Prof. Byoungcheon Lee's Homepage

http://www.zdnet.co.kr/news/news_view.asp?artice_id=20120329124248

[지디넷코리아]국내 공인인증서 서비스 환경에서 액티브X를 걷어낼 것으로 기대되는 웹표준화 논의가 수면위로 떠올랐다. 웹표준화기구 W3C의 ‘웹 크립토그래피 워킹그룹(WG)’이 우리나라 인터넷뱅킹 서비스 사용 사례를 지원할 기능 표준화를 논의해온 중간 결과다. (23일자 보도 [단독]“액티브X 없이 공인인증서 쓴다“ 참고)

최근 한국모질라커뮤니티 윤석찬 리더는 이같은 성과에 많은 문의가 쏟아져 관심이 높아진 것은 반갑지만, 앞서 지속된 국내 소수 업계인들의 노력을 인지하고 W3C 대한민국 사무국 등 공식 조직의 체계적인 지원은 찾아보기 어려웠다고 일침을 가했다. 불만이 있다면 이를 바꿔나갈 행동과 관심을 보여 달라는 이야기로 들린다.

그는 29일 개인 블로그를 통해서도 “웹 크립토그래피 WG은 (2008년 이전부터) 꾸준히 얘기한 끝에 성사된 결과인데 몇년간 W3C에서 이를 얘기하고 모질라에 어필하는 동안 일부 보안 업계 전문가들의 지원을 제외하고 W3C 한국 사무국, 회원사, 표준 전문가들의 어떤 관심도 보지 못했다”며 “그간 국내 폐쇄적 인터넷 뱅킹 현실에 말만 많았지 표준 영역에 지속적인 관심을 갖고 행동을 보인 사람은 거의 없었다는 점이 매우 유감”이라고 언급했다.

▲ 현재 국내 보안규정을 따르는 공인인증서 서비스체계가 브라우저 자체 기능으로 구현되지 않는 요건을 강제하기 때문에 액티브X나 플러그인 기술이 반드시 요구되는 상황이다. 차세대 웹표준 기반 인증기술로 이를 지원할 수 있다면 기술적으로는 브라우저 자체 인증서 처리가 가능해진다.

실제로 앞서 언급한 지디넷코리아 보도에 대한 일반인들의 반응을 보면 과거 논의된 내용의 이력에 대해 아는 경우를 찾기 어렵다. 호의적인 입장의 누리꾼은 “이제라도 이런 움직임이 시작돼 다행”이라 말하고, 부정적인 시각일 경우 “기술이 나왔다는 것도 아니고 개발 중이라는 것도 아니고 조직이 생겼다는 수준이냐”고 불평한 것이다.

기술 표준화가 시작됐다고 당장 가만있으면 몇 년 이내에 액티브X 없이 브라우저만 갖고 공인인증서로 인터넷뱅킹 서비스를 이용할 수 있는 게 아니다. 국내 이해당사자간 합의할 사안과 제도적으로 풀어야 할 부분, PC보안과 관련된 사용자 문화 측면의 변화도 함께 이뤄져야 한다. 이에 해당 논의의 이력과 현재 상황과 향후 흐름을 정리했다.

■W3C 웹 크립토그래피 WG가 생기기까지

앞서 지난해말 모질라, 구글, W3C는 액티브X 기반 공인인증체계를 대신할만한 웹기반 인증 기술 확보를 위해 표준 개발에 나섰다. 그 훨씬 이전부터 윤석찬 리더는 개인 자격으로 W3C HTML WG이나 웹앱 WG에 관련 의견 제안과 기술 초안 작성 등 활동을 해오다 모질라가 직접 관심을 보이도록 요청했다고 한다.

이후 2008년 방한한 미첼 베이커 모질라 의장이 액티브X에 묶인 국내 공인인증서 환경의 문제를 인지했고, 2010년 루카스 아담스키 모질라 보안 총괄 책임자와 2011년 안드레아스 갈의 방한을 계기로 모질라 내부의 지원 계획이 구체화됐다. 모질라 내부 프로토타입과 스펙을 만들기 시작한 것이다.

이에 따라 지난해 5월부터 초기 API를 개발하고 일차 구현과 테스트를 진행, 8월에는 W3C WebCrypto API 커뮤니티 그룹을 열어 의견 수렴, 11월 W3C 티팩(TPAC) 회의 상정을 통한 표준 워킹그룹 발족이 이뤄졌다.

■파이어폭스, 웹킷 계열에 구현-테스트

지난주까지 해당 WG에 속한 회원사들간 의견이 모였고, 이변이 없다면 다음달부터 웹표준 영역에 국내 인터넷뱅킹 등을 고려한 기능들이 1차, 2차로 나뉘는데 우선순위에 따라 구현될 예정이다. 우선순위가 높은 1차 영역은 이미 파이어폭스를 만드는 모질라의 게코(Gecko)엔진과 구글이 크롬에, 애플이 사파리에 탑재한 웹킷(Webkit)엔진에 구현중이다.

윤석찬 리더에 따르면 1차 영역에 키 생성, 암호화, 복호화, 디지털서명 생성과 유효성 확인, 메시지 인증과 키 이동, 난수 발생, 싱글 세션 키 생성과 저장 기능이 포함된다. 2차 영역에 TLS 세션 기반 로그인과 로그아웃, 키 생성과 데이터 보호, 키 내보내기와 가져오기, 키 정보 확인과 키 발급, 인증 서비스상의 선택과 폐기와 이에 기반한 전자서명과 암호화 기능이 포함된다.

그는 “1차 기능은 WG이 만들어질 때 기본적으로 제안돼 있던 영역이고 모질라에서 제안한 웹 기반 암호화, 서명을 위한 싱글 세션 기반 구현체 ‘DOMCrypt’가 이미 있어 2차 기능을 수행할 수 있는 기초가 된다”고 설명했다.

현존하는 데스크톱과 모바일 브라우저 대부분이 1차 영역 기능을 지원하기는 어렵지 않을 전망이다. 1차 기능은 브라우저 엔진을 개발하면서 구현 가능한 수준이다. 그런데 2차 기능 일부 항목은 운영체제(OS)와 동작 플랫폼마다 따로 만들어야 할 경우도 있다. 브라우저가 2차 기능까지 지원해야 국내 환경에 맞는 인증서 서비스를 위한 최소한의 기술적 가능성이 열린다.

W3C 웹 크립토그래피 WG에 후순위로 국내 인증서 환경을 반영할 여지가 생긴 것은 사실이지만, 손 놓고 있으면 알아서 표준화해 준다는 얘기가 아니다. 국내 이해당사자의 노력여하와 꾸준한 업계 관심이 요구된다.

■향후 활동 방향과 남은 과제

WG의 1차 목표는 ‘DOMCrypt API’를 표준화해 2개 이상의 브라우저에서 구현과 테스트를 병행하는 것이다. 이 동안 여러 사례를 수집해 2차 기능에 대한 표준 작업 제안이 요구된다. 이를 위해 앞서 윤석찬 리더가 DOM Crypt, 로그인 로그아웃, 서명, 외부단말기 제공 내용을 포함해 만든 ‘Web Crypto API’ 초안이 일부 발췌된다. 구글과 모질라의 엔지니어들도 구현을 위한 의견을 나누는 중이다.

국내서도 W3C 웹 크립토그래피 WG에 액티브X를 대체할 수 있는 인증서 처리기능 표준화 활동을 본격화한다. 윤석찬 리더의 초안으로 시작된 모질라의 기존 구현체를 발전시키는 것이다.

윤석찬 리더에 따르면 한국인터넷진흥원(KISA) 전자인증팀이 국내 공개키기반구조(PKI) 인증서 서비스 기술 업체들 의견을 수렴중이다. 또 KISA는 다음주 6개월(4~9월)간 예산 4천만원짜리 용역과제 ‘웹표준 기반 공인인증서비스 개발’ 공고를 낼 예정이다. 웹 크립토그래피 WG 활동 요구사항과 국내 서비스를 위해 필요한 부분에 대해 모질라 구현체에 코드를 공헌하는 내용이다. 과제 수행 결과를 두고 봐야겠지만 이를 완수하는 것만으로 모든 장벽을 걷어낼 수는 없을 듯하다.

향후 액티브X를 대신할 정도의 기술적 진전이 이뤄져도 몇가지 문제가 남는다. 이에 대해 윤석찬 리더는 ▲브라우저가 인증서를 다루는 표준 방식과 맞지 않게 사용자가 공인인증서 비밀키를 암호화고 그 저장경로를 노출시키는 국내 체계 ▲표준화 이후 웹기반 서비스에 대한 외부 공격 시나리오 대응 ▲인증서 탈취 대응책으로 제기됐던 국내 보안 토큰 사용 필요성 ▲일회용비밀번호(OTP) 등 오프라인 인증수단을 요구하는 상황이 불분명한 국내 보안 정책, 4가지를 꼽았다.

이제 스마트폰에서도 인터넷 뱅킹/쇼핑 안심하고 하세요

– ETRI “스마트서명(Smart Sign) 기술 개발“

– 모든 스마트폰 웹브라우저에서 공인인증서 통한 안전한 전자상거래 가능

– 액티브엑스 등 플러그인 사용하지 않아 특정기술 종속성 탈피

이제 아이폰, 모토로이, T옴니아, 블랙베리 등 모든 스마트폰에서 웹브라우저를 이용한 인터넷 뱅킹 및 쇼핑 등의 전자거래가 가능하게 됐다.

ETRI(한국전자통신연구원, 원장 김흥남)는 스마트폰의 모든 웹브라우저에서 공인인증서를 이용하여 전자서명을 할 수 있게 해주는 “스마트서명(Smart Sign)기술을 개발하여 상용화를 추진한다”고 28일 밝혔다.

현재 아이폰의 사파리 등 스마트폰 웹브라우저에서는 공인인증서를 이용하여 전자서명을 할 수 없다. 이는 공인인증서 기반 전자서명이 주로 액티브엑스 등 플러그인 방식으로 구현되어 있는 반면 스마트폰 웹브라우저에서 이를 지원하지 않기 때문이다. 이러한 스마트폰 웹브라우저에서 공인인증서를 이용할 수 없는 문제는 스마트폰에서의 인터넷 뱅킹/쇼핑 등 웹기반 전자거래에 장애물로 지적되어 왔다.

ETRI에서 이번에 개발한 스마트서명 기술은 브라우저별 플러그인 대신 브라우저별 특성에 관계없는 공통의 스마트서명 애플리케이션(SmartSign앱)을 설치하기만 하면 이용 가능하다. 웹브라우저에서 웹 표준 프로토콜을 사용하여 전자서명 기능을 호출하므로 아이폰, 안드로이드 등 플랫폼에 상관없이 모든 브라우저에서 동일한 방식으로 공인인증서 전자서명을 이용할 수 있도록 해준다.

또한 스마트폰의 브라우저뿐만 아니라 모바일뱅킹앱과 같은 애플리케이션에서도 ‘SmartSign앱’의 전자서명 기능을 호출해 사용할 수 있다. 공인인증서 비밀키를 각 애플리케이션에 제공 후 전자서명을 수행하는 공인인증서 공통앱 방식과는 달리, ‘SmartSign앱’은 직접 전자서명을 제공하므로 비밀키 유출 위험이 없고 각 애플리케이션이 중복하여 전자서명 기능을 갖고 있을 필요도 없다.

ETRI는 이번 스마트서명 기술이 특정 플랫폼이나 특정 회사의 기술에 종속되지 않는 중립성을 확보하여 모든 환경에서 사용할 수 있는 높은 적용성을 갖는다고 밝혔다. 이러한 특성을 이용 ETRI는 PC 상의 모든 브라우저에서도 플러그인없이 공인인증서를 사용할 수 있도록 해주는 PC버전을 하반기에 발표할 예정이다.

ETRI 지식정보보안연구부 조현숙 부장은 “공인인증서는 많은 장점에도 불구하고 액티브엑스 등 특정 방식으로 주로 개발되어 사용자 불편을 초래하고, 스마트폰 웹브라우저에서 지원되지 않아 뱅킹/쇼핑 등 모바일 서비스 발전의 저해요소로까지 지목되었다”라면서, “이번 스마트서명 기술 개발로 스마트폰의 사용 및 개발 편의성이 크게 개선되고 안전한 모바일 서비스가 가능하게 되었다”고 말했다.

또한 ETRI 김흥남 원장은 “10여년 전 공인인증서 기술을 개발해 안전한 인터넷 서비스 발전에 기여했던 ETRI가 스마트폰 사용의 제약 요건이었던 공인인증서 기술을 개발함으로써, 안전한 모바일 서비스 발전에 다시금 기여할 수 있게 된 점을 매우 뜻깊게 생각한다”고 밝혔다.

ETRI는 현재 스마트서명 기술 검증과 특허 출원을 완료하였으며 조기 상용화를 추진하여 6월 중 아이폰용 ‘SmartSign앱’을 발표하고, 8월 중에 안드로이드 버전을 발표할 예정이다.

한편 ETRI는 스마트서명 기술에 머물지 않고 전자서명 비밀키를 USIM에 저장하고 USIM 내부에서 전자서명을 수행하여 비밀키 유출 가능성을 차단하는 USIM 저장 및 서명 기능을 개발하여 하반기 중 발표할 계획이다. 이 기능이 활성화되면 비밀키 유출 가능성에 따른 전자서명 부인방지 기능 효력 논란도 사라질 것이라는 게 연구원 측 설명이다.

ETRI의 스마트서명 기술은 지식경제부의 지원을 받아 수행 중인 “모바일ID 보안 및 프라이버시 보호를 위한 스마트지갑 개발” 과제를 통해 개발되었으며, BC카드, 비티웍스, 케이사인, 숭실대학교가 공동으로 참여하고 있다.

[배포번호 : 2010-036호]

http://www.etri.re.kr/bbs/view.etri?b_board_id=ETRI06&b_idx=11779

스마트폰 공인인증서 처리 기술개발, 이상한 경쟁구도

[IT 전문 블로그 미디어=딜라이트닷넷] 지난 3월 말 정부가 전자금융거래 공인인증서 의무화 규제를 풀기로 한 뒤, 민관 차원에서 공인인증서를 대체할 수 있는 사용자 보안(인증) 방안에 대한 활발한 조사 연구가 진행되고 있습니다.

명확하게 표현하자면 ‘동등한 수준의 안전성을 가진 공인인증서 대체수단’에 관한 가이드라인을 마련하고 있지요.(기밀성, 무결성, 부인방지, 인증 기능을 충족하는 기술)

그런데 다른 한편으로는 스마트폰에서 모바일 뱅킹 등 다양한 인터넷거래서비스를 이용할 때 사용자들이 공인인증서를 보다 편리하게 쓸 수 있도록 하는 기술도 활발히 모색되고 있습니다.

공인인증서가 지금까지 주로 마이크로소프트 인터넷익스플로러를 통해 ‘액티브X’라는 플러그인 방식으로만 제공되면서 지적됐던 특정 플랫폼 종속 문제와 이로 인한 사용자 불편을 개선할 수 있는 기술이 잇달아 개발되고 있는 것입니다.

한국인터넷진흥원(KISA)은 이미 스마트폰에서도 PC에서처럼 하나의 공인인증서로 자유롭게 이용할 수 있도록 인증서 저장소와 저장위치를 표준화하는 기술규격을 만들었습니다.

그리고 KT와 함께 하나의 공인인증서를 사용해 여러 뱅킹, 증권, 결제 서비스를 아이폰에서 편리하게 이용할 수 있도록 아이폰용 공인인증서 공용 앱(App)을 개발했습니다. 이름이 SHOW 인증서입니다.

원래는 4월 중순부터 애플 앱스토어를 통해 배포, 서비스한다고 했지만 아직 제공되지는 않고 있습니다.

그 이유를 확인해보니, 좀 지연돼 애플에서 현재 막바지 검수를 받는 단계에 있답니다. KISA와 KT는 조만간, 5월 초 앱스토어를 통해 서비스될 것으로 예상하고 있습니다.

그리고 KISA는 KT, SKT, LGT 등 이통사들과 안드로이드용 공인인증서 서비스, 대용량 USIM 기반 공인인증서 서비스 개발도 추진하고 있습니다.

민간 보안업체인 비티웍스는 최근 스마트폰 웹브라우저만 있으면 별도의 앱을 설치하지 않고도 공인인증서 기반의 전자서명을 처리하는 기술(‘BTW-SSLSign’)을 개발했습니다.

표준 웹브라우저가 제공하는 SSL(Secure Socket Layer) 프로토콜을 이용하기 때문에 스마트폰 플랫폼이나 웹브라우저 종류에 관계없이 공인인증서 전자서명을 처리합니다.

특정 웹 환경에 종속돼 있지도, 별도의 플러그인이나 앱을 설치할 필요가 없기 때문에 높은 사용자 편의성을 제공하고, 인터넷서비스 제공업체의 개발·관리 부담도 해소할 수 있다는 것이 비티웍스의 설명입니다.

아직은 특정 인터넷서비스에 상용화돼 있지는 않지만 은행, 증권사 등 금융기관을 대상으로 활발히 이 기술을 소개하고 있답니다.

얼마 전에는 한국전자통신연구원(ETRI)도 비슷한 기술을 개발했다고 발표했습니다. 지난 4월 28일 발표된 ‘스마트서명(Smart Sign)’인데요.

하나의 ‘스마트사인앱’을 설치하면 모든 스마트폰 웹브라우저에서 공인인증서 전자서명을 이용할 수 있도록 하는 기술입니다. 모바일뱅킹과 같은 서비스 앱에서도 ‘스마트사인앱’의 전자서명 기능을 호출해 사용할 수 있다고 합니다.

‘스마트사인 앱’은 공인인증서 비밀키를 각 애플리케이션에 제공 후 전자서명을 수행하는 공인인증서 공통앱 방식과는 달리, 직접 전자서명을 제공하므로 비밀키 유출 위험이 없고 각 애플리케이션이 중복하여 전자서명 기능을 갖고 있을 필요도 없다는 것이 특징입니다.

ETRI는 이번 스마트서명 기술이 특정 플랫폼이나 특정 회사의 기술에 종속되지 않는 중립성을 확보해 모든 환경에서 사용할 수 있는 높은 적용성을 갖는다고 밝혔습니다.

아직은 이 기술은 프로토타입만 개발된 상태랍니다. 6월 중 아이폰용 ‘스마트사인앱’을 내놓고 8월 중에는 안드로이드 버전을 출시한다고 합니다.

또 ETRI는 이미 이 기술에 대한 특허를 출원했고, 국내외 표준화기구를 통해 표준화도 추진할 예정이라고 하네요. 당연히 민간업체에 이 기술을 이전하겠지요.

이 뿐만 아닙니다. ETRI는 전자서명 비밀키를 USIM에 저장하고 USIM 내부에서 전자서명을 수행해 비밀키 유출 가능성을 차단하는 USIM 저장 및 서명 기능을 개발해 하반기 중 발표할 예정이라고 합니다.

이렇게 스마트폰 웹 기반 전자거래를 안전하고 보다 ‘편리하게’ 이용할 수 있는 공인인증서 관련 기술이 활발히 연구개발되고 그 결과물이 나오고 있다는 점, 그 자체는 참 긍정적인 일입니다. 더 나은 기술이 개발되고 있으니 말이지요.

그런데 보기에는 그리 좋지는 않다는 생각이 드는군요. 결과적으로 인터넷과 정보보호 업무를 담당하는 정부 산하기관, 출연연구기관인 KISA와 ETRI가 동시에 같은 목적을 가진 앱을 경쟁적으로 내놓게 되는 형국이 됐기 때문입니다.

그간 공인인증서 관련 논란의 중심에는 KISA가 있었고, 그 때문에 KISA에서는 스마트폰 공인인증서 이용 표준 기술규격을 만들고, 아이폰 공인인증서 공용 앱 등도 개발했습니다.

그래서인지 갑자기 ETRI가 ‘스마트사인’을 개발했다고 발표한 뒤, KISA도 적잖이 당혹스러워하는 눈치입니다.

이미 KISA가 하고 있는 일인데, ETRI가 이 기술을 왜 개발했는지 모르겠다는 겁니다. KISA 관계자 사이에서는 “(공익적으로 제공해야 하는 기술을 개발해) 특허까지 출원한 것은 적절치 못하다”는 반응까지 나왔습니다.

ETRI 발표 이전까지 KISA는 이를 개발한다는 사실을 전혀 알고 있지 못했다고 합니다.

그러나 ETRI는 당연히 해야 할 일을 했다는 입장입니다.

ETRI 관계자는 “원래 공인인증서를 개발한 것이 ETRI이고, 10여 전에 개발한 공인인증서가 최근 사용 환경이 변화함에 따라 새롭게 업그레이드하는 차원에서 작년 말부터 개발을 진행한 것”이라며, “(KISA가 개발한) 공인인증서 공용 앱 등과는 서비스가 다르다”고 설명했습니다.

보도자료를 통해 김흥남 원장은 “10여년 전 공인인증서 기술을 개발해 안전한 인터넷 서비스 발전에 기여했던 ETRI가 스마트폰 사용의 제약 요건이었던 공인인증서 기술을 개발함으로써, 안전한 모바일 서비스 발전에 다시금 기여할 수 있게 된 점을 매우 뜻깊게 생각한다”고도 이미 밝혔습니다.

앞서 이야기한 비티웍스와 ETRI와의 관계도 남다릅니다. 비티웍스는 ‘ETRI연구소기업’입니다.

더욱이, 아주 공교롭게도 이 ETRI의 스마트서명 기술은 비티웍스와 BC카드, 케이사인, 숭실대학교가 공동으로 참여하고 있는 지식경제부 지원 과제인 ‘모바일ID 보안 및 프라이버시 보호를 위한 스마트지갑 개발’ 과제를 통해 개발됐다고 합니다.

국가(정부) 예산이 들어간다는 점에서 기관끼리 머리를 맞댔다면… ETRI가 육성하는 ETRI연구소기업이면서 관련 과제를 함께하는 민간기업과 협력했다면… 하는 생각을 지울 수 없습니다.

적어도 기술을 각각 개발하는데 들어가는 비용이나 시간, 인력 등을 효율적이면서도 더 신속하고 보다 나은 결과를 가져오지 않았을까요?

이로 인해 앞으로 혼란이 가중될까 우려됩니다.

조만간 KT와 KISA는 애플 앱스토어를 시작으로 안드로이드 마켓에서 관련 앱을 등록해 제공할 겁니다.

ETRI가 개발한 기술도 조기 상용화해 민간에 기술이전하게 되면 정식 출시되겠지요.

모바일 전자거래 서비스 제공기관은 어떤 방식을 채택하고 지원해야 할 지 고민하게 될 겁니다. 업체별로 선택해 제공하게 되면 또 여러 방식의 스마트폰 공인인증서 처리 기술을 사용자들이 쓰게 되는 결과가 빚어질 수도 있겠습니다. 적어도 경쟁에서 이겨 하나가 대세로 굳어지기 전까지는요.

앞으로 허용했으니 공인인증서를 대체할 다른 보안 기술도 제공될 텐데요.

여러 웹이나 앱 방식의 스마트폰 공인인증서 처리 기술이 채택된다면 너무 과도한 다양성으로 인한 사용자 혼란을 줄 수 있지 않을지 우려됩니다.

‘전자금융거래시 공인인증서 사용의무 규제완화 방안’을 마련한 국무총리실과 금융위, 방통위 등 관계부처, 그리고 민·관 협의체에서 스마트폰 공인인증서 처리기술에 대한 대책도 논의가 이뤄져야 할 수도 있겠습니다.

http://yjlee.delighit.net/entry/KISA%C2%B7ETRI-ETRI%EC%97%B0%EA%B5%AC%EC%86%8C%EA%B8%B0%EC%97%85-%EA%B3%B5%EC%9D%B8%EC%9D%B8%EC%A6%9D%EC%84%9C-%EC%B2%98%EB%A6%AC-%EA%B8%B0%EC%88%A0%EA%B0%9C%EB%B0%9C-%EA%B2%BD%EC%9F%81

ETRI Smart Sign 기술 특징

보도자료 이외의 이야기

특징1 : 모든 웹브라우저에서 공인인증서 기반 전자서명이 가능해짐
-SmartSign앱을 설치하고 웹페이지에서는 SignText() 형태의 javascript을 호출하면 됨
-일부 브라우저에서만 제공되던 SignText()를 앱과 브라우저의 interaction을 통해 모든 브라우저에서 제공하게 된 셈

특징 2 : 플랫폼 중립성 확보
-SmartSign앱 자체는 물론 OS마다따로 개발되어야 함
-모든 웹브라우저에서 동일하게 동작
-웹페이지는 브라우저 및 OS마다 따로 구성할 필요 없음 : 가령한 은행이 SmartSign방식으로 웹페이지 구성해놓으면, SmartSign이존재하는 모든 플랫폼의 모든 브라우저에서 인터넷 뱅킹이 가능

특징 3 : 보안 모듈의 중복성 탈피
-뱅킹앱마다 인증서 모듈을 중복해서 갖고 있을 필요없음
-인터넷 뱅킹 웹페이지마다 새롭게 플러그인이 설치될 필요없음

특징 4 : 표준성
-전자서명 메시지는 PKCS#7 준용, 서버 쪽은전혀 바뀔게 없음
-클라이언트 쪽의 SmartSign방식의 국내/국제표준화 추진 예정

특징 5 : 세계최초
-이런 방식은 세계최초

특징 6 : 타분야에 적용가능
-전자서명 뿐만 아니라, 전자지불 및 기타 기존의 플러그인이 설치되어 동작하던 모든 응용에 대체적용 가능

특징 7 : 앱지원
– 브라우저 뿐 아니라 모든 앱에서도 별도 전자서명 모듈없이 동작

특징 8 : PC에서도사용가능
-SmartSign앱만 제공되는 환경이면 PC에서도모든 브라우저에서 플러그인 없이 공인인증서 이용 가능

특징 9 : 보안성
-전자서명이 일어날 때 마다 SmartSign 앱이 사용자 확인 및 PIN입력을 거침. -> 앱에 공인인증서 및 비밀키를 “갖다바치는” 방식과의 차이..
-Usim에 저장 및 usim내에서전자서명 생성으로 보안성 강화

특징 10 : 단일한 인증서 관리
-인증서가 각 앱마다 따로 중복 저장 및 관리되는 일 없음
-인증서를 각 브라우저의 keystore에 넣어서 중복 저장되는 일 없음

http://decisive.egloos.com/5304726

시험 망쳤다고 멘붕 상태라고 말하는 학생들에게 해주고 싶은 시험공부의 정석.

1. 시험을 망친 것은 벼락치기 공부를 했기 때문이고 충분히 준비하지 못했기 때문이다. 자책할 필요 없고 다음에 더 충실하게 하면 된다.

2. 시험땐 평소처럼 태연하게 공부하고, 평소엔 시험때처럼 열심히 공부하자. 평소와 시험때 모두 일관되게 공부하자.

3. 실력대로 인정받기를 바라자. 실제 실력 이상으로 점수를 받고자 한다면 과욕이고 예상외로 점수를 잘 받았다면 운이 좋거나 심지어는 불공정한 것이고 남에게 피해를 준 것이다. 그것은 당신의 실제 점수가 아니다.

4. 무조건 외우려고 하지 말고 이해하려고 노력하자. 이해한 것은 오래 가는 지식이 되고 나중에 써먹을 수 있지만 무조건 외운 것은 금방 잊어버릴 무용한 것이다. 나중에 써먹지 못할 공부는 하지 말자.

5. 학점은 절대적으로 중요한 것이 아니라 하나의 평가지표일 뿐이다. 더 중요한 것은 공부를 통해 쌓게 되는 지식이고 실력이다.

6. 공부는 남들과의 경쟁이 아니라 자신과의 경쟁이다. 남보다 더 잘하는 것이 중요한 것이 아니라 어제의 나보다 잘하는 것이 중요하다. 같은 그룹에 공부 잘하는 사람이 있는 것은 나를 채찍질하게 하므로 축복이다.

7. 정말로 확실한 실력을 쌓고 싶은가? 그러면 남들에게 자신있게 설명할 수 있을만큼 공부해보자. 그리고 배운 것을 남들에게 써먹어보자. 한번 써먹어본 지식은 쉽게 잊혀지지 않고 기억에 깊게 자리한다.

요약하면 점수에 일희일비 하지 말고 평소에 열심히 실력을 쌓자는 것.

ActiveX 걷어낼 ‘웹 표준’ 만든다

http://blog.creation.net/519

Mozilla는 구글, W3C와 함께 웹 기반 인증 기술 확보를 위한 표준 기술 개발에 나섰다.

웹 기반 암호 기술을 적용할 수 있는 JavaScript API가 부재했기 때문에 많은 인증 기술들이 서드파티 플러그인에 의존할 수 밖에 없는 현실을 바꾸기 위해서다.

특히, 지난 1999년 부터 액티브X나 NP 플러그인 기반의 공인 인증 기술을 법적 테두리 안에서 강제했기 때문에 많은 사용자들이  인터넷 뱅킹, 카드 결제 및 각종 공공 업무를 볼 때, IE를 벗어나기 어려운 상태가 지속되고 있어 사용자들의 브라우저 선택이 사실상 불가능한 실정이다.

국내 PKI 업체나 KISA에서 공인 인증과 전자 서명과 같은 인프라를 글로벌 표준으로 만들려는 노력이 지지부진한 탓에 우리 나라는 최고의 인터넷 인프라와 사용자를 가지고도 갈라파고스에 걸맞는 상태가 되었다.

개인적으로 직접 W3C HTML W/G이나 WebApps W/G으로 계속적인 노력을 해오다가 (전자 서명 웹 표준화 안되나? 필독!) 그 뒤로 Mozilla에서 직접 관심을 가져 주도록 요청을 했다.

 

 
다행히 2008년 미첼 베이커 의장의 한국 방문 때 부터 이러한 문제를 인지하고 시작한 이후 2010년 보안 기술 총괄인 루카스 아담스키의 한국 방문 및 2011년 4월 안드레아스 갈 방문 이후에 지원 계획을 구체화 하여 Mozilla 내부에서 프로토타입 및 스펙 개발이 시작되었다.

데이비드 달 및 브라이언 스미스 중심으로 개발되고 있는 DOMCrypt API는 지난 5월 부터 프로토타입을 개발하기 시작하여, 일차적인 구현 및 테스트를 진행하였다 .이러한 움직임에 힘을 실어주기 위해 지난 8월에 W3C WebCrypto Community Group을 만들어 다양한 의견을 모으고 있다.

마침내 11월 W3C TPAC 회의에 상정되어 별도의 표준 워킹 그룹을 발족을 제안하고 만들기로 결정되었다. 이후에 국내 여러 PKI 전문가들과 실제 표준화 주도자들과 연결해서 의견을 나누고 있는 중이다.

 

 
DOMCrypt API를 기초로 W3C가 만들 Web Cryptography API는 매우 기본적 수준의 암호 및 복호화, 키페어 생성, 관리, 서명 정도를 지원하고 개인 인증서를 비롯한 브라우저ID 같은 신원 확인 기능, 웹 PKI 기반 인증 및 서명, 콘텐츠 암호화 등 다양한 곳에 사용될 수 있을 것으로 예상된다.

내년 초 새로운 W/G이 만들어지고, Firefox와 Chrome에 당장 WebCryptography API를 탑재하게 되면, 일단 NPKI 디렉토리에 있는 개인 공인인증서를 브라우저 키 저장소로 옮겨 전자 서명이 가능해 진다. (물론 브라우저 기반 서명에 대한 보안 가이드라인이 만들어 지면, 공인 인증 체계 자체가 플러그인이 아닌 브라우저에서 구현 가능해 질 것으로 예상된다.)

현재 많은 은행들이 비 IE에서 플러그인 공인 인증 서비스를 앞다투어 시작하고 있는데, 향후에는 플러그인을 걷어낼 수 있을 뿐 아니라 모바일에서도 별도 앱 없는 공인 인증 서비스 시대가 열릴 수 있다.

WebCryptography API 관련자료

• W3C Cryptography W/G Mailinglist
• W3C Working Group Charter (draft)
• W3C WebCrypto Community Group

본 글은 Mozilla AsiaCamp 후기로서 최근 Mozilla 커뮤니티의 웹 기술 혁신 시리즈로 연재할 예정입니다.

1. Firefox 모바일 네이티브 UI 버전 개발 착수
2. Mozilla B2G, 진정한 웹 OS가 온다
3. Firefox 기반 오픈 웹앱스토어 대안될까?”
4. 공인인증 ActiveX 걷어낼 웹 표준 만든다
5. BroswerID, 신개념의 유저 중심 인증 기술