자동차가 옆에 다가온 주인을 알아보고 웰컴 사인을 보내고, 스피커와 마우스와 이어폰도 전원만 켜면 즉시 '내 스마트폰'과의 연결을 시작하는 것처럼 말이지요.
반면 QR코드, Bar코드, 마그네틱 테이프, IC칩은 매우 매우 수동적입니다. 사용자가 플라스틱 카드를 지갑에서 꺼내어 리더기에 직접 읽히건, 인쇄되어 있는 QR코드를 카메라로 찍어서 정보를 취득하건, 내 스마트폰에서 QR코드나 Bar코드를 생성하여 캐셔에게 보여주건, 직접적이고 물리적인 행동을 '먼저' 취하지 않으면 아무 것도 할 수 없습니다. Broadcasting이 근원적으로 불가능한 기술인 것이지요.
교통카드에 많이 쓰이는 NFC는 비록 전파를 사용하는 무선 송신 기술이지만 그 전파의 도달거리가 10cm 정도밖에는 안되기 때문에 Broadcasting 기능은 없다라고 봐도 무방할 겁니다.
알리페이와 위챗페이를 통해 QR코드가 완전히 자리잡은 중국에서는 다양한 생활편의 기능을 QR코드를 이용해 구현하고 있지만, Broadcasting이 되지 않아 발생하는 문제점은 점점 커지고 있습니다. QR 공해라 할 정도로 건물과 도로의 벽이란 벽에는 오만가지 '검은 점'이 도배되어 있고, 한번 접착시킨 QR코드에 조금이라도 변경 사항이 발생하면 새로운 QR코드를 인쇄하여 덧붙여야 할 뿐 아니라, 도대체 이 QR코드가 정상적인 회사와 가게에서 붙여놓은 건지 확인할 방법이 없으니 때때로 해킹사고의 희생양이 되기도 합니다.
고정(fixed)된 오프라인 인쇄물이 가진 근원적 한계를 벗어나기 어려운 것이죠.
서울페이는 배포비용과 범용성 측면에서의 압도적 가성비 때문에 QR코드를 선택하였겠지만, QR코드를 선택했다 해서 Beacon 비지니스와의 연결이 불가능한 것은 아닙니다.
QR코드는 그 속성 자체가 비암호화된 평문(plain text) 통신입니다. 해당 평문에 어떠한 정보를 얼마나 담을 것인가에 대한 약속이 중요할 뿐, 이 정보를 QR이나 Bar코드 같은 이미지로 만들어 카메라로 보내건, 블루투스나 NFC를 통해 전파로 날려 보내건, 음파에 실어 쏘아 보내건, 받아 보는 사용자의 입장에서는 어차피 동일한 문자 정보가 수신됩니다.
이러한 방식중 가장 탁월한 Broadcasting 기능을 제공하는 것이 바로 블루투스 입니다.
그런데 서울페이는 이 유용한 솔루션을 고의이건 타의이건 누락시킨 것이었구요.
마그네틱 테이프 -> QR코드 -> 블루투스 로 이어지는 결제 인프라의 진화단계는 석기시대 -> 청동기시대 -> 철기시대 에 대입하여 설명할 수 있습니다.
철기시대 문명의 모든 것을 맛 본 대한민국의 사용자들에게, 석기시대는 어떻게든 끝내 줄테니 청동기로 만족하라고 뒷북 치는 셈입니다. 미국, 중국, 일본 같은 경쟁국들이 이미 철기 이후의 시대를 준비하고 있는 상황에서 말이지요.
사람에게 가장 어려운 것이 자기 부정이라고 합니다.
자기가 맞다고 생각한 것, 옳다고 생각한 것을 번복하고 되돌리기는 매우 고통스럽지요.
서울페이가 혹시라도 저의 이야기를 통해 새롭게 알게 된 사실이 있다면, 기존에는 왜 이런 내용이 온전히 전달되지 않았는가에 대해 한번 생각해 보시기 바랍니다.
다음 브런치에는 신용카드 수수료와 가맹점 부가세 세액공제에 대한 이야기를 해보겠습니다.
@포샤
