이메일 암호화 기법#33
제5장 Open PGP 와 S/MIME의 특징은 무엇인가?
이메일에서 “봉투”의 중요성과 어떻게 하면 밀봉기능을 활용할 수 있는지 잘 알게 되었는데 여러 사람이 편지를 투입할 수 있지만 우편함의 소유자만이 편지를 꺼내서 편지 내용을 해독하는 방식을 최신 정보기술로 구현한 “안전금고 우편함”을 제3장에서 설명하였다. 안전금고 우편함은 소유자의 비공개 인증서를 안전하게 관리하면 누구도 해독할 수 없다.
잘 생각해 보면 그래도 한 가지 문제가 남는다. 비밀 메시지를 당신에게 전달하기 전에 개인적으로 서로 만나 비밀열쇠를 교환하지 않아도 되는 것은 잘 알겠는데, 당신에게 편지를 보낸 사람이 당신이 원래부터 잘 알고 있는 그 사람인지 다른 사람이 그 사람을 가장했는지 어떻게 알 수 있는가? 하는 문제는 남는다. 이메일을 교신하면서 이메일을 보낸 사람이 누구인지 정확하게 식별하는 일은 매우 어렵다. 그래서 편지 내용을 비밀로 유지하는 것도 매우 중요하고 보낸 사람이 누구인지 식별하는 발신자 식별 문제를 해결하여야 한다.
그래서 누군가가 나서서 여러분이 수신한 편지를 보낸 사람이 진짜 누구인지 밝혀줄 사람이 필요하다. 우리는 늘 정부가 발행한 주민등록증을 이용하여 내가 누구인지 증명하는 신분증으로 사용한다. 또 자동차운전면허증을 신분증으로 이용하기도 하고 학생증을 신분증으로 이용하기도 한다. 모두 같은 신분증이지만 신분증 발급기관의 레벨이 다름을 알 수 있다. 이렇게 신분증 발급기관의 등급이 차이가 나는 것을 “계층적 신뢰 개념”이라고 부른다.
Gpg4win 이나 다른 이메일 암호 프로그램에서는 이 개념을 그대로 이용하여 S/MIME 방식을 개발하였다. 또 다른 방법은 OpenPGP 방식이다. 이 둘은 모두 데이터를 암호화 하고 데이터에 서명을 하는 기능을 수행한다. 또한 두 방식 모두 공개키 방식을 사용한다. 중요한 부분에서 차이가 있지만 어느 방식이 다른 방식보다 우월한 것은 아니다. 그래서 GPG4win에서는 두 가지 방식을 모두 사용할 수 있다.
계층적 신뢰개념을 기반으로 개발한 방식을 “보안 다목적 인터넷 메일 확장”(Secure / Multipurpose Internet Mail Extension)이를 줄여서 ‘S/MIME’이라고 부른다. 보안 이메일을 사용하는 경우 사용자는 반드시 암호용 인증서를 사용하기 전에 인증서 인증기관의 인증서를 받아야 한다. 인증서를 인증하는 기관은 상위기관으로부터 또 인증을 받아야 하며 최종 상위기관을 ‘루트인증기관’이라고 한다. 이러한 인증서는 세 가지가 있다. ‘루트인증서’와 인증서 발급기관의 ‘인증서’, ‘사용자 인증서’다.
두 번째 방법으로 OpenPGP 방식이 있다. 이는 서열식이 아니고 네트워크 방식으로 인증하는 것이 특징이다. 네트워크식 인증 방식은 인터넷을 기본으로 한다. 즉 B가 A를 믿어주면서 동시에 C의 공개키를 인정해주면 A가 C를 모를 지라도 A가 인증을 해주는 방식을 말한다.
그래서 OpenPGP 방식을 이용하면 상위기관으로부터 인증서를 받지 않은 상태에서 암호메일을 교환할 수 있다. 만일 여러분이 이메일 주소를 잘 알고 있고 그 사람의 인증서를 믿으면 이 방식으로도 보안메일을 이용할 수 있다.
계층식 방법을 이용하든 네트워크 방식을 이용하던지 메일 발송인을 정확하게 알아내는 문제는 메시지를 보호하는 것만큼 중요하다.
OpenPGP 나 S/MIME 방식 두 가지 방법 모두 이메일 보안 기능을 제공한다. 두 방법을 섞어서 쓸 수는 없고 한 가지를 선택하여야 한다. Gpg4win 에서는 두 가지를 병용할 수 있다. 제7장에서는 compendium을 이용하여 인증서를 만드는 방법을 다룬다.
<야간비행 - 생떽쥐베리>https://www.instagram.com/p/BxWDNMClbsI/ - 이미지 제공 - 가인건축사사무소
